Aide — Utilisateurs & droits

Guide administrateur du module Utilisateurs & droits (Auth centrale LIA).

À ouvrir depuis LABOtranet → Gestion des utilisateurs / Organisation / Profils / Applications.

1. À quoi sert ce module ?

L’Auth centrale est le seul endroit où l’on gère :

• qui existe (comptes) ;
• où la personne est rattachée (organisation) ;
• quel métier elle exerce sur ce périmètre (profil) ;
• quels niveaux L0–L3 elle a sur chaque application ;
• qui administre un service (gestionnaire), sans confondre avec les droits métier.

Les applications (cyberCAT, bookTIME, COQnews, vigIE…) consomment ces droits. Elles ne créent plus les personnes.

2. Les trois « chapeaux » à ne pas confondre

Super-admin (administrateur global)

• Voit et gère tout l’hôpital.
• Seul à pouvoir : pôles / services, catalogue Applications, noms des profils, délégations de gestion UF / service / pôle, élévation super-admin.
• Ce n’est pas un profil métier dans une affectation.

Gestionnaire d’UF, de service ou de pôle

Comptes → fiche personne → Délégation de gestion des personnes : le super-admin coche les UF, services ou pôles confiés au gestionnaire.

• Créer une personne, corriger son nom, activer, désactiver ou supprimer son compte.
• Affecter ou retirer un code-barres, importer les matricules XLSX et imprimer les étiquettes PDF.
• Le XLSX affecte les codes aux comptes existants via IDENTIFIANT LABOTRANET ; il ne crée pas de personnes.
• Toutes les affectations actuelles ou futures doivent appartenir aux périmètres confiés. Les comptes sans affectation, les super-admins et les autres gestionnaires restent réservés au super-admin.
• Un fichier ou une sélection contenant une personne hors périmètre est refusé.
• Aucun droit applicatif L1/L2/L3 ajouté. Corriger un nom conserve les droits métier. Les délégations ne sont pas utilisables après une connexion par code-barres.

Profil / métier (Référent, Med-pharm, Support, Paramed…)

• Définit les droits applicatifs une fois autorisé dans Organisation puis affecté dans Comptes.
• Une même personne peut avoir plusieurs affectations (ex. Référent sur le service + Med-pharm sur un secteur).

Exemple Élodie Pain « admin labo » :

Comptes → EP → cocher Gestionnaire de service · Laboratoire → Enregistrer.

Si elle doit aussi publier / valider dans les apps : ajouter une affectation avec un profil métier (souvent Référent) sur Laboratoire ou un secteur — après avoir autorisé ce profil dans Organisation.

3. Organisation : la structure

Pôle
└── Service                    ← niveau « Gestionnaire de service »
    └── Unité fonctionnelle    ← ex. Site Chambéry (N° UF établissement 2501)
        └── Secteur            ← ex. Bactério, Secrétaires, CHIC…

Unité fonctionnelle (UF)

• Sites ou découpages métier du service (Chambéry, Aix, Belley…).
• Champ N° UF établissement : numéro officiel (ex. 2501 pour Labo Chambéry). Saisissable à la création et à l’édition.
• Affiché sous la forme UF 2501 · Site Chambéry.

Secteur

• Plus petit périmètre pour les droits et le ciblage COQnews.
• Créé sous une UF.
• Les anciennes « unités » Biologistes / Support / Techniciens sont des profils, pas des secteurs.

Règles de modification

4. Organisation : autoriser un profil et sa matrice

Principe : dans Organisation on autorise les profils sur un périmètre ; dans Comptes on rattache seulement des profils déjà autorisés.

Ordre recommandé

1. Ouvrir Organisation.
2. Sélectionner un service, une UF ou un secteur.
3. Autoriser un profil / métier (ex. Référent).
4. Régler la matrice L0–L3 + cases Afficher par application.
5. Enregistrer.

Un gestionnaire de service ne peut cocher / enregistrer qu’un niveau ≤ à ses propres droits effectifs sur chaque application (même règle que pour les exceptions personnelles).

Où poser l’autorisation ?

Sur un secteur, un profil hérité du service/UF apparaît en onglet pointillé (« via service / unité »). On peut l’ajuster localement ; pour le retirer partout, le retirer au niveau service/UF.

Niveaux L0–L3 (rappel)

• Cases exclusives par application : L1, L2 ou L3. Aucune case = L0.
• Afficher : carte / menu visible sur LABOtranet. Cocher L1/L2/L3 coche Afficher par défaut ; on peut ensuite décocher Afficher pour cacher la tuile tout en gardant le niveau. « Tout passer en L1/L2 » coche aussi Afficher.
• Apps L3 uniquement : renfort, cursus, Chorus, annuaire CHMS (L1/L2 et Afficher désactivés dans l’UI).

Sens métier typique (COQnews) : L1 lecture · L2 publier/modifier · L3 supprimer.

5. Comptes : affecter une personne

Codes-barres personnels (super-admin)

Le code affecté est affiché dans le champ de la fiche (super-admin uniquement). Pour les codes anciennement enregistrés sous forme d’empreinte seule, saisissez à nouveau le même code ou réimportez le fichier pour permettre son affichage.

Pour une personne, ouvrez sa fiche, douchez ou saisissez son Code-barres personnel puis cliquez sur Affecter le code-barres ou Remplacer le code-barres (Entrée fonctionne aussi). Créez d’abord le compte s’il est nouveau. L’enregistrement du code conserve les autres modifications en cours dans la fiche ; un code déjà attribué à un autre compte est refusé.

Le dernier mode de connexion choisi est mémorisé un an dans le navigateur du poste et reste modifiable à chaque connexion. Ce cookie contient uniquement le choix code-barres ou mot de passe, sans identifiant ni secret. Sans préférence, le code-barres est proposé.

Dans Comptes, dépliez Importer les codes-barres personnels (.xlsx), choisissez le fichier : la colonne MATRICULE est reconnue automatiquement. Le rapprochement utilise IDENTIFIANT LABOTRANET, sans créer de compte.

L’aperçu se charge dès le choix du fichier. Contrôlez les matricules affichés puis cliquez sur Importer les matricules. Les champs manquants, comptes introuvables/inactifs, doublons et conflits sont écartés. Les comptes absents du fichier restent inchangés. La fiche utilisateur indique si un code est affecté et permet de le retirer. Remplacer ou retirer un code invalide ses sessions, sous réserve du délai de cache des applications. Une sauvegarde SQLite vérifiée précède chaque modification.

Le code-barres est proposé en premier sur LABOtranet : douchez puis validez avec Entrée. Cette connexion ouvre uniquement le L1 sur les applications autorisées, sans administration ni accès aux applications exclusivement L3. Pour retrouver L2/L3, dépliez Identifiant / mot de passe ou choisissez cette option dans le menu utilisateur. Un changement de mot de passe en attente reste obligatoire lors de la connexion par mot de passe.

Impression : cochez les agents dans la liste (ou sélectionnez les résultats filtrés avec code), choisissez le nombre d’exemplaires puis Télécharger le PDF. Une planche A4 contient 16 étiquettes : Code 39 (3 parmi 9), matricule en clair et nom/prénom en petit. Imprimez à taille réelle (100 %). Les codes absents, trop longs ou incompatibles avec Code 39 doivent être corrigés avant impression ; aucun matricule n’est transformé automatiquement.

Affectation secteur + profil (+ extensions)

1. Comptes → sélectionner la personne.
2. Bloc Affectations → + Ajouter une affectation.
3. Choisir le secteur d’appartenance (visu par défaut).
4. Choisir le profil / métier (liste = profils déjà autorisés sur ce secteur).
5. Cases d’extension des droits (facultatif) : toute l’UF, tout le service (coché par défaut pour Med/pharm et Référent), tout le pôle.
6. Date d’effet si besoin → Enregistrer.

Si la liste de profils est vide : retourner dans Organisation et autoriser le profil sur ce secteur d’abord.

Exceptions personnelles

Sur une affectation, on peut surcharger quelques applications seulement. Le reste reste la matrice Organisation.
Dans le sélecteur, Profil (Lx) signifie que le niveau suit automatiquement la matrice du profil. Choisir explicitement L0, L1, L2 ou L3 crée une exception personnelle qui sera conservée lors des prochains changements du profil.
Disponible pour le super-admin et le gestionnaire de service (personnes de son service).
Le gestionnaire ne peut pas dépasser ses propres droits effectifs sur chaque application (ex. si elle a L2 cyberCAT, elle ne peut pas donner L3).

Mode legacy

Sans aucune affectation organisationnelle active, le compte garde ses droits historiques (legacy).

Dès qu’on pose une affectation métier, les droits effectifs viennent du modèle organisationnel (sauf exceptions).

Créer / désactiver / supprimer un compte

• Créer : login, prénom, nom ; mot de passe vide = login (sinon min. 6 caractères).
• Compte actif : décoche = plus de connexion.
• Supprimer : irréversible ; impossible sur un super-admin.

6. Recettes fréquentes

Mettre quelqu’un « admin Laboratoire »

1. Connecté en super-admin.
2. Comptes → personne → Gestionnaire de service → cocher Laboratoire → Enregistrer.
3. (Optionnel) Affectation métier Référent / autre sur Laboratoire ou secteurs, après autorisation Organisation.

Donner Med-pharm sur Chambéry

1. Organisation → Site Chambéry (ou service Laboratoire) → autoriser Med-pharm + matrice.
2. Comptes → personne → affectation UF Site Chambéry (ou secteur) + profil Med-pharm → Enregistrer.

Nouveau secteur COQnews / droits

1. Organisation → UF concernée → Ajouter un secteur.
2. Autoriser les profils voulus + matrice (ou laisser l’héritage service/UF).
3. Lier le ciblage COQnews si besoin (instance COQnews du service / liens secteur).
4. Affecter les personnes dans Comptes.

Renseigner le N° UF établissement

Organisation → cliquer l’UF → champ N° UF établissement (ex. 2501) → Enregistrer.

Le numéro doit être unique s’il est renseigné.

7. Lien avec les applications

bookTIME ne crée pas les comptes : on active une personne et des secteurs déjà connus d’Auth.

8. Bonnes pratiques

1. Toujours Organisation d’abord (autoriser le profil), Comptes ensuite (affecter).
2. Préférer une affectation service ou UF pour un rôle transverse ; réserver le secteur au ciblage fin.
3. Ne pas confondre gestionnaire de service et L3 applicatif.
4. Ne jamais copier une auth.db de Mac vers LiaTEST / prod.
5. Travailler depuis LABOtranet (/intranet-v2/), pas depuis l’ancien portail /.

9. Dépannage rapide

10. Où trouver cette aide

• Fichier source : docker-labo/infra/index-chasih/aide-utilisateurs-droits.md
• Page : /aide-utilisateurs-droits.html
• Lien Aide dans la barre du module Utilisateurs & droits

Exports qualification : boutons Exporter CSV (Comptes / Profils / Organisation) → profils, matrices L0–L3, affectations.

Journal technique Auth : docker-labo/apps/auth/VERSION_LOG.md.

Feuille de route migration : docker-labo/docs/MIGRATION_DROITS_UTILISATEURS_LIATEST.md.