Thème
Provisionnement tenant
Objectif
Le provisionnement crée un tenant (organisation cliente) isolé : il initialise les 5 rôles système, l'administrateur initial et l'isolation des données (RLS). Réservé au platform admin.
Qui l'utilise
Platform admin (super admin plateforme), équipe onboarding Finoptika.
| Action | Permission RBAC |
|---|---|
| Provisionner un tenant | platform:tenant:write |
Prérequis
- Rôle platform admin avec
platform:tenant:write. - Nom et slug du tenant, e-mail de l'administrateur initial.
- En production, une provision propre peut nécessiter
app/ops/provision_tenant.py(la migration de seed démo ne se déclenche pas en prod).
Accès
- Menu : Administration → Provision tenant
- URL :
/admin/provision
Éléments de l'interface
- Formulaire tenant — nom, slug, statut.
- Création de l'admin initial (e-mail, IdP).
- Initialisation automatique des 5 rôles système.
- Activation RLS sur les tables du tenant.
Workflow pas à pas
- Renseignez nom + slug du tenant.
- Déclenchez la provision : rôles système créés, RLS active.
- Créez/associez l'admin initial.
- Configurez l'IdP et les accès dans IAM/RBAC.
Bonnes pratiques FinOps
- Utilisez un slug stable et non ambigu (il conditionne l'isolation).
- En prod, provisionnez un tenant propre plutôt que de réutiliser des données de démo.
Limitations & disclaimers
- Action sensible et auditée ; l'isolation repose sur la RLS — ne jamais la contourner.
- 🔒 Un tenant ne voit jamais les données d'un autre (RLS +
tenant_id). - 🔒 Vous ne voyez que les données de votre tenant et de votre périmètre cost center (voir IAM/RBAC).
Dépannage
| Symptôme | Cause probable | Résolution |
|---|---|---|
| Bouton indisponible | Permission platform:tenant:write manquante | Rôle platform admin requis |
| Tenant prod sans données | Seed démo gaté en prod | Lancer app/ops/provision_tenant.py |
| Login prod impossible | IdP non configuré | Configurer l'auth (email/mot de passe ou OIDC) dans IAM |