Эффективные права пользователя

Эффективные права показывают, что пользователь фактически может делать в WCS и из какого источника получено каждое право. Этот инструмент используется для проверки настроенного доступа и расследования случаев, когда пользователь видит больше или меньше ожидаемого.

Где открыть

Карточку можно открыть двумя способами:

откройте карточку пользователя и перейдите на вкладку «Эффективные права»;

откройте меню «Действия» в строке пользователя и выберите «Эффективные права».

Вкладка в редактируемой карточке пользователя учитывает текущий состав формы, включая ещё не сохранённые изменения ролей, групп и прямых прав. Отдельное окно из меню «Действия» отображает сохранённые данные пользователя.

Просмтр эффективных прав доступна пользователю, у которого есть права на просмотр ролей и групп.

Сводка

В верхней части отображаются пользователь и общее количество уникальных эффективных прав.

Ниже права разбиты по источникам:

«Прямые права пользователя»;
«Роли пользователя»;
«Роли групп».

Для администратора вместо обычного расчёта отображается полный набор прав, полученный за счёт флага «Администратор».

Разбор по источникам

Каждый блок показывает права до объединения с другими источниками. Он помогает найти конкретное назначение:

прямое право изменяется в карточке пользователя;
право роли пользователя — в назначенной ему роли или в списке его ролей;
право роли группы — в группе пользователя либо в роли, назначенной этой группе.

Группа без назначенной роли прав не выдаёт.

Итоговые права

Блок итоговых эффективных прав показывает объединённый набор разрешений пользователя:

категорию ресурса;
действие;
источник разрешения.

Права из всех источников суммируются. Если одно действие разрешено несколькими назначениями, оно всё равно входит в итоговый набор один раз. Правила объединения и примеры приведены в статье «Модель прав доступа».

Пример проверки избыточного доступа

Пользователь может удалять дашборды, хотя его рабочая роль должна разрешать только просмотр.

Откройте его эффективные права одним из описанных выше способов.
Найдите действие удаления дашбордов.
Проверьте источник:
- если указаны прямые права, снимите прямое разрешение;
- если указана роль пользователя, проверьте назначение и состав этой роли;
- если указаны роли групп, найдите группу и назначенную ей роль.
Сохраните изменения.
Повторно откройте эффективные права и убедитесь, что действие отсутствует.

Не изменяйте общую роль, пока не проверите всех её пользователей и группы: изменение повлияет на каждое назначение роли.

Пример отсутствующего права

Пользователь не видит карту, хотя входит в группу операторов.

Проверьте, назначена ли группе роль с разрешением просмотра карт.
Проверьте роли, назначенные непосредственно пользователю.
Проверьте, выдано ли право напрямую пользователю.
Сверьте итоговое право и его источники.

Если разрешение отсутствует во всех трёх источниках, пользователь не получит доступ к карте.