Menu de la documentation
Comptes d’intégration
Les comptes techniques qu’utilisent vos scripts et vos pipelines, et ce qu’ils peuvent voir.
En bref
Un compte d'intégration est un compte technique qu'utilisent vos scripts, vos pipelines de données et vos intégrations pour appeler Northstar. Il a des rôles et des équipes comme une personne, et il ne voit et ne modifie que ce qu'ils lui permettent. Il s'authentifie avec des clés API, jamais avec un mot de passe.
Ce que c'est
Les personnes se connectent à Northstar avec leur propre compte. Le code ne doit pas le faire : une personne part, change d'équipe ou perd un droit, et chaque pipeline qui empruntait son compte casse ou garde des droits qu'il ne devrait pas avoir.
Le compte d'intégration règle ce problème. Il est créé pour une tâche, par exemple « pipeline dbt » ou « synchronisation CRM », et il :
- appartient à une organisation ;
- a un rôle plateforme, un rôle d'organisation et des équipes, comme tout utilisateur ;
- s'authentifie uniquement avec des clés API ;
- apparaît dans la page Développeurs avec ses clés et sa dernière utilisation.
Créer un compte
Ouvrez Développeurs depuis le menu de votre compte, en bas de la barre latérale, puis cliquez sur Nouveau compte développeur et remplissez :
| Champ | Que choisir |
|---|---|
| Nom affiché | La tâche qu'il remplit, par exemple « Synchronisation entrepôt ». Il apparaît dans les listes et les journaux. |
| Rôle plateforme | Utilisateur dans presque tous les cas. Voir les bonnes pratiques. |
| Rôle organisation | Les fonctionnalités qu'appelle l'intégration, par exemple un rôle qui peut créer des KPIs et enregistrer des tableaux de bord. |
| Équipes | Les équipes dont l'intégration manipule les ressources. |
Ouvrez ensuite le compte et créez une clé API.
Créer des comptes demande les permissions sur les comptes développeur dans votre rôle d'organisation. Créer des clés demande la permission de créer et révoquer les clés API. Par défaut, les rôles d'organisation Admin et Superadmin ont les deux.
Rôles et équipes
Un compte d'intégration suit les mêmes règles d'accès qu'une personne :
- son rôle d'organisation décide des fonctionnalités qu'il peut appeler : datasets, KPIs, tableaux de bord, équipes… ;
- ses équipes décident des ressources qu'il peut utiliser. Chaque équipe liée ajoute le compte comme administrateur de l'équipe, avec tous les droits sur les ressources de cette équipe ;
- son rôle plateforme doit rester Utilisateur. Un compte Administrateur voit et peut modifier tout ce qui existe sur la plateforme.
Vous pouvez changer les rôles et les équipes plus tard, sur la page du compte. Le changement s'applique dès l'appel suivant.
Ce qu'il peut voir
- Les lectures ne renvoient que ce que voient les équipes du compte, comme le catalogue le fait pour une personne.
- Les ressources créées par l'intégration suivent les règles de la plateforme. Un nouveau dataset, par exemple, n'est visible que des administrateurs de la plateforme tant qu'aucune équipe n'y a accès : rattachez-le à une équipe juste après l'avoir créé. Voir les recettes SDK.
- Le compte appartient à l'organisation de ses clés. Pour travailler dans deux organisations, créez un compte dans chacune.
Bonnes pratiques
- Un compte par intégration. Si un pipeline est compromis ou arrêté, vous révoquez un compte sans toucher aux autres.
- Le moindre privilège. Donnez le rôle d'organisation et les équipes dont l'intégration a besoin, rien de plus. Gardez le rôle plateforme sur Utilisateur.
- Nommé d'après sa tâche. Le nom apparaît dans la liste des clés et dans la colonne « dernière utilisation » : vous devez voir d'un coup d'œil ce qui a cessé d'appeler.
- Revu régulièrement. Un compte dont les clés ne servent plus depuis des mois n'est probablement plus utile.
Questions fréquentes
Puis-je utiliser mon propre compte dans un script ? Non. Les clés API n'existent que pour les comptes d'intégration, et le SDK ne s'authentifie qu'avec une clé API.
Peut-on se connecter à l'application avec un compte d'intégration ? Non. Il n'a pas de mot de passe : seules ses clés API l'authentifient.
Mon script reçoit des erreurs « forbidden ». Pourquoi ? Le rôle d'organisation du compte n'inclut pas la fonctionnalité, ou aucune de ses équipes n'a accès à la ressource. Vérifiez les deux sur la page du compte.