Un technicien ne voit que l'app de la maintenance

Objectif Donner à chaque métier son app sur le même hub, sans qu'un technicien puisse lire les données des achats.

La maintenance et les achats partagent un ERP où chacun voit tout. Sur le même hub, lumnik compose une app par métier.

le technicien ne tient que le rôle Keycloak scope:maintenance
il voit son app, ses ordres et ses décisions
chaque porte des achats lui répond par un refus

lumnik Open
Sécurité
Maintenance
Achats
Connector
Entity
View
App
Process

workorders-1-day.csv

wo_id;asset;priority;status
WO-101;Convoyeur ligne 2;URGENT;OPEN
WO-102;Compresseur atelier B;NORMAL;OPEN
WO-103;Four de cuisson;LOW;CLOSED

invoices-1-day.csv

invoice_id;supplier;amount;status
INV-501;Fournisseur Alpha;18500;OPEN
INV-502;Fournisseur Beta;2300;OPEN
INV-503;Fournisseur Gamma;12750;OPEN

manifests/10-workorders.yaml

apiVersion: connectors.lumnik.io/v1kind: Connectormetadata:  name: scenario-metier-workorders-a  connector_type: csv-file  scopes: [maintenance]spec:  transport:    kind: local    path: /tmp/lumnik-scenario/one-app-per-metier/a/workorders-*.csv  parser:    has_header: true  after_process: none

manifests/11-invoices.yaml

apiVersion: connectors.lumnik.io/v1kind: Connectormetadata:  name: scenario-metier-invoices-a  connector_type: csv-file  scopes: [purchasing]spec:  transport:    kind: local    path: /tmp/lumnik-scenario/one-app-per-metier/a/invoices-*.csv  parser:    has_header: true  after_process: none

manifests/20-work-order.yaml

kind: Entityname: ScenarioWorkOrderAlabel: Ordre de travaildescription: "Ordres de travail de la maintenance. Une ligne représente un ordre."match: [wo_id]scopes: [maintenance]columns:  wo_id: { label: "Ordre" }  asset: { label: "Équipement" }  priority: { label: "Priorité" }  status: { label: "Statut" }sources:  - table: t_scenario_metier_workorders_a    map: { wo_id: wo_id, asset: asset, priority: priority, status: status }

manifests/21-supplier-invoice.yaml

kind: Entityname: ScenarioSupplierInvoiceAlabel: Facture fournisseurdescription: "Factures fournisseurs des achats. Une ligne représente une facture."match: [invoice_id]scopes: [purchasing]columns:  invoice_id: { label: "Facture" }  supplier: { label: "Fournisseur" }  amount: { label: "Montant" }  status: { label: "Statut" }sources:  - table: t_scenario_metier_invoices_a    map: { invoice_id: invoice_id, supplier: supplier, amount: amount, status: status }

manifests/30-workorders-view.yaml

apiVersion: apps.lumnik.io/v1kind: Viewmetadata:  name: scenario-metier-workorders-aspec:  scope: maintenance  table: connector.v_scenarioworkordera  title: Ordres de travail  columns: [wo_id, asset, priority, status]

manifests/31-invoices-view.yaml

apiVersion: apps.lumnik.io/v1kind: Viewmetadata:  name: scenario-metier-invoices-aspec:  scope: purchasing  table: connector.v_scenariosupplierinvoicea  title: Factures fournisseurs  columns: [invoice_id, supplier, amount, status]

manifests/40-maintenance-app.yaml

apiVersion: apps.lumnik.io/v1kind: Appmetadata:  name: scenario-maintenance-aspec:  title: Maintenance  scope: maintenance  icon: generic  theme:    accentColor: "#8b7ff0"    backgroundColor: "#14121f"  default: false

manifests/41-purchasing-app.yaml

apiVersion: apps.lumnik.io/v1kind: Appmetadata:  name: scenario-purchasing-aspec:  title: Achats  scope: purchasing  icon: generic  theme:    accentColor: "#8b7ff0"    backgroundColor: "#14121f"  default: false

manifests/50-urgent-work-order.yaml

apiVersion: apps.lumnik.io/v1kind: Processmetadata:  name: scenario-metier-urgent-wo-aspec:  scope: maintenance  on:    event: data.row.changed    table: connector.t_scenario_metier_workorders_a  when:    - priority=URGENT    - status=OPEN  emit:    type: decision.metier-urgent-wo-a    message: "Urgent work order {wo_id} on {asset}"

manifests/51-large-invoice.yaml

apiVersion: apps.lumnik.io/v1kind: Processmetadata:  name: scenario-metier-large-invoice-aspec:  scope: purchasing  on:    event: data.row.changed    table: connector.t_scenario_metier_invoices_a  when:    - amount>10000    - status=OPEN  emit:    type: decision.metier-large-invoice-a    message: "Invoice {invoice_id} from {supplier} above 10000"

$ lm apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/10-workorders.yaml
Applied connector "scenario-metier-workorders-b" — 1 endpoint

$ lm apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/11-invoices.yaml
Applied connector "scenario-metier-invoices-b" — 1 endpoint

$ lm entity apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/20-work-order.yaml
Applied entity "ScenarioWorkOrderB" → connector."v_scenarioworkorderb"

$ lm entity apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/21-supplier-invoice.yaml
Applied entity "ScenarioSupplierInvoiceB" → connector."v_scenariosupplierinvoiceb"

$ lm view apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/30-workorders-view.yaml
applied: scenario-metier-workorders-b (scope maintenance)

$ lm view apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/31-invoices-view.yaml
applied: scenario-metier-invoices-b (scope purchasing)

$ lm app apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/40-maintenance-app.yaml
Applied app "scenario-maintenance-b" → scope maintenance

$ lm app apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/41-purchasing-app.yaml
Applied app "scenario-purchasing-b" → scope purchasing

$ lm process apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/50-urgent-work-order.yaml
Applied process "scenario-metier-urgent-wo-b" → table connector.t_scenario_metier_workorders_b, emits decision.metier-urgent-wo-a

$ lm process apply -f /var/folders/18/2psk9q652gsflqx5mvzr3nsh0000gn/T//lumnik-metier.Nq2ZHm/51-large-invoice.yaml
Applied process "scenario-metier-large-invoice-b" → table connector.t_scenario_metier_invoices_b, emits decision.metier-large-invoice-a

$ lm connector run scenario-metier-workorders-b
run scheduled: f21d7c9b-d2d0-4ef7-9994-72c52cfe8995

$ lm run get f21d7c9b-d2d0-4ef7-9994-72c52cfe8995 --wait-evaluated --timeout 2m
ID        CONNECTOR                     ENDPOINT  STATUS     IN  OUT  SKIPPED  DEAD-LETTERS  STARTED           ENDED             EVALUATED
f21d7c9b  scenario-metier-workorders-b  default   Completed  3   3    0        0             2026-11-03 19:29  2026-11-03 19:29  yes
• 1 file(s) unchanged since they were last read — not read again

$ lm connector run scenario-metier-invoices-b
run scheduled: f74f0451-83b2-4b08-b520-a80e67cca07f

$ lm run get f74f0451-83b2-4b08-b520-a80e67cca07f --wait-evaluated --timeout 2m
ID        CONNECTOR                   ENDPOINT  STATUS     IN  OUT  SKIPPED  DEAD-LETTERS  STARTED           ENDED             EVALUATED
f74f0451  scenario-metier-invoices-b  default   Completed  3   3    0        0             2026-11-03 19:29  2026-11-03 19:29  yes
• 1 file(s) unchanged since they were last read — not read again

$ lm --context maintenance app list
NAME                    TITLE        SCOPE        ICON     ACCENT   BACKGROUND  DEFAULT  TABS
scenario-maintenance-b  Maintenance  maintenance  generic  #8b7ff0  #14121f              (all)

$ lm --context maintenance view list
NAME                          SCOPE        TITLE
scenario-metier-workorders-b  maintenance  Ordres de travail

$ lm --context maintenance view scenario-metier-workorders-b
Ordres de travail

Ordre   Équipement             Priorité  Statut
WO-000  calibration            LOW       CLOSED
WO-101  Convoyeur ligne 2      URGENT    OPEN
WO-102  Compresseur atelier B  NORMAL    OPEN
WO-103  Four de cuisson        LOW       CLOSED

$ lm --context maintenance view scenario-metier-invoices-b
Error: access refused (403): scope not granted

$ lm --context maintenance entity get ScenarioWorkOrderB -o json
[
  {
    "wo_id": "WO-000",
    "asset": "calibration",
    "priority": "LOW",
    "status": "CLOSED",
    "_conflicts": "{}"
  },
  {
    "wo_id": "WO-101",
    "asset": "Convoyeur ligne 2",
    "priority": "URGENT",
    "status": "OPEN",
    "_conflicts": "{}"
  },
  {
    "wo_id": "WO-102",
    "asset": "Compresseur atelier B",
    "priority": "NORMAL",
    "status": "OPEN",
    "_conflicts": "{}"
  },
  {
    "wo_id": "WO-103",
    "asset": "Four de cuisson",
    "priority": "LOW",
    "status": "CLOSED",
    "_conflicts": "{}"
  }
]

$ lm --context maintenance entity get ScenarioSupplierInvoiceB
Error: access refused (403): scope not granted

$ lm --context maintenance inbox --process scenario-metier-urgent-wo-b
ID   WHEN      PROCESS                      MESSAGE                                        ENTITY_KEY
248  just now  scenario-metier-urgent-wo-b  Urgent work order WO-101 on Convoyeur ligne 2  a61f7e7532807c18c48f0cc3126fe9e6ccdc6def4aa35b3723ec3b1dc2f953b6

$ lm --context maintenance inbox ack 255
Error: API error 404: no decision 255 in your inbox

Limites

Le métier est un rôle Keycloak scope:<tag>; un utilisateur sans aucun rôle scope: voit tout le tenant.
Une entité inconnue répond 404, celle d'un autre métier 403: les noms se distinguent, jamais les lignes.
Le scénario passe par lm; la PWA lit les mêmes portes.
Données synthétiques.

Maintenance · achats

Dans l'ERP, chacun voit tout.

Le technicien voit les factures fournisseurs.

La maintenance et les achats partagent la même base.

Entreprise fictive · données synthétiques

Le problème

Ouvrir les données, c'est ouvrir à tous.

Un écran par métier ne suffit pas.
Une requête directe passe à côté de l'écran.
Un id connu ouvre la décision d'un autre.

Rien n'est modifié

L'ERP et Keycloak restent en place.

Le métier est un rôle Keycloak.
lumnik le lit, il ne le gère pas.
Aucune application à développer.

Ce qu'il a fallu écrire

spec:
  title: Maintenance
  scope: maintenance

Chaque manifeste porte son scope.

Le scénario complet tient en 10 fichiers de déclaration, 126 lignes.

Ce que voit le technicien

Une app, une vue, quatre ordres.

L'app Maintenance seule.
Les quatre ordres de travail.
La décision de l'ordre urgent.

Ce qu'il ne voit pas

Chaque porte des achats refuse.

lm --context maintenance

access refused (403): scope not granted

Réponse réelle, rejeu du 3 novembre 2026, OIDC Keycloak.

La limite

Sans rôle scope, on voit tout le tenant.

Le métier se pose dans Keycloak.
Un nom d'entité inconnu répond 404, un autre métier 403.
Les noms se distinguent, jamais les lignes.

Essayer

Le scénario se rejoue de bout en bout.

Deux métiers, un hub, un vrai Keycloak: chaque étape est publiée avec sa sortie.

Ce scénario tourne sur lumnik Open, gratuit et open source.

Essayer lumnik Open →