管理访问权限

概述

The Manage Access module enables you to manage user roles for an entity in your Data Service tenant. This extensive and granular permission model allows you to integrate all your business users using the service, based on their level of expertise, and your business requirements. Furthermore, you can select users or groups from your organization and assign roles to them.

备注：

Data Service 配置为默认情况下，组织用户可以读取数据。

要限制数据访问，请删除 Everyone 组，添加需要访问权限的用户或组并分配所需角色。

以下步骤可用于管理用户和组：

1. 在 “ Data Service ”选项卡中，选择右上角的“更多选项”菜单。
2. 选择“管理访问权限”。系统将显示“管理访问权限”页面。

提供以下选项卡：

选项卡	描述
分配角色	包含为当前租户定义的所有用户和组及其关联角色的列表。
角色	为 Data Service 定义的所有角色的列表。对于每个角色，您可以查看用户或组分配的数量。

标准角色

标准角色具有一组预定义的权限。 可以将以下标准角色分配给 Data Service 用户：

• 管理员
• 数据读取者
• 数据写入者

• 设计器

注意：您无法删除标准角色。

标准角色权限

每个标准角色都有一组不同的权限，包括至少一个管理权限和一个数据访问权限。

管理权限

以下是可分配给标准角色的管理权限相关说明。

权限	拥有此权限的角色……
管理权限	… 可以创建新角色，编辑和删除现有角色，以及为用户或组分配一个或多个角色。
查看所有架构	… 可以查看所有实体的架构和选项集定义，但无法进行修改。
自定义所有架构	… 可以查看、创建、编辑或删除所有实体的架构和选项集定义。

数据访问权限

以下是可分配给标准角色的数据访问权限相关说明。

权限	拥有此权限的角色……
无访问权限	… 无权访问任何实体数据。拥有此权限的用户或组无权创建、读取、编辑或删除实体的数据记录。
所有实体的读取访问权限。	… 可以查看实体的数据记录。
对所有实体的完全读取和写入访问权限。	… 可以创建、查看、编辑和删除实体的数据记录。

标准角色权限概述

下表汇总了每个标准角色的默认权限：

标准角色	管理权限	数据访问权限
管理员	管理权限	无访问权限
数据读取者	查看所有架构	所有实体的读取访问权限。
数据写入者	查看所有架构	对所有实体的完全读取和写入访问权限。
设计器	查看所有架构 自定义所有架构	无访问权限

自定义角色

通过自定义角色，您可以创建自定义权限集来分配给用户或组。

要创建新的自定义角色，您需要分配管理权限的权限。

自定义角色权限

对于自定义角色，您可以决定要为角色分配哪些权限。

在创建时，为新角色分配至少一个管理权限。因此，您可以为角色分配数据访问权限，从而授予指定实体的“创建”、“读取”、“编辑”或“删除”权限。

管理权限

以下是可分配给自定义角色的管理权限的说明。

权限	拥有此权限的角色……
管理角色	… 可以创建新角色，编辑和删除现有角色，以及为“用户”/“组”分配一个或多个角色。
查看架构	… 可以查看所有实体的架构和选项集定义，但无法进行修改。
自定义所有架构	… 可以查看、创建、编辑或删除所有实体的架构和选项集定义。

数据访问权限

定义自定义角色时，您可以为租户中的选定实体分配不同的数据访问权限。

您可以选择自定义角色是否可以“创建”、“读取”、“编辑”或“删除”实体记录。此外，如果实体具有已启用“基于角色的字段访问”的字段，则您可以为每个实体字段分配数据访问权限。

以下是可分配给“自定义角色”的实体数据访问权限的说明。

权限	拥有此权限的角色……
创建	… 可以创建实体记录。
读取	… 可以查看实体记录。
编辑	… 可以查看和修改实体记录。
删除	… 可以查看和删除实体记录。

创建自定义角色

要创建新角色，请执行以下操作：

1. 在“角色” 选项卡上，选择 “创建新角色”。
2. 在“创建角色” 面板中，在“角色名称”字段中输入新角色的名称。
3. 选择要分配给角色的“管理权限”。
4. 要将数据访问权限添加到角色，请选择目标实体：
   • 选择“添加实体”以显示可用实体。
   • 选择要为其定义权限的实体。
   • 选择所需权限。默认情况下，“读取”权限处于启用状态。
5. 选择“保存”以创建新的自定义角色。 该角色将显示在“角色” 选项卡中，并且其“类型” 为“自定义” 。

设置特定字段的权限

创建实体时，可以为用户创建的字段启用“基于角色的字段访问”。 定义自定义角色时，可以分配这些字段的数据访问权限。

注意：只有自定义角色才能更新，以授予访问字段中的数据的权限。

按照以下步骤设置基于角色的字段权限：

1. 创建新角色，或编辑现有自定义角色。
2. 如果实体具有已启用“基于角色的字段访问”的字段，系统将显示消息，指示添加数据访问权限：“某些字段需要数据访问权限”。 选择“添加它们” 。
3. 从下拉列表中选择要设置数据访问权限的字段。
4. 设置所需权限：“创建”、“读取”、“编辑”或“删除”。
5. 单击“保存”。

另请参阅 自定义实体。

备注：

If you do not configure permissions for fields where you enabled Role based field access, they will not be visible by default.

编辑自定义角色

您可能会改变对自定义角色特定权限的想法。 您可以通过选择相应的“编辑”按钮来编辑自定义角色。

删除自定义角色

如果您决定不再需要自定义角色，可以通过单击相应的“删除”按钮将其删除。

注意： 您无法删除 标准角色。

添加用户或组

Data Service 中的所有调用均基于用户授权。授权/拒绝操作的决策始终基于用户的有效权限，具体取决于用户的个人或组成员身份权限授予。Studio、Assistant 和 机器人 还将根据其配置的用户继承权限。

Data Service 支持组织中定义的所有用户和组，并且不维护单独的用户列表。

要添加属于您组织的用户，请执行以下操作：

1. 在“管理”页面 >“角色分配” 选项卡上，单击“分配角色” 。 “分配角色”面板将打开。
2. 在“名称”字段中，输入要添加的用户或组的名称。
3. 在“选择角色” 部分中，选择要分配给用户或组的角色。
4. 单击“保存”。
   注意：如果找不到用户，则表示他们在组织中没有帐户。

定义用户或组的角色

组是用户帐户的集合。Data Service 支持帐户中定义的所有组，并且不维护单独的组列表。向组授予的权限会传播到所有用户和组。

要定义用户或组的角色，请执行以下步骤：

1. 在“分配角色”选项卡中，将鼠标指针悬停在要分配角色的用户或组上。
2. 单击右侧的“编辑”图标。“编辑角色”面板将打开。
3. 为用户或组选择所需“角色”。
4. 单击“保存”。
   注意：可以为用户或组分配多个角色。在这种情况下，权限的并集适用。

默认组映射

组是具有特定权限集的用户容器。通过选择组并关联所需权限，可以在每个服务中配置组的权限。用户将获得分配给其所属组的所有权限的并集。

在将用户分配到组时，您将向用户授予具有为该特定用户组配置的权限的所有服务的访问权限。对服务的访问权限级别由在服务级别分配给该组的角色决定。

组成员身份	组织级别的角色	Data Service 角色
管理员	组织管理员	管理员、设计者和数据写入者
自动化开发者	用户	设计者和数据写入者
自动化用户	用户	数据写入者
Citizen Developer	用户	设计者和数据写入者
所有人	用户	数据读取者

备注：

自动角色映射适用于在引入 Citizen Developer 组后创建的租户。 对于在添加组之前创建的租户，您需要添加“Citizen Developer”组，并手动分配“设计者”和“数据写入者”角色。

删除用户或组

从“分配角色”选项卡删除用户或组意味着无法访问 Data Service。也就是说，每个已删除的用户和已删除组的用户都无法再访问 Data Service。

要再次允许访问，请单独添加组织用户或组 ，并为其分配 Data Service 角色。

要从“Data Service”中删除用户或组，请单击相应的“删除用户/组”按钮。

Role-based record access

Role-based record access allows you to restrict access to specific records in your Data Service entity.

注意：

Role-based record access restricts data access at the record level.

Role based field access restricts data access at the field level.

The Owner system field

When you enable Role-based record access, Data Service adds the Owner field to your entity.

The Owner field is a system field which specifies the user or group that owns the record. When the record is created, Data Service assigns the creator of the record as the Owner by default.

In addition, when you enable Role-based record access, Data Service adds an access level to your roles: Read/Edit/Delete own. This access level limits the role to only operate on records they are the record Owner for.

For example, if you create an entity for a scenario involving an application form:

• You can assign the Can create, Read all, Edit all, and Delete all access levels for a manager.

• You can assign the Cannot create, Read all, Edit own and Cannot Delete access levels for a review agent.

Enabling or disabling role-based record access for an entity

You can enable role-based record access when you create an entity, or by editing an existing entity.

Enabling role-based record access for a new entity

To enable Role-based record access for a new entity, take the following steps:

1. Go to Data Service.
2. Select Create New Entity.
3. Give your entity a Name and Description.
4. Select Enable role-based record access.
5. 选择 “保存”。

A pop-up opens and prompts you to access Manage Access to configure custom roles.

Enabling or disabling role-based record access for an existing entity

To enable or disable Role-based record access for an existing entity, take the following steps:

1. Go to Data Service.
2. Select Entities to view all entities.
3. Select the Edit button adjacent to a non-system entity.
4. Select Role-based record access.
   Note: You can currently only enable Role-based record access for entities without any existing records.
5. 选择 “保存”。

The Role-based record access slider is a context-sensitive toggle:

• If you select Role-based record access for an entity without this feature active, Data Service enables the feature.

• If you select Role-based record access for an entity with this feature already active, Data Service disables the feature.