Служебные счета

Идентификатор для программного обеспечения — интеграции, запланированного экспорта, службы поддержки — который выполняет функции, аналогичные функциям человека, никогда не входит в консоль и никогда не требует выполнения второго шага.

Двухфакторная аутентификация подходит для каждого пользователя и не подходит для любого скрипта: программа, которая входит в систему с помощью пароля, получает запрос на ввод кода, который она не может ввести. Вместо этого программное обеспечение для управления идентификацией использует служебную учетную запись. Она содержит роли и компании точно так же, как и обычный человек, поэтому к ней применяются все правила предоставления доступа к экранам, ограничения доступа к организационным подразделениям и правила выполнения обязанностей — но у нее нет пароля, который кто-либо знает, форма входа ее отклоняет, и она не может использовать личные или интерактивные части консоли (настройки, персонализация, панель управления, помощник, двухфакторная настройка, системная консоль).

1. Откройте Платформа → Доступ и безопасность → Доступ → Служебные учетные записи (рядом с Пользователями) и выберите «Создать новую служебную учетную запись».
2. Укажите адрес электронной почты, описывающий назначение приложения (nightly-export@service.yourcompany), его название и краткое описание его функций.
3. Отметьте его роли. Назначьте ему самую узкую роль, которая выполняет задачу: роль с отображением только заказов на покупку и ничем другим — это ключ, который может только читать заказы на покупку.
4. При желании можно ограничить его использование адресами (IP-адресом или диапазоном IPv4, например, 203.0.113.0/24), сократить срок действия токена или установить дату истечения срока его действия.
5. Создайте его. Секрет отображается ОДИН РАЗ — скопируйте его в программу, которая будет его использовать. Он хранится только как отпечаток пальца и не может быть считан обратно.

Программа обменивает секретный ключ на токен, срок действия которого составляет несколько минут, и отправляет этот токен при каждом вызове, как любой другой токен носителя:

POST /api/auth/service-token
{ "client_id": "nightly-export@service.yourcompany", "secret": "txs_…" }

→ { "token": "…", "expires_in": 3600, "companies": [ … ] }

GET /api/scm/purchase-orders
Authorization: Bearer <token>
X-Company: <company id>

• Новый секретный токен заменяет старый и немедленно блокирует его действие. Уже выпущенные токены действуют до истечения срока их действия, если вы их не аннулируете.
• Функция Revoke блокирует секретный ключ И прекращает действие каждого активного токена при следующем запросе.
• Функция «Деактивировать» удаляет учетную запись; ее имя остается во всех строках аудита, которые она записала.
• Каждый токен представляет собой сессию: он отображается в разделе Платформа → Доступ → Веб-сессии и пользовательские сессии, и его можно завершить там же, как и у любого другого пользователя.
• Неправильные секретные ключи приводят к той же блокировке, что и неправильный пароль, и каждый обмен данными фиксируется в журнале аудита.
• Человек, который может управлять учетными записями служб, но не является администратором, может назначать им только те роли, которые он сам занимает, и никогда не назначать роль администратора.

Учетная запись службы поддержки

Каждое развертывание содержит одну учетную запись службы, которую создавать не нужно: support-desk@service.tranxact. Она создается самим развертыванием на основе секретного ключа, который устанавливает поставщик при установке, поэтому никому в вашей компании не нужно ничего отправлять для ответа на ваши заявки. Эта учетная запись выполняет роль службы поддержки в каждой компании, которая читает и отвечает на заявки в службу поддержки и их вложения — и не открывает никаких модулей и других экранов. Она указана как «устанавливается развертыванием»; отзыв этой учетной записи — ваше решение, и развертывание не будет его отменять.