Как правильно создавать новые и использовать существующие SecurityKey

[Владимир Максимов]

Если я правильно понял, то основное правило работы с Security Keys заключается в следующем

1. На сам Security Keys не дается вообще никаких прав. Полный запрет. Уровень доступа = "Нет доступа"
2. Права даются на объекты, подключенные к соответствующему Security Keys

Все остальное - это уже следствие данного правила, тонкости реализации и ошибки функционала.

Другими словами Security Key выполняется функцию не собственно назначения прав, а всего-лишь предоставляет возможность настроить права подчиненных объектов. Делает не вполне то, для чего был задуман. Перестал быть "работягой" и стал "начальником"

[someOne]

Цитата:

Сообщение от Владимир Максимов

Если я правильно понял, то основное правило работы с Security Keys заключается в следующем

1. На сам Security Keys не дается вообще никаких прав. Полный запрет. Уровень доступа = "Нет доступа"
2. Права даются на объекты, подключенные к соответствующему Security Keys

Все остальное - это уже следствие данного правила, тонкости реализации и ошибки функционала.

Другими словами Security Key выполняется функцию не собственно назначения прав, а всего-лишь предоставляет возможность настроить права подчиненных объектов. Делает не вполне то, для чего был задуман. Перестал быть "работягой" и стал "начальником"

До Ax2009 все было так, в принципе.
- Если не считать кое где явную проверку прав на ключ в коде некоторого функционала (hasSecuritykeyAccess), в том числе самописного.
- Если не считать, что некоторые "Умельцы" которые делали Российский функционал в Ax3.0 "вешали" ключ прямо на меню (а не на MenuItem, это касалось например, модуля "зарплата")
В этих случаях приходится давать права на ключ а не на объект.

В Ax2009 применили странную систему. С одной стороны старая система проверки прав на объекты осталась. С другой стороны ряд функционала, (о которой описано выше) требует права на ключи а не на объекты. Например система "AOSAuthorization" работает только с правами на ключи, а не на объекты, и не всегда это легко "обойти".

Например в форме настройки стандартного фильтра Ax2009 при попытке "присоединить" источник данных другой таблицы (n:1 или 1:n) пользователь "увидит" только те таблицы, на КЛЮЧ которых у него есть права, а не на ОБЪЕКТ таблицы, на которую имеет доступ.

И еще одна особенность AX2009 по сравнению, например с Ax3.0.
Если ранее loockup поля "открывались" даже на те таблицы, на которые у пользователя прав нет, то в Ax2009 lookup так же проверяет права доступа. Если доступа на таблицу нет - открывается "пустой" lookup.

[Ivanhoe]

Цитата:

Сообщение от someOne

И еще одна особенность AX2009 по сравнению, например с Ax3.0.
Если ранее loockup поля "открывались" даже на те таблицы, на которые у пользователя прав нет, то в Ax2009 lookup так же проверяет права доступа. Если доступа на таблицу нет - открывается "пустой" lookup.

Ну как же так? Даже не поленился проверить. На какой версии 3.0 в лукапе можно увидеть данные из недоступной таблицы?

[someOne]

Цитата:

Сообщение от Ivanhoe

Ну как же так? Даже не поленился проверить. На какой версии 3.0 в лукапе можно увидеть данные из недоступной таблицы?

Только что проверил - все так.
Воспроизвел на ax3.0 Build #1951.3730/514-193 sp3/OP023-71

Приложение без всяких модификаций.

1. Создал новую группу.Нового пользователя.

2. Дал права на таблицу заказы, строки заказа, меню форму заказы. Это все.

3. Открываю под пользователем test - вижу данные из таблицы "способ поставки"

[Ivanhoe]

Цитата:

Сообщение от someOne

Только что проверил - все так.
Воспроизвел на ax3.0 Build #1951.3730/514-193 sp3/OP023-71
[/IMG]

Я на SP6 проверял.
Для чистоты эксперимента приложите скриншот с "Просмотр" не "Главное меню", а "Контроль доступа" и раскрытой веткой Основное / Таблицы и желательно там же таблицу "Способ поставки". Спасибо.

[someOne]

Цитата:

Сообщение от Ivanhoe

Я на SP6 проверял.
Для чистоты эксперимента приложите скриншот с "Просмотр" не "Главное меню", а "Контроль доступа" и раскрытой веткой Основное / Таблицы и желательно там же таблицу "Способ поставки". Спасибо.

Прилагаю.

Там на одном экране запущенная аксапта от имени Admin и test
Никакого обмана - сначала настроенные права (сохранил), - затем - откртие от имени test

[Ivanhoe]

Цитата:

Сообщение от someOne

Прилагаю.

Там на одном экране запущенная аксапта от имени Admin и test
Никакого обмана - сначала настроенные права (сохранил), - затем - откртие от имени test

Если придираться - то я просил ветку "Основное", т.к. способы поставки именно там. Но не верить вам у меня причин нет. Значит это явная ошибка SP3.

[Ivanhoe]

Продолжаем эксперимент

Цитата:

Сообщение от someOne

Например в форме настройки стандартного фильтра Ax2009 при попытке "присоединить" источник данных другой таблицы (n:1 или 1:n) пользователь "увидит" только те таблицы, на КЛЮЧ которых у него есть права, а не на ОБЪЕКТ таблицы, на которую имеет доступ.

Такое поведение не повторяется (ru6):

[someOne]

Цитата:

Сообщение от Ivanhoe

Продолжаем эксперимент



Такое поведение не повторяется (ru6):

Продолжаем...

На Ax2009 RU6

Из этого видно, что право на картотеку номенклатуры у пользователя есть,
однако добавить эту таблицу в настройку фильтра в форме "заказы" он не может.

[Ivanhoe]

Цитата:

Сообщение от someOne

Продолжаем...
На Ax2009 RU6
Из этого видно, что право на картотеку номенклатуры у пользователя есть,
однако добавить эту таблицу в настройку фильтра в форме "заказы" он не может.

А у пользователя есть права на таблицу xRefTableRelation??

[someOne]

Цитата:

Сообщение от Ivanhoe

А у пользователя есть права на таблицу xRefTableRelation??

В этом случае как раз права на таблицу xRefTableRelation ничего не дадут.
Даже если вы откроете права на эту таблицу то при попытке пользователем открыть диалог добавления таблицы в источник данных получите сообщение как показано ниже. Поэтому решить проблему может лишь открытие права целиком на ключ SysDevelopmentTables, либо отключение свойства AOSAuthorization таблицы xRefTableRelation с CreateReadUpdateDelete на None. Это сделано. И этого не достаточно.

Вне зависимости от варианта решения, пользователь все равно "видит" не все таблицы, а только те, на которых вообще нет никакого ключа, либо те таблицы, на ключ которых он имеет право, но не на объект (таблицу).

Проверил еще раз на НЕ модифицированном приложении ax2009 ru6