9.2. Компоненты подсистемы безопасности

Основные компоненты подсистемы безопасности CUBA приведены на следующей диаграмме.

Security
Рисунок 43. Диаграмма компонентов подсистемы безопасности

Рассмотрим их более подробно.

Security management screens - имеющиеся в платформе экраны, с помощью которых администратором системы осуществляется настройка прав доступа пользователей.

Login screen − окно входа в систему. В этом окне производится аутентификация пользователя по имени учетной записи и паролю. В базе данных вместо пароля, в целях его безопасности, хранится хэш.

После входа пользователя в систему создается объект UserSession − пользовательская сессия. Это центральный элемент обеспечения безопасности, объект, ассоциированный с аутентифицированным в данный момент в системе пользователем и содержащий информацию о правах доступа пользователя к данным.

Процесс входа пользователя в систему подробно описан в разделе Вход в систему.

Roles − роли пользователей. Роль - это объект системы, которому с одной стороны сопоставляется набор разрешений, необходимых для выполнения конкретных функций, а с другой стороны − подмножество пользователей, которые должны иметь эти разрешения.

Разрешения бывают следующих типов:

  • Screen Permissions - возможность открытия некоторого экрана.

  • Entity Operation Permissions - возможность совершения операции с некоторой сущностью: чтение, создание, модификация, удаление.

  • Entity Attribute Permissions - доступ к произвольному атрибуту некоторой сущности: модификация, только чтение, нет доступа. См. также Контроль доступа к атрибутам сущностей.

  • Specific Permissions - разрешение на некоторую именованную функциональность.

  • UI Permissions - управление доступом к элементам некоторого экрана.

Access Groups - группы доступа пользователей. Группы представляют собой иерархическую структуру, каждый элемент которой задает набор ограничений (Constraints), позволяющих контролировать доступ на уровне отдельных экземпляров (строк таблицы) некоторой сущности. Например, пользователь видит только те документы, которые были созданы в его отделе.