Ролевое управление доступом к общим бизнес-аккаунтам

Сотруднику поддержки нужно проверить заказ. Коллеге из финансового отдела нужен отчёт о выплатах. Операционному менеджеру нужно обновить карточку товара.

Всем троим нужен доступ к магазину. Но права для этих задач нужны разные.

Проблемы начинаются, когда вместе с доступом сотрудник получает возможность менять платёжные настройки, выгружать клиентские данные или нажимать кнопки, которыми ему пользоваться не следует. Временные права тоже могут стать проблемой. Сотрудник неделю подменяет коллегу, а дополнительный доступ остаётся у него на несколько месяцев.

Ролевое управление доступом, или RBAC, связывает права с рабочими обязанностями. Сначала вы определяете, что нужно каждой роли. Затем назначаете сотрудникам роли и ограничиваете их доступ нужными аккаунтами и задачами.

Для общего бизнес-аккаунта это означает, что нужно решить, какие страницы каждый сотрудник может открывать, что он может видеть и какие действия выполнять. После этого решения нужно закрепить в настройках.

Определите, что каждому сотруднику нужно видеть и делать

Начните с недавней задачи. Что понадобилось сотруднику, чтобы её выполнить?

Для поддержки это могут быть номер заказа, статус доставки и история переписки. Отчёты о выплатах и данные для восстановления аккаунта для такой работы могут не понадобиться.

У финансового отдела другие потребности. Для сверки платежей нужны идентификаторы транзакций и суммы выплат. Редактирование товаров к этой работе почти не относится.

Простая таблица прав помогает увидеть эти различия.

Используйте таблицу как основу для собственных правил. Впишите имена сотрудников рядом с ролями. Так вы сможете сравнить запланированные права с тем, кто выполняет работу на практике.

Разделяйте просмотр, изменение и выгрузку данных

Доступ к странице ещё не определяет все права на ней.

Сотруднику может быть нужно прочитать отчёт без возможности скачать его. Иногда нужно проверить карточку товара, но не удалять её. Поддержке может понадобиться страница заказа, на которой часть финансовых данных остаётся скрытой.

Разбейте широкие права на конкретные действия:

• Открыть рабочую среду аккаунта.

• Просмотреть нужную страницу и информацию.

• Нажать кнопки, необходимые для задачи.

• Изменить или удалить контент.

• Скопировать информацию или скачать файлы.

• Загрузить файлы на сайт или распечатать записи.

• Управлять другими пользователями и настройками аккаунта.

Такой список уже можно перевести в конкретные настройки. Формулировка доступ к магазину оставляет слишком много неясного.

Выберите, где настраивать каждое право

На возможности сотрудника влияют несколько настроек. Каждая отвечает за свою часть работы.

Используйте отдельные учётные записи сотрудников и права самой платформы, если они подходят для вашей работы. Сотрудники могут входить под разными пользователями и при этом работать с одним магазином или клиентским аккаунтом. Сначала настройте эти права, затем добавляйте браузерные ограничения.

После этого проверьте, где доступ остаётся слишком широким. Роль на платформе может давать нужные функции, но одновременно открывать страницы или данные, которые сотруднику не нужны. Здесь пригодятся более точные правила в браузере.

При настройке важно различать эти уровни. Запрет на редактирование браузерного профиля сам по себе не запрещает менять товар внутри магазина.

Скрытие кнопки в браузере и изменение правил авторизации платформы тоже решают разные задачи. Выбирайте настройку, которая управляет действием, которое вы хотите ограничить.

Настройте роли, профили и веб-правила в MoreLogin

Возьмём магазин с тремя сотрудниками. Нина работает в поддержке, Дэвид занимается финансами, а Оуэн управляет товарами и операционными задачами.

Таблица прав уже готова. Теперь нужно применить её к их рабочей среде.

Назначьте каждому участнику нужную роль и профили

Создайте для каждого сотрудника отдельный доступ участника команды MoreLogin. Перед выбором роли проверьте, какие функции она открывает.

Роли команды и права на профили в MoreLogin позволяют отдельно настроить функции программы и доступ к рабочим средам аккаунтов. У участников с одной ролью одинаковые функциональные права.

Нине нужно открывать профиль магазина для работы с обращениями. Это не означает, что ей нужно создавать профили, передавать среды или управлять коллегами.

Дэвид может работать с несколькими магазинами. Назначьте ему нужные профили или группы и проверьте, что в список не попали аккаунты других клиентов.

Проверяйте обе настройки вместе. Роль определяет доступные функции программы. Назначенные профили определяют, какие рабочие среды аккаунтов участник может открывать.

Защитите сохранённые пароли при ежедневной работе

Сотруднику, который работает в аккаунте с активным сеансом, не обязательно знать сохранённый пароль.

Настройте защиту паролей для нужных ролей. Это позволяет запретить участникам просмотр сохранённых паролей через менеджер паролей браузера. Одновременно проверьте ограничения доступа к инструментам разработчика.

Также определите, кто отвечает за восстановление аккаунта. Должен быть человек, который контролирует регистрационную почту, номер для восстановления и запросы на подтверждение входа.

Если магазин попросит Нину подтвердить вход, она должна знать, к кому обратиться. Отправляя данные для восстановления в общий чат, вы даёте ей больше доступа, чем требуется для работы поддержки.

Создавайте веб-правила под конкретную задачу

Возьмите одну строку из таблицы прав и переведите её в правила для веб-страниц.

Для Нины требования могут быть такими:

• Открывать страницы заказов и сообщений покупателей.

• Видеть информацию, необходимую для решения обращений.

• Не открывать страницы выплат и администрирования аккаунта.

• Не копировать и не скачивать информацию, которая не нужна для работы поддержки.

• Не нажимать кнопки действий, на которые у неё нет полномочий.

MoreLogin позволяет ограничивать нажатия, копирование, загрузку файлов на сайт, скачивание и печать. Используйте эти настройки вместе с правилами доступа по URL и скрытием контента, чтобы доступ соответствовал обязанностям роли.

Не применяйте все ограничения ко всем сотрудникам. Дэвиду может быть нужно скачивать отчёты о выплатах. Запрет на скачивание для финансового отдела помешает работе, ради которой вы выдаёте доступ.

Так же подходите к скрытию данных. Нине может понадобиться сумма заказа, чтобы разобраться с вопросом об оплате. Скрывайте лишнюю финансовую информацию, сохраняя сведения, необходимые для обращения.

Объединяйте связанные правила в шаблон

Шаблон позволяет собрать правила для одной задачи в одном месте.

Например, шаблон поддержки может объединять запрещённые URL, скрытые данные и ограничения копирования или скачивания. Шаблон для финансового отдела может разрешать работу с отчётами и ограничивать доступ к ненужным страницам товаров и действиям.

Дайте шаблону название, по которому понятна задача. В кратком описании укажите, для какой работы он предназначен и зачем введены ограничения.

В MoreLogin ограничения веб-доступа поддерживают два режима работы с URL:

• Запретить доступ блокирует перечисленные адреса, оставляя остальные страницы доступными.

• Разрешить только указанные открывает доступ к перечисленным адресам и блокирует остальные страницы.

Список разрешённых адресов подходит для узкой задачи с известным набором страниц. Прежде чем применять его, пройдите задачу целиком. Включите в список нужные страницы входа, перенаправления и связанные домены.

Для более широкой работы может быть проще блокировать отдельные разделы. Выбор зависит от того, по каким страницам сотруднику нужно перемещаться.

Применяйте шаблон к нужным сотрудникам и профилям

В окне применения шаблона выберите браузерные профили, а также участников или роли, на которых должны действовать правила.

Для работы Нины начните с нужного профиля магазина. Не выбирайте все браузерные профили только потому, что такая возможность есть.

Так же внимательно проверьте список участников. Шаблон, назначенный роли, затрагивает сотрудников с этой ролью. Перед сохранением проверьте её состав.

Начните с небольшого набора назначений, который можно проверить. Когда Нина сможет выполнять обычные задачи, а ограничения будут работать как задумано, распространите настройки на остальных сотрудников поддержки.

Проверьте права участников, прежде чем расширять доступ

Проводите проверку через доступ самого участника. У администратора могут быть другие права.

После сохранения или изменения правил для URL и элементов перезапустите соответствующие профили. Затем проверьте результат.

Возьмите реальную задачу вместо того, чтобы открывать несколько случайных страниц.

Отдельно проверьте работу финансового отдела. Дэвид должен находить нужный отчёт и скачивать его, если это действие входит в его полномочия.

Для каждой проверки запишите участника, профиль, правило и результат. Это поможет следующему администратору разобраться, если задача перестанет выполняться.

Если разрешённое действие не работает, найдите недостающую страницу или заблокированную кнопку, прежде чем расширять права. Неполный список URL не повод открывать весь сайт.

Повторяйте нужные проверки после изменения интерфейса магазина. Отчёт может переместиться, кнопка измениться, а в рабочем процессе появиться новое перенаправление.

Пересматривайте совокупные права при изменении обязанностей

Доступ часто становится слишком широким в ходе обычной работы.

Оуэн уходит в отпуск, и Дэвиду временно дают дополнительные операционные права. Оуэн возвращается, но никто их не отзывает. Теперь у Дэвида есть доступ, который не нужен для его финансовых задач.

При выдаче временных прав зафиксируйте следующее:

1. Укажите сотрудника и человека, который согласовал изменение.

2. Перечислите дополнительные аккаунты и действия.

3. Установите предполагаемую дату окончания доступа.

4. Назначьте ответственного за отзыв дополнительных прав.

5. После отзыва проверьте, что сотрудник может выполнять свою обычную работу.

Дата окончания в записи полезна только тогда, когда кто-то действительно отзывает доступ.

Проверяйте совокупные права по всем назначениям

Отдельно проверьте обязанности, которые нужно разделять.

Допустим, Дэвид получил право оформлять возвраты денег на время подмены. При этом он уже сверяет возвраты с отчётами о выплатах. Теперь он может выполнять операции и сам проверять их.

RBAC помогает определить и назначить эти права. Проверка разделения обязанностей показывает, допустимо ли такое сочетание у одного человека.

На время подмены поручите сверку другому сотруднику или оставьте оформление возвратов за другим оператором. При проверке доступа учитывайте вместе роли на платформе, права, выданные напрямую, и временные назначения.

Это особенно полезно небольшим командам, где один человек может выполнять несколько функций.

Отзывайте доступ во всех связанных системах

После завершения задания проверьте роль на платформе, доступ к профилям MoreLogin и применяемые шаблоны.

Если человек уходит из компании, также проверьте другие активные сеансы, подключённые приложения и доступ к восстановлению аккаунта. Удаление одного назначения в рабочем пространстве не закрывает все остальные способы входа в бизнес-аккаунт.

Если нужно разобраться в неожиданном изменении рабочей среды, найдите сотрудника и время события в журналах доступа к профилям и управления ими.

Если возник спор по возврату денег, сравните транзакцию с её согласованием и отчётом о выплатах. Эти записи отвечают на другой вопрос, чем сведения о том, кто открывал или менял браузерную среду.

Часто задаваемые вопросы

1. Могут ли несколько сотрудников работать с одним бизнес-аккаунтом с разными правами?

   Да, если рабочая система различает участников и применяет соответствующие правила. Совмещайте права пользователей на платформе, назначение рабочих сред аккаунтов и браузерные ограничения. Передача всем одинаковых данных для входа сама по себе не создаёт разных прав.

2. Нужно ли ролевое управление доступом, если у компании только один аккаунт?

   В одном аккаунте могут работать люди с разными обязанностями. Поддержке, финансовому и операционному отделам нужны разные страницы, данные и действия. Необходимость управления доступом зависит от распределения работы, а не только от числа аккаунтов.

3. Могут ли сотрудники работать, не видя сохранённый пароль аккаунта?

   MoreLogin позволяет администраторам запрещать просмотр сохранённых паролей для выбранных ролей. Сотрудники работают в назначенных профилях с активным сеансом, а команда управляет учётными данными. Назначьте ответственного, к которому можно обратиться для подтверждения входа и восстановления аккаунта.

4. Может ли один сотрудник выполнять несколько ролей?

   Да. У сотрудника могут быть разные роли в разных системах или дополнительные права на время подмены. Проверяйте весь этот доступ вместе. Если операционные задачи конфликтуют с финансовыми обязанностями, измените права или поручите проверку другому человеку.

5. Можно ли запретить копирование и скачивание, не блокируя всю страницу?

   Да. Настройте нужные ограничения действий на веб-страницах для выбранных участников и профилей. Сотрудник сохранит доступ к странице для работы, но копирование или скачивание будет ограничено. Проверьте эти действия вместе с обычной задачей, прежде чем расширять применение правил.

Начните с одного бизнес-аккаунта и двух ролей. Перечислите задачи каждого сотрудника, назначьте соответствующие браузерные профили MoreLogin и настройте нужные правила. Проверьте разрешённые действия и ограничения, прежде чем выдавать доступ остальным участникам команды.