Sicherheit für Prüfungsaktivitäten
Aktivitäten in ThingWorx Platform werden im Kontext eines Benutzers ausgeführt, insbesondere im Sicherheitskontext eines Benutzers. Ein Benutzer kann eine Person sein, die einen Dienst für ein Ding aufruft, oder ein ThingWorx Connection Server, der auf die Plattform zugreift, um eingehende Nachrichten von Edge-Geräten zu liefern. Beide Benutzer arbeiten in einem definierten Sicherheitskontext, der aus Berechtigungen besteht, die dem Benutzer zugewiesen sind. Es gibt Berechtigungen für die Entwurfszeit und die Laufzeit.
 |
Informationen zur Prüfung eines Switch im Sicherheitskontext finden Sie unter
Wechsel des Sicherheitskontexts überwachen .
|
Berechtigungen festlegen
Es gibt zwei Sätze von Berechtigungen in ThingWorx, einen für die Entwurfszeit und einen für die Laufzeit. Die Entwurfszeitberechtigungen dienen zum Verwalten der Berechtigungen zum Bearbeiten von Entitäten (Erstellen, Lesen, Aktualisieren und Löschen). Laufzeitberechtigungen bestimmen, wer auf Daten zugreifen, Dienste ausführen und Ereignisse für ein Ding (einschließlich Datentabellen, Streams und Benutzer) auslösen kann.
Administratoren können explizite Berechtigungen für eine Benutzergruppe definieren sowie Ausnahmen, die diese Berechtigungen überschreiben. Sie können beispielsweise die Berechtigung zum Ausführen von Diensten einschränken und eine Dienstüberschreibung definieren, die es einem Benutzer ermöglicht, nur einen bestimmten Dienst auszuführen. Diese Flexibilität ermöglicht beispielsweise genaue Kontrolle darüber, auf welche Dingeigenschaften, Ereignisse oder Dienste eine bestimmte Benutzergruppe Zugriff hat. Standardmäßig haben nur Benutzer in der Gruppe "Administratoren" vollständige Berechtigungen für die Komponenten des Prüfungsuntersystems. Daher müssen Administratoren Nicht-Administratoren die Möglichkeit geben, die vom Prüfungsuntersystem bereitgestellten Dienste mit Dienstüberschreibungen aufzurufen.
Standardmäßig haben Benutzer in der Gruppe "Administratoren" Berechtigungen für die folgenden Prüfkomponenten:
• Prüfungsuntersystem – Systemobjekt mit den Diensten QueryAuditHistory, ArchiveAuditHistory, ExportAuditData und PurgeAuditData.
• AuditArchiveFileRepository – das Datei-Repository des Prüfungsuntersystems, das für die Prüfungsarchive verwendet wird.
• AuditArchiveScheduler – Scheduler-Ding, das die automatisierte Archivierung von Prüfeinträgen steuert.
• AuditPurgeScheduler – Scheduler-Ding, das die automatisierte Bereinigung von Prüfeinträgen steuert.
• AuditArchiveCleanupScheduler – Plant die Bereinigung archivierter Dateien.
• AuditArchiveCleanupNotificationScheduler – Sendet Erinnerungsbenachrichtigungen zur Bereinigung.
Die folgende Tabelle zeigt die Berechtigungen, die Benutzern ohne Administratorrechte in einer Benutzergruppe gewährt werden können, um auf diese Komponenten zuzugreifen. Informationen zu den Berechtigungen, die Benutzergruppen ohne Administratorrechte zum Ausführen der Dienste des Prüfungsuntersystems benötigen, finden Sie unten im Abschnitt
Erforderliche Berechtigungen für einen Nicht-Administrator zum Ausführen der Prüfdienste.
 |
Gewähren Sie Nicht-Administratoren NICHT die Berechtigung zum Bearbeiten von Objekten zur Entwurfszeit. Administratoren sollten Systemobjekte NICHT zur Entwurfszeit bearbeiten. Wenn Sie sie zur Entwurfszeit bearbeiten, können während eines Upgrades vorgenommene Änderungen verloren gehen.
|
|
Komponente
|
Berechtigungen für eine Nicht-Administrator-Benutzergruppe
|
|---|---|
|
Prüfungsuntersystem
|
So erlauben Sie Benutzern und Benutzergruppen ohne Administratorrechte das Aufrufen der Dienste QueryAuditHistory, ArchiveAuditHistory, ExportAuditData und PurgeAuditData:
• Prüfungsuntersystem – > .
• Prüfungsuntersystem – > . Definieren Sie eine Dienstüberschreibung für jeden Dienst, den Benutzer in der Gruppe aufrufen können sollen, und fügen Sie eine Operation Ausführen des Dienstes für jeden Dienst hinzu.
|
|
AuditArchiveFileRepository
|
Benutzern oder Benutzergruppen ohne Administratorrechte sollten KEINE Berechtigungen für das AuditArchiveFileRepository des Prüfungsuntersystems gewährt werden.
|
|
AuditArchiveScheduler
|
Benutzer in der Gruppe "Administratoren" sollten Zugriff auf dieses Scheduler-Ding haben. Das Scheduler-Ding hat eine Eigenschaft, namens lastArchivedTime, die nach jeder erfolgreichen Ausführung einer Archivierung aktualisiert wird. Obwohl dies möglich ist, sollte diese Eigenschaft NIE von einem Benutzer, Administrator oder Nicht-Administrator aktualisiert werden. Aus diesem Grund (und anderen für Ihre Organisation) wird empfohlen, dass Nicht-Administratoren KEIN Zugriff auf den Scheduler gewährt wird.
|
|
AuditPurgeScheduler
|
Nur Benutzer in der Gruppe "Administratoren" sollten Zugriff auf dieses Scheduler-Ding haben. Es wird empfohlen, Nicht-Administratoren KEINEN Zugriff auf diesen Scheduler zu gewähren.
|
|
AuditArchiveCleanupScheduler
|
So führen Sie für Nicht-Administratoren den Bereinigungsdienst aus:
• AuditArchiveCleanupScheduler – >
• AuditArchiveCleanupScheduler – > . Definieren Sie eine Dienstüberschreibung für diesen Dienst (Ausführen des Dienstes).
|
|
AuditArchiveCleanupNotificationScheduler
|
So führen Sie für Nicht-Administratoren die Benachrichtigung für den Bereinigungsdienst aus:
• AuditArchiveCleanupNotificationScheduler – >
• AuditArchiveCleanupNotificationScheduler – > . Definieren Sie eine Dienstüberschreibung für diesen Dienst (Ausführen des Dienstes).
|
Erforderliche Berechtigungen für einen Nicht-Administrator zum Ausführen der Prüfdienste
Im Allgemeinen sollte eine Benutzergruppe erstellt und dieser sollten die folgenden Berechtigungen gewährt werden, damit Benutzer ohne Administratorrechte in einer Benutzergruppe Dienste des Prüfungsuntersystems aufrufen können:
• Prüfungsuntersystem – Sichtbarkeitsberechtigungen
• Prüfungsuntersystem – Entwurfszeitberechtigungen – Lesen zulassen
• Laufzeitberechtigungen für das Prüfungsuntersystem – Definieren Sie eine Dienstüberschreibung für jeden Dienst, den Benutzer in der Gruppe aufrufen können sollen, und lassen Sie das Ausführen des Dienstes zu.
In der folgenden Tabelle werden die Berechtigungen aufgeführt, die Entitäten gewährt werden müssen, damit ein Dienst für sie im Prüfungsuntersystem aufgerufen werden kann:
|
Dienst
|
Entitätstyp
|
Entitätsname
|
Sichtbarkeit
|
Entwurfszeit
|
Laufzeit
|
|---|---|---|---|---|---|
|
QueryAuditHistory
|
Untersystem
|
AuditSubsystem
|
Ja
|
Lesen
|
Dienst: QueryAuditHistory – Ausführen des Dienstes
|
|
Data Shape
|
AuditHistory
|
Ja
|
Lesen
|
||
|
ArchiveAuditHistory
|
Untersystem
|
AuditSubsystem
|
Ja
|
Lesen
|
Dienst: ArchiveAuditHistory: Ausführen des Dienstes
|
|
Ding
|
AuditArchiveScheduler
|
Ja
|
Keine
|
Eigenschaft LastArchiveTime: Lesen der Eigenschaft und Schreiben der Eigenschaft
|
|
|
ExportAuditData
|
Untersystem
|
AuditSubsystem
|
Ja
|
Lesen
|
Dienst: ExportAuditData: Ausführen des Dienstes
|
|
Ding
|
AuditArchiveScheduler
|
Ja
|
Keine
|
Eigenschaft LastArchivedTime: Lesen der Eigenschaft und Schreiben der Eigenschaft
|
|
|
Ding
|
<vom Benutzer erstelltes Datei-Repository>
|
Ja
|
Keine
|
Alle Dienste: Ausführen des Dienstes
|
|
|
PurgeAuditData
|
Untersystem
|
AuditSubsystem
|
Ja
|
Lesen
|
Dienst PurgeAuditData: Ausführen des Dienstes
|
|
Ding
|
AuditPurgeScheduler
|
Ja
|
Keine
|
Lesen der Eigenschaft und Schreiben der Eigenschaft
|