Kā administrēt Budžeta risinājuma lietotājus?

[#1]

Lietotājus un to lomas budžeta datiem pārvalda administrators: izveido lietotāju, nosūta aktivizācijas e-pastu un piešķir lomu kombināciju, kas nosaka, ko lietotājs redz un drīkst darīt Budžeta risinājumā. Katras lomas nozīme un biežāk izmantotās lomu kombinācijas ļauj izvēlēties lietotājam vajadzīgo piekļuvi. 

1. Kā tas darbojas

Budžeta risinājums ir veidots izmantojot atvērtā koda platformu Superset. Superset ir atskaišu un datu vizualizācijas rīks, kurā lietotāji skatās datu paneļus, diagrammas un ievadformas. Superset pats lietotājus nepārvalda, to dara Keycloak - centrālā sistēma, kurā tiek glabāti lietotāji un viņu lomas.

Administratoram lietotāju pārvaldībai jāizmanto Keycloak: tur izveido lietotājus, piešķir lomas un nosūta aktivizācijas e-pastus.

Princips

1. Visi lietotāji tiek izveidoti Keycloak.
2. Visas lomas lietotājiem tiek piešķirtas Keycloak.
3. Lietotājs piesakās Superset, nospiežot "Sign in with Keycloak" (vienota pieteikšanās).
4. Pieteikšanās brīdī Superset lietotājam no Keycloak automātiski tiek piešķirta loma - katrā pieteikšanās reizē.
5. Atbilstoši lomām tiek noteikts, ko lietotājs drīkst redzēt un darīt.

Lomu grupas

Lai lietotājs varētu strādāt, viņam jāpiešķir lomas no vairākām grupām. Katra grupa atbild uz citu jautājumu:

Lomu grupa	Uz ko atbild	Piemērs
LIC_*	Ko lietotājs drīkst darīt Superset – tikai skatīties vai arī veidot savas atskaites	LIC_VIEWER – tikai skatīt esošās atskaites
ATSK_*	Kuras atskaites un ievadformas lietotājam ir pieejamas	ATSK_01_BUDZ_PLANOSANA – piekļuve budžeta plānošanas ievadformai
SKATIT_STR_*	Kuras struktūrvienības datus lietotājs redz	SKATIT_STR_04 – redz struktūrvienību 04 un visas tai pakārtotās
VADIT_STR_* (pēc vajadzības)	Par kuru struktūrvienību lietotājs drīkst vadīt datus	VADIT_STR_04 – drīkst vadīt datus par struktūrvienību 04
Darbību lomas, piemēram, LOMA_* (pēc vajadzības)	Kādas darbības lietotājs drīkst veikt (labot, apstiprināt, veidot grozījumus)	LOMA_1POSMS_APSTIPRINAT – apstiprina 1. posma datus

2. Jauna lietotāja izveide

Lietotāju administrēšana tiek veikta rīkā Keycloak. Lai tam pieslēgtos, atveriet adresi:

https://auth.budzets.horizon.lv/admin/***-***-pasvaldiba/console/

Ziņai: Zvaigznīšu vietā jāraksta jūsu pašvaldības nosaukums. Administratoram pirmo reizi pieslēdzoties jānomaina parole.

2.1. Keycloak sākuma skats

Pēc pieslēgšanās tiek attēlots galvenais pārvaldības ekrāns. Lietotāju administrēšanai vajadzīgas divas sadaļas kreisajā izvēlnē:

• Realm roles – visu pieejamo lomu saraksts;
• Users – visu lietotāju saraksts. Šeit izveido jaunus lietotājus un piešķir lomas.

Ekrānuzņēmums Nr. 1 no 8. Keycloak galvenais ekrāns – kreisajā izvēlnē sadaļas "Realm roles" un "Users"

2.2. Jauna lietotāja izveide

Atveriet sadaļu "Users" un nospiediet "Add user".

Ekrānuzņēmums Nr. 2 no 8. Jauna lietotāja izveides forma "Create user", kas tiek atvērta pēc "Add user" nospiešanas

Aizpildiet formu:

• "Required user actions": "Verify Email" un "Update Password";
• "Email verified": "On";
• "Select a locale": "Latviešu";
• "Email": lietotāja e-pasta adrese;
• "First name" un "Last name": lietotāja vārds un uzvārds.

Ekrānuzņēmums Nr. 3 no 8. Jauna lietotāja izveides forma "Create user" ar aizpildītiem laukiem (personas dati aizklāti)

Pēc tam nospiediet "Create".

2.3. Aktivizācijas e-pasta nosūtīšana

Pēc lietotāja izveides jānosūta aktivizācijas e-pasts. Atveriet cilni "Credentials" un nospiediet "Credential Reset".

Ekrānuzņēmums Nr. 4 no 8. Cilne "Credentials" – saite "Credential Reset"

• "Reset action": "Verify Email" un "Update Password";
• "Expires In": 3 dienas (tik ilgi nosūtītā saite ir derīga).

Ekrānuzņēmums Nr. 5 no 8. Logs "Credentials Reset" – nospiediet "Send Email"

Nospiediet "Send Email". Lietotājs saņem e-pastu ar aktivizācijas saiti. Kad lietotājs apstiprina e-pastu un izveido paroli, viņš var pieteikties Superset, nospiežot "Sign in with Keycloak".

Ekrānuzņēmums Nr. 6 no 8. Superset pieteikšanās ekrāns – poga "Sign in with Keycloak"

Svarīgi: Ja aktivizācijas saite nav izmantota 3 dienu laikā, tās derīguma termiņš beidzas. Tādā gadījumā atkārtojiet "Credential Reset" un nosūtiet jaunu e-pastu.

3. Lomu piešķiršana lietotājam

Kamēr lietotājam nav piešķirtas lomas, pēc pieteikšanās Superset viņš neredz neko. Lomas piešķir Keycloak lietotāja cilnē "Role mapping".

Ekrānuzņēmums Nr. 7 no 8. Lietotāja cilne "Role mapping"

1. Keycloak sadaļā "Users" atveriet vajadzīgo lietotāju.
2. Atveriet cilni "Role mapping" un nospiediet "Assign role".
3. Izvēlnē izvēlieties "Realm roles". Tiek atvērts visu pieejamo lomu saraksts (var meklēt pēc nosaukuma).
4. Atzīmējiet vajadzīgās lomas un nospiediet "Assign".

Ekrānuzņēmums Nr. 8 no 8. Lomu piešķiršanas logs "Assign Realm roles" – atzīmējiet vajadzīgās lomas un nospiediet "Assign". Lomu nosaukumi piemērā ir ilustratīvi; jūsu sarakstā ir redzamas pašreizējās lomas.

Pamatnoteikums

Lietotājam jāpiešķir:

• vismaz viena LIC_* loma (ko drīkst darīt) +
• vismaz viena ATSK_* loma (kādas atskaites redz) +
• vismaz viena SKATIT_STR_* loma (kuras struktūrvienības datus redz);
• pēc vajadzības VADIT_STR_* un darbību lomas LOMA_* (ja lietotājam jāvada vai jāapstiprina dati).

Konkrētas kombinācijas skatiet 5. sadaļā.

Lomas noņemšana

Lai noņemtu lietotājam lomu, cilnē "Role mapping" atzīmējiet lomu un nospiediet "Unassign".

Svarīgi: Izmaiņas stājas spēkā nākamajā lietotāja pieteikšanās reizē. Ja lietotājs jau ir pieteicies, viņam jāizrakstās (logout) un jāpiesakās vēlreiz.

4. Lomu apraksti

Visas lomas Keycloak ir pieejamas sadaļā "Realm roles". Katrai lomai ir īss apraksts latviešu valodā, kas redzams lomu sarakstā – tas palīdz izvēlēties pareizo lomu.

Loma	Veids	Kam paredzēta
LIC_PUBLIC	Licences loma	Tukša loma – nedod nekādu piekļuvi
LIC_VIEWER	Licences loma	Skatītāji: skatīt esošas atskaites
LIC_ANALYST	Licences loma	Analītiķi: skatīt un veidot savas atskaites
ATSK_VISAS	Atskaišu loma	Piekļuve visām atskaitēm
ATSK_01_BUDZ_*	Atskaišu loma	Piekļuve konkrētām atskaitēm vai ievadformām (skat. 4.2.)
SKATIT_STR_<kods>	Struktūrvienības loma	Redzēt konkrētas struktūrvienības datus
VADIT_STR_<kods>	Struktūrvienības loma	Vadīt datus par konkrētu struktūrvienību
LOMA_*	Darbību loma	Kādas darbības drīkst veikt (labot, apstiprināt u.c.)

4.1. Licences lomas (LIC)

Licences loma nosaka, ko lietotājs drīkst darīt pašā Superset. Vienam lietotājam vienmēr piešķir tikai vienu licences lomu - LIC_VIEWER vai LIC_ANALYST.

LIC_PUBLIC – tukšā loma
Mērķis	Nodrošina, ka nepieslēgts lietotājs neko neredz
Piekļuve	Nekāda
Kad piešķirt	Tā tiek piešķirta automātiski, kad lietotājs pieslēdzas Superset

LIC_VIEWER – skatītājs
Mērķis	Standarta lietotāji, kas tikai skatās esošās atskaites
Ko drīkst	skatīt paneļus un diagrammas; lietot filtrus panelī; eksportēt datus (piemēram, uz Excel); izveidot brīdinājumus un e-pasta ziņojumus; pārvaldīt savu profilu (piemēram, nomainīt paroli).
Ko nedrīkst	veidot vai mainīt paneļus un diagrammas

Ieteikums: LIC_VIEWER piešķiriet visiem standarta lietotājiem. Papildus vajadzīga vismaz viena ATSK_* loma un SKATIT_STR_* loma, citādi nekas nebūs redzams.

LIC_ANALYST – analītiķis
Mērķis	Lietotāji, kas veidos savas atskaites
Ko drīkst	visu to, ko LIC_VIEWER; veidot, mainīt diagrammas un paneļus; eksportēt datus (piemēram, uz Excel); dalīties ar paneļiem un diagrammām, izmantojot saiti; saglabāt filtru izvēles.
Ko nedrīkst	mainīt datu avotus, strādāt ar SQL redaktoru vai administrēt sistēmu

4.2. Atskaišu piekļuves lomas (ATSK)

Šīs lomas nosaka, kurām atskaitēm un ievadformām lietotājs var piekļūt. Tās nedod tiesības darboties Superset, tāpēc vienmēr jāapvieno ar LIC_VIEWER vai LIC_ANALYST.

Loma	Piekļuve
ATSK_VISAS	Visas atskaites un paneļi.
ATSK_01_BUDZ_PAMATA	02.01. Budžeta plānošanas atskaites
ATSK_01_BUDZ_PLANOSANA	01. Budžeta plānošanas ievadforma
ATSK_01_BUDZ_1POSMS	01.01. Budžeta ievade (1. posms)
ATSK_01_BUDZ_2POSMS	01.02. Budžeta ievade (2. posms) 01.04. Budžeta ievade (2. posms) KOPĀ
ATSK_01_BUDZ_3POSMS	01.03. Budžeta ievade (3. posms) 01.05. Budžeta ievade (3. posms) KOPĀ
ATSK_01_BUDZ_ADMINISTRESANA	00. Administrēšana 00.03. Lietotāju lomas 02.00. Kontrolatskaites

4.3. Struktūrvienību skatīšanas lomas (SKATIT_STR)

SKATIT_STR_<kods>
Mērķis	Noteikt, kuras struktūrvienības datus lietotājs redz
Kā darbojas	Lietotājs redz savas struktūrvienības datus un visu tai pakārtoto struktūrvienību datus
Piemērs	SKATIT_STR_04 – redz struktūrvienību 04 un tās apakšvienības (piemēram, 041, 042, 043)

Katrai struktūrvienībai ir sava loma. Keycloak lomas aprakstā ir norādīts, kuras apakšvienības ir iekļautas, piemēram: "Struktūrvienību skatīšanās loma: 04_A (iekļauj 3 zemāka līmeņa str: 041, 042, 043)". Ja apakšvienību ir daudz, aprakstā norādītas pirmās piecas.

Kas jāzina

• Augstākā līmeņa struktūrvienība (parasti kods = “V”) redz visus datus.
• Ja lietotājam piešķirtas vairākas SKATIT_STR_* lomas, viņš redz visu šo struktūrvienību datus kopā.
• Lai redzētu datus, ar SKATIT_STR_* vien nepietiek – vajadzīgas arī LIC_* un ATSK_* lomas.
• Neaktīvas struktūrvienības lomas apraksta sākumā ir atzīme [NEAKTĪVA no datuma]. Loma Keycloak paliek, bet to ieteicams lietotājiem noņemt (skat. 6. sadaļu).

Svarīgi: Ja struktūrvienība mainās (jauns nosaukums vai pārcelta citā hierarhijas zarā), lomas un to apraksti tiek atjaunoti nākamajā sistēmas lomu atjaunināšanas reizē (tā notiek reizi diennaktī). Ja jaunas struktūrvienības loma Keycloak vēl nav redzama, vērsieties pie sistēmas uzturētāja.

4.4. Struktūrvienību vadīšanas lomas (VADIT_STR)

VADIT_STR_<kods>
Mērķis	Atļaut lietotājam vadīt (ievadīt, labot, apstiprināt) datus par konkrētu struktūrvienību
Piekļuve	Neatver jaunas atskaites un neparāda papildu datus – tā ir atļauja veikt darbības
Piemērs	VADIT_STR_04 – lietotājs var vadīt budžeta datus par struktūrvienību 04

Svarīgi: VADIT_STR_* nedod tiesības redzēt datus. Lai lietotājs tos redzētu, viņam joprojām vajadzīgas atbilstošās SKATIT_STR_* un ATSK_* lomas.

4.5. Darbību lomas (LOMA)

Darbību lomas nosaka, kādas darbības lietotājs drīkst veikt – piemēram, labot datus, apstiprināt posmu vai veidot grozījumus. Lietotājam jānorāda tikai viena darbību loma, jeb augstākā no tām. Atšķirībā no VADIT_STR_* tās nav piesaistītas konkrētai struktūrvienībai. Lomas apraksts Keycloak sākas ar vārdiem "Darbība:".

Loma	Ko lietotājs drīkst
LOMA_SKATIT	Tikai skatīties, neko nevar vadīt. Neviena ievadforma nav pieejama labošanai.
LOMA_1POSMS_LABOT	Vada datus iestādē (01.04. Budžeta pieprasījumu ievade, 1. posms)
LOMA_1POSMS_APSTIPRINAT	Vada un apstiprina datus iestādē. Tāmes administrēšanā var mainīt statusu no 1. uz 2. posmu.
LOMA_2POSMS_LABOT	Vada datus Budžeta komisijā (01.05. Budžeta precizējumu ievade, 2. posms)
LOMA_2POSMS_APSTIPRINAT	Vada datus un apstiprina Budžeta komisijā. Var mainīt statusu no 2. uz 3. posmu.
LOMA_3POSMS_LABOT	Vada datus gala komisijā (01.06. Budžeta precizējumu ievade, 3. posms)
LOMA_3POSMS_APSTIPRINAT	Vada datus un apstiprina gala komisijā. Var slēgt 3. posmu.
LOMA_GROZIJUMI_LABOT	Var vadīt grozījumus – aizpildīt grozījumu ievadformu.
LOMA_GROZIJUMI_APSTIPRINAT	Var veidot jaunus grozījumus un tos saskaņot vai slēgt.
LOMA_ADMIN	Risinājuma administrators: veido jaunas tāmes, veido, vada un apstiprina grozījumus

Svarīgi: Darbību lomas sistēma pati neizdzēš. Ja kāda darbību loma vairs nav vajadzīga, to jānoņem manuāli Keycloak sadaļā "Realm roles". Piešķirtā darbību loma iekļauj sevī zemākās darbību lomas, t.i., ja tiek piešķirta loma LOMA_2POSMS_APSTIPRINAT, tas automātiski nozīmē, ka lietotājam ir arī zemākas lomas t.i.: LOMA_2POSMS_LABOT, LOMA_1POSMS_APSTIPRINAT, LOMA_1POSMS_LABOT.

4.6. Papildu piekļuves lomas pēc dimensijām (ja tiek izmantotas)

Dažās organizācijās papildus struktūrvienībām datu piekļuve tiek ierobežota arī pēc citiem sadalījumiem (dimensijām, piemēram, finansējums, projekts vai valdības funkcija). Šādā gadījumā Keycloak redzamas papildu lomas formā SKATIT_<dimensija>_<kods>. Tās darbojas tāpat kā SKATIT_STR_*. Ja sistēmā ir izveidotas šīs papildus dimensiju lomas, tad katram lietotājam ir obligāti jāpiešķir vismaz viena loma no katras dimensijas.

Svarīgi: Ja lietotājam piešķirtas gan struktūrvienību, gan dimensiju lomas, datu piekļuve tiek sašaurināta: lietotājs redz tikai tos datus, kas atbilst abiem nosacījumiem. Vairākas vienas grupas lomas savukārt datus paplašina.

5. Ieteicamās lomu kombinācijas

Zemāk – biežāk izmantotās kombinācijas. Konkrētas ATSK_* un SKATIT_STR_* lomas izvēlieties atbilstoši lietotāja uzdevumiem.

Lietotāja tips	Nepieciešamās lomas
Skatītājs (tikai atskaites)	LIC_VIEWER + vismaz viena ATSK_* + SKATIT_STR_<kods>
Skatītājs, kam redzams viss	LIC_VIEWER + ATSK_VISAS + SKATIT_STR_<augstākā līmeņa kods>
Analītiķis	LIC_ANALYST + ATSK_VISAS + SKATIT_STR_<kods>
Iestādes darbinieks, kas ievada 1. posma datus	LIC_VIEWER + ATSK_01_BUDZ_1POSMS + SKATIT_STR_<kods> + VADIT_STR_<kods> + LOMA_1POSMS_LABOT
Iestādes vadītājs, kas apstiprina 1. posmu	LIC_VIEWER + ATSK_01_BUDZ_1POSMS + SKATIT_STR_<kods> + VADIT_STR_<kods> + LOMA_1POSMS_APSTIPRINAT
Budžeta administrators	LIC_ANALYST + ATSK_01_BUDZ_ADMINISTRESANA + SKATIT_STR_<augstākā līmeņa kods> + LOMA_ADMIN
Lietotājs bez piekļuves	LIC_PUBLIC (tukša loma – nekas nav redzams)

Zināšanai Ja lietotājam piešķir SKATIT_STR_* lomas vairākām struktūrvienībām, viņš redz visu šo struktūrvienību datus kopā.

Svarīgi: Tabulā norādītās kombinācijas ir piemēri. Pirms to lietošanas pārliecinieties, ka tās atbilst jūsu organizācijas pieņemtajai kārtībai, un pārbaudiet pirmā lietotāja piekļuvi (skat. 6. sadaļu).

6. Biežākās situācijas

Jauns darbinieks

1. Izveidojiet lietotāju (2.2.) un nosūtiet aktivizācijas e-pastu (2.3.).
2. Piešķiriet lomas pēc 3. sadaļas apraksta.
3. Palūdziet lietotājam pieteikties ar "Sign in with Keycloak" un pārbaudīt, vai redz vajadzīgās atskaites.

Darbinieks maina amatu vai struktūrvienību

Keycloak cilnē "Role mapping" noņemiet vecās SKATIT_STR_*, VADIT_STR_* un darbību lomas un piešķiriet jaunās. Lietotājam jāpiesakās sistēmā no jauna.

Darbinieks aiziet no darba

Keycloak sadaļā "Users" atveriet lietotāju un atslēdziet kontu (cilnē "Details" izslēdziet "Enabled") vai noņemiet visas lomas. Bez lomām lietotājs Superset neko neredz. Lietotājus, kuri kaut reizi ir pieslēgušies Superset dzēst nedrīkst.

Struktūrvienība kļuvusi neaktīva

Lomas apraksts sākas ar [NEAKTĪVA no datuma]. Loma Keycloak netiek dzēsta automātiski. Ja kādam lietotājam tā vairs nav vajadzīga, noņemiet to cilnē "Role mapping".

7. Bieži uzdotie jautājumi

Lietotājs piesakās, bet neredz nevienu paneli. Kāpēc?

Visbiežāk nav piešķirta ATSK_* loma vai struktūrvienības loma SKATIT_STR_*. Pārbaudiet lietotāja cilni "Role mapping" un salīdziniet ar 3. sadaļas aprakstu.

Cik ilgi jāgaida, līdz jaunā loma sāk darboties?

Loma stājas spēkā nākamajā pieteikšanās reizē. Ja lietotājs jau ir pieteicies, viņam jāizrakstās un jāpiesakās vēlreiz.

Kā redzēt, kādas lomas ir lietotājam?

Atveriet Keycloak → Users → vajadzīgais lietotājs → Role mapping. Tur redzamas visas piešķirtās lomas.

Ko nozīmē [NEAKTĪVA no …] lomas aprakstā?

Struktūrvienība vai kāda cita dimensija, piemēram, valdības funkcija vairs nav aktīva. Loma Keycloak paliek, un to var atstāt vai noņemt lietotājiem manuāli.

Lietotājs redz atskaiti, bet nevar neko ievadīt vai apstiprināt.

Pārbaudiet, vai ir piešķirta atbilstošā ievadformas ATSK_* loma, VADIT_STR_* par vajadzīgo struktūrvienību un darbību loma (LOMA_*).

Lietotājs redz vairāk (vai mazāk) struktūrvienību, nekā vajadzētu.

Pārbaudiet viņa SKATIT_STR_* lomas. Katra loma pievieno savu struktūrvienību un tās apakšvienības; augstākā līmeņa vienība atver visu.

Vai administratoram jāstrādā ar Superset lietotāju sarakstu?

Nē. Visi lietotāji un lomas tiek pārvaldīti tikai Keycloak. Superset informāciju saņem automātiski katrā pieteikšanās reizē.

Nevaru atrast vajadzīgo lomu Keycloak sarakstā.

Izmantojiet meklēšanu pēc nosaukuma. Ja loma tomēr nav redzama (piemēram, jauna struktūrvienība), vērsieties pie sistēmas uzturētāja – lomas tiek atjauninātas reizi diennaktī.