Настройка профиля доступа к данным

Общие правила для безопасности доступа к данным

Безопасность доступа к данным основана на следующих правилах:

• По умолчанию только системный администратор имеет доступ к элементам. Доступ к элементам должен быть явно предоставлен.

• Доступ к данным может быть присвоен пользователю индивидуально или через состав группы.

• Права доступа к данным передаются вниз по иерархии от родительского до дочернего элемента.

• При возникновении конфликта применяется наименее ограничивающий профиль доступа к данным.

• В случае конфликта между индивидуальным и групповым доступом к данным применяется наименее запрещающая настройка.

Создание профилей доступа к данным

1. Перейдите на страницу Администрирование и в разделе Безопасность выберите Профиль доступа к данным.

2. На появившемся экране выберите Создать.

3. Введите идентификатор и описание нового профиля доступа к данным.

4. Выберите требуемую модель из списка.

5. Для каждого релевантного полномочиям измерения выберите требуемые элементы и установите их права доступа.

6. Перейдите на вкладку Пользователи или Группы для присвоения нового профиля доступа к данным пользователям, которые присвоены текущей среде, или группам, которые имеют соответствующих присвоенных пользователей.

Определение доступа для элементов с дочерними элементами

При определении доступа к защищенному измерению, имеющему один или несколько определенных иерархий, безопасность применяется к элементу и ко всем его дочерним элементам. Например, при предоставлении доступа к элементу, имеющему 10 дочерних элементов, пользователи с доступом к родительскому элементу также обладают доступом к 10 дочерним элементам.

Можно указать ограничения для дочернего элемента родительского элемента, имеющего доступ "Только чтение" или "Запись", создав отдельный профиль доступа к данным и присвоив дочернему элементу доступ "Запрещено". Кроме того, можно использовать тот же профиль доступа к данным, что и родительский элемент, но создать новый параметр для дочернего элемента.

Разрешение конфликтов профилей доступа к данным

Так как доступ к элементу можно определить по отдельным пользователям и по группам, могут возникнуть конфликты. В следующих разделах описаны некоторые потенциальные сценарии конфликтов доступа к элементу и правила, применяемые системой для разрешения этих конфликтов. Эти сценарии основаны на допущении, что измерение "Сущность" является защищенным измерением и имеет следующую иерархическую структуру:

Конфликт между профилями

При возникновении конфликта между профилями доступа к данным применяется всегда наименее ограничивающий профиль. В этом разделе описываются три различных сценария с конфликтами между профилями.

Конфликт между родительскими и дочерними элементами

Полномочия всегда распределяются вниз по иерархии от родительского до дочернего элемента. Дочерние элементы всегда имеют уровень доступа как у родительских элементов, если не указано иное.

Конфликт, возникающий, если один элемент принадлежит различным иерархиям

Если элемент принадлежит различным иерархиям, и это вызывает конфликт в определении доступа к элементу, применяется наиболее ограничивающее правило доступа.

Профили доступа к данным на основе атрибутов

При создании профиля доступа к данным можно присваивать различные уровни доступа на основе свойств. Примеры, описанные ниже, основаны на следующей иерархии:

Пример – один профиль доступа к данным

Профиль доступа к данным DAP1 определяется следующим образом:

При наличии противоречивых правил в профиле доступа к данным приоритет устанавливается следующим образом (от высокого до низкого):

1. Определенный непосредственно для элемента доступ (будь то базовый элемент или родительский элемент).

2. Доступ, определенный с помощью атрибута (не распространяется на дочерние элементы).

   Пример

   Если определенными атрибутами являются Currency=Euro: Read и Country=France: Write, тогда Entity102 становится доступной для записи.

3. Доступ, полученный со стороны родительского элемента.

4. Доступ, определенный для “Всех элементов” (как будто определенный для виртуального родительского элемента на вершине иерархии).

Результат показан в таблице ниже:

Пример – два профиля доступа к данным

Профиль доступа к данным DAP2 определяется следующим образом:

Результат этого профиля доступа к данным представлен в таблице ниже:

Если пользователю или группе присвоено несколько профилей доступа к данным, применяется комбинация наименее ограничивающих правил всех профилей. Поэтому если DAP1 и DAP2 присвоены пользователю, он будет иметь следующие разрешения: