Система ролей і управління доступом

1. Ролі користувачів

Платформа використовує ієрархічну ролеву модель (RBAC). Кожен користувач належить одній команді і має одну роль.

Ієрархія ролей

Team Owner (власник команди)
  ├── Tech (технічний спеціаліст)
  └── Team Lead (керівник групи)
        └── Buyer (виконавець)

Опис ролей

Хто може редагувати кого

Важливо: Користувач не може підвищити свою роль або змінити свої налаштування доступу (resourceAccess).

---

2. Команда та ієрархія користувачів

Структура команди

Кожна команда має деревоподібну структуру:

Team Owner
  ├── Tech (один або кілька)
  ├── Team Lead #1
  │     ├── Buyer A (призначений)
  │     └── Buyer B (призначений)
  ├── Team Lead #2
  │     └── Buyer C (призначений)
  └── Buyer D (не призначений жодному тимліду)

Призначення баєрів тімлідам

• Кожен баєр може бути призначений тільки одному тімліду.
• Призначення відбувається через налаштування Доступи у тімліда.
  
• Непризначені баєри відображаються на рівні кореня у списку користувачів.
• На сторінці /users список відображається у вигляді дерева (TreeTable), що показує ієрархію підпорядкування.
  

---

3. Рівні доступу до ресурсів

Доступ до ресурсів налаштовується для ролей Team Lead та Buyer в профілі користувача.

Чотири рівні доступу

«Свої ресурси» — об'єкти, створені користувачем, або де користувач призначений власником.

Порядок рівнів (від найсуворішого до найменш обмежувального)

Тільки свої → Вибірковий → Читання → Повний

---

4. Групи ресурсів

Кожна група налаштовується незалежно — можна видати повний доступ до PWA, але обмежити кампанії.

Група «Користувачі» доступна тільки для Team Lead. Вона визначає, яких баєрів бачить і може редагувати тімлід. У Buyer ця група не відображається.

Доступ до Push-розсилок

«Групи пушів» — єдиний контроль доступу до пушів. У одиночних пушів немає окремого налаштування: доступ до них слідує з доступу до групи. Рівні працюють як у кампаніях:

• Тільки свої (або Читання без вибраних груп) — свої групи та свої пуші;
• Читання + вибрані групи — свої + ці групи та їх пуші (перегляд; редагувати — тільки свої);
• Повний + вибрані групи — те ж саме, плюс редагування вибраних груп;
• Повний без вибору — всі групи та пуші команди.

Видана баєру конкретна група видима йому навіть при обмеженому тімліді. Системні групи (глобальні, для вибору в кампанії) доступні всім для вибору, але не для редагування.

---

5. Каскадний доступ (CPA → Offer → Flow)

Ресурси Партнерські мережі, Офери та Потоки пов'язані ієрархічно:

Партнерська мережа
  └── Офер
        └── Посилання на Офер

Правила каскаду

Якщо доступ до батьківської групи обмежений рівнем Вибірковий з конкретними елементами, всі дочірні ресурси автоматично обмежуються належністю до цих елементів.

Приклад

У тімліда налаштований доступ:

• CPA: Вибірковий — вибрана мережа «Партнерка А»
• Offer: Повний
• Flow: Повний

Результат: тімлід бачить усі офери та потоки, але тільки що належать «Партнерка А». Офери інших CPA-мереж команди приховані.

---

6. Спадкування скоупа (Buyer ← Team Lead)

Принцип

Баєр не може мати більш широкий доступ, ніж його тімлід. Ефективний доступ баєра — це мінімум з його власних налаштувань та налаштувань його тімліда.

Як працює копіювання

Скоуп видимості при зниженні

Коли доступ баєра знижується до рівня тімліда, баєр бачить той же скоуп, що й тімлід:

• Свої ресурси
• Ресурси тімліда
• Ресурси колег (інших баєрів того ж тімліда)

Баєр без тімліда

Якщо баєр не призначений жодному тімліду, копіювання не застосовується. Його налаштування доступу використовуються як є.

---

7. Налаштування доступу для Team Lead

За замовчуванням Team Lead отримує повний доступ до всіх груп ресурсів, крім групи «Користувачі»:

Група «Користувачі» у Team Lead

Ця група визначає, якими баєрами управляє тімлід:

Рівень групи «Користувачі» у тімліда також впливає на скоуп видимості ресурсів: якщо тімлід має доступ Тільки свої до PWA, але Повний до Користувачів — він бачить PWA всієї команди. Якщо Користувачі = Вибірковий [Buyer A] — тімлід бачить свої PWA + PWA Buyer A.

---

8. Приклади сценаріїв

Сценарій 1: Стандартна команда

Team Owner (повний доступ)
  ├── Tech (повний доступ до ресурсів)
  ├── Team Lead #1
  │     Користувачі: Вибірковий [Buyer A, Buyer B]
  │     PWA/Кампанії/...: Повний
  │
  │     ├── Buyer A
  │     │     PWA: Повний → ефективно: Повний (тимлід теж Повний)
  │     │     Кампанії: Тільки свої → ефективно: Тільки свої
  │     │
  │     └── Buyer B
  │           PWA: Тільки свої → ефективно: Тільки свої
  │           Кампанії: Читання → ефективно: Читання
  │
  └── Team Lead #2
        Користувачі: Вибірковий [Buyer C]
        CPA: Вибірковий [CPA-1]
        Offer: Повний
        Flow: Повний

        └── Buyer C
              CPA: Повний → ефективно: Вибірковий [CPA-1] (знижений до тимліда)
              Offer: Повний → ефективно: Повний, але тільки офери CPA-1 (каскад)
              Flow: Повний → ефективно: Повний, але тільки потоки CPA-1 (каскад)

Сценарій 2: Обмежений доступ до конкретних об'єктів

Тімліду потрібно дати доступ тільки до певних джерел:

1. Sources: Вибірковий → вибрати конкретні джерела у списку
2. Campaigns: Тільки свої → баєри бачать тільки свої кампанії
3. PWA: Читання → баєри бачать всі PWA команди, але створюють/редагують тільки свої