Utilisateurs et accès — Documentation

Les comptes, les rôles et les services (départements) se gèrent dans la console d’administration, sous « Utilisateurs » (page « Utilisateurs et rôles »), réservée au rôle « Administrateur ». Trois onglets : « Comptes », « Rôles et permissions » et « Services ».

Les quatre rôles

Les rôles sont fixes : leurs permissions ne sont pas modifiables. Un compte peut en porter plusieurs. L’onglet « Rôles et permissions » en donne la matrice.

Rôle	Ce qu’il atteint
« Employé »	Converse avec les destinations autorisées. Aucun accès à la console.
« Auditeur »	Accès en lecture seule au journal d’audit, aux statistiques et aux exportations.
« Administrateur »	Accès complet à la console, à l’exception de la lecture des conversations.
« Gestionnaire de connaissances »	Téléverse et retire des documents de la base de connaissances. Aucun autre accès à la console.

Tous les rôles peuvent converser et interroger la base de connaissances. Sous « Jamais accordé — par conception », la matrice range la lecture des conversations d’autrui et la désactivation du caviardage.

Un changement de rôle met fin aux sessions ouvertes du compte : les nouveaux rôles s’appliquent à la prochaine connexion. Vous ne pouvez pas modifier votre propre compte ici, et Cortex refuse de retirer le rôle « Administrateur » au dernier administrateur actif ou de l’inactiver.

Créer un compte

En haut de la page, cliquez sur « Nouvel usager ».
Renseignez le « Courriel » et le « Nom d'affichage », puis cochez les « Rôles » (« Employé » est coché par défaut).
Facultatif : choisissez un « Service ». Choisissez-en un existant, « Sans service », ou saisissez un nouveau nom et ajoutez-le au passage.
Cliquez sur « Créer ». La fenêtre « Usager créé » affiche le mot de passe initial.
Copiez-le avec « Copier » et transmettez-le à l’employé de façon sécuritaire. Il ne sera plus jamais affiché ; fermez la fenêtre avec « Fermer ».

Capture de Cortex : la page Utilisateurs et rôles, onglet Comptes, avec sept comptes fictifs, leur service, leurs rôles et leur statut — L’onglet « Comptes » : service, rôles, destinations et statut de chaque compte.

Un compte créé ici est un compte local, protégé par un mot de passe que Cortex génère. Si le courriel existe déjà, la console répond « Ce courriel est déjà utilisé. »

Services

L’onglet « Services » liste les services avec leurs usagers et leurs collections. Un service sert à ouvrir des collections de la base de connaissances à une partie des employés. Un compte appartient à un service au plus.

« Nouveau service » demande un « Nom » (1 à 100 caractères, unique sans égard à la casse), puis « Créer ».
« Renommer » change le nom ; les rattachements restent.
« Supprimer » ouvre une fenêtre qui annonce l’effet avant la confirmation : les usagers du service perdent leur service, et les collections qui le listaient perdent cet accès.

MFA

La MFA (authentification à deux facteurs) ne s’applique qu’aux comptes locaux. Pour un compte SSO, la console indique « La MFA est gérée par le fournisseur d'identité pour les comptes SSO. »

Pour exiger la MFA d’un compte, ouvrez-le avec le menu d’actions (⋯) de sa ligne, puis « Modifier », et cochez « MFA exigée » (la case s’applique aussitôt, sans « Enregistrer »). À sa prochaine connexion, l’employé voit « Configurer l'authentification à deux facteurs » : il scanne le code QR (ou saisit la « Clé de saisie manuelle ») dans une application d’authentification, entre le code à 6 chiffres et clique sur « Vérifier ». Ensuite, chaque connexion demande ce code (« Vérification en deux étapes »). Un compte qui a déjà enregistré une application garde cette étape même si « MFA exigée » est décochée.

Si un employé perd son application, ouvrez son compte : à côté de « MFA activée », le bouton « Réinitialiser la MFA » efface son enregistrement. La carte « Sans 2FA » compte les comptes locaux actifs sans application enregistrée.

Authentification unique

Cortex prend en charge OIDC et SAML 2.0. Les variables se règlent dans le .env à la racine du dépôt, lu par Compose sur l’hôte ; après un changement, recréez le conteneur de la passerelle (docker compose up -d gateway).

# Avec le bouton de connexion SSO, c'est l'origine web plus /api/gateway
GATEWAY_PUBLIC_URL=http://localhost:3000/api/gateway

# OIDC : les trois variables sont requises ensemble
OIDC_ISSUER_URL=
OIDC_CLIENT_ID=
OIDC_CLIENT_SECRET=

# SAML : l’URL SSO et le certificat sont requis ensemble
SAML_IDP_SSO_URL=
SAML_IDP_CERT=
SAML_SP_ENTITY_ID=cortex-gateway

AUTH_LOCAL_ENABLED=true

OIDC est activé quand OIDC_ISSUER_URL est renseignée ; Cortex demande les portées openid email profile avec PKCE. L’URI de redirection à enregistrer chez le fournisseur est GATEWAY_PUBLIC_URL suivie de /api/v1/auth/oidc/callback.
SAML est activé quand SAML_IDP_SSO_URL est renseignée. L’URL de rappel (ACS) est GATEWAY_PUBLIC_URL suivie de /api/v1/auth/saml/callback, les métadonnées du fournisseur de service sont servies à GATEWAY_PUBLIC_URL suivie de /api/v1/auth/saml/metadata, et la réponse et l’assertion doivent être signées. SAML_SP_ENTITY_ID doit correspondre à l’identifiant enregistré chez le fournisseur.
Avec le bouton « Se connecter avec SSO », GATEWAY_PUBLIC_URL doit être l’origine web suivie de /api/gateway (par exemple http://localhost:3000/api/gateway) : le bouton passe par le proxy web et le retour OIDC aboutit à l’origine que cette variable nomme.
AUTH_LOCAL_ENABLED : seule la valeur true garde les comptes locaux. La passerelle refuse de démarrer si les comptes locaux sont désactivés sans OIDC ni SAML, ou si une variable requise manque.

Le bouton « Se connecter avec SSO » de la page de connexion lance le parcours OIDC. Pour SAML, il n’y a pas de bouton : le parcours démarre à GATEWAY_PUBLIC_URL suivie de /api/v1/auth/saml/start. Selon le dépôt de Cortex (document d’installation), SAML derrière le proxy web n’a pas encore été éprouvé ; seul OIDC l’a été. La page affiche toujours le bouton SSO et le formulaire, même si l’un des deux est désactivé.

À sa première connexion SSO, un employé est créé automatiquement avec le seul rôle « Employé » ; Cortex lit son nom et son courriel dans la réponse du fournisseur, et n’en tire aucun rôle. Un administrateur ajoute ensuite les rôles et le service dans « Modifier ». La console ne crée pas de comptes SSO.

Désactiver un compte

Ouvrez le compte avec le menu d’actions (⋯) de sa ligne, puis « Modifier », et choisissez « Inactif » dans « Statut ». La fenêtre prévient : « Ses sessions actives seront révoquées immédiatement. » Cliquez sur « Enregistrer » pour appliquer. Pour réactiver, choisissez « Actif », puis « Enregistrer ». Le compte ne peut plus se connecter, même par SSO ; il est conservé.

Désactiver n’efface rien. Pour effacer les données d’un compte, voir Rétention et effacement.