Pregled in dodajanje uporabnikov in skupin

Pregledno okno za prikaz Uporabnikov in skupin je sestavljeno iz dveh delov.

V zgornjem delu so prikazani Uporabniki, ki imajo pravico do uporabe informacijskega sistema, v spodnjem delu pa so prikazane skupine uporabnikov.

Skupina uporabnikov nam omogoča dodeljevanje pravic za več uporabnikov naenkrat (za vse, ki so člani skupine).

V naslovni vrstici je omogočeno filtriranje uporabnikov glede na status aktivnosti (0-aktivni, 9-neaktivni, *-ni omejitve). Uporabniku, kateremu smo spremenili status aktivnosti na 9-neaktivno, s tem ne omogočimo več prijave preko vstopnega okna programa Saop Proizvodnja. Za spletne aplikacije se ta atribut ne upošteva.

Nove uporabnike dodajamo s standardnimi funkcijskimi tipkami. V polje Uporabnik vnesemo uporabniško ime, s katerim se bo uporabnik prijavljal v sistem Saop Proizvodnja. Vnesemo še ime in priimek uporabnika ter ime delovne postaje (vnos ni obvezen).

Nove skupine dodajamo tako, da najprej kliknemo v spodnji del ekrana in preko standardnih tipk dodamo novo skupino.

Klik na zapis skupine in dodatni meni omogoča pregled članov skupine. Prikazani so uporabniki, člani, ki jih vidimo na pregledu. V primeru, da imamo izbrane le aktivne uporabnike, bo pregled prikazal le te uporabnike (brez neaktivnih).

Dodano polje Windows uporabnik, v katerega lahko vnesemo naziv domena\Windows uporabniško ime. Program bo na tak način našel uporabniško ime za sistem Saop Proizvodnja in ga ponudil za prijavo.

Na ta način se omogoča ponujanje Saop Proizvodnja uporabniškega imena tudi, če je v Windows imenu uporabljen presledek. Windows ime se lahko vpiše v obliki z znakom \ ali @.

Dodano polje partner. Namenjeno je za določitev pravic zunanjih partnerjev, ki lahko dostopajo do Saop Proizvodnja. Uporablja se sedaj za aplikacije, narejene v WEB Orkester. Polje partner se obarva glede na polje Tip partnerja iz šifranta Partnerji (Zunanji partner, Interni partner, Povezane osebe)

Opcije dodatnega menija

- Skupine - člani
- Pravice uporabnika
- Pravice uporabnikov
- Uporabniki brez gesla
- Dodajanje uporabnikov iz skupine Active Directory - omogočen izbor uporabnikov iz domene. Najprej program ponudi možnost vnosa domene, iz katere se bodo uporabniki vpisali. Imena brez presledkov in šuminkov. Omogočena dodelitev članstva skupini.
- Spreminjanje uporabnikov iz skupine Active Directory - omogočen popravek uporabnikov iz domene in iz baze izbris uporabnikov, ki jih v domeni ni.
- Kopiraj uporabnika
- Uskladi uporabnike na strežniku
- Prikaži usklajenost gesel
- Briši neuporabljene prijave
- Nastavi jezik
- Dodaj uporabnika
- Prenos uporabnika na drugo bazo
- Skupine pravic po programih
- Vpis imena in priimka iz šifranta delavcev - če imamo v šifrantu delavcev vpisan podatek Login-Uporabniško ime, je s tem omogočen vpis imena in priimka nazaj na zapis uporabnika.
- Vpis imena računalnika iz zadnje prijave - program vpiše ime računalnika, s katerim se uporabnik prijavlja v sistem Saop Proizvodnja.
- Geslo uporabnika - možnost spremembe gesla uporabnika na katerem stoji program. Geslo se zamenja uporabniku na vse bazah istega strežnika. Uporabniku MIT_SA se geslo sme spremeniti le na strežniku. Klic modula je tudi preko ikone.

Preko ikone Povezave lahko spremljamo zgodovino sprememb:
- pravic uporabnika (tabela VSI_ABAZAMAT)
- pravic skupine (tabela (VSI_ABAZAGRP)
- članov v skupini (doodajanje/umik članstva) (tabela (VSI_ABAZAGRP)

Arhivske tabele se polnijo v primeru spremembe in ne novih zapisov.


Posebna orodja za skrbnika sistema

Administratorjem pripada naloga določiti vsem uporabnikom v podjetju njihovim delovnim nalogam primeren dostop do opravil in do podatkov. S primernim orodjem naj bi določili dovolj pravic v sistemu, z druge strani pa nekateri uporabniki ne smejo imeti preveč pravic.

Da bi delo administratorjem olajšali, smo pripravili orodja in postopke, ki so administratorjem, ki poznajo Windows okolje, čim bolj domača. Po drugi strani pa omogočajo še neke vrste arhiv, ki pride prav takrat, ko se sistem zruši in je potrebno sistemsko okolje na hitro in s čim manj dela vzpostaviti nazaj v prejšnje stanje.

Temu prilagojena so naslednja orodja:
- Izvoz skupin pravic v arhivsko datoteko
- Uvoz skupin pravic iz arhivske datoteke

Obe orodji sta dostopni v pregledu seznama uporabnikov in pravic. Prikličemo ju z desnim klikom miške, ko se odpre pomožni meni v Administratorskem modulu ADM (Vadmin.exe), do katerega pridemo preko menija Pravice / Uporabniki in skupine. Z miško kliknemo na tabelo v spodnjem delu, kjer je seznam skupin.

Izvoz skupin pravic

Ko je sistem pravic primerno nastavljen ali vsakokrat, ko je v sistemu izvršena sprememba, je primerno, da nastavljeno skupino pravic, ki zaokrožuje delo neke skupine uporabnikov, shranimo na varno mesto.

Skupina pravic je največkrat zelo prilagojena potrebam nekega podjetja in le malo verjetno je, da bi bila neka splošna skupina pravic primerna in uporabna v vseh podjetjih. Zato je primerno tako podjetju prilagojeno skupino pravic shraniti na varno mesto.

Orodje prikličemo preko desnega menija v tabeli s seznamom skupin pravic. To je spodnja tabela pregleda in seznama uporabnikov in skupin v modulu ADM (Vadmin.exe).

Postopek dela pri izvozu skupine pravic zahteva, da določimo:
- določimo datoteko skupaj s potjo, kamor bomo zapisali skupino pravic
- odločimo se ali bomo izvozili vse skupine ali samo izbrano skupino
- nazadnje določimo še ali bo skupino(ne) dodajali v že obstoječo datoteko ali pa bomo ustvarili novo

Pri izbiri imen skupin pravic je primerno, da skupine poimenujemo tako, da bodo že imena sama izražala dovolj nazorno, kaj ta skupina pravic vsebuje.
Primeri: ADMINISTRATORJI, SKLADIŠČNIK_MK, SKLADIŠČNIK_BK, SALDAKONTIST, ...

Uvoz skupin pravic

Oglejmo si postopek dela pri vpeljavi novega sistema pravic. V namestitveni datoteki, ki ste jo prejeli ob prvi namestitvi je mapa Dodatki\Pravice. Vsebuje datoteko ali celo več datotek s skupinami pravic.
Obstaja verjetnost , da na vaši namestitveni teh datotek ni. V takem primeru se obrnite na podporo, ki vam bo pomagala pri vzpostavitvi skupine pravic, ki je za vaše podjetje najbolj primerna.
Preden pa v podporo izvajalca pokličete ali pošljete e-pošto, pripravite seznam uporabnikov in seznam opravil za vsakega uporabnika.

Dodajanje pomeni, da se v sistem že obstoječi skupini dodajo pravice dostopa do podatkov in opravil, ki jih ta skupina v obstoječem sistemu še ni imela.
Zamenjava pravic pomeni, da se že obstoječi skupini v sistemu, obstoječe pravice odvzamejo in se dodajo tiste, ki so na seznamu v datoteki iz katere pravice uvažamo.
Orodje nudi visoko prilagodljivost z raznimi možnimi kombinacijami. Priporočamo, da ga uporablja izključno skrbnik-administrator sistema, ki ima dovolj izkušenj z dodeljevanjem pravic uporabnikom.
Naslednji korak je, da se tako uvoženim skupinam pravic priklopijo še uporabniki, ki bodo opravljali dela in naloge, ki jih takšna skupina pravic omogoča.

Orodje prikličemo na desni klik miške v tabeli s seznamom skupin pravic. To je spodnja tabela pregleda in seznama uporabnikov in skupin v modulu ADM (Vadmin.exe).

Skupine, člani

Združevanje uporabnikov v skupine

Delo skrbnika sistema - Administratorja se poenostavi z združevanjem uporabnikov v skupine. Definicija skupin je omogočena z istim orodjem kot definicija uporabnikov in gesel.

Postopek dela:
1. V spodnjo preglednico vnesemo ime-kodo skupine (priporočamo enostavna in smiselna imena). Geslo ni potrebno. Opis skupine je zaželen

2. V meniju (desni klik miške) v preglednici skupin izberemo Skupina / Člani skupine. V meniju (desni klik miške) v preglednici uporabnikov izberemo Uporabnik/ Uporabnik je član skupine.

Odpre se okno, kjer določamo člane skupine oziroma določimo v katerih skupinah je uporabnik včlanjen. 

 Slika: Pregled skupin, ki jim uporabnik pripada

Na ta način se poenostavi dodeljevanje pravic uporabnikom. Uporabnik privzame pravice, ki so dodeljene skupini.

Pravice uporabnika

Omogočen je pregled pravic konkretnega uporabnika. Datum vnosa oziroma spremembe je podatek o vnosu/spremembi pravice in ne kdaj je bila pravica dejansko dodeljena uporabniku oz. skupini. Kdo in kdaj je dodal pravico uporabniku ali uporabnika v skupino je mogoče videti na izpisu. 

Preko ikone lahko izvedemo izpis pravic uporabnika.

Izpis zajema pregled uporabnikov in njihovih pravic na določen dan ter pravice na šifrant Stroškovna mesta in Projekti.

Pravice uporabnikov

V dodatnem meniju se nahaja celoten pregled pravic vseh uporabnikov in skupin. 

Na pregledu je omogočen izpis (F5 ali ikona za tiskanje), ki je enak po izgledu kot v pregledu Pravice uporabnika.

Omogočen je izbor oziroma omejitev na uporabnika ali stroškovno mesto. 

Kopiraj uporabnika

Kopiraj uporabnika je pomočnik, ki kreira novo uporabniško ime s pravicami, ki jih ima prvotno uporabniško ime na katerem stojimo, ko izvajamo kopiranje.

Po vnosu novega uporabniškega imena, ki nima presledkov ali šumnikov, ime in priimek delavca v ločenem polju, nam program ponudi še okno za vpis gesla. Uporabnik si naj dodeljeno geslo spremeni v meniju Opcije / Okolje / Sprememba gesla.

Uporabniki brez gesla

Program na pregledu prikaže tista uporabniška imena katera so brez gesla za prijavo v sistem Saop Proizvodnja.

Gesla se zahtevajo ob dodelitvi novega uporabnika. Zato ta test omogoča hiter pregled katera uporabniška imena gesla nimajo izbranega.

Briši neuporabljene vezave

Program briše iz baze uporabnike, ki ne obstajajo v šifrantu uporabnikov program Admin.

Uporabniki na strežniku ostanejo nespremenjeni.

Uskladi uporabnika na strežniku

Za operacijo je potrebna ADMINSQL pravica in teče le v 'MIT' avtentifikaciji.
V vsaki MIT-ovi bazi je seznam uporabnikov v tabelah viden v Vadmin.exe. Za ustrezno prijavljanje v Saop Proizvodnja morajo biti ti uporabniki definirani tudi na SQL strežniku, kjer ima vsak uporabnik svoj login in user-je z v ustreznih bazah. Vsak user mora imeti tudi db_owner vlogo.
Gesla v tabelah morajo biti usklajena (ne pomeni ista) z gesli v login-ih na SQL. 

Prav tako mora biti na SQL strežniku definiran MIT_LOGIN login in user MIT_LOGIN v MIT-ovih bazah ter MIT_APP aplikacijska vloga z ustreznimi select pravicami.

Ob prenašanju baz na SQL strežnik ali z direktnimi spremembami (preko npr. Enterprise Manager) se lahko usklajenost poruši.

Trenutna baza je baza s katere se zažene operacija.
Operacija na celotnem SQL strežniku poišče in popravi možna neskladja z MIT IS za uporabnike iz tabel trenutne baze. 
V primeru, da imamo na strežniku več MIT-ovih baz z istimi uporabniki kot v trenutni bazi , bo operacija prenastavila stanje tudi za te uporabnike v sosednjih bazah. Ker je prijavljanje v bazo na nivoju SQL strežnika morajo biti gesla enega uporabnika v vseh Saop Proizvodnja bazah ista. 

Na izbiro je testiranje stanja na SQL strežniku, ki ne spreminja stanja na strežniku, in izvedbo operacije, ki popravi stanje na strežniku.

POZOR: Osnova za nova gesla uporabnikov so gesla v tabelah trenutne baze. Če npr. zaženemo operacijo iz neke stare restore backup MIT -ove baze, se uveljavljajo gesla(stara) iz te baze na vseh ostalih Saop Proizvodnja bazah. 
Operacija za uporabnike trenutne baze naredi sledeče:
- Doda nove login-e na SQL strežnik, če teh še ni.
- Geslo za login-e uveljavlja z gesli iz trenutne baze.
- Doda sysadmin server vlogo uporabnikom z ADMINSQL pravico ali pa jo briše v nasprotnem primeru.
- Briše neustrezne server vloge loginom.
- V vseh bazah ustrezno doda manjkajoče user-je oz. njim manjkajoče db_owner vloge
- V vseh MIT-ovih bazah na SQL strežniku poveže user-je z ustreznimi login-i
- V vseh bazah ustrezno nastavi geslo v tabelah tako, da uveljavlja gesla iz trenutne baze
- Odstrani user-je iz MIT-ovih in ostalih baz kamor ne spadajo.

Operacija tudi preveri in nastavi začetno stanje v vseh Saop Proizvodnja bazah kjer se nahajajo uporabniku trenutne baze:
- Preveri in nastavi MIT_LOGIN login na SQL strežniku.
- Preveri in nastavi MIT_LOGIN uporabnika v vseh bazah.
- Preveri in nastavi MIT_APP aplikacijsko rolo v vseh bazah s select ustreznimi pravicami.

Dodajanje skupin po programih

Iz pregleda Uporabniki in skupine je na dodatnem meniju možnost, ki omogoča hitro kreiranje skupin pravic za vse programe z vsemi pravicami, ki se začnejo imensko isto kot program. Tako dobimo skupine pravic z 'administratorskimi' pravicami posameznega programa.

Uporabnik za sprožitev te akcije potrebuje pravico ADMIN in ADMINSQL.

Avtomatično kreirane skupine pravic se začnejo z ADM.xxx (ADM.ZAJ). Ne dodaja se pravica ADMINSQL in SIFRE.VSI_xxxx. Kreirajo se vse skupine pravic, ne glede na to ali ima podjetje vključen program ali ne. Tako je enostavneje začeti z naknadno vključitvijo in uporabo programa.

Avtomatično kreirane skupine pravic dajejo članom skupine vse pravice v okviru posameznega programa. To so pravice, ki se začnejo z isto oznako kot je oznaka programa. Večina pravic glavnih šifrantov se začnejo z oznako VSI in zato so te pravice v okviru skupine ADM.VSI.

Občasno so v programih vključeni šifranti, za katere se skrbi v drugem programi in imajo tako pravico, ki se začnejo z drugačno oznako. Te pravice je potrebno dodati dodatno k skupini pravic oziroma odpreti ločeno skupino pravic (šifranti programa Kadrovska in Plače).

Ponovna sprožitev opcije avtomatično doda manjkajoče pravice na avtomatično kreirane skupine (ADM.XXX). Morebitno brisanje pravice tako kreiranim skupinam, zato ni smiselno. Če želimo skupino pravic z manj pravicami, jo moramo kreirati sami.

Ponovna sprožitev pa ne briše dodane pravice avtomatično kreirani skupini.

V primeru, da smo spreminjali atribute pravic (vse, branje, pisanje, brisanje...) na avtomatično kreiranih skupinah, pa ponovna sprožitev opcije teh sprememb ne ponastavi na prvotno stanje.