Uprawnienia i role w Nex1on: kto może co robić w serwisie

O tym, kto w serwisie może pisać aktualności, kto może zmieniać ustawienia, a kto widzi tylko strony publiczne, w Nex1on decydują uprawnienia. Uprawnień nie rozdaje się pojedynczo: zbiera się je w role, a role nadaje się ludziom. Poniżej opisujemy, jak to działa, jak dać człowiekowi to, czego potrzebuje, i nic ponad to, oraz jakie zabezpieczenia silnik dodaje sam, żebyś nie mógł zamknąć sobie drogi do panelu.

Jak to działa #

• Uprawnienie to jedna konkretna czynność, na przykład „Tworzenie wpisów” albo „zarządzanie użytkownikami”. Uprawnienia deklarują rdzeń i moduły; gdy włączasz moduł, jego uprawnienia pojawiają się również w rolach.
• Rola to nazwany zestaw uprawnień: Redaktor, Moderator, Użytkownik. Rolę można dostosować, można też utworzyć własną.
• Poziom to liczba przypisana roli. Odpowiada nie na pytanie, co rola może robić, ale kogo może edytować: nie możesz zmienić roli, która nie jest niżej od Twojej. Poziom człowieka to najwyższy poziom spośród jego ról.
• Uprawnienia osobiste to wyjątki dla jednej osoby: dodaj albo odbierz coś ponad to, co dają jej role.

Jeśli ktoś ma kilka ról, ich uprawnienia się sumują. Reguła osobista wygrywa z uprawnieniami roli, a osobisty zakaz wygrywa z osobistym nadaniem. Właściciel może wszystko bez żadnych wpisów: jego uprawnień celowo nie da się konfigurować, inaczej jedno odznaczone pole zostawiłoby serwis bez kontroli.

Wbudowane role #

Zaraz po instalacji jest sześć ról; poniższe poziomy odpowiadają czystej instalacji.

• Właściciel, poziom 100: wszystko dozwolone, uprawnień nie da się konfigurować.
• Administrator, 80: szeroki zestaw uprawnień do zarządzania serwisem, ale poniżej właściciela.
• Asystent administratora, 70: zarządza treścią serwisu bez uprawnień administracyjnych; widzi adresy e-mail autorów komentarzy i opinii.
• Redaktor, 60: pracuje z wpisami i stronami.
• Moderator, 40: pilnuje porządku w komentarzach i na forum.
• Użytkownik, 10: zwykła zarejestrowana osoba.

Ról Właściciel, Administrator, Redaktor, Moderator i Użytkownik nie można usunąć. „Asystenta administratora” i role utworzone przez Ciebie usunąć można, ale tylko wtedy, gdy nikt ich nie ma.

Krok 1. Zobacz, jakie są role #

Otwórz „Użytkownicy i dostęp → Role”. Dla każdej roli tabela pokazuje poziom, liczbę uprawnień i liczbę osób, które ją mają; na górze widać, jaki jest Twój własny poziom.

Na dole strony jest „Porównaj role”: tabela „uprawnienie — rola”, która od razu pokazuje, czym role różnią się od siebie. Oblicza się po naciśnięciu „Pokaż”.

Krok 2. Skonfiguruj uprawnienia roli #

Naciśnij „Edytuj” przy potrzebnej roli. Uprawnienia są pogrupowane w sekcje: panel, treść, bezpieczeństwo, system, użytkownicy. Każda sekcja ma przyciski „Zaznacz wszystkie” i „Odznacz wszystkie”, a wyszukiwarka znajduje uprawnienie po fragmencie nazwy lub po nazwie technicznej, na przykład users.edit.

Zaznaczenia nie działają, dopóki nie naciśniesz „Zapisz”: do tego czasu rola ma stare uprawnienia. Wyszukiwanie niczego nie odznacza; pozostałe uprawnienia zostają bez zmian.

Niżej na stronie roli są jeszcze dwa bloki. „O roli” zawiera poziom, opis i wygląd nazwy: kolor i ikonę przy nazwie każdej osoby z tą rolą, w komentarzach, na forum i w profilu. Wygląd zmienia tylko prezentację, nie dostęp. „Limity” określają, ile rola może: rozmiar pliku, liczbę plików i komentarzy na dobę, czas na edycję własnego komentarza. Zero oznacza, że rola nie ustala limitu i obowiązuje ogólne ustawienie serwisu; jeśli ktoś ma kilka ról, stosowany jest najhojniejszy limit.

Krok 3. Nadaj rolę osobie #

Otwórz „Użytkownicy”, wybierz osobę i znajdź blok „Role” w prawym górnym rogu jej strony: zaznacz potrzebne role i naciśnij „Zapisz”. Każda rola jest podpisana nazwą techniczną i poziomem, więc od razu widać, kto stoi wyżej.

Bardziej na lewo i niżej na tej samej stronie są „Uprawnienia osobiste”. Służą do wyjątków, na przykład dla redaktora, który nie może usuwać wpisów. Przełącznik „Tylko różnice względem roli” pokazuje wyłącznie to, co odbiega od roli, więc widać, czym ta osoba różni się od innych z tą samą rolą.

Jeśli rola jest potrzebna na jakiś czas, nadaj ją w bloku „Sankcje i terminy” (wiersz „Nadaj rolę na czas”): rola zostaje nadana na wybraną liczbę dni i wygasa sama. Tam też znajdziesz czasową blokadę i zakaz publikowania.

Reguły, które działają same #

• Automatyczna zmiana („Role → Automatyczna zmiana”): reguła typu „kto ma rolę A i jest zarejestrowany od 30 dni, dostaje rolę B”. Serwis sprawdza reguły raz na dobę; zmieniać je może tylko właściciel. Automatycznie można nadać tylko bezpieczną rolę: taką, która nie ma więcej uprawnień niż zwykły użytkownik i jest poniżej poziomu moderatora.
• Kategorie roli („Role → Kategorie roli”): które kategorie widzi rola. Domyślnie widać wszystko; możesz ukryć część kategorii albo zostawić tylko wybrane, a w ukrytych zamknąć tylko pełną treść i zostawić krótką w strumieniu wpisów. Osoba z kilkoma rolami widzi kategorię, jeśli otwiera ją przynajmniej jedna z jej ról.

Zabezpieczenia silnika #

• Właściciela nie można usunąć, dopóki jest właścicielem, a serwisu nie można zostawić bez właściciela: ostatni właściciel musi najpierw wskazać następcę.
• Nie możesz odebrać sobie dostępu do panelu ani zarządzania uprawnieniami: przywrócić go mógłby tylko właściciel.
• Roli, która nie jest niżej od Twojej, nie można edytować, a poziom nowej roli musi być niższy od Twojego.
• Przy kopiowaniu uprawnień z innej roli brane są tylko te, które masz sam.
• Wszyscy właściciele dostają e-mail, gdy zmieniają się reguły automatycznej zmiany, a nadanie roli zapisuje się w historii osoby: na jej stronie, w bloku „Historia”.

Co sprawdzić po konfiguracji #

• Wśród właścicieli nie ma zbędnych osób: „Role” → liczba osób przy roli „Właściciel”.
• Każdy redaktor i moderator ma tylko tę rolę, której wymaga jego praca.
• Uprawnienia oznaczone jako wrażliwe (ich nadużycie szkodzi ludziom w serwisie) mają tylko osoby, którym ufasz.
• Próbne logowanie na konto z rolą „Użytkownik” pokazuje tylko to, co chciałeś: nie widać zbędnych sekcji.
• Gorąco zalecamy włączenie logowania dwuetapowego na własnym koncie właściciela: konto z takimi uprawnieniami to główny cel ataków. Włącza się je w profilu osobistym, w sekcji bezpieczeństwa.

Jeśli coś poszło nie tak #

• Ktoś nie ma sekcji w menu. Sekcję wyświetla uprawnienie. Otwórz stronę tej osoby, „Uprawnienia osobiste” → „Tylko różnice względem roli”, oraz jej role: najczęściej w potrzebnej roli uprawnienie nie jest zaznaczone albo osobisty zakaz przeważa nad rolą.
• „Ta rola nie jest niżej niż Twoja — nie możesz jej edytować”. Tak ma być: takie role zmieniaj z konta wyższego poziomu albo jako właściciel.
• Roli nie da się usunąć. Ktoś ją ma: najpierw odbierz ją ludziom; lista jest na stronie roli.
• Goście nie widzą kategorii. Sprawdź „Kategorie roli” dla roli „Odwiedzający (niezalogowany)”.

Co dalej #

Najprościej rozdawać uprawnienia przez role, a osobiste wyjątki stosować rzadko. Gdy serwis rośnie, utwórz osobną rolę dla każdego rodzaju pracy, na przykład „Autor bloga”, i ustaw jej limity. A żeby zobaczyć, kto co robił z ustawieniami, otwórz dziennik zdarzeń bezpieczeństwa.