# Организации и группы

Статус: `approved`

## Назначение
Экран управления организациями, группами пользователей, моделью доступа, наследованием прав и аудитом изменений.

Экран фиксирует многоорганизационный задел платформы: owner-организацию, клиентские организации, организации подрядчиков и будущих SaaS-арендаторов. Пользователь может состоять в нескольких организациях и группах, а итоговые права вычисляются через явные правила наследования и приоритетов.

## Главные сущности
- организация
- группа пользователей
- пользовательское членство
- модель доступа
- наследуемое право
- явное ограничение
- запрос доступа
- audit event

## Основные блоки
- верхняя лента summary-card по организациям, группам, пользователям в нескольких организациях и запросам доступа
- вкладочная поверхность с организациями, группами, моделью доступа, наследованием и аудитом
- таблица организаций или групп
- инспектор выбранной организации, группы или события
- блок правил управления и объяснений

## Семантика вкладок
- `Организации` — реестр owner, клиентских, подрядных и SaaS-организаций, их статусы, проекты, администраторы и биллинговые связи;
- `Группы` — глобальные, организационные и проектные группы, участники, область действия, приоритет и ограничения;
- `Модель доступа` — матрица операций, порядок вычисления прав, sensitive operations и правила изменения модели;
- `Наследование` — разбор прав конкретного пользователя по цепочке организация -> проект -> репозиторий -> явные переопределения;
- `Аудит` — журнал изменений организаций, групп, прав, approvals и запросов доступа.

## Ключевые действия
- создать организацию
- создать группу
- назначить администратора
- открыть связанные проекты и группы
- проверить итоговые права пользователя
- открыть анализ конфликта прав
- экспортировать audit log
- одобрить или отклонить запрос доступа

## Источники данных
- платформа: organization registry, group registry, membership graph, access policy, access requests, audit log
- провайдеры репозиториев: внешние идентичности и связанный provider account, если они участвуют в доступе
- биллинг: billing account организации и владелец биллинга

## Что намеренно не показывается
- самостоятельная регистрация пользователей
- CRM-воронка продаж
- значения секретов и токенов
- raw RBAC JSON или policy YAML как основной пользовательский интерфейс
- технические логи вместо audit events

## Макеты
- [Основной макет](screen.png) — полноэкранный реестр организаций и групп с активной вкладкой `Организации`.
- [Вкладка `Организации`](tab-organizations.png) — реестр организаций, фильтры, создание организации и инспектор выбранной организации.
- [Вкладка `Группы`](tab-groups.png) — группы, область действия, участники, наследуемые права, явные ограничения и требования к изменению состава.
- [Вкладка `Модель доступа`](tab-access-model.png) — матрица прав, порядок вычисления и sensitive operations.
- [Вкладка `Наследование`](tab-inheritance.png) — объяснение итоговых прав конкретного пользователя и конфликтов allow/deny/Human gate.
- [Вкладка `Аудит`](tab-audit.png) — журнал событий доступа, детали события, экспорт и события, требующие внимания.

## Открытые вопросы
- нет
