Роли и права

Права определяют, что каждый сотрудник может видеть и делать. Они собраны в роли; сотрудники получают роли через участие в группах.

Модель прав

Каждое право сочетает две оси:

Действия

Действие Что даёт

Чтение (Read)

Просмотр записей

Обновление (Update)

Изменение записей (включает чтение)

Удаление (Delete)

Удаление записей (включает обновление)

Переопределение (Override)

Обход стандартных ограничений потока — например, нестандартных переходов статуса предложения

Запуск (Launch)

Запуск операций, прежде всего инстансов бизнес-процессов; права на запуск выдаются отдельно для каждого процесса

Создание (Create)

Добавление новых записей

Экспорт (Export)

Выгрузка записей сущности в файл, например сделок или журнала входов; включает чтение

Действия образуют иерархию: удаление включает обновление, а обновление включает чтение.

Области

Область Даёт доступ к

Свои (Own)

Записям, автором или ответственным за которые является сотрудник

Группа (Group)

Записям, открытым определённой группе сотрудников

Все (Any)

Всем записям организации

Области тоже образуют иерархию: «все» (Any) включает «группу» (Group), а «группа» включает «свои» (Own).

Не у каждой записи есть все области. У персональных токенов доступа, паролей приложений и OAuth-приложений есть области «свои» и «все», но нет области «группа», а у потребителей LDAP и журнала входов есть только область «все». Они перечислены в разделе права на вход и учётные данные ниже.

Матрица

Роль — это набор записей прав. Каждая запись указывает защищаемую сущность (то, что защищается), действие и область.

Защищаемые сущности — это сделки, предложения, конструкции, документы, процессы, настройки и ещё несколько десятков. Пользовательские типы сущностей и группы полей, заданные через систему сущностей, тоже отображаются как защищаемые сущности. Каждая защищаемая сущность получает права отдельно: право на родительскую сущность не распространяется на её дочерние сущности.

При создании роли у неё нет ни одного права, и вы отмечаете флажки в матрице прав, чтобы дать доступ. Матрица находится на вкладке Роли раздела Сотрудники. В каждой строке записи указаны действие и область, например Просмотр (свои), Редактирование (все) или Создание (все): матрица пишет чтение (Read) как Просмотр, обновление (Update) как Редактирование, а область «все» (Any) как все.

Роли администратора

Роль можно отметить как роль администратора. Держатель роли администратора получает широкие административные права в организации, а модель прав по-прежнему применяется к каждому из них.

Флаг роли администратора отличается от флага главного администратора в учётной записи сотрудника. Главный администратор полностью обходит все проверки прав. Обход не распространяется на лицензию. Функция, которой нет у вашей организации, недоступна всем, включая главного администратора, а её экраны показывают «Этот раздел недоступен на вашем текущем тарифе. Свяжитесь с CityScreen для обновления.» Три вида администраторов описаны в разделе сотрудники.

Как права накапливаются

Сотрудник состоит в одной или нескольких группах. У каждой группы может быть одна или несколько ролей. Действующие права сотрудника — это объединение всех прав из всех ролей во всех группах, в которых он состоит.

Если право даёт хотя бы одна группа, оно есть у сотрудника, и никакая другая группа не может его отнять.

Права на уровне полей

Внутри сущности видимость отдельных полей можно ограничить для каждой группы сотрудников. Это значит, что группа может видеть документ, не видя отдельных колонок — например, поля с маржой.

Права на уровне полей настраиваются в типе сущности через права на поля.

Права на контрагентов

Права на контрагентов выдаются для каждого типа контрагента. Сотрудник, который может читать один тип контрагентов, может не иметь права читать другой.

См. контрагенты.

Права на вход и учётные данные

У входа, учётных данных и LDAP-справочника есть собственные записи в матрице прав.

Запись Области Действия Что она контролирует

Персональные токены доступа

Свои, Все

Создание, Просмотр, Редактирование, Удаление

Токены, которые вызывают API с доступом самого сотрудника. С областью «свои» сотрудник управляет токенами своей учётной записи на вкладке Токены доступа раздела Аккаунт.

Пароли приложений

Свои, Все

Создание, Просмотр, Редактирование, Удаление

Пароли для почтовых клиентов и других программ, которые входят по LDAP. С областью «свои» сотрудник управляет своими паролями на вкладке Пароли приложений раздела Аккаунт.

Потребители LDAP

Все

Создание, Просмотр, Редактирование, Удаление

Учётные записи, с которыми другие системы читают LDAP-справочник, — на вкладке LDAP-потребители раздела Сотрудники.

OAuth-приложения

Свои, Все

Создание, Просмотр, Редактирование, Удаление и Смена ключа подписи (только область «все»)

Приложения, которые подключаются через OAuth и OpenID Connect, — на вкладке OAuth-приложения раздела Сотрудники. Смена ключа подписи заменяет ключ, которым подписываются токены OpenID Connect.

Журнал входов

Все

Просмотр, Экспорт

Вкладка Журнал входов раздела Сотрудники и вкладка История входов в записи сотрудника. Любое из двух действий открывает их.

Область «все» для персональных токенов доступа и паролей приложений охватывает токены и пароли приложений каждого сотрудника. Токены доступа и пароли приложений других сотрудников доступны через REST API.

Персональные токены доступа, пароли приложений, потребители LDAP и OAuth-приложения — это четыре отдельно лицензируемые функции. На страницах этих функций сказано одними и теми же словами: «Эта функция лицензируется. Если лицензия вашей организации её не включает, обратитесь в CityScreen.» Журнал входов входит в каждую организацию и лицензии не требует.

Право на журнал входов не выдано ни одной роли, пока его не выдаст администратор. Администратор выдаёт право Журнал входов ролям тех, кто проверяет входы, как описано в разделе Журнал входов.

У записи Сотрудники есть ещё четыре действия. Они выдаются для группы сотрудников или для всех сотрудников и не требуют лицензии:

Право Что разрешает

Сброс пароля (группа), Сброс пароля (все)

Отправку другому сотруднику ссылки для сброса пароля. См. Сотрудники.

Сброс двухэтапной проверки (группа), Сброс двухэтапной проверки (все)

Просмотр того, использует ли другой сотрудник двухэтапную проверку, и удаление его приложения-аутентификатора и резервных кодов. См. Двухэтапная проверка.

Выбор способов двухэтапной проверки (группа), Выбор способов двухэтапной проверки (все)

Выбор способов проверки для другого сотрудника: коды из письма, приложение-аутентификатор или оба.

Завершение сессий (группа), Завершение сессий (все)

Просмотр и завершение сессий другого сотрудника.

Свой пароль, двухэтапную проверку и сессии сотрудники настраивают на странице Аккаунт без этих прав.

Прежде чем выдать любое из этих прав по чьей-то просьбе, убедитесь, что знаете, кто просит.

Видимость меню

Разделы меню появляются, только если у сотрудника есть право на чтение соответствующей защищаемой сущности. Два сотрудника с разными ролями видят разные меню и разные списки записей.

Некоторые вкладки личной страницы Аккаунт подчиняются другим правилам. Профиль и Сессии открыты каждому сотруднику, а для Сессий лицензия не нужна. Для Авторизаций нужна лицензия на OAuth-приложения, а права не нужно. Для Токенов доступа и Паролей приложений нужны право на просмотр соответствующей записи и лицензия.

Связанные страницы