Сотрудник из каталога, приглашённый гость, подрядчик, партнёр, коллега из другой организации и бот — это разные классы участников с разными правами, а не один «пользователь» с набором галочек. Класс определяет и то, что участник видит в переписке, и то, куда его пускают в сети.
Кто может быть в разговоре
Классы участников
У каждого класса — свой способ появиться, свой срок жизни и своя политика в сети.
Сотрудник
Появляется из корпоративного каталога при первом входе (OIDC, ADFS). Группы каталога определяют роль и профиль доступа, поэтому увольнение в каталоге закрывает доступ и здесь.
Гость
Приглашает сотрудник, которому это разрешено отдельным правом. Приглашение — ссылка или QR-код. Телефон обязателен: он нужен, чтобы гость восстановил доступ сам — звонком с кодом, а не письмом администратору.
Что гость не получает — и это решение, а не недоделка
Каталог организации. Право видеть каталог — свойство класса, а не следствие участия в чате: «весь каталог», «только свои группы» или «никого». У гостя это не «весь каталог», поэтому список сотрудников через гостя не утекает.
Корпоративные маршруты. Гостевой профиль доступа выпускает в интернет через выбранный узел и не содержит внутренних адресов — не «запрещает», а просто не знает их. Это разные вещи: запрет снимается галочкой, отсутствие маршрута — нет.
Права по факту участия. Приглашение в разговор не добавляет прав нигде, кроме этого разговора: гость в переписке остаётся гостем в сети, в календаре и в каталоге.
Отзыв. Гостя отключают в консоли; сессии и устройства там же видны по именам. Доступ к сети закрывается на следующем цикле обновления политики, а не «когда-нибудь».
Бессрочности. У гостевой записи есть срок: по умолчанию 30 дней, максимум задаёт администратор. В записи навсегда остаётся, кто пригласил, поэтому «ничьих» гостей не бывает — а забытый гость исчезает сам, вместо того чтобы жить в системе годами.
Коллеги из другой организации — не гости
Внешнему человеку не обязательно завести учётную запись у вас, чтобы с ним переписывались. Если у его компании стоит своя установка SimpleTwo, сотрудник пишет ему по адресу вида имя@домен, и обе стороны остаются на своих серверах — это федерация, отдельный механизм со своими правилами доверия. Для всех остальных ответом будет почта.
