Autorisations

Les autorisations définissent le type d’accès dont dispose un utilisateur pour une ressource donnée. Généralement, les autorisations donnent à un utilisateur le droit de lire, modifier ou supprimer un objet. Les autorisations sous-tendent les droits d’accès de tous les rôles, y compris les trois rôles gérés et les rôles personnalisés.

Autorisations sensibles

Certaines autorisations Datadog donnent accès à des fonctionnalités plus privilégiées dont il est important d’avoir connaissance, telles que :

• Accès pour modifier les paramètres de l’organisation
• Accès pour lire des données potentiellement sensibles
• Accès pour effectuer des opérations privilégiées

Les autorisations sensibles sont signalées dans les interfaces Rôles et autorisations pour indiquer qu’elles peuvent nécessiter une attention accrue. En guise de bonne pratique, les administrateurs configurant des rôles doivent accorder une attention particulière à ces autorisations et confirmer lesquelles de ces autorisations sont attribuées à leurs rôles et utilisateurs.

Autorisations en mode aperçu

Certaines autorisations apparaissent en « mode aperçu » avant d’être pleinement appliquées. Durant cette période :

• Les autorisations en aperçu sont marquées dans l’application avec un badge « Aperçu »
• Elles ne restreignent pas l’accès tant que la période d’aperçu n’est pas terminée
• L’aperçu dure généralement 2 à 4 semaines avant que l’application des autorisations ne commence
• Les administrateurs doivent configurer les rôles de manière appropriée durant cette période

Le mode aperçu donne aux administrateurs de votre organisation la possibilité d’opter pour certaines nouvelles autorisations, afin qu’ils puissent éviter de perdre l’accès à des ressources qui n’étaient auparavant pas restreintes. Les notes de version associées à chaque autorisation en mode aperçu indiquent quand l’autorisation est créée et quand elle sera appliquée. Bien que ces autorisations ne restreignent pas l’accès pendant la prévisualisation, Datadog recommande de mettre à jour les configurations de rôle avant qu’elles ne soient appliquées afin d’éviter toute interruption.

Autorisations restreintes

Les autorisations restreintes prennent en charge des parties essentielles de l’expérience Datadog et sont automatiquement attribuées à chaque rôle par défaut. La suppression de ces autorisations par défaut peut affecter la façon dont les utilisateurs interagissent avec Datadog. Par exemple, les utilisateurs pourraient être dans l’incapacité de consulter ou de modifier leur profil, ou d’accéder aux fonctionnalités standard de la plateforme.

Les autorisations suivantes peuvent être supprimées directement dans l’interface utilisateur. Pour les exclure lors de l’utilisation des API Créer un rôle et Mettre à jour un rôle, définissez default_permissions_opt_out: true dans le corps de la requête :

Exemple de requête pour créer un rôle sans autorisations restreintes :

curl -X POST "https://api.datadoghq.com/api/v2/roles" \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-H "DD-API-KEY: ${DD_API_KEY}" \
-H "DD-APPLICATION-KEY: ${DD_APP_KEY}" \
-d '{
  "data": {
    "attributes": {
      "name": "developers",
      "default_permissions_opt_out": true
    },
    "type": "roles"
  }
}'

Les autorisations suivantes ont longtemps été implicitement attribuées à chaque rôle, mais n’étaient pas auparavant exposées pour une configuration via l’interface utilisateur ou l’API. Désormais, vous pouvez activer Rôles d’accès minimal (aperçu) pour rendre ces autorisations supprimables et les exclure par défaut lorsque default_permissions_opt_out: true est défini :

Rôles

Rôles gérés

Par défaut, les utilisateurs existants sont associés à l’un des trois rôles gérés :

• Rôle Datadog Admin
• Rôle standard Datadog
• Rôle Datadog Read Only

Tous les utilisateurs disposant de l’un de ces rôles peuvent lire les données, à l’exception des ressources individuellement restreintes en lecture. Les utilisateurs administrateurs et standard disposent d’autorisations d’écriture sur les ressources. Les utilisateurs administrateurs disposent d’autorisations de lecture et d’écriture supplémentaires pour les ressources sensibles relatives à la gestion des utilisateurs, à la gestion de l’organisation, à la facturation et à l’utilisation.

Les rôles gérés sont créés et maintenus par Datadog. Leurs autorisations peuvent être automatiquement mises à jour par Datadog à mesure que de nouvelles fonctionnalités sont ajoutées ou que les autorisations changent. Les utilisateurs ne peuvent pas modifier directement les rôles gérés, mais ils peuvent les cloner pour créer des rôles personnalisés avec des autorisations spécifiques. Si nécessaire, les utilisateurs peuvent supprimer les rôles gérés de leur compte.

Rôles personnalisés

Créez un rôle personnalisé pour combiner des autorisations dans de nouveaux rôles. Un rôle personnalisé vous donne la possibilité de définir un profil, par exemple un administrateur de facturation, puis d’attribuer les autorisations appropriées pour ce rôle. Après avoir créé un rôle, attribuez ou supprimez des autorisations pour ce rôle directement en mettant à jour le rôle dans Datadog, ou via l’API d’autorisation Datadog. Vous pouvez également ajouter une autorisation à plusieurs rôles personnalisés à la fois en sélectionnant ces rôles sur la page Rôles et en cliquant sur Add Permission.

Contrairement aux rôles gérés, les rôles personnalisés ne reçoivent pas de nouvelles autorisations lorsque Datadog lance de nouveaux produits et fonctionnalités, sauf s’ils sont configurés pour recevoir des mises à jour automatiques. Si les mises à jour automatiques sont désactivées, les rôles personnalisés ne reçoivent de nouvelles autorisations que pour maintenir la compatibilité lorsque Datadog lance une nouvelle autorisation qui limite l’accès à une fonctionnalité existante.

Pour configurer les mises à jour automatiques pour les rôles personnalisés :

1. Accédez à la page Paramètres de l’organisation et cliquez sur l’onglet Roles.
2. Cliquez sur le rôle que vous souhaitez mettre à jour et cliquez sur Edit Role.
3. Sous Automatically Receives Permissions, choisissez une option dans le menu déroulant : Aucun, Rôle Datadog Read Only, Rôle Datadog standard ou Rôle Datadog Admin.

Si le rôle personnalisé est configuré pour recevoir des mises à jour automatiques, votre rôle personnalisé reçoit toutes les nouvelles autorisations dès qu’elles sont publiées pour le modèle de rôle sélectionné. Aucune autorisation déjà publiée n’est ajoutée. Vous pouvez ajouter ou supprimer n’importe quelle autorisation de ce rôle et continuer à recevoir des mises à jour automatiques.

Remarque : Lors de l’ajout d’un nouveau rôle personnalisé à un utilisateur, assurez-vous de supprimer le rôle Datadog géré associé à cet utilisateur pour appliquer strictement les autorisations du nouveau rôle.

Rôles d’accès minimal (aperçu)

Les rôles d’accès minimal offrent à votre organisation un contrôle plus granulaire sur ce que les utilisateurs peuvent faire dans Datadog.

Par défaut, chaque rôle inclut un ensemble fondamental de autorisations restreintes qui ne peuvent pas être supprimées car elles prennent en charge les fonctionnalités principales dans Datadog. L’activation des rôles d’accès minimal rend ces autorisations supprimables dans les rôles personnalisés de toute votre organisation. Les utilisateurs disposant uniquement d’un rôle d’accès minimal peuvent rencontrer des fonctionnalités limitées ou des erreurs inattendues sur certaines pages de Datadog.

Une fois activées, les autorisations suivantes deviennent supprimables, vous permettant de créer des rôles restreints pour des workflows spécialisés :

Si vous utilisez default_permissions_opt_out dans des ressources de rôle Terraform ou des appels d’API directs, mettez à jour votre automatisation pour prendre en compte ces autorisations supplémentaires avant d’activer les rôles d’accès minimal.

Liste des autorisations

Le tableau suivant répertorie le nom, la description et le rôle par défaut de toutes les autorisations disponibles dans Datadog. Chaque type d’actif dispose d’autorisations de lecture et d’écriture correspondantes.

Chaque rôle géré hérite de toutes les autorisations des rôles moins puissants. Par conséquent, le rôle Datadog Standard possède toutes les autorisations listées dans le tableau avec le rôle Datadog Read Only par défaut. De plus, le rôle Datadog Admin contient toutes les autorisations du rôle Datadog Standard et du rôle Datadog Read Only.

API and Application Keys

Find below the list of permissions for the api and application keys assets:

APM

Find below the list of permissions for the apm assets:

Access Management

Find below the list of permissions for the access management assets:

App Builder & Workflow Automation

Find below the list of permissions for the app builder & workflow automation assets:

Application Security

Find below the list of permissions for the application security assets:

Billing and Usage

Find below the list of permissions for the billing and usage assets:

Bits AI

Find below the list of permissions for the bits ai assets:

Cloud Cost Management

Find below the list of permissions for the cloud cost management assets:

Cloud Network Monitoring

Find below the list of permissions for the cloud network monitoring assets:

Cloud Security Platform

Find below the list of permissions for the cloud security platform assets:

CoTerm

Find below the list of permissions for the coterm assets:

Compliance

Find below the list of permissions for the compliance assets:

Containers

Find below the list of permissions for the containers assets:

Cross-Product Features

Find below the list of permissions for the cross-product features assets:

DDSQL Editor

Find below the list of permissions for the ddsql editor assets:

Dashboards

Find below the list of permissions for the dashboards assets:

Data Observability

Find below the list of permissions for the data observability assets:

Data Streams Monitoring

Find below the list of permissions for the data streams monitoring assets:

Database Monitoring

Find below the list of permissions for the database monitoring assets:

Digital Experience Monitoring

Find below the list of permissions for the digital experience monitoring assets:

Disaster Recovery

Find below the list of permissions for the disaster recovery assets:

Error Tracking

Find below the list of permissions for the error tracking assets:

Events

Find below the list of permissions for the events assets:

Feature Flags

Find below the list of permissions for the feature flags assets:

Fleet Automation

Find below the list of permissions for the fleet automation assets:

Infrastructure

Find below the list of permissions for the infrastructure assets:

Infrastructure as Code

Find below the list of permissions for the infrastructure as code assets:

Integrations

Find below the list of permissions for the integrations assets:

LLM Observability

Find below the list of permissions for the llm observability assets:

Live Debugger

Find below the list of permissions for the live debugger assets:

Log Management

Find below the list of permissions for the log configuration assets and log data, along with the typical category of user you’d assign this permission to. See the recommendations on how to assign permissions to team members in the Logs RBAC guide.

Log Management RBAC also includes two legacy permissions, superseded by finer-grained and more extensive logs_read_data permission:

MCP

Find below the list of permissions for the mcp assets:

Metrics

Find below the list of permissions for the metrics assets:

Monitors

Find below the list of permissions for the monitors assets:

Network Device Monitoring

Find below the list of permissions for the network device monitoring assets:

Network Path

Find below the list of permissions for the network path assets:

Notebooks

Find below the list of permissions for the notebooks assets:

Observability Pipelines

Find below the list of permissions for the observability pipelines assets:

On-Call

Find below the list of permissions for the on-call assets:

Orchestration

Find below the list of permissions for the orchestration assets:

Processes

Find below the list of permissions for the processes assets:

Product Analytics

Find below the list of permissions for the product analytics assets:

Real User Monitoring

Find below the list of permissions for the real user monitoring assets:

Reference Tables

Find below the list of permissions for the reference tables assets:

Remote Configuration

Find below the list of permissions for the remote configuration assets:

Serverless

Find below the list of permissions for the serverless assets:

Service Level Objectives

Find below the list of permissions for the service level objectives assets:

Sheets

Find below the list of permissions for the sheets assets:

Software Delivery

Find below the list of permissions for the software delivery assets:

Status Pages

Find below the list of permissions for the status pages assets:

Synthetic Monitoring

Find below the list of permissions for the synthetic monitoring assets:

Teams

Find below the list of permissions for the teams assets:

Watchdog

Find below the list of permissions for the watchdog assets:

Work and Incident Management

Find below the list of permissions for the work and incident management assets:

Pour aller plus loin

Documentation, liens et articles supplémentaires utiles:

Créer, mettre à jour et supprimer un rôleDOCUMENTATION Gérer vos autorisations avec l'API PermissionDOCUMENTATION