Рольове керування доступом до спільних бізнес-акаунтів

Працівнику підтримки потрібно перевірити замовлення. Колезі з фінансового відділу потрібен звіт про виплати. Операційному менеджеру потрібно оновити картку товару.

Усім трьом потрібен доступ до магазину. Але для їхніх завдань потрібні різні права.

Проблеми починаються, коли разом із доступом працівник отримує можливість змінювати платіжні налаштування, експортувати дані клієнтів або натискати кнопки, якими йому не слід користуватися. Тимчасові права теж можуть створити проблему. Людина тиждень підміняє колегу, а додатковий доступ залишається в неї на кілька місяців.

Рольове керування доступом, або RBAC, пов’язує права з робочими обов’язками. Спочатку ви визначаєте, що потрібно кожній ролі. Потім призначаєте ролі працівникам і обмежуєте їхній доступ потрібними акаунтами та завданнями.

Для спільного бізнес-акаунта це означає, що потрібно вирішити, які середовища кожен працівник може відкривати, що він може бачити та які дії виконувати. Після цього рішення потрібно закріпити в налаштуваннях.

Визначте, що кожному учаснику потрібно бачити й робити

Почніть із нещодавнього завдання. Що знадобилося працівнику, щоб його виконати?

Для підтримки це можуть бути номер замовлення, статус доставки та історія листування. Звіти про виплати й дані для відновлення акаунта для такої роботи можуть бути не потрібні.

Фінансовий відділ має інші потреби. Для звіряння платежів потрібні ідентифікатори транзакцій і суми виплат. Редагування товарів майже не стосується цієї роботи.

Проста таблиця прав допоможе побачити ці відмінності.

Використовуйте таблицю як основу для власних правил. Укажіть імена працівників поруч із ролями. Так ви зможете порівняти запланований розподіл прав із тим, хто виконує роботу на практиці.

Розділяйте перегляд, зміну та експорт даних

Доступ до сторінки ще не визначає всіх прав на ній.

Працівнику може бути потрібно прочитати звіт без можливості його завантажити. Іноді потрібно перевірити картку товару, але не видаляти її. Підтримці може знадобитися сторінка замовлення, на якій частина фінансових даних залишається прихованою.

Розбийте широкі права на конкретні дії:

• Відкрити робоче середовище акаунта.

• Переглянути потрібну сторінку та інформацію.

• Натиснути кнопки, необхідні для завдання.

• Змінити або видалити контент.

• Скопіювати інформацію чи завантажити файли.

• Передати файли на сайт або роздрукувати записи.

• Керувати іншими користувачами й налаштуваннями акаунта.

Такий список уже можна перевести в конкретні налаштування. Формулювання доступ до магазину залишає надто багато невизначеного.

Виберіть, де налаштовувати кожне право

На можливості працівника впливають кілька налаштувань. Кожне відповідає за свою частину роботи.

Використовуйте окремі облікові записи працівників і права самої платформи, якщо вони відповідають вашим завданням. Працівники можуть входити під різними користувачами й водночас працювати з одним магазином або клієнтським акаунтом. Спочатку налаштуйте ці права, потім додавайте браузерні обмеження.

Після цього перевірте, де доступ залишається надто широким. Роль на платформі може надавати потрібні функції, але водночас відкривати сторінки чи дані поза межами завдання працівника. Тут стануть у пригоді точніші правила в браузері.

Під час налаштування важливо розрізняти ці рівні. Заборона редагувати браузерний профіль сама по собі не забороняє змінювати товар усередині магазину.

Приховування кнопки в браузері та зміна правил авторизації платформи теж розв’язують різні завдання. Вибирайте налаштування, яке керує дією, що потребує обмеження.

Налаштуйте ролі, профілі та веб-правила в MoreLogin

Розгляньмо магазин із трьома працівниками. Ніна працює в підтримці, Девід займається фінансами, а Оуен керує товарами й операційними завданнями.

Таблиця прав уже готова. Тепер потрібно застосувати її до їхнього щоденного робочого середовища.

Призначте кожному учаснику потрібну роль і профілі

Надайте кожному працівнику окремий доступ учасника команди MoreLogin. Перед вибором ролі перевірте, які функції вона відкриває.

Ролі команди та права на профілі в MoreLogin дають змогу окремо налаштовувати функції програми й доступ до робочих середовищ акаунтів. Учасники з однією роллю мають однакові функціональні права.

Ніні потрібно відкривати профіль магазину для роботи зі зверненнями. Це не означає, що їй потрібно створювати профілі, передавати середовища або керувати колегами.

Девід може працювати з кількома магазинами. Призначте йому потрібні профілі чи групи та перевірте, щоб до списку не потрапили акаунти інших клієнтів.

Перевіряйте обидва налаштування разом. Роль визначає доступні функції програми. Призначені профілі визначають, які робочі середовища акаунтів учасник може відкривати.

Захистіть збережені облікові дані під час щоденної роботи

Працівнику, який користується акаунтом з активним сеансом, не обов’язково знати збережений пароль.

Налаштуйте захист паролів для потрібних ролей. Це дає змогу заборонити учасникам перегляд збережених паролів через менеджер паролів браузера. Одночасно перевірте обмеження доступу до інструментів розробника.

Також визначте, хто відповідає за відновлення акаунта. Має бути людина, яка контролює реєстраційну пошту, номер для відновлення та запити на підтвердження входу.

Якщо магазин попросить Ніну підтвердити вхід, вона має знати, до кого звернутися. Надсилаючи дані для відновлення в спільний чат, ви надаєте їй більше доступу, ніж потрібно для роботи підтримки.

Створюйте веб-правила під конкретне завдання

Візьміть один рядок із таблиці прав і перетворіть його на правила для веб-сторінок.

Для Ніни вимоги можуть бути такими:

• Відкривати сторінки замовлень і повідомлень покупців.

• Бачити інформацію, потрібну для опрацювання звернень.

• Не відкривати сторінки виплат та адміністрування акаунта.

• Не копіювати й не завантажувати інформацію поза межами роботи підтримки.

• Не натискати кнопки дій, на які вона не має повноважень.

MoreLogin дає змогу обмежувати натискання, копіювання, передавання файлів на сайт, завантаження та друк. Поєднуйте ці налаштування з правилами доступу за URL і приховуванням контенту, щоб доступ відповідав обов’язкам ролі.

Не застосовуйте всі обмеження до всіх працівників. Девіду може бути потрібно завантажувати звіти про виплати. Заборона завантажень для фінансового відділу завадить роботі, заради якої ви надаєте доступ.

Так само підходьте до приховування даних. Ніні може знадобитися сума замовлення, щоб розібратися з питанням про оплату. Приховуйте зайву фінансову інформацію, зберігаючи відомості, потрібні для звернення.

Об’єднуйте пов’язані правила в шаблон

Шаблон дає змогу зібрати правила для одного завдання в одному місці.

Наприклад, шаблон підтримки може поєднувати заборонені URL, прихований контент та обмеження копіювання чи завантаження. Шаблон для фінансового відділу може дозволяти роботу зі звітами й обмежувати доступ до непотрібних сторінок товарів і дій.

Дайте шаблону назву, з якої зрозуміле його призначення. У короткому описі вкажіть, для якої роботи він потрібен і навіщо встановлено обмеження.

У MoreLogin є два режими обмеження доступу за URL:

• Заборонити доступ блокує перелічені адреси, залишаючи решту сторінок доступними.

• Дозволити лише вказані відкриває доступ до перелічених адрес і блокує решту сторінок.

Список дозволених адрес підходить для вузького завдання з відомим набором сторінок. Перш ніж застосовувати його, виконайте завдання від початку до кінця. Додайте потрібні сторінки входу, перенаправлення та пов’язані домени.

Для ширшої роботи може бути простіше блокувати окремі розділи. Вибір залежить від того, якими сторінками працівнику потрібно користуватися.

Застосовуйте шаблон до потрібних людей і профілів

У вікні застосування шаблону виберіть браузерні профілі, а також учасників або ролі, на яких мають діяти правила.

Для роботи Ніни почніть із потрібного профілю магазину. Не вибирайте всі браузерні профілі лише тому, що така можливість є.

Так само уважно перевірте список учасників. Шаблон, призначений ролі, впливає на працівників із цією роллю. Перед збереженням перевірте її склад.

Почніть із невеликої кількості призначень, які можна перевірити. Коли Ніна зможе виконувати звичайні завдання, а обмеження працюватимуть як задумано, поширте налаштування на інших працівників підтримки.

Перевірте права учасників, перш ніж розширювати доступ

Проводьте перевірку через доступ самого учасника. Адміністратор може мати інші права.

Після збереження або зміни правил для URL та елементів перезапустіть відповідні профілі. Потім перевірте результат.

Візьміть реальне завдання замість того, щоб відкривати кілька випадкових сторінок.

Окремо перевірте роботу фінансового відділу. Девід має знаходити потрібний звіт і завантажувати його, якщо ця дія входить до його повноважень.

Для кожної перевірки запишіть учасника, профіль, правило та результат. Це допоможе наступному адміністратору розібратися, якщо завдання перестане виконуватися.

Якщо дозволена дія не працює, знайдіть відсутню сторінку або заблоковану кнопку, перш ніж розширювати права. Неповний список URL не є підставою відкривати весь сайт.

Повторюйте потрібні перевірки після зміни інтерфейсу магазину. Звіт може переміститися, кнопка змінитися, а в робочому процесі з’явитися нове перенаправлення.

Переглядайте сукупні права зі зміною обов’язків

Доступ часто стає надто широким під час звичайної роботи.

Оуен іде у відпустку, і Девіду тимчасово надають додаткові операційні права. Оуен повертається, але ніхто їх не відкликає. Тепер Девід має доступ, який не потрібен для його фінансових завдань.

Під час надання тимчасових прав зафіксуйте таке:

1. Укажіть працівника й людину, яка погодила зміну.

2. Перелічіть додаткові акаунти та дії.

3. Установіть очікувану дату завершення доступу.

4. Призначте відповідального за відкликання додаткових прав.

5. Після відкликання перевірте, що працівник може виконувати свою звичайну роботу.

Дата завершення в записі корисна лише тоді, коли хтось справді відкликає доступ.

Перевіряйте сукупні права за всіма призначеннями

Окремо перевірте обов’язки, які потрібно розділяти.

Припустімо, Девід отримав право оформлювати повернення коштів на час підміни. При цьому він уже звіряє повернення зі звітами про виплати. Тепер він може виконувати операції та сам перевіряти їх.

RBAC допомагає визначати й призначати ці права. Перевірка розмежування обов’язків показує, чи допустиме таке поєднання в однієї людини.

На час підміни доручіть звіряння іншому працівнику або залиште оформлення повернень за іншим оператором. Перевіряючи доступ, враховуйте разом ролі на платформі, права, надані безпосередньо, і тимчасові призначення.

Це особливо корисно невеликим командам, де одна людина може виконувати кілька функцій.

Відкликайте доступ у всіх пов’язаних системах

Після завершення завдання перевірте роль на платформі, доступ до профілів MoreLogin і застосовані шаблони.

Якщо людина звільняється, також перевірте інші активні сеанси, підключені застосунки та доступ до відновлення акаунта. Видалення одного призначення в робочому просторі не закриває всі інші способи входу в бізнес-акаунт.

Якщо потрібно розібратися в несподіваній зміні робочого середовища, знайдіть працівника й час події в журналах доступу до профілів і керування ними.

Якщо виникла суперечка щодо повернення коштів, порівняйте транзакцію з її погодженням і звітом про виплати. Ці записи відповідають на інше питання, ніж відомості про те, хто відкривав або змінював браузерне середовище.

Поширені запитання

1. Чи можуть кілька працівників користуватися одним бізнес-акаунтом із різними правами?

   Так, якщо робоча система розрізняє учасників і застосовує відповідні правила. Поєднуйте права користувачів на платформі, призначення робочих середовищ акаунтів і браузерні обмеження. Передавання всім однакових даних для входу саме по собі не створює різних прав.

2. Чи потрібне рольове керування доступом, якщо компанія має лише один акаунт?

   В одному акаунті можуть працювати люди з різними обов’язками. Підтримці, фінансовому й операційному відділам потрібні різні сторінки, дані та дії. Потреба в керуванні доступом залежить від розподілу роботи, а не лише від кількості акаунтів.

3. Чи можуть працівники працювати, не бачачи збережений пароль акаунта?

   MoreLogin дає адміністраторам змогу забороняти перегляд збережених паролів для вибраних ролей. Працівники користуються призначеними профілями з активним сеансом, а команда керує обліковими даними. Призначте відповідального, до якого можна звернутися для підтвердження входу й відновлення акаунта.

4. Чи може один працівник виконувати кілька ролей?

   Так. Працівник може мати різні ролі в різних системах або додаткові права на час підміни. Перевіряйте весь цей доступ разом. Якщо операційні завдання конфліктують із фінансовими обов’язками, змініть права або доручіть перевірку іншій людині.

5. Чи можна заборонити копіювання й завантаження, не блокуючи всю сторінку?

   Так. Налаштуйте потрібні обмеження дій на веб-сторінках для вибраних учасників і профілів. Працівник збереже доступ до сторінки для роботи, але копіювання чи завантаження буде обмежено. Перевірте ці дії разом зі звичайним завданням, перш ніж розширювати застосування правил.

Почніть з одного бізнес-акаунта та двох ролей. Перелічіть завдання кожного працівника, призначте відповідні браузерні профілі MoreLogin і налаштуйте потрібні правила. Перевірте дозволені дії та обмеження, перш ніж надавати доступ решті команди.