Управление доступом
OpSee использует Keycloak в качестве поставщика идентификации. Управление доступом определяет, кто что может видеть и делать на платформе, от доступа к оборудованию на уровне оператора до настройки системы на уровне администратора.
Ключевые концепции
Пользователи
Пользователи управляются в Keycloak и синхронизируются с OpSee. Каждый пользователь имеет:
- Имя пользователя и email для идентификации
- Имя/фамилия для отображения
- Статус включён/отключён
- Группы, которые управляют тем, к чему пользователь имеет доступ
- Роли, которые управляют тем, что пользователь может делать
Группы
Группы определяют, какие данные пользователи могут видеть:
| Тип группы | Что контролирует | Пример |
|---|---|---|
| Группы оборудования | К каким единицам оборудования пользователь имеет доступ | "Операторы Линии 1" видят только Линию 1 |
| Группы меню | Какие пункты меню доступны пользователю | "Операторы" видят только Production, но не Admin |
Роли
Роли определяют, какие действия могут выполнять пользователи:
| Роль | Разрешение |
|---|---|
admin | Полный доступ ко всем функциям |
modify_equipment | Создание, редактирование, удаление оборудования |
modify_recipes | Создание, редактирование, удаление рецептов |
modify_materials | Создание, редактирование, удаление материалов |
view_audit | Просмотр журнала аудита |
Управление пользователями
Перейдите в Admin → Access Control → Users.
Создание пользователя
Нажмите + Create и заполните:
| Поле | Обязательно | Описание |
|---|---|---|
| Username | Да | Идентификатор для входа |
| Да | Адрес электронной почты пользователя | |
| First name | Нет | Имя для отображения |
| Last name | Нет | Фамилия для отображения |
| Password | Да | Начальный пароль (можно установить как временный) |
| Enabled | Да | Может ли пользователь входить в систему |
Назначение групп и ролей
После создания пользователя назначьте ему группы и роли:
- Откройте подробное представление пользователя
- На вкладке Groups выберите группы оборудования и меню
- На вкладке Roles выберите роли, определяющие разрешения
:::tip Принцип минимальных привилегий Начинайте с минимального доступа и добавляйте разрешения по мере необходимости. Операторам обычно нужна только их группа оборудования и группа меню "Production". :::
Управление паролями
Администраторы могут:
- Сбрасывать пароли: установить новый пароль для пользователя
- Временные пароли: заставить пользователей сменить пароль при следующем входе
Синхронизация с Keycloak
OpSee поддерживает двустороннюю синхронизацию с Keycloak:
- Группы оборудования: синхронизируются из Keycloak для определения видимости оборудования
- Группы меню: синхронизируются из Keycloak для определения доступа к меню
- Роли: синхронизируются из Keycloak для определения разрешений на функции
Перейдите в Admin → Access Control, чтобы запустить операции синхронизации вручную или проверить её статус.
:::info Автоматическая синхронизация Группы и роли автоматически синхронизируются при входе пользователей. Ручная синхронизация требуется только тогда, когда вы вносите изменения в Keycloak и хотите, чтобы они отразились немедленно, не дожидаясь повторной аутентификации пользователей. :::
Профиль пользователя
Каждый пользователь может управлять своим профилем, нажав на свой аватар в правом верхнем углу приложения.
Доступные настройки
| Настройка | Описание |
|---|---|
| Личная информация | Имя, фамилия, email, телефон, отдел |
| Аватар | Загрузка фотографии профиля (PNG, JPEG или WebP, максимум 500 КБ) |
| Язык | Выбор предпочитаемого языка интерфейса |
| Часовой пояс | Настройка часового пояса для отображения даты/времени |
| Пароль | Изменение пароля (минимум 8 символов) |
| Тема | Переключение между светлым и тёмным режимом |
Просмотр ваших разрешений
На странице профиля также отображаются ваши текущие:
- Роли: какие действия вы можете выполнять
- Группы: к какому оборудованию и пунктам меню у вас есть доступ
- История входов: когда вы заходили в последний раз
Если вам нужны дополнительные разрешения, обратитесь к администратору. Пользователи не могут изменять собственные роли или группы.
Синхронизация пользователей Grafana
Перейдите в Admin → Access Control → Grafana Users для управления интеграцией с Grafana:
- Просмотр всех пользователей Grafana
- Назначение пользователям ролей Admin, Editor или Viewer
- Согласование доступа Grafana с разрешениями OpSee
Следующие шаги
- Журнал аудита: отслеживание того, кто что делал
- Локализация: настройка языков для пользователей
- Обзор: возврат к обзору администрирования
Предварительные требования
- Обзор администрирования
- Введение: получите общее представление об OpSee
Связанные
- Обзор архитектуры
- Cockpit: дополнительный модуль