ПРИВИЛЕГИИ

Система защиты
При разработке системы защиты важным является вопрос о том, какую идеологию формирования привилегий положить в основу:
§ идеологию делегирования администратору прав по определению и реализации привилегий в компании;
§ идеологию определения и реализации привилегий руководящим составом компании (права не делегируются администратору).
При разработке и реализации системы защиты Ultima-S основополагающей была выбрана первая идеология (идеология делегирования прав администратору). Эта идеология предъявляет жесточайшие требования к подбору кандидатуры и подготовке администратора системы. Этот человек должен пользоваться бесконечным доверием, т.к. он имеет доступ к конфиденциальной и финансовой информации, а его возможности управления системой практически безграничны.
Сразу хотим обратить Ваше внимание на следующую возможную опасность: в зависимости от размера системы, администратор сам может решить делегировать те или иные административные функции (в том числе и по управлению привилегиями) другим пользователям системы. Не рекомендуется применять этот метод, т.к. при этом отсутствует общая картина назначенных привилегий и легко забыть о каком-либо пользователе, подвергнув тем самым безопасность системы большому риску.
Защита в системе Ultima-S обеспечивает ограничение возможностей пользователя по следующим категориям действий:
· По способности выполнить свойство (и выполнить операцию, или получить форму просмотра или редактирования документа). Список свойств ограничивается набором привилегий, которые имеет пользователь.
· По способности создавать или удалять документ. регулируется с помощью отдельного списка возможностей (не пустать с привилегиями, хотя привилегии и возможности во многом подобны)
· По способности добраться до документа через дерево системы. Регулируется механизмом настройки системных корней.
· По возможности доступа к конкретному документу. регулируется ключами.
· В соответсвии с ACL (Access Control List - список прав доступа). Это особый механизм,  благодаря которому вы можете управлять доступом конкретных пользователей к конкретным объектам информационной системы. Вы указываете список таких объектов и указываете кто и какой доступ к ним имеет.

3.1. Привилегии и роли

Ключевым понятием в системе безопасности Ultima-S является понятие привилегии. Привилегия - это разрешение выполнять определенное действие с тем или иным классом документов, которое может выдаваться пользователям. Система привилегий, наряду с возможностью ограничить доступ к папкам, позволяет защитить систему от неграмотных или несанкционированных действий пользователей, могущих привести к потере данных или к получению пользователями доступа к данным, которые должны быть доступны лишь ограниченному кругу лиц.
Набор привилегий, имеющихся в системе, фиксирован, и администратор не может создавать новые привилегии или удалять существующие. Список привилегий с кратким описанием их назначения приводится в главе 11 настоящего Руководства, а также в документации администратора по отдельным модулям.
Имеющиеся в системе привилегии хранятся в виде документов класса Привилегия в папке Привилегии и вложенных в нее папках (см. рис. 3.1). Структура папок с привилегиями соответствует структуре модулей системы - привилегии, относящиеся к каждому модулю, собраны в одну или несколько папок. Служебная папка Все привилегии позволяет просмотреть список всех имеющихся в системе привилегий.



Рис. 3.1. Список привилегий

Часто встречающиеся группы привилегий, соответствующие определенным должностным обязанностям, могут образовывать роли. Роль создается как папка, содержащая ссылки на привилегии, входящие в эту роль. Роли могут создаваться как вручную, так и при помощи операции Протоколировать роль, которая описана в п. 3.3.
Привилегии могут назначаться не только отдельным пользователям, но и группам пользователей. Использование групп позволяет упростить массовые операции с привилегиями, охватывающие несколько пользователей. Группа представляет собой папку, содержащую документы класса Пользователь или ссылки на них. При этом один пользователь может входить в несколько групп.
Назначение привилегий или ролей пользователям или группам пользователей осуществляется посредством документа класса Связь, работа с которым подробно описана в п.3.2. Связь содержит не только набор привилегий, даваемый пользователям, но и список классов, документы которых пользователи могут создавать и удалять. Создав несколько документов класса Связь, можно включить одного пользователя или группу пользователей в несколько ролей.
После того, как создана структура ролей и групп пользователей и установлены связи между привилегиями и пользователями, необходимо выполнить компиляцию привилегий. При выполнении этой операции система раскрывает иерархию групп и ролей и формирует для каждого пользователя полный список его привилегий, а также классов, документы которых ему разрешено создавать и удалять.
Отметим, что механизм привилегий позволяет осуществлять защиту только на уровне классов документов. Для защиты на уровне отдельных документов существует механизм ключей, подробно описанный в главе 10 настоящего Руководства.

3.2. Расстановка привилегий
    Право расстановки привилегий принадлежит только администратору, и производится следующим образом.


Из списка классов (клавиша Insert) выбирается Связь, и на экран выводится окно Новое отношение (см. рис 3.2), в котором следует заполнить следующие поля:


§ название, которое будет иметь данное отношение (описывает смысл создаваемого отношения между пользователем (группой пользователей) и привилегией);
§ выбрать пользователя или группу пользователей (заполнение обязательно);
§ выбрать и ввести привилегию или папку, символизирующую роль (если связь создается для указания привилегий);
§ выбрать и ввести класс или список классов, которые пользователь может создавать и/или удалять (Если связь задается для указания привилегий на создание или удаление документов). Списки формируются как папки, содержащие ссылки на соответствующие классы. В результате после компиляции привилегий, закладки пользователя Может создавать и Может удалять будут содержать указанный список классов.
§ Системные корни - здесь указываются папки, через которые пользователь получит доступ к части общего дерева системы. Для sa всегда добавляется как корень папка Ultima-S (начало всего дерева), а также для каждого пользователя добавляется его личная папка. Таким образом, прописав три общих для группы пользователей корня, каждый из пользователей также получит доступ и к своей личной папке. Если для пользователя указан хоть один корень с помощью документа 'связь', то все, что внесено в закладке 'системные корни' пользователя игнорируется.
Следует подчеркнуть, что папка-роль, указываемая в закладке 'привилегия' анализируется на предмет привилегий, которые она содержит, а папка-роль, указываемая в полях 'может создавать' и 'может удалять' - на предмет наличия ссылок на классы. Таким образом, можно создать папку-роль, которая содержит и список привилегий, и список классов, документы которых пользователь может создавать и удалять (как правило, это одинаковые списки). Такая папка полностью описывает все, что надо для работы в соответствии с ролью и ее можно указывать сразу в трех полях документа 'связь' - Привилегия, Может создавать и Может удалять.
При необходимости можно запретить отношение, тем самым выключив его, не удаляя из системы. Это очень удобно в случае возможной активизации данного отношения в будущем.
Действие отношения, включает два свойства:
§ исключающее - при включенной опции любое действие, для которого необходима указанная привилегия, будет недоступно пользователю или указанной группе. Эту опцию рекомендуется использовать для выключения одной из привилегий пользователя (это может быть связано с различными причинами), не исключая его из Группы пользователей, к которой он принадлежит, эта опция игнорируется при определении системных корней;
§ включающее - разрешено действие, связанное с данной привилегией.
Для того, чтобы внести изменения, в ранее созданную "Связь", войдите в режим редактирования и произведите необходимые изменения, при этом возможность просмотра и редактирования доступна только системному администратору.
Изменения вступают в силу после выполнения свойства Откомпилировать привилегии. Это свойство вызывается на любом документе класса Связь или Привилегия. В итоге строится для каждого пользователя: cписок привилегий, список классов которые можно создавать, список классов, которые пользователь может удалять. Для пользователя что-либо разрешено, если есть хоть одна разрешающая связь и нет ни одной запрещающей.

3.3. Использование документа "Протоколировать роль"
Поскольку в системе Ultima-S существует более 200 привилегий, ручное создание большого количества ролей может быть непростой и очень трудоемкой операцией. Для ее упрощения существует механизм протоколирования роли, позволяющий определить, какие привилегии требуются для выполнения действий, наиболее типичных для пользователей определенной группы, и автоматически создать роль, включающую все эти привилегии. После автоматического создания роль может быть вручную дополнена привилегиями, требуемыми для выполнения нетипичных действий.
Для выполнения протоколирования откройте документ Протоколировать роль в папке Администраторские операции. Будет выдано сообщение Начато протоколирование роли. Все использованные привилегии запоминаются. Выполните действия, которые, по Вашему мнению, будут типичны для пользователя группы (например, для кладовщика) - открывайте документы, с которыми он будет работать, запускайте отчеты, вызывайте свойства документов, отгружайте и принимайте накладные.
Когда типичные действия выполнены, снова откройте документ Протоколировать роль. В появившемся запросе (см. рис. 3.3) выберите Сохранить роль как и введите название роли. В папке Привилегии будет создана папка с введенным Вами названием, в которую будут помещены ссылки на все привилегии, использованные вами во время протоколирования роли. При этом на экран будет выведен список привилегий, вошедших в роль, и фраза Роль создана!!!.