Phân quyền

Cloudflare Access quyết định ai vào được. Bảng users quyết định họ làm được gì.

Bốn vai trò

Vai trò	Mô hình chuẩn	Đánh giá của Brand	Ghi chú
architect	✅ Sửa	✅ Mọi Brand	Enterprise Architect
executive	❌ Chỉ xem	✅ Mọi Brand	CEO / Chiến lược
brand_owner	❌ Chỉ xem	✅ Brand của mình	Chủ Brand
viewer	❌	❌	Mặc định cho người chưa được cấp vai trò

PRD gốc mô tả bảy vai trò (thêm Capability Owner, Process Owner, Technology/Data Owner). Ba vai trò đó gắn với tầng Process và Application ở Phase 3; hiện tại chúng được ghi bằng trường owner dạng văn bản trên từng đánh giá, chưa phải một vai trò đăng nhập riêng.

Cưỡng chế ở đâu

Quyền được kiểm tra ở Worker, không phải ở giao diện. Giao diện chỉ ẩn nút cho gọn; API vẫn trả 403 nếu ai đó gọi thẳng.

• Sửa mô hình chuẩn → yêu cầu architect.
• Sửa đánh giá → architect, executive, hoặc brand_owner đúng Brand.

Thêm người dùng

INSERT INTO users (email, name, role, brand_id)
VALUES ('nguoi@vidu.com', 'Tên', 'brand_owner', 'BRD-nemo12');

Người này còn phải nằm trong policy của Cloudflare Access, nếu không sẽ không vào được tới Worker.