---
# Habilitations reconnues par ce service. Voir docs/autorisation.md.
acces:
  - groupe: sysadmin
    accorde: admin
    # /!\ AUCUN mecanisme ne porte cette habilitation aujourd'hui : le role ne
    # configure pas de mapping de groupes OIDC. L'administration passe donc par
    # le compte local de secours (voute, `occ`), ce qui contredit « une identite,
    # un mot de passe ». Constate le 2026-08-07.
    # `user_oidc` sait mapper un claim de groupes : c'est le cablage manquant.
    porte_par: aucun
    raison: >-
      Administration : utilisateurs, quotas, applications, partages.
  - groupe: personnel
    accorde: utilisateur
    porte_par: defaut          # tout utilisateur authentifie
    raison: >-
      Son espace de fichiers et ses partages. C'est le niveau par defaut.