administration->Daily security key

[IKA]

Сегодня у пользователя не работал определенный функционал и методом перебора нашла, что дело в Administration->Daily secirity key. Когда на него дан доступ, то все работает. При этом на все(company accounts, locations view, users, online users), лежащее под этим ключом я прав не дала(No access).

Как понять(не используя перекрестных ссылок) , какие элементы АОТ зависят от этого ключа Administration->Daily, то есть на что повлияло изменение прав на Administration->Daily. И Почему достаточно изменить права только на него, а на все, что ниже - не давать?

[sukhanchik]

Если не использовать перекрестные ссылки - тогда только поиск по всему АОТ... А больше и никак. Если что-то зашито в ядре - то тем более это не найти - максимум только в документации

[Atar]

Цитата:

Сообщение от IKA

Почему достаточно изменить права только на него, а на все, что ниже - не давать?

К сожалению, такова распространенная практика в назначении прав доступа в Аксапте.
Очень часто натыкался на такие неочевидные зависимости. У меня сложилось впечатление, что просто-напросто разработчикам было надо назначить какой-нибудь ключ безопасности, и тогда они назначали наиболее подходящий из существующих, чтобы не создавать новый.
Т.е. в этом случае они назначили ключ, являющийся корневым для других ключей.

[Wamr]

(К) - А ты не знаешь, почему при всех выключенных ключах, операторам доступна кнопка?
(П) - Знаю, там на менюитем нет секьюрити кея. Какой ставить?
(К) - Какой-нибудь... чтобы у группы Опер было не доступно.

[Logger]

Цитата:

Сообщение от Wamr

(К) - А ты не знаешь, почему при всех выключенных ключах, операторам доступна кнопка?
(П) - Знаю, там на менюитем нет секьюрити кея. Какой ставить?
(К) - Какой-нибудь... чтобы у группы Опер было не доступно.

Даже не смешно.
Столько крови попортило уже.

[Wamr]

список объектов без SC

[Logger]

Цитата:

Сообщение от Wamr

список объектов без SC

Как то я даже писал джоб который находил такие объекты и прописывал в них дефолтные менюитемы.

Подозреваю что разработчики аксапты сделали нечто подобное.

[greench]

Я недавно по запросу одного из коллег-консультантов делал приблуду суть которой заключается в следующем: мы можем посмотреть права доступа для группы, но иногда возникает обратная задача - знать какие группы имеют доступ к элементу(ключу, форме, полю, меню айтему и т.д.).
Свои изыски излагал здесь http://greenlife.org.ua/?q=node/10

З.Ы. Только начал вести блог, ногами прошу сильно не бить.

[sukhanchik]

Цитата:

Сообщение от greench

Я недавно по запросу одного из коллег-консультантов делал приблуду суть которой заключается в следующем: мы можем посмотреть права доступа для группы, но иногда возникает обратная задача - знать какие группы имеют доступ к элементу(ключу, форме, полю, меню айтему и т.д.).
Свои изыски излагал здесь http://greenlife.org.ua/?q=node/10

З.Ы. Только начал вести блог, ногами прошу сильно не бить.

Ваш способ решения этой задачи (судя по описанию) не учитывает вариант, когда из таблицы AccessRightsList запись удаляется. А удалиться она может, когда у элемента, подчиненному некоторому Security Key установится доступ, равный доступу к этому Security Key.
Или доступ к элементу может быть, но записи о нем может не быть, если уровень доступа элемента равен уровню доступа к Security Key

[greench]

Цитата:

Сообщение от sukhanchik

Ваш способ решения этой задачи (судя по описанию) не учитывает вариант, когда из таблицы AccessRightsList запись удаляется. А удалиться она может, когда у элемента, подчиненному некоторому Security Key установится доступ, равный доступу к этому Security Key.
Или доступ к элементу может быть, но записи о нем может не быть, если уровень доступа элемента равен уровню доступа к Security Key

Спасибо, этот вариант я действительно не учел. Буду думать.

[Atar]

Цитата:

Сообщение от Wamr

(К) - А ты не знаешь, почему при всех выключенных ключах, операторам доступна кнопка?
(П) - Знаю, там на менюитем нет секьюрити кея. Какой ставить?
(К) - Какой-нибудь... чтобы у группы Опер было не доступно.

Я имел ввиду стандартную функциональность. Проблема с доработками хотя бы управляема.
А вот когда без разработчика не получается настроить минимально возможные права группы пользователей для создания журналов по кассе и печати ордера (пример из 3.0), например - это для системы такого уровня как-то дико.
Ведь что делать, если лицензии на разработку вообще нет у клиента? (понятно, конечно, что делать, но времени это займёт уйму, либо всё сведётся к настройке избыточных прав).

[S.Kuskov]

Цитата:

Сообщение от greench

возникает обратная задача - знать какие группы имеют доступ к элементу(ключу, форме, полю, меню айтему и т.д.).

Решение такой задачи уже появлялось на этом форуме: Как программно изменить права доступа на объект ?

[greench]

Цитата:

Сообщение от S.Kuskov

Решение такой задачи уже появлялось на этом форуме: Как программно изменить права доступа на объект ?

Да,я видел это решение. Красивое, но есть один нюанс - при большом количестве групп работает очень медленно. Оно и понятно, потому что перебираются все группы.
У нас 264 группы(зачем столько это уже вопрос не ко мне).

[sukhanchik]

Цитата:

Сообщение от greench

Да,я видел это решение. Красивое, но есть один нюанс - при большом количестве групп работает очень медленно. Оно и понятно, потому что перебираются все группы.
У нас 264 группы(зачем столько это уже вопрос не ко мне).

В свое время я так насчитал порядка 300 групп. При 100 пользователей (имеется в виду кол-во, заведенное в UserInfo). После этого мы пересмотрели логику раздачи прав и сделали для каждого пользователя свою индивидуальную группу. Очень удобно стало настраивать. Присылают заявку на конкретного чела с конкретным описанием. Только ему и настраиваешь. Присылают заявку на 2 чела - обоим настраиваешь. А то начинаешь напрягаться когда у один чел состоит в Н-цати группах.

Конечно это в лучшую сторону сказалось на скорости работы формы с настройкой прав

[greench]

У нас это невозможно сделать, пользователей реально много, компаний около 8.

[sukhanchik]

Цитата:

Сообщение от greench

У нас это невозможно сделать, пользователей реально много, компаний около 8.

Ну тогда Вы "прижаты к стенке" скоростью. Попытки напрямую анализировать AccessRightsList (а по-хорошему еще нужно анализировать и SysSecurityForm* - таблицы) с учетом логики наличия там записей я думаю приведут Вас к тому же алгоритму, что и заложен в ядре.

[mit]

Цитата:

Сообщение от Wamr

(К) - А ты не знаешь, почему при всех выключенных ключах, операторам доступна кнопка?
(П) - Знаю, там на менюитем нет секьюрити кея. Какой ставить?
(К) - Какой-нибудь... чтобы у группы Опер было не доступно.

это всё неприятно, но вот в DAX 2009 sp1 есть ещё такой нюанс:
если на форме в элемент Group поля не явно помещены, а через свойство DataGroup и в эту группу полей таблицы входит дисплей метод, то при выключенном доступе ко всем полям из группы полей таблицы на экране пользователь увидит только название группы. получается что если на закладке только группа с полями, доступа к которым у пользователя нет, закладка будет содержать только пустую группу, без данных.

напрашиваются решения:
1) удаление дисплей метода из группы на таблице. плохой способ. дисплей методы они полезные.
2) на форме у Group читсим свойство DataGroup, и добавляем нужные поля руками. плохой способ, так как теперь приходится контролировать наполнение форм.
3) добавить пользователю прав хотя бы на одно поле из группы. тоже плохой. всё таки требовалось изначально закрыть доступ

[Logger]

Цитата:

Сообщение от greench

У нас это невозможно сделать, пользователей реально много, компаний около 8.

Это разве много ? Бывает на порядок больше.

Посмотрите на такой инструмент :
Как программно изменить права доступа на объект ?

помогает от рутины.

[greench]

Цитата:

Сообщение от Logger

Это разве много ? Бывает на порядок больше.

Посмотрите на такой инструмент :
Как программно изменить права доступа на объект ?

помогает от рутины.

Спасибо за ссылку 2-й раз за день Инструмент хороший, но анализирует по одному ключу около 4-х минут.

[IKA]

Если кому-то интересно:
в моем случае нашла, что в коде шло обращение к таблице sysServerSessions (системная таблица, лежит в system documentation). когда к AdminDaily ключику доступа нет, то нет доступа к этой таблице. При этом в том месте кода, где шло к ней обращение аксапта просто прерывала выполнение без вывода каких-либо сообщений на экран вообще.
PS если вручную пойти в systemdocumantation и найти эту таблицу, то в свойствах не указан какой -либо security key ( (ax2009).