Ключи контроля доступа настраиваются в Администрирование> Настройка> Контроль доступа> Права групп пользователей на вкладке Права доступа.

В профиле безопасности можно назначить разрешения, которые определяют доступ к пунктам меню, элементам управления в формах, таблицам и полям.

Разрешения назначаются согласно пяти возможным уровням доступа:

• Нет доступа. Полный запрет доступа к данному элементу и всем подчиненным элементам, которые от него зависят. Команда Открытиеотключена. Кроме того, узел не отображается в репозитории прикладных объектов (AOT).

• Уровень доступа Вид. Члены группы пользователей могут только просматривать данный элемент. Команды Сохранить, Компилировать, Блокироватьи Разблокироватьотключены.

• Уровень доступа Правка. Члены группы пользователей могут просматривать и редактировать данный элемент. Команды Создать, Дублироватьи Переименоватьотключены.

• Уровень доступа Создать. Члены группы пользователей могут просматривать и редактировать элементы, а также создавать новые. Команда Удалитьотключена.

• Полный доступ. Члены группы пользователей имеют полный доступ. Все команды включены.

Безопасность доступа для каждого пользователя должна быть определена до первого входа в систему. Уровень доступа зависит от того, членом каких групп пользователей, компании или домена является данный пользователь. Доступ к функциональным возможностям каждого ключа контроля доступа может зависеть от его родителя, поэтому вычисление должно выполняться в иерархическом порядке.

Примечание

•Разрешения более низкого уровня наследуются разрешениями более высокого уровня. Например, группа с разрешениями Создатьдля пункта меню также обладает разрешениями Правкаи Вид. •Если группе пользователей предоставляются разрешения разработчика, эта группа должна иметь разрешения разработчика во всех доменах. •В разных доменах у группы пользователей могут быть разные разрешения. Дополнительные сведения о доменах см. в разделе Управление доменами. •Например, если при назначении разрешения для ключа родительского узла выбрать Утверждение отсутствия, а затем Полный доступ, все дочерние узлы наследуют это разрешение. При необходимости можно изменить разрешения на отдельных дочерних узлах.

Чтобы настроить ключи контроля доступа, администратор прежде всего выбирает группу пользователей и соответствующий домен (можно выбрать все домены одновременно). Затем строится дерево безопасности; администратор может просмотреть его и внести необходимые изменения.

Примечание
При изменении свойства Ключ контроля доступа для любого объекта AOT изменения вступают в силу только после перезапуска клиента.

Разрешения более низкого уровня наследуются разрешениями более высокого уровня. Например, группа с разрешениями Создатьдля элемента (например формы) имеет также разрешения Правкаи Вид. В следующей таблице показаны наследуемые разрешения.

Если пользователь входит в несколько групп, эффективным является разрешение более высокого уровня. Например, если в одной группе пользователь имеет разрешения Создать, а в другой — разрешения Правка, эффективным уровнем разрешений будет Создать.

Явно указанное разрешение Нет доступапереопределяет все остальные разрешения.

Ключи контроля доступа позволяют предоставить группе пользователей доступ в системе Microsoft Dynamics AX. Ключи контроля доступа имеют два главных свойства:

• конфигурационные ключи— система конфигурационных ключей позволяет администратору настраивать доступность функций для всей системы;

• родитель(можно указать только один родительский ключ контроля доступа) — связи родитель-потомок определяют, можно ли отключить ключ. Если назначить разрешение ключу родительского узла (например, выбрать Утверждение отсутствия, а затем Полный доступ), все дочерние узлы наследуют это разрешение. При необходимости можно изменить разрешения на отдельных дочерних узлах.

На следующем рисунке показана последовательность проверки безопасности доступа. Как показано на рисунке, система проверяет, включен ли конфигурационный ключ. Если он включен, система определяет, были ли для ключа контроля доступа заданы особые права. Затем, если ключ контроля доступа является дочерним, он получает те же разрешения на доступ, что и родитель.

Каждый родительский ключ контроля доступа обеспечивает надежную защиту функциональных возможностей в пределах Microsoft Dynamics AX, а соответствующие дочерние ключи контроля доступа разделяются на девять категорий:

• ежедневно — содержит формы, к которым наиболее часто обращаются из данного меню;

• журналы — соответствует папке Журналы в меню;

• запросы — соответствует папке Запросы в меню;

• отчеты — соответствует папке Отчеты в меню;

• периодически — соответствует папке Периодически в меню;

• настройка — соответствует папке Настройка в меню;

• разное — управляет доступом ко всем пунктам меню, используемым в модуле, к которым нет доступа из меню. Обычно это элементы меню, доступ к которым осуществляется с помощью кнопок в формах;

• таблицы — перечисление всех таблиц, используемых в данном модуле;

• службы — управляет доступом к службам. Чтобы пользователи могли выполнять операции со службами из внешнего клиента, им необходимо предоставить разрешение "Полный доступ".

Для каждого модуля имеется набор из десяти ключей контроля доступа. Все они имеют одинаковую структуру именования, а префиксы обозначают модуль. Например, для модуля Расчеты с клиентами действуют следующие ключи контроля доступа:

• Cust;

• CustDaily;

• CustSetup;

• CustJournals;

• CustInquiries;

• CustReports;

• CustPeriodic;

• CustMisc;

• CustTables;

• CustServices.

Каждый пункт меню связан с одним (и только одним) ключом контроля доступа. Уровень доступа к пункту меню может варьироваться от Нет доступадо Полный доступ.

1. В клиенте Microsoft Dynamics AX выберите Администрирование> Настройка> Контроль доступа> Права групп пользователей.

2. На вкладке Обзорвыберите группу пользователей, а затем выберите домен.

3. Щелкните вкладку Права доступа.

4. В списке выберите элементы, для которых необходимо настроить разрешения, например Утверждение отсутствия.

   Примечание
   Чтобы выбрать несколько элементов, удерживайте нажатой клавишу CTRL.

5. В разделе Доступвыберите уровень разрешений. После этого выделенный элемент отмечается флажком, который показывает, что разрешения заданы.

6. В списке Просмотрвыберите новую область Microsoft Dynamics AX, для которой требуется настроить разрешения.

7. Нажмите сочетание клавиш CTRL+S, чтобы сохранить изменения.

8. Если разрешения существующей группы были изменены, особенно если для этой группы были настроены более ограничивающие разрешения, перезапустите сервер Microsoft Dynamics AX и попросите всех членов группы перезапустить свои клиенты Microsoft Dynamics AX. .

Примечание
При изменении свойства Ключ контроля доступа для любого объекта AOT изменения вступают в силу только после перезапуска клиента.

Примечание
Если необходимо настроить разрешения для группы в другом домене, повторите эту процедуру, выбрав новый домен на шаге 2.

Права доступа групп пользователей к репозиторию прикладных объектов (AOT), центральному репозиторию для классов, таблиц и других элементов разработки в Microsoft Dynamics AX, рекомендуется ограничивать. По умолчанию, только члены группы Администраторы обладают доступом к AOT. В целях безопасности рекомендуется создать группу разработчиков (см. раздел Управление сообщениями электронной почты) и дать этой группе право на выполнение изменений в AOT. Если используется строгая политика безопасности с наименьшими привилегиями, группа разработчиков может обладать разрешением Правка. Однако если разработчикам необходимо создавать или удалять элементы AOT, этой группе потребуется разрешение Создатьили Полный доступ.

Никаким другим группам лучше не давать прав доступа к AOT, особенно если эти права позволяют членам группы выполнять изменения в AOT. Если это необходимо, можно назначить разрешение Вид, которое позволит пользователям просматривать элементы в AOT.

Коррекция основных типов

В состав Microsoft Dynamics AX включены отчеты о разрешениях пользователей и групп пользователей (также называемые отчетами безопасности). В этих отчетах перечислены разрешения для выбранного пользователя или группы пользователей. Эти отчеты помогают в формировании последовательной политики безопасности при создании новых пользователей или групп пользователей, а также при настройке домена.

Просмотр отчетов о разрешениях пользователя

Просмотр отчетов о разрешениях для групп пользователей

• Если вы не уверены, разрешать ли доступ к определенному элементу, оставьте разрешения на уровне Нет доступа. Лучше запретить доступ к элементу и предложить пользователю запросить разрешение для своей группы, нежели предоставить разрешение доступа к области, к которой группе обращаться не следует.

• Ограничьте число пользователей, являющихся членами группы Администраторы, которая по умолчанию имеет доступ ко всем полям, таблицам, отчетам и модулям в Microsoft Dynamics AX. Становясь членами группы Администраторы, пользователи смогут просматривать отчеты или данные, которые они, возможно, просматривать не должны, или изменять конфигурации и бизнес-логику в системе. Наилучшим вариантом было бы, чтобы в группу Администраторывходили только те пользователи, которые настраивают и администрируют продукт Microsoft Dynamics AX.

Важно

После изменения разрешений для группы пользователей, особенно если уровень разрешений был понижен, нужно перезапустить сервер Microsoft Dynamics AX и попросить всех членов группы перезапустить свои клиенты Microsoft Dynamics AX. Если перезапуск клиентов не будет выполнен, есть вероятность, что члены группы сохранят свои прежние разрешения. Лучше всего попросить членов группы, чтобы перед сменой разрешений они отключились от Microsoft Dynamics AX, и проинформировать всех пользователей Microsoft Dynamics AX о предстоящей перезагрузке клиента. Если это необходимо, перед сменой разрешений для группы пользователей можно выбрать пользователей в форме Активные пользователи( Администрирование> Активные пользователи), а затем нажать Завершение сессий. Дополнительные сведения см. в разделе Удаление пользователей.