Gestion des permissions sur openstack (ie acces keystone)

Bonjour,
Je n'arrive pas a trouver de documentation quant à la gestion des permissions fines (plus fine que les roles predefinis)
ex : "ObjectStore operator" a un acces complet à l'object store du projet, j'aimerais créer un role read-only pour l'object store avec en plus d'autres acces bien specifiques pour ce qui est "compute") et y assigner un user specifique.
J'ai regardé rapidement la doc keystone et cela semble possible... mais je me prends des 403 dès que je tente de le manipuler...
Quelqu'un peut-il m'orienter vers de la doc sur la marche a suivre ?
Merci d'avance
Matthieu