Actions
Fonctionnalité #21783
ouvert[Administration des utilisateurs] Rendre impossible l’édition du rôle d’un utilisateur pour une entité hors de mon périmètre
Statut:
R&D - A étudier
Priorité:
2-Sérieux
Assigné à:
-
Version cible:
-
Début:
16/08/2022
Echéance:
Description
En tant qu’administrateur de Maarch possédant les privilèges d’administration des utilisateurs sur tous les groupes, et appartenant à une entité donnée de l’arborescence de l’organisation,
Je peux actuellement (Maarch Courrier 21.03.21) éditer le rôle d’un utilisateur appartenant à une entité hors de mes entités et sous-entités.
Par exemple :
- Barbara Bain est admin, et dans l’entité PJS ;
- Tony Tong est agent, et dans l’entité SP (sous PJS) et dans DSI (pas sous PJS) ;
- Barbara Bain peut modifier le rôle de Tony Tong dans SP => OK ;
- Barbara Bain peut aussi modifier le rôle de Tony Tong dans DSI qui n’est pas dans son périmètre => KO.
Correction suggérée : la fonction UserController::updateEntity() appelle UserController::hasUsersRights(), la modifier pour prendre en compte un paramètre supplémentaire entity permettant d’assurer que la modification concerne bien un utilisateur de nos entités ou sous-entités ET que l’entité concernée est dans ce sous-arbre.
Actions