Rollen en rechten: Twee lagen, zeven tenantrollen

Rechten in een multi-tenant ITAD-platform moeten precies goed of zichtbaar fout zijn. Er is weinig nuttig middengebied. ReVend OS gebruikt twee lagen: platformrollen voor de ReVend-operator en organisatierollen voor tenantgebruikers.

Platformrollen

platform_owner beheert het platform end-to-end. platform_staff kan klanten ondersteunen en cross-tenant werken waar support/admin dat toelaat. platform_viewer is read-only voor overzicht. Platformpagina’s checken platformscope voordat tools zoals health, package plans of trust-scoring settings zichtbaar worden.

Tenantrollen

Zeven tenantrollen worden vandaag gebruikt: org_admin, org_manager, org_warehouse, org_commercial, org_finance, org_operator en org_viewer. Ze beschrijven de job van de gebruiker binnen de tenant. Fijnmazige rolegating is bewust beperkt in v1: moduletoegang komt vooral uit package entitlements, terwijl admin/settings en risicovolle acties expliciete role checks gebruiken.

Waar enforcement gebeurt

UI-navigatie helpt, maar server en database zijn de volwassenen in de kamer. Serverguards lezen rollen uit membership records, niet uit bewerkbare user metadata. RLS houdt tenantdata tenant-scoped. Admincode met service role moet tenant scope expliciet toevoegen omdat service role RLS omzeilt; dat is macht met papierwerk, geen shortcut.

Admingrenzen

Adminpagina’s zijn platform-only: platformrollen zien cross-tenant platformtools, en niet-platformgebruikers worden uit Admin weggeleid. Tenantprofiel en teambeheer leven in Settings op /settings/organization-profile en /settings/users. Een ontbrekende route is irritant; een gelekte cross-tenant tool is een brandoefening.

Wijzigingen en audit

Rol- en rechtenwijzigingen zijn audit-sensitive. Het platform bewaart wie access wijzigde, wat wijzigde en waarom. Ziet een gebruiker ineens minder knoppen, dan moet support dat kunnen uitleggen zonder theeblaadjes uit de browsercache te lezen.