Lietotājus un to lomas budžeta datiem pārvalda administrators: izveido lietotāju, nosūta aktivizācijas e-pastu un piešķir lomu kombināciju, kas nosaka, ko lietotājs redz un drīkst darīt Budžeta risinājumā. Katras lomas nozīme un biežāk izmantotās lomu kombinācijas ļauj izvēlēties lietotājam vajadzīgo piekļuvi.
1. Kā tas darbojas
Budžeta risinājums ir veidots izmantojot atvērtā koda platformu Superset. Superset ir atskaišu un datu vizualizācijas rīks, kurā lietotāji skatās datu paneļus, diagrammas un ievadformas. Superset pats lietotājus nepārvalda, to dara Keycloak - centrālā sistēma, kurā tiek glabāti lietotāji un viņu lomas.
Administratoram lietotāju pārvaldībai jāizmanto Keycloak: tur izveido lietotājus, piešķir lomas un nosūta aktivizācijas e-pastus.
Princips
Visi lietotāji tiek izveidoti Keycloak.
Visas lomas lietotājiem tiek piešķirtas Keycloak.
Lietotājs piesakās Superset, nospiežot "Sign in with Keycloak" (vienota pieteikšanās).
Pieteikšanās brīdī Superset lietotājam no Keycloak automātiski tiek piešķirta loma - katrā pieteikšanās reizē.
Atbilstoši lomām tiek noteikts, ko lietotājs drīkst redzēt un darīt.
Lomu grupas
Lai lietotājs varētu strādāt, viņam jāpiešķir lomas no vairākām grupām. Katra grupa atbild uz citu jautājumu:
Lomu grupa
Uz ko atbild
Piemērs
LIC_*
Ko lietotājs drīkst darīt Superset – tikai skatīties vai arī veidot savas atskaites
LIC_VIEWER – tikai skatīt esošās atskaites
ATSK_*
Kuras atskaites un ievadformas lietotājam ir pieejamas
ATSK_01_BUDZ_PLANOSANA – piekļuve budžeta plānošanas ievadformai
SKATIT_STR_*
Kuras struktūrvienības datus lietotājs redz
SKATIT_STR_04 – redz struktūrvienību 04 un visas tai pakārtotās
VADIT_STR_* (pēc vajadzības)
Par kuru struktūrvienību lietotājs drīkst vadīt datus
VADIT_STR_04 – drīkst vadīt datus par struktūrvienību 04
Darbību lomas, piemēram, LOMA_* (pēc vajadzības)
Kādas darbības lietotājs drīkst veikt (labot, apstiprināt, veidot grozījumus)
LOMA_1POSMS_APSTIPRINAT – apstiprina 1. posma datus
2. Jauna lietotāja izveide
Lietotāju administrēšana tiek veikta rīkā Keycloak. Lai tam pieslēgtos, atveriet adresi:
https://auth.budzets.horizon.lv/admin/***-***-pasvaldiba/console/
Ziņai: Zvaigznīšu vietā jāraksta jūsu pašvaldības nosaukums. Administratoram pirmo reizi pieslēdzoties jānomaina parole.
2.1. Keycloak sākuma skats
Pēc pieslēgšanās tiek attēlots galvenais pārvaldības ekrāns. Lietotāju administrēšanai vajadzīgas divas sadaļas kreisajā izvēlnē:
Realm roles – visu pieejamo lomu saraksts;
Users – visu lietotāju saraksts. Šeit izveido jaunus lietotājus un piešķir lomas.
Ekrānuzņēmums Nr. 1 no 8. Keycloak galvenais ekrāns – kreisajā izvēlnē sadaļas "Realm roles" un "Users"
2.2. Jauna lietotāja izveide
Atveriet sadaļu "Users" un nospiediet "Add user".
Ekrānuzņēmums Nr. 2 no 8. Jauna lietotāja izveides forma "Create user", kas tiek atvērta pēc "Add user" nospiešanas
Aizpildiet formu:
"Required user actions": "Verify Email" un "Update Password";
"Email verified": "On";
"Select a locale": "Latviešu";
"Email": lietotāja e-pasta adrese;
"First name" un "Last name": lietotāja vārds un uzvārds.
Ekrānuzņēmums Nr. 3 no 8. Jauna lietotāja izveides forma "Create user" ar aizpildītiem laukiem (personas dati aizklāti)
Pēc tam nospiediet "Create".
2.3. Aktivizācijas e-pasta nosūtīšana
Pēc lietotāja izveides jānosūta aktivizācijas e-pasts. Atveriet cilni "Credentials" un nospiediet "Credential Reset".
Ekrānuzņēmums Nr. 4 no 8. Cilne "Credentials" – saite "Credential Reset"
"Reset action": "Verify Email" un "Update Password";
"Expires In": 3 dienas (tik ilgi nosūtītā saite ir derīga).
Ekrānuzņēmums Nr. 5 no 8. Logs "Credentials Reset" – nospiediet "Send Email"
Nospiediet "Send Email". Lietotājs saņem e-pastu ar aktivizācijas saiti. Kad lietotājs apstiprina e-pastu un izveido paroli, viņš var pieteikties Superset, nospiežot "Sign in with Keycloak".
Ekrānuzņēmums Nr. 6 no 8. Superset pieteikšanās ekrāns – poga "Sign in with Keycloak"
Svarīgi: Ja aktivizācijas saite nav izmantota 3 dienu laikā, tās derīguma termiņš beidzas. Tādā gadījumā atkārtojiet "Credential Reset" un nosūtiet jaunu e-pastu.
3. Lomu piešķiršana lietotājam
Kamēr lietotājam nav piešķirtas lomas, pēc pieteikšanās Superset viņš neredz neko. Lomas piešķir Keycloak lietotāja cilnē "Role mapping".
Ekrānuzņēmums Nr. 7 no 8. Lietotāja cilne "Role mapping"
Keycloak sadaļā "Users" atveriet vajadzīgo lietotāju.
Atveriet cilni "Role mapping" un nospiediet "Assign role".
Izvēlnē izvēlieties "Realm roles". Tiek atvērts visu pieejamo lomu saraksts (var meklēt pēc nosaukuma).
Atzīmējiet vajadzīgās lomas un nospiediet "Assign".
Ekrānuzņēmums Nr. 8 no 8. Lomu piešķiršanas logs "Assign Realm roles" – atzīmējiet vajadzīgās lomas un nospiediet "Assign". Lomu nosaukumi piemērā ir ilustratīvi; jūsu sarakstā ir redzamas pašreizējās lomas.
Pamatnoteikums
Lietotājam jāpiešķir:
vismaz viena LIC_* loma (ko drīkst darīt) +
vismaz viena ATSK_* loma (kādas atskaites redz) +
vismaz viena SKATIT_STR_* loma (kuras struktūrvienības datus redz);
pēc vajadzības VADIT_STR_* un darbību lomas LOMA_* (ja lietotājam jāvada vai jāapstiprina dati).
Konkrētas kombinācijas skatiet 5. sadaļā.
Lomas noņemšana
Lai noņemtu lietotājam lomu, cilnē "Role mapping" atzīmējiet lomu un nospiediet "Unassign".
Svarīgi: Izmaiņas stājas spēkā nākamajā lietotāja pieteikšanās reizē. Ja lietotājs jau ir pieteicies, viņam jāizrakstās (logout) un jāpiesakās vēlreiz.
4. Lomu apraksti
Visas lomas Keycloak ir pieejamas sadaļā "Realm roles". Katrai lomai ir īss apraksts latviešu valodā, kas redzams lomu sarakstā – tas palīdz izvēlēties pareizo lomu.
Loma
Veids
Kam paredzēta
LIC_PUBLIC
Licences loma
Tukša loma – nedod nekādu piekļuvi
LIC_VIEWER
Licences loma
Skatītāji: skatīt esošas atskaites
LIC_ANALYST
Licences loma
Analītiķi: skatīt un veidot savas atskaites
ATSK_VISAS
Atskaišu loma
Piekļuve visām atskaitēm
ATSK_01_BUDZ_*
Atskaišu loma
Piekļuve konkrētām atskaitēm vai ievadformām (skat. 4.2.)
SKATIT_STR_<kods>
Struktūrvienības loma
Redzēt konkrētas struktūrvienības datus
VADIT_STR_<kods>
Struktūrvienības loma
Vadīt datus par konkrētu struktūrvienību
LOMA_*
Darbību loma
Kādas darbības drīkst veikt (labot, apstiprināt u.c.)
4.1. Licences lomas (LIC)
Licences loma nosaka, ko lietotājs drīkst darīt pašā Superset. Vienam lietotājam vienmēr piešķir tikai vienu licences lomu - LIC_VIEWER vai LIC_ANALYST.
LIC_PUBLIC – tukšā loma
Mērķis
Nodrošina, ka nepieslēgts lietotājs neko neredz
Piekļuve
Nekāda
Kad piešķirt
Tā tiek piešķirta automātiski, kad lietotājs pieslēdzas Superset
LIC_VIEWER – skatītājs
Mērķis
Standarta lietotāji, kas tikai skatās esošās atskaites
Ko drīkst
skatīt paneļus un diagrammas;
lietot filtrus panelī;
eksportēt datus (piemēram, uz Excel);
izveidot brīdinājumus un e-pasta ziņojumus;
pārvaldīt savu profilu (piemēram, nomainīt paroli).
Ko nedrīkst
veidot vai mainīt paneļus un diagrammas
Ieteikums: LIC_VIEWER piešķiriet visiem standarta lietotājiem. Papildus vajadzīga vismaz viena ATSK_* loma un SKATIT_STR_* loma, citādi nekas nebūs redzams.
LIC_ANALYST – analītiķis
Mērķis
Lietotāji, kas veidos savas atskaites
Ko drīkst
visu to, ko LIC_VIEWER;
veidot, mainīt diagrammas un paneļus;
eksportēt datus (piemēram, uz Excel);
dalīties ar paneļiem un diagrammām, izmantojot saiti;
saglabāt filtru izvēles.
Ko nedrīkst
mainīt datu avotus, strādāt ar SQL redaktoru vai administrēt sistēmu
4.2. Atskaišu piekļuves lomas (ATSK)
Šīs lomas nosaka, kurām atskaitēm un ievadformām lietotājs var piekļūt. Tās nedod tiesības darboties Superset, tāpēc vienmēr jāapvieno ar LIC_VIEWER vai LIC_ANALYST.
Loma
Piekļuve
ATSK_VISAS
Visas atskaites un paneļi.
ATSK_01_BUDZ_PAMATA
02.01. Budžeta plānošanas atskaites
ATSK_01_BUDZ_PLANOSANA
01. Budžeta plānošanas ievadforma
ATSK_01_BUDZ_1POSMS
01.01. Budžeta ievade (1. posms)
ATSK_01_BUDZ_2POSMS
01.02. Budžeta ievade (2. posms)
01.04. Budžeta ievade (2. posms) KOPĀ
ATSK_01_BUDZ_3POSMS
01.03. Budžeta ievade (3. posms)
01.05. Budžeta ievade (3. posms) KOPĀ
ATSK_01_BUDZ_ADMINISTRESANA
00. Administrēšana
00.03. Lietotāju lomas
02.00. Kontrolatskaites
4.3. Struktūrvienību skatīšanas lomas (SKATIT_STR)
SKATIT_STR_<kods>
Mērķis
Noteikt, kuras struktūrvienības datus lietotājs redz
Kā darbojas
Lietotājs redz savas struktūrvienības datus un visu tai pakārtoto struktūrvienību datus
Piemērs
SKATIT_STR_04 – redz struktūrvienību 04 un tās apakšvienības (piemēram, 041, 042, 043)
Katrai struktūrvienībai ir sava loma. Keycloak lomas aprakstā ir norādīts, kuras apakšvienības ir iekļautas, piemēram: "Struktūrvienību skatīšanās loma: 04_A (iekļauj 3 zemāka līmeņa str: 041, 042, 043)". Ja apakšvienību ir daudz, aprakstā norādītas pirmās piecas.
Kas jāzina
Augstākā līmeņa struktūrvienība (parasti kods = “V”) redz visus datus.
Ja lietotājam piešķirtas vairākas SKATIT_STR_* lomas, viņš redz visu šo struktūrvienību datus kopā.
Lai redzētu datus, ar SKATIT_STR_* vien nepietiek – vajadzīgas arī LIC_* un ATSK_* lomas.
Neaktīvas struktūrvienības lomas apraksta sākumā ir atzīme [NEAKTĪVA no datuma]. Loma Keycloak paliek, bet to ieteicams lietotājiem noņemt (skat. 6. sadaļu).
Svarīgi: Ja struktūrvienība mainās (jauns nosaukums vai pārcelta citā hierarhijas zarā), lomas un to apraksti tiek atjaunoti nākamajā sistēmas lomu atjaunināšanas reizē (tā notiek reizi diennaktī). Ja jaunas struktūrvienības loma Keycloak vēl nav redzama, vērsieties pie sistēmas uzturētāja.
4.4. Struktūrvienību vadīšanas lomas (VADIT_STR)
VADIT_STR_<kods>
Mērķis
Atļaut lietotājam vadīt (ievadīt, labot, apstiprināt) datus par konkrētu struktūrvienību
Piekļuve
Neatver jaunas atskaites un neparāda papildu datus – tā ir atļauja veikt darbības
Piemērs
VADIT_STR_04 – lietotājs var vadīt budžeta datus par struktūrvienību 04
Svarīgi: VADIT_STR_* nedod tiesības redzēt datus. Lai lietotājs tos redzētu, viņam joprojām vajadzīgas atbilstošās SKATIT_STR_* un ATSK_* lomas.
4.5. Darbību lomas (LOMA)
Darbību lomas nosaka, kādas darbības lietotājs drīkst veikt – piemēram, labot datus, apstiprināt posmu vai veidot grozījumus. Lietotājam jānorāda tikai viena darbību loma, jeb augstākā no tām. Atšķirībā no VADIT_STR_* tās nav piesaistītas konkrētai struktūrvienībai. Lomas apraksts Keycloak sākas ar vārdiem "Darbība:".
Loma
Ko lietotājs drīkst
LOMA_SKATIT
Tikai skatīties, neko nevar vadīt. Neviena ievadforma nav pieejama labošanai.
LOMA_1POSMS_LABOT
Vada datus iestādē (01.04. Budžeta pieprasījumu ievade, 1. posms)
LOMA_1POSMS_APSTIPRINAT
Vada un apstiprina datus iestādē. Tāmes administrēšanā var mainīt statusu no 1. uz 2. posmu.
LOMA_2POSMS_LABOT
Vada datus Budžeta komisijā (01.05. Budžeta precizējumu ievade, 2. posms)
LOMA_2POSMS_APSTIPRINAT
Vada datus un apstiprina Budžeta komisijā. Var mainīt statusu no 2. uz 3. posmu.
LOMA_3POSMS_LABOT
Vada datus gala komisijā (01.06. Budžeta precizējumu ievade, 3. posms)
LOMA_3POSMS_APSTIPRINAT
Vada datus un apstiprina gala komisijā. Var slēgt 3. posmu.
LOMA_GROZIJUMI_LABOT
Var vadīt grozījumus – aizpildīt grozījumu ievadformu.
LOMA_GROZIJUMI_APSTIPRINAT
Var veidot jaunus grozījumus un tos saskaņot vai slēgt.
LOMA_ADMIN
Risinājuma administrators: veido jaunas tāmes, veido, vada un apstiprina grozījumus
Svarīgi: Darbību lomas sistēma pati neizdzēš. Ja kāda darbību loma vairs nav vajadzīga, to jānoņem manuāli Keycloak sadaļā "Realm roles". Piešķirtā darbību loma iekļauj sevī zemākās darbību lomas, t.i., ja tiek piešķirta loma LOMA_2POSMS_APSTIPRINAT, tas automātiski nozīmē, ka lietotājam ir arī zemākas lomas t.i.: LOMA_2POSMS_LABOT, LOMA_1POSMS_APSTIPRINAT, LOMA_1POSMS_LABOT.
4.6. Papildu piekļuves lomas pēc dimensijām (ja tiek izmantotas)
Dažās organizācijās papildus struktūrvienībām datu piekļuve tiek ierobežota arī pēc citiem sadalījumiem (dimensijām, piemēram, finansējums, projekts vai valdības funkcija). Šādā gadījumā Keycloak redzamas papildu lomas formā SKATIT_<dimensija>_<kods>. Tās darbojas tāpat kā SKATIT_STR_*. Ja sistēmā ir izveidotas šīs papildus dimensiju lomas, tad katram lietotājam ir obligāti jāpiešķir vismaz viena loma no katras dimensijas.
Svarīgi: Ja lietotājam piešķirtas gan struktūrvienību, gan dimensiju lomas, datu piekļuve tiek sašaurināta: lietotājs redz tikai tos datus, kas atbilst abiem nosacījumiem. Vairākas vienas grupas lomas savukārt datus paplašina.
5. Ieteicamās lomu kombinācijas
Zemāk – biežāk izmantotās kombinācijas. Konkrētas ATSK_* un SKATIT_STR_* lomas izvēlieties atbilstoši lietotāja uzdevumiem.
Lietotāja tips
Nepieciešamās lomas
Skatītājs (tikai atskaites)
LIC_VIEWER + vismaz viena ATSK_* + SKATIT_STR_<kods>
Skatītājs, kam redzams viss
LIC_VIEWER + ATSK_VISAS + SKATIT_STR_<augstākā līmeņa kods>
Analītiķis
LIC_ANALYST + ATSK_VISAS + SKATIT_STR_<kods>
Iestādes darbinieks, kas ievada 1. posma datus
LIC_VIEWER + ATSK_01_BUDZ_1POSMS + SKATIT_STR_<kods> + VADIT_STR_<kods> + LOMA_1POSMS_LABOT
Iestādes vadītājs, kas apstiprina 1. posmu
LIC_VIEWER + ATSK_01_BUDZ_1POSMS + SKATIT_STR_<kods> + VADIT_STR_<kods> + LOMA_1POSMS_APSTIPRINAT
Budžeta administrators
LIC_ANALYST + ATSK_01_BUDZ_ADMINISTRESANA + SKATIT_STR_<augstākā līmeņa kods> + LOMA_ADMIN
Lietotājs bez piekļuves
LIC_PUBLIC (tukša loma – nekas nav redzams)
Zināšanai Ja lietotājam piešķir SKATIT_STR_* lomas vairākām struktūrvienībām, viņš redz visu šo struktūrvienību datus kopā.
Svarīgi: Tabulā norādītās kombinācijas ir piemēri. Pirms to lietošanas pārliecinieties, ka tās atbilst jūsu organizācijas pieņemtajai kārtībai, un pārbaudiet pirmā lietotāja piekļuvi (skat. 6. sadaļu).
6. Biežākās situācijas
Jauns darbinieks
Izveidojiet lietotāju (2.2.) un nosūtiet aktivizācijas e-pastu (2.3.).
Piešķiriet lomas pēc 3. sadaļas apraksta.
Palūdziet lietotājam pieteikties ar "Sign in with Keycloak" un pārbaudīt, vai redz vajadzīgās atskaites.
Darbinieks maina amatu vai struktūrvienību
Keycloak cilnē "Role mapping" noņemiet vecās SKATIT_STR_*, VADIT_STR_* un darbību lomas un piešķiriet jaunās. Lietotājam jāpiesakās sistēmā no jauna.
Darbinieks aiziet no darba
Keycloak sadaļā "Users" atveriet lietotāju un atslēdziet kontu (cilnē "Details" izslēdziet "Enabled") vai noņemiet visas lomas. Bez lomām lietotājs Superset neko neredz. Lietotājus, kuri kaut reizi ir pieslēgušies Superset dzēst nedrīkst.
Struktūrvienība kļuvusi neaktīva
Lomas apraksts sākas ar [NEAKTĪVA no datuma]. Loma Keycloak netiek dzēsta automātiski. Ja kādam lietotājam tā vairs nav vajadzīga, noņemiet to cilnē "Role mapping".
7. Bieži uzdotie jautājumi
Lietotājs piesakās, bet neredz nevienu paneli. Kāpēc?
Visbiežāk nav piešķirta ATSK_* loma vai struktūrvienības loma SKATIT_STR_*. Pārbaudiet lietotāja cilni "Role mapping" un salīdziniet ar 3. sadaļas aprakstu.
Cik ilgi jāgaida, līdz jaunā loma sāk darboties?
Loma stājas spēkā nākamajā pieteikšanās reizē. Ja lietotājs jau ir pieteicies, viņam jāizrakstās un jāpiesakās vēlreiz.
Kā redzēt, kādas lomas ir lietotājam?
Atveriet Keycloak → Users → vajadzīgais lietotājs → Role mapping. Tur redzamas visas piešķirtās lomas.
Ko nozīmē [NEAKTĪVA no …] lomas aprakstā?
Struktūrvienība vai kāda cita dimensija, piemēram, valdības funkcija vairs nav aktīva. Loma Keycloak paliek, un to var atstāt vai noņemt lietotājiem manuāli.
Lietotājs redz atskaiti, bet nevar neko ievadīt vai apstiprināt.
Pārbaudiet, vai ir piešķirta atbilstošā ievadformas ATSK_* loma, VADIT_STR_* par vajadzīgo struktūrvienību un darbību loma (LOMA_*).
Lietotājs redz vairāk (vai mazāk) struktūrvienību, nekā vajadzētu.
Pārbaudiet viņa SKATIT_STR_* lomas. Katra loma pievieno savu struktūrvienību un tās apakšvienības; augstākā līmeņa vienība atver visu.
Vai administratoram jāstrādā ar Superset lietotāju sarakstu?
Nē. Visi lietotāji un lomas tiek pārvaldīti tikai Keycloak. Superset informāciju saņem automātiski katrā pieteikšanās reizē.
Nevaru atrast vajadzīgo lomu Keycloak sarakstā.
Izmantojiet meklēšanu pēc nosaukuma. Ja loma tomēr nav redzama (piemēram, jauna struktūrvienība), vērsieties pie sistēmas uzturētāja – lomas tiek atjauninātas reizi diennaktī.
... Skatīt vairāk