数据访问配置文件设置

数据访问安全的一般规则

数据访问安全是基于以下规则：

• 默认情况下，除了系统管理员之外，任何其他人都无法访问成员。必须显式授予成员访问权。

• 可以单独为某位用户分配数据访问权，也可以通过团队成员资格的方式来为用户分配数据访问权。

• 数据访问权在层次结构中向下流动，从父项到子项。

• 如果发生冲突，则应用限制最少的数据访问权配置文件。

• 如果个人数据访问权与团队数据访问权发生冲突，则应用限制最少的设置。

创建数据访问配置文件

1. 转到“管理”页面，然后在“安全”部分下选择“数据访问配置文件”。

2. 在显示的屏幕上，选择“新建”。

3. 输入新数据访问配置文件的名称和说明。

4. 从列表中选择所需模型。

5. 对于每个授权相关维，选择所需的成员并设置访问权限。

6. 转到“用户”或“团队”选项卡，从而将新的数据访问配置文件分配给用户（这些用户已经被分配到当前环境）或团队（已经为团队分配了对应的用户）。

定义对包含子项的成员的访问权

定义对某个安全维的访问权时，如果该安全维包含一个或多个已定义层次结构，则安全性将应用于该成员及其所有子项。例如，如果授予了某个包含 10 个子项的成员的访问权，则具有父成员访问权的用户也将拥有 10 个子项的访问权。

你可以通过“只读”或“写”访问权来限制某个父项的子成员，方法是创建一个单独的数据访问配置文件并分配子访问权“拒绝”。或者，也可以使用与父项相同的数据访问配置文件，但需要为子项创建一个行的新项目。

解决数据访问配置文件冲突

由于你可以按照个人用户或按照团队来定义成员访问权，因此可能存在发生冲突的情况。以下几节介绍了几种可能发生的成员访问权冲突情况以及系统解决冲突时应用的规则。这些情况是基于下面的假设：“实体”维是安全维，并且包含以下层次结构：

配置文件之间的冲突

数据访问配置文件存在冲突时，始终会应用限制最少的配置文件。本节介绍了配置文件之间存在冲突的三种不同情况。

父成员与子成员之间存在冲突

授权在层次结构中始终向下流动，从父项到子项。除非另有说明，否则子成员始终具有其父项的访问权级别。

同一成员属于不同层次结构时发生的冲突

如果一个成员属于若干不同层次结构，并且成员访问权之间存在冲突，则会应用限制最少的访问权。

基于数据访问配置文件的属性

创建数据访问配置文件时，你可以根据属性来分配不同级别的访问权。以下所述的示例是基于以下层次结构：

示例 - 一个数据访问配置文件

数据访问配置文件 DAP1 定义如下：

如果数据访问配置文件中存在冲突，则优先顺序如下（从最高到最低）：

1. 对成员精确定义的访问权（一定要是父成员的基础成员）。

2. 属性定义的访问权（将不会继承）。

   示例

   如果定义的属性为 Currency=Euro: Read 和 Country=France: Write，则实体 02 可写入。

3. 继承自父项的访问权。

4. 对“所有成员”定义的访问权（正如在层次结构顶部的虚拟父项中所定义）。

下表中显示了结果：

示例 - 两个数据访问配置文件

数据访问配置文件 DAP2 定义如下：

下表中显示了数据访问配置文件的结果显示：

如为某个用户或团队分配了多个数据访问配置文件，则将应用所有配置文件中限制最少的规则的组合。因此，如果为一个用户同时分配了 DAP1 和 DAP2，则该用户将具有以下权限：