Uprawnienia

Wprowadzenie

W artykule opisana została funkcjonalność uprawnień i uwierzytelniania:

Uprawnienia są używane w systemie ERP do definiowania, które funkcje mogą być otwarte w systemie dla zalogowanego użytkownika i które obiekty mogą być edytowane za pomocą tych funkcji. Uprawnienia można konfigurować indywidualnie dla użytkowników. Uprawnień można używać do kontrolowania korzystania z aplikacji, raportów, jednostek biznesowych i Knowlegde Store. Uprawnień elementów interfejsu można używać do ograniczania dostępu do elementów interfejsu graficznego.

Uwierzytelnianie weryfikuje tożsamość użytkownika podczas logowania do systemu. Weryfikacja jest przeprowadzana przez serwer aplikacji SAS.

Grupa docelowa

• Administratorzy
• Konsultanci techniczni

Uwierzytelnianie

Aby użytkownik mógł się uwierzytelnić w systemie, wymagane jest użycie certyfikatu lub podanie nazwy użytkownika i hasła. Serwer aplikacyjny systemu uwierzytelnia się wobec klienta za pomocą certyfikatu serwera. Jeśli stosowane są certyfikaty, publiczna część certyfikatu jest przechowywana w konfiguracji systemu. W przypadku użycia haseł, w konfiguracji systemu zapisywany jest skrót nazwy użytkownika i hasła. W wyniku procesu uwierzytelnienia następuje powiązanie użytkownika zarejestrowanego w systemie z użytkownikiem logującym się do systemu. Dane użytkowników oraz grup użytkowników przechowywane są bazie konfiguracyjnej. Użytkownicy i grupy użytkowników są definiowani w aplikacji Panel System i zapisywani w bazie konfiguracyjnej. Dane z tej bazy są dostępne dla wszystkich podłączonych systemów. Użytkownicy mogą być przypisani do dowolnej liczby grup użytkowników. Grupy użytkowników umożliwiają zorganizowanie użytkowników w sposób przekrojowy dla całego systemu. Mogą być one wykorzystywane w dowolnym systemie podczas definiowania ról uprawnień.

Baza konfiguracyjna zawiera specjalnego użytkownika o nazwie ADMINISTRATOR oraz wyróżnioną grupę użytkowników ADMINISTRATORZY. Użytkownik ADMINISTRATOR oraz wszyscy członkowie grupy ADMINISTRATORS posiadają pełne prawa we wszystkich systemach, do których są przypisani, niezależnie od lokalnie zdefiniowanych uprawnień. Użytkownik ADMINISTRATOR oraz grupa ADMINISTRATORS nie mogą zostać usunięci z systemu. Użytkownikowi ADMINISTRATOR można jednak przypisać nowy certyfikat. Baza konfiguracyjna systemu zawiera również użytkownika o nazwie DEMOUSER oraz grupę użytkowników DEMOUSERS.

Uprawnienia

Za pomocą uprawnień określa się, którzy użytkownicy mogą uruchamiać które funkcje w systemie. Można indywidualnie skonfigurować, które funkcje są dozwolone, a które – niedozwolone.

W rozdziale System uprawnień opisano system zarządzania uprawnieniami, stosowany w odniesieniu do aplikacji, raportów, filtrów, Business Entities, repozytorium wiedzy (Knowledge Store) oraz innych obiektów. Uprawnienia dotyczące elementów interfejsu użytkownika zostały szczegółowo opisane w rozdziale Uprawnienia do elementów interfejsu użytkownika.

System uprawnień

Poniższe rozdziały opisują składowe uprawnień i jej powiązanie z użytkownikiem.

Obiekty uprawnień

Obiekty uprawnień to te obiekty, do których można przypisać uprawnienia. Obiekty uprawnień obejmują:

• Aplikacje
• Raporty
• Filtry
• Business Entities
• Instancje Business Entities
• Foldery Konwledge Store
• Pliki Konwledge Store
• Kategorie ochrony danych
• Dodatkowe obiekty

Dodatkowo można również zdefiniować uprawnienia dla grup obiektów. Grupy obiektów to:

• Framework
• Business Entity Group

Obiekty te również należą do obiektów uprawnień, jednak wpływają one tylko na obiekty zawarte w grupie.

Aplikacje

Uprawnienia aplikacyjne nie mają żadnego wpływu na uprawnienia do jednostek biznesowych (Business Entities). Aby móc pracować z aplikacjami, wymagane są dodatkowe uprawnienia do jednostki biznesowej, która jest głównym obszarem działania danej aplikacji. Uprawnienia do aplikacji są przypisywane do roli uprawnień bez powiązania z konkretną bazą danych. Oznacza to, że obowiązują one we wszystkich bazach danych, do których przypisany jest użytkownik lub grupa użytkowników powiązana z daną rolą uprawnień.

Raporty

Uprawnienia dotyczące raportów odnoszą się wyłącznie do wykonywania raportów. Uprawnienia jednostek biznesowych nie są uwzględniane.
Uprawnienia do raportów są przypisywane do roli uprawnień bez ograniczenia do bazy danych. Oznacza to, że obowiązują one we wszystkich bazach danych, do których przypisany jest użytkownik lub grupa użytkowników powiązana z daną rolą uprawnień.

Filtry

Aby wyeksportować lub zaimportować dane, potrzebny jest filtr, który można zdefiniować w aplikacjach Import danych i Eksport danych. Za pomocą filtra można określić, które dane powinny zostać wyeksportowane lub zaimportowane.

Można zezwolić lub zablokować użycie filtra za pomocą ról uprawnień z opcją Zastosuj filtr. Podczas przypisywania tego uprawnienia należy również wziąć pod uwagę i w razie potrzeby zdefiniować następujące uprawnienia do:

• otwierania lub zmiany jednostki biznesowej, która ma być importowana lub eksportowana – dane z instancji Business Entity mogą być eksportowane lub importowane tylko wtedy, gdy użytkownik posiada odpowiednie uprawnienia do otwierania lub zmiany dla danego Business Entity (jednostki biznesowej).
• tworzenia nowych filtrów,do otwierania lub zmiany istniejących filtrów – uprawnienia te są przyznawane dla jednostki biznesowej: Filter (cisag.sys.tools.bi.obj.FilterDefinition), aby istniała możliwość wykonania importu lub eksportu.

Uprawnienia do korzystania z dowolnych lub poszczególnych filtrów

Połączone uprawnienia dla jednostki biznesowej i jednostki biznesowej Filtr dla pojedynczego filtra użytkownika, który ma prawo do zmiany co najmniej jednego filtra dla eksportu danych, może automatycznie eksportować wszystkie jednostki biznesowe, dla których ma uprawnienia do otwarcia. Uprawnienia dla jednostki biznesowej pozwalają również na eksport danych zbiorczych. Można temu zapobiec np. ustawiając dla danego użytkownika, iż nie może on ani tworzyć, ani modyfikować obiektu jednostki biznesowej Filtr.

Należy zwrócić uwagę na następujące przypisania i możliwości uprawnień:

• uprawnienia do korzystania z dowolnego filtra – za pomocą funkcji Zastosuj filtr można udzielić Uprawnienia do korzystania z dowolnego filtra. Prawo to definiuje się w aplikacji Role uprawnień -> zakładka Aplikacje i raporty -> podzakładka Obszary dla opcji Zarządzanie systemem z akcją Pozostałe.
• uprawnienia do korzystania z poszczególnych filtrów – proszę użyć uprawnienia Zastosuj filtr, aby udzielić uprawnienia do korzystania z indywidualnego filtra w aplikacji Import danych lub Eksport danych. Prawo to definiuje się w aplikacji Role uprawnień -> zakładka Aplikacje i raporty -> podzakładka Filtr dla filtra z akcją Zastosuj filtr.

Business Entities 

Aby móc pracować z aplikacjami, potrzebne są uprawnienia jednostki biznesowej.
Określają one działania, które są możliwe dla jednostki biznesowej.

Pliki i foldery Knowledge Store

Ponieważ podczas dostępu do Knowledge Store przez WebDAV nie następuje logowanie do bazy danych OLTP, przypisanie użytkownika lub grupy użytkowników do roli uprawnień musi być zarejestrowane bez wskazania bazy OLTP.

Z tego względu zasadne może być utworzenie specjalnej roli uprawnień przeznaczonej wyłącznie do zarządzania dostępem do folderów i plików w Knowledge Store.

Kategorie ochrony danych 

Atrybuty obiektów biznesowych można przypisać do kategorii ochrony danych (aplikacja Przyporządkowania kategorii ochrony danych) w celu identyfikacji danych, które powinny zostać objęte ochroną. Uprawnienia dla kategorii ochrony danych odnoszą się do atrybutów obiektów biznesowych, do których przypisana jest dana kategoria ochrony danych. Uprawnienia określają dostęp użytkownika do danych odpowiadających atrybutom obiektów biznesowych.

Uprawnienia dla kategorii ochrony danych nie mają wpływu na aplikacje do wprowadzania danych podstawowych, aplikacji dotyczących dokumentów lub eksportu danych za pośrednictwem aplikacji typu lista (REST).

Dodatkowe obiekty

Korzystanie z niektórych obiektów może być kontrolowane przez specjalne uprawnienia. Te specjalne obiekty i odpowiadające im możliwości to:

• Menu użytkownika – Użyj menu użytkownika

• Urządzenia wyjściowe – Użyj urządzenia wyjściowego

• Kolejki przetwarzania – Użyj kolejki przetwarzania

Uprawnienia dla Dodatkowych obiektów są specjalnymi uprawnieniami na poziomie instancji jednostki biznesowej. Uprawnienia te można przypisać bezpośrednio tylko na tym poziomie. Oznacza to, że:

• nie jest możliwe przypisywanie uprawnień na poziomach grupowania (capability
  class, business entity group itp.).
• nie można edytować uprawnień dla dodatkowych obiektów za pomocą toolshell.

Poziomy uprawnień

Przyznanie uprawnień na obiekcie grupującym umożliwia nadanie uprawnień do wielu obiektów jednocześnie, ponieważ uprawnienia te mają wpływ na wszystkie obiekty wchodzące w skład danej grupy. Celem stosowania poziomów uprawnień jest zminimalizowanie nakładu pracy związanego z określaniem uprawnień dla dużych zbiorów obiektów. Na przykład, jeśli zostaną zdefiniowane uprawnienia aplikacyjne dla danego obszaru, będą one obowiązywać dla wszystkich aplikacji należących do niego. 

W zależności od liczby obiektów, na których dane uprawnienie ma zastosowanie, rozróżnia się kilka poziomów uprawnień. Dla każdego typu obiektu przedstawiono poniżej dostępne poziomy uprawnień, zaczynając od najwyższego poziomu.

Dla aplikacji dostępne są następujące poziomy uprawnień:

• Wszystkie obszary – uprawnienia obowiązują dla wszystkich aplikacji, niezależnie od obszaru.

• Obszar – uprawnienia obowiązują dla wszystkich aplikacji w ramach danego obszaru.

• Aplikacja – uprawnienia obowiązują dla jednej konkretnej aplikacji.

Dla raportów dostępne są następujące poziomy uprawnień:

• Wszystkie obszary – uprawnienia obowiązują dla wszystkich raportów, niezależnie od obszaru.

• Obszar – uprawnienia obowiązują dla wszystkich raportów w ramach danego obszaru.

• Raport – uprawnienia obowiązują dla jednego konkretnego raportu.

Dla jednostek biznesowych dostępne są następujące poziomy uprawnień:

• Wszystkie grupy jednostek biznesowych – uprawnienia obowiązują dla wszystkich jednostek biznesowych w danej bazie danych.

• Grupa jednostek biznesowych – uprawnienia obowiązują dla wszystkich jednostek biznesowych w ramach jednej grupy w bazie danych.

• Jednostka biznesowa – uprawnienia obowiązują dla jednej jednostki biznesowej w bazie danych.

• Instancja jednostki biznesowej – uprawnienia obowiązują dla konkretnej instancji jednostki biznesowej.

Dla repozytorium wiedzy (Knowledge Store) dostępne są następujące poziomy uprawnień:

• Folder – uprawnienia obowiązują dla folderu, jego podfolderów oraz wszystkich znajdujących się w nich plików. Może to być również folder główny przestrzeni roboczej.

• Plik – uprawnienia obowiązują dla konkretnego pliku w repozytorium Knowledge Store.

Dla filtrów, kategorii ochrony danych oraz opcji dodatkowe obiekty nie obowiązują dodatkowe poziomy uprawnień.

Uprawnienia zdefiniowane na wyższym poziomie obowiązują domyślnie dla wszystkich obiektów na niższych poziomach. Jednak uprawnienia zdefiniowane na niższym poziomie mają pierwszeństwo przed uprawnieniami z wyższego poziomu. Szczegółowe zasady dotyczące pierwszeństwa opisano w rozdziale Reguły priorytetu.

Prawo dostępu

Prawo dostępu opisuje funkcję, która może zostać wykonana na obiekcie uprawnień. Uprawnienia nadawane są nie tylko dla samego obiektu uprawnień, lecz również z określeniem konkretnej akcji. Umożliwia to przyznawanie uprawnień jedynie do wybranych akcji danego obiektu.

Opis praw dostępu

Dla aplikacji dostępne są następujące prawa dostępu:

Ponadto istnieją specjalne prawa dostępu odnoszące się do funkcji w określonych aplikacjach. Prawa dostępu te zostały szczegółowo opisane w rozdziale Specjalne prawa dostępu.

Dla raportów dostępne są następujące prawa dostępu:

Dla filtrów dostępne jest następujące prawo dostępu:

Dla jednostek biznesowych (Business Entity) dostępne są następujące umiejętności:

Dla Knowledge Store dostępne są następujące umiejętności:

Dla kategorii ochrony danych dostępne są następujące umiejętności:

Dla dodatkowych obiektów dostępne są następujące umiejętności:

Specjalne prawa dostępu

Dla poszczególnych obszarów i aplikacji dostępne są specjalne prawa dostępu, które odnoszą się wyłącznie do danego obszaru lub danej aplikacji, np. prawo dostępu Wyświetl ustawienia innych użytkowników (dostępne po wybraniu opcji Pozostałe na zakładce Aplikacje i raporty -> podzakładka Obszary -> akcja Pozostałe) dla obszaru Zarządzanie systemem. Prawa te mogą być wykorzystywane w uprawnieniach w taki sam sposób, jak opisane wcześniej prawa dostępu.
Nie mogą być jednak przypisywane do dowolnych aplikacji. Specjalne prawa dostępu zawsze odnoszą się do konkretnej aplikacji lub obszaru i są dostępne wyłącznie na poziomach uprawnień Obszary lub Aplikacja.

Klasy praw dostępu

Dla ułatwienia przypisywania uprawnień, prawa zostały pogrupowane w klasy. Podczas nadawania uprawnień można wskazać nie tylko konkretne prawo, ale również klasę. Przyznane zostają wtedy wszystkie prawa zawarte w danej klasie.

Dostępne są następujące klasy praw dostępu:

• Standard

• Rozszerzone

• Administracyjna

W poniższej tabeli przedstawiono, które umiejętności dla poszczególnych typów obiektów są zawarte w poszczególnych klasach umiejętności.

Specjalne prawa dostępu dla aplikacji są również uwzględnione w klasach. W przypadku przypisania klasy praw dostępu do uprawnienia, zawarte są w nim również specjalne prawa dostępu.

W klasie praw dostępu Rozszerzone zawarte są także wszystkie prawa dostępu z klasy Standard. Natomiast klasa Administracyjna obejmuje zarówno umiejętności klas Standard , jak i Rozszerzone.

Dla typu obiektu Filtr nie przewidziano klas praw dostępu.

Uprawnienia

Uprawnienie składa się z następujących elementów:

• poziom uprawnień, na którym dokonywane jest przypisanie
• obiekt uprawnień, do którego przypisuje się uprawnienie (niektóre obiekty uprawnień mogą istnieć w różnych bazach danych)
• Prawo dostępu lub klasa praw dostępu
• określenie, czy dane prawo dostępu jest dozwolone czy zabroniona

Na poziomach uprawnień Wszystkie obszary oraz Wszystkie grupy jednostek biznesowych nie określa się konkretnego obiektu uprawnień.

Dla uprawnień jednostek biznesowych na poziomie Instancje jednostki biznesowej dostępne są ustawienia:

• Dziedziczone – obowiązują uprawnienia z wyższych poziomów
• Zabronione – powoduje bezpośrednie zablokowanie danego prawa dla konkretnej instancji jednostki biznesowej.

Nie jest możliwe zablokowanie praw na wyższym poziomie i jednocześnie zezwolenie na nią na poziomie instancji jednostki biznesowej.

Uprawnienia są przypisywane użytkownikom za pomocą ról uprawnień opisanych w kolejnych rozdziałach.

Role uprawnień i przypisanie użytkowników

Uprawnienia zawsze przypisywane są użytkownikom za pośrednictwem roli uprawnień. W tym celu:

• użytkownicy lub grupy użytkowników są przypisywani do danej roli

• w samej roli definiuje się konkretne uprawnienia

Role uprawnień stanowią zatem centralny element systemu uprawnień, umożliwiający przydzielanie dostępu użytkownikom.

Role uprawnień oraz wszystkie związane z nimi uprawnienia przechowywane są w bazie danych repozytorium, dzięki czemu obowiązują globalnie w całym systemie ERP.

Do jednej roli uprawnień można przypisać dowolną liczbę użytkowników lub grup użytkowników. Odwrotnie, jeden użytkownik (lub grupa) może być przypisany do wielu ról uprawnień.

Okres ważności ról uprawnień

Ważność ról uprawnień jest zawsze związana z określonym przedziałem czasu. Dotyczy to:

• całej roli uprawnień

• jak również każdego przypisania użytkownika lub grupy do tej roli

Poza wskazanym okresem ważności przypisane uprawnienia nie mają zastosowania dla danego użytkownika.

Rola uprawnień a baza danych OLTP

Jeśli podczas przypisywania użytkownika lub grupy użytkowników do roli uprawnień wskazana zostanie konkretna baza danych OLTP, to przy logowaniu do systemu ERP użytkownik będzie miał ją do wyboru.

W przypadku przypisania bez wskazania bazy OLTP, możliwe jest również logowanie bez przypisania konkretnej bazy danych (przy użyciu parametru URL oltp=none).

Użytkownik lub grupa użytkowników może być przypisana do tej samej roli wielokrotnie — z różnymi bazami OLTP i różnymi okresami ważności.

Przypisanie użytkownika a baza danych – zasady działania

Należy zwrócić uwagę na dwie kluczowe kwestie:

1. Logowanie do bazy OLTP

• Czy użytkownik  ma prawo logować się do wybranej bazy OLTP – logowanie do tej bazy możliwe jest tylko wtedy, gdy użytkownik należy do roli uprawnień z przypisaną odpowiednią bazą.

2. Obowiązywanie uprawnień z roli

• Czy uprawnienia z danej roli są uwzględniane podczas logowania – w ramach każdej roli można określić, czy przypisane uprawnienia mają obowiązywać dla konkretnej bazy OLTP lub niezależnie od niej.

Wszystkie przypisania uprawnień w ramach danej roli są brane pod uwagę — i stosowane wobec wybranej przy logowaniu bazy OLTP.

Skutki przypisania w zależności od bazy OLTP

Przypisanie z określoną bazą OLTP:

• użytkownik może zalogować się do wskazanej bazy danych OLTP. Logowanie bez przypisania do bazy danych OLTP jest możliwe tylko wtedy, gdy użytkownik posiada przypisanie bez wskazanej bazy OLTP w tej lub innej roli uprawnień
• użytkownik otrzymuje uprawnienia przypisane do danej roli uprawnień tylko wtedy, gdy loguje się do określonej bazy danych OLTP
• rola uprawnień nie jest uwzględniana przy dostępie do Knowledge Store 

Przypisanie bez określenia bazy OLTP:

• użytkownik może zalogować się bez podania bazy danych OLTP. Logowanie z określoną bazą OLTP jest możliwe tylko wtedy, gdy użytkownik posiada przypisanie do tej bazy danych OLTP w tej lub innej roli uprawnień
• uprawnienia przypisane do roli uprawnień obowiązują przy każdym logowaniu użytkownika, niezależnie od wybranej bazy danych OLTP
• rola uprawnień jest uwzględniana podczas dostępu do Knowledge Store
•