Тема
Безопасность входа
Для кого: ВладелецАдминистратор
Для чего
Статья объясняет, как сотрудник попадает в систему, как задаётся пароль, какие есть защитные механизмы и что делать, когда нужно закрыть доступ. В самой системе QAVE паролей нет: вход выполняет отдельная служба авторизации (Keycloak). QAVE отвечает за то, кто из вошедших пользователей что может делать.
Как сделать
Как дать сотруднику первый вход
- Создайте пользователя в разделе Пользователи. Саморегистрации в системе нет: войти могут только заведённые вами сотрудники.
- Сотрудник получает письмо со ссылкой для установки пароля (и подтверждения почты). Ссылка действует 7 дней.
- Пароль сотрудник задаёт сам, администратор его не знает.
- После установки пароля сотрудник входит по адресу почты и паролю.
Как восстановить доступ, если пароль забыт или ссылка устарела
В строке пользователя выберите «Отправить приглашение повторно». Сотрудник снова получит ссылку для установки пароля. Действие доступно для активных пользователей в пределах вашей области.
Как срочно закрыть доступ
Откройте Пользователи, выберите «Деактивировать» у сотрудника. Он перестаёт получать данные системы: все запросы отклоняются с сообщением, что пользователь деактивирован. История его действий сохраняется. Вернуть доступ можно кнопкой «Активировать».
Как проверить, кто что может
- В Ролях посмотрите матрицу прав и блок «История изменений».
- Владелец в списке пользователей видит колонку «Область действия» и может отфильтровать тех, кто имеет доступ к нужному подразделению.
Особенности
- Двухфакторная защита. В процесс входа заложен одноразовый код из приложения-аутентификатора (OTP): он запрашивается у тех, кто его настроил. Принудительным для всех он не включён, а в самой системе QAVE настроек двухфакторной защиты нет. Если нужна обязательная защита для отдельных сотрудников, обратитесь к специалисту, который администрирует службу авторизации.
- Сессия. В тестовой настройке сессия без активности закрывается через 3 часа, максимальная длительность — 10 часов; при отметке «Запомнить меня» — 7 дней. Эти сроки задаются на стороне службы авторизации и могут отличаться на вашем сервере.
- Выход. Кнопка «Выйти» завершает работу в приложении.
- Область управления. Администратор страны не может менять пользователей и выдавать доступ шире своей области, в том числе себе. Только администратор с областью «Вся компания» управляет общекорпоративными пользователями.
- Разделение обязанностей. Для критичных операций роль не может одновременно запрашивать и утверждать.
- Журнал изменений ролей. Изменения прав записываются с автором и временем. Отказы в доступе также отмечаются в журнале.
- Чувствительные поля (цены, суммы) видны только ролям с соответствующим флажком.
- Файлы и таблицы. Загружаемые файлы Excel и документы проверяются: допускаются только разрешённые форматы, размер ограничен 10 МБ.
Частые вопросы
Сотрудник уволился. Деактивируйте его. Не удаляйте: история действий должна остаться.
Сотрудник не может войти, хотя пароль верный. Проверьте, что он не деактивирован и что у него есть назначение роли. Без роли он войдёт, но разделов не увидит.
Есть ли требования к сложности пароля? В QAVE они не задаются; правила пароля определяет служба авторизации.
Можно ли включить двухфакторную защиту самому? В интерфейсе QAVE такой настройки нет. Вопрос к администратору службы авторизации.