Роли и права доступа

Что определяет, сможете ли вы видеть экран, и две вещи, которые роль не может изменить.

Доступ осуществляется по ролям. Роль представляет собой набор разрешений для модулей и действий, присваиваемых каждой компании — у каждой компании свой набор ролей и свой администратор, и роль может быть назначена только пользователю внутри своей компании.

Что на самом деле означает разрешение?

• Навигация. Модуль, до которого вы не можете добраться, не имеет вкладок; экран, до которого вы не можете добраться, не имеет плитки и результатов поиска.
• API. Каждая конечная точка проверяется, поэтому шлюз обрабатывает тот маршрут, по которому поступил запрос — консоль, импорт, запланированное задание или ASK.
• Создание отчетов. Каждый куб проверяется при каждом запросе, поэтому отчет не является лазейкой для доступа к данным, которые защищены экранами.

Две вещи, которые роль вам не позволит сделать.

• Разделение обязанностей. Если платформа требует участия двух человек — например, для расчета заработной платы и ее утверждения — то совмещение обеих ролей не позволяет одному человеку выполнять обе задачи одновременно.
• Журнал аудита. Вход и выход из системы, а также изменения ролей всегда записываются и не могут быть отключены никем, включая администратора.

Каждый экран можно поставить на рулон.

Роль, не предназначенная для выполнения всех действий, видит только те экраны, которые ей предоставлены. Доступ к каждому экрану в консоли может быть предоставлен, включая доски, рабочие среды и отчеты, не имеющие собственных записей — доска OEE, рабочая среда MRP, конвейер закупок, все аналитические отчеты. Для них единственное доступное разрешение — это отображение, поэтому остальные три не предоставляются. Экраны, которые может открывать только администратор (пользователи, роли, настройки среды выполнения и тому подобное), не отображаются в таблице, поскольку предоставление доступа к ним ничего не даст.

У каждого модуля также есть экран «Панель управления» — на главной странице модуля отображаются показатели, оповещения и недавняя активность. Установите флажок «Показывать» для ограниченной роли, которая должна видеть эти данные; роль, которая позволяет выполнять все действия в модуле, уже их видит.

Строки в документе являются его частью. Предоставление доступа к ответам в разделе «Цепочка поставок → Стратегические закупки» позволяет добавлять или редактировать строки ответа вместе с ответом: отдельного разрешения на поиск «Строек ответов» нет, а добавление или редактирование строки осуществляется путем изменения заголовка.

Что позволяет делать каждое разрешение человеку

Каждая кнопка, изменяющая что-либо, отвечает разрешению, указанному на соответствующем экране. Создание записи — это добавление. Любое действие с существующей записью — утверждение, публикация, получение, выпуск, отправка, отмена, аннулирование, редактирование строк — это изменение. Удаление записи — это удаление. Чтение, запуск отчета или предварительный просмотр — это отображение. Роль, которой предоставлено только право отображения заказов на покупку, может видеть заказ, но не может утверждать, получать или добавлять к нему строки; роль с правом изменения может.

Редактор ролей указывает это в каждой строке экрана: «Изменить также: получать, отправлять на утверждение, редактировать строки». Для каждого запрашиваемого разрешения есть поле для галочки. Утверждения, направляемые конкретному лицу или роли, принимаются только этим лицом или ролью, и правило утверждения нельзя сохранить, если оно направляется к роли, которая не смогла открыть запрос на утверждение.

То же самое относится и к другим функциям вне модулей: прикрепление или удаление документа, значения пользовательских полей, классификации, подключенный диск, импорт электронных таблиц, а также отмена или аннулирование счета-фактуры или заказа — все это требует подтверждения наличия разрешения на экране, к которому относится запись.

Найти одного пользователя среди сотен

В разделе «Платформа → Доступ → Пользователи» используются те же параметры поиска и условия, что и в любом другом списке: введите часть имени, адрес электронной почты или должность, или добавьте условие (статус отключен, в разделе «Должности» содержится «Финансы»). Новая учетная запись пользователя, чей адрес электронной почты уже занят, будет отклонена в форме «Новый пользователь», где вы вводите данные, а не в списке, расположенном за ней.

Поиск роли

• В разделе «Платформа → Доступ → Роли» есть строка поиска и фильтра, как в любом списке: введите часть имени роли, ее код или описание, или имя модуля, к которому она относится.
• В панели «Пользователи», где для каждого сотрудника отмечена роль, функция «Найти роль» сужает список, если в компании много ролей.
• Игроков, выбирающих роль для ограничения количества подписаний, можно искать аналогичным образом.

Люди, которые зарегистрировались до того, как им была назначена роль.

Если в настройках единого входа создается учетная запись для новых пользователей, то пользователю, вошедшему в корпоративный справочник без учетной записи TRANXACT, присваивается учетная запись, которая ведет только в раздел «Помощь и поддержка». В списке пользователей она помечена как «Создана при первом входе». Откройте учетную запись пользователя, укажите его реальную роль, и она будет применена на следующем экране. См. раздел «Первый вход через корпоративный справочник».

Отчеты не выходят за рамки модулей.

Отчет, который одновременно использует данные из нескольких модулей, отвечает только тем, чьи роли действительно связаны с этими модулями. Роль, которая открывает только раздел «Справка и поддержка» или только панель управления модуля, не видит ни одного из них.

Новый экран предоставляется так же, как и любой другой.

В разделе «Управление цепочкой поставок» отдельно предоставляются следующие функции: подсчет основных средств (добавляется в раздел «Управление основными средствами»), печать этикеток (добавляется в раздел «Этикетки основных средств») и поиск документа о поступлении материала (добавляется в раздел «Поиск документов»). Для выполнения своих задач складские работники и бухгалтер по основным средствам получают необходимые им функции.

CRM → Контакты потенциальных клиентов (Lead Contacts) — это персональные контакты каждого потенциального клиента, и эти функции доступны на любом другом экране отдельно: «Добавить» — для создания или импорта контактов, «Изменить» — для редактирования, «Просмотреть» — для просмотра, «Удалить» — для удаления. Роль, управляющая потенциальными клиентами, обычно требует наличия как профиля «Потенциальные клиенты», так и профиля «Контакты потенциальных клиентов».

Каждый экран, добавленный в релиз, может быть назначен определенной роли в разделе «Платформа» → «Роли» с теми же четырьмя разрешениями, что и остальные: добавление, изменение, отображение и удаление. Сертификаты, политики хранения, запуски хранения и архивные записи — это последние новинки. Никто не получает к ним доступ, пока это не будет разрешено ролью, за исключением администратора.

В панели управления миграцией и в разделе «Готовность к миграции» также можно назначать роли. В панели управления добавление означает загрузку выписки, удаление — отмену выписки или сброс перехода, а любое другое действие — изменение. Роли «Руководитель миграции» и «Рецензент запуска» готовы к назначению. См. «Переход с другой системы» → «Кто что может делать».

На некоторых экранах разрешение означает больше, чем предполагает его название, поскольку действие, стоящее за ним, нельзя отменить. В политиках хранения данных запуск очистки или включение политики очистки должно означать удаление, а не изменение — очистка удаляет записи, и разрешение, которое удаляет записи по одной, должно быть тем, которое удаляет их тысячами. См. раздел «Сохранение и удаление старых данных».

Действия, добавленные в конце сентября, предоставляются так же, как и остальные, на соответствующем экране:

Вход под чужим именем

Администратор, расследующий проблему, может принять личность другого пользователя, чтобы увидеть то, что видит он. Для этого требуется два подтверждения, доступ к данным предоставляется только для чтения, если явно не расширен, каждый вызов, совершенный с использованием этой учетной записи, регистрируется как совершенный с использованием вымышленной учетной записи, и лицо, чья это учетная запись, может видеть, что это произошло.

Since 20 October new shipped roles include Security administrator, Security & AI Governance Admin, Records & Legal Admin, Governance Auditor (read only), Benefits Administrator, GL Interface Administrator, Payroll Auditor (read only), Learning & Development Administrator, HR Auditor, HR Recruiter and EEO Officer. HR Auditor reads the HR screens — people, recruiting, time and leave, learning, skills, performance, benefits, expenses and records — but not payroll; Payroll Auditor reads payroll (runs, payslips, pay rates, tax, garnishments, the GL interface and parallel payroll). A company that wants both gives a person both roles. See HRIS/HCM capability map.