Как программно изменить права доступа на объект ?

[Kabardian]

Просто поделюсь опытом, может кому-нибудь пригодится.

Дано:

• AX 4.0 SP2, версия ядра 4.0.2503.116;
• ~450 групп пользователей;
• 10 доменов.

Задача:

• отключить доступ к одному отчету у всех групп.

Выполняется очееень долго (~4-9 часов) и не всегда завершается успешно. Оптимизировать времени не было, поэтому и хотфикс не выкладываю, а лишь делюсь опытом :-).

[raz]

Цитата:

Сообщение от Kabardian

Выполняется очееень долго (~4-9 часов) и не всегда завершается успешно. Оптимизировать времени не было, поэтому и хотфикс не выкладываю, а лишь делюсь опытом :-).

А чего так долго? Открываем таблицу AccessRightList и удаляем там руками записи с именем MenuItem-а данного отчета (это если в компании принято давать права на объекты, а не на ключи доступа). Если права даны на ключи, то пишем job, который для групп с ключами, добавит запись с отключением доступа к отчету.
Или просто на MenuItem данного отчета вешаем другой ключ.
Или в коде отчета делаем проверку на ключ и закрываем его, если нет доступа.
Есть масса вариантов что бы потратить ~4-9 часов более разумно.

[Kabardian]

Цитата:

Сообщение от raz

А чего так долго? Открываем таблицу AccessRightList и удаляем там руками записи с именем MenuItem-а данного отчета (это если в компании принято давать права на объекты, а не на ключи доступа). Если права даны на ключи, то пишем job, который для групп с ключами, добавит запись с отключением доступа к отчету.
Или просто на MenuItem данного отчета вешаем другой ключ.
Или в коде отчета делаем проверку на ключ и закрываем его, если нет доступа.
Есть масса вариантов что бы потратить ~4-9 часов более разумно.

Спасибо за много разных и интересных вариантов :-), но были причины:

• отчетов было много (больше 100);
• нужно было обойтись с минимумом разработки, чтобы не тратить много времени на тестирование.

Из предложенных вариантов, не вижу какого-то одного универсального, чтобы он сработал на случай, когда я не знаю как в компании принято давать права на объекты .

Используя подход описанный на Axaptapedia, написал джоб для массового отключения прав доступа к menuitem, чуть позже выложу его здесь.

[Kabardian]

Цитата:

Сообщение от Kabardian

Спасибо за много разных и интересных вариантов :-), но были причины:

• отчетов было много (больше 100);
• нужно было обойтись с минимумом разработки, чтобы не тратить много времени на тестирование.

Используя подход описанный на Axaptapedia, написал джоб для массового отключения прав доступа к menuitem, чуть позже выложу его здесь.

Будьте предельно осторожны с джобом по ссылке! Последствия в моем случае:

• слетели права доступа для многих групп пользователей к различным таблицам
• значительно замедлилась система

Использовал оттуда кусок кода для каждого сочетания группа + домен:

void disableMenuItems(SecurityKeySet _securitySet)
    {
        str name;
        AccessRecordType recordType;
        int idx;
        AccessType accessType;
        for (idx = 1; idx <= conLen(menuItems); idx++)
        {
            [name, recordType] = conpeek(menuItems, idx);
            accessType = _securitySet.menuItemAccess(name, recordType);
            if (accessType!= AccessType::NoAccess)
            {
                info(strFmt('%1:%2, %3', name, recordType, accessType));
                _securitySet.menuItemAccess(name, recordType, AccessType::NoAccess);
            }
        }
    }

Пока точная причина неизвестна, тем не менее решил предупредить, мало ли вдруг все-таки этот джоб виноват .

Как выясню причину, сообщу.

[Logger]

Цитата:

Сообщение от Kabardian

Будьте предельно осторожны с джобом по ссылке! Последствия в моем случае:

• слетели права доступа для многих групп пользователей к различным таблицам
• значительно замедлилась система

Пока точная причина неизвестна, тем не менее решил предупредить, мало ли вдруг все-таки этот джоб виноват .

Как выясню причину, сообщу.

причина в этой строке кода

xAccessRightsList::saveSecurityRights(securitySet.pack(), localGroup.Id, domain);

При ее использовании сохраняются все права для всех табличек и менюитемов. В моем случае получилось порядка 10 тысяч записей на одну группу прав. Конечно будет тормозить.
Также для большинства табличек прописывается NoAccess. Как правило приводит к тому что лукапы не работают.
Если написать так

xAccessRightsList::saveSecurityRights(securitySet.packTouched(), localGroup.Id, domain);

то все ок.

[maximka]

Цитата:

Сообщение от raz

А чего так долго? Открываем таблицу AccessRightList и удаляем там руками записи с именем MenuItem-а данного отчета

Ага, а если у нас на родительский объект дан доступ > NoAccess, то с удивлением обнаруживаем, что отчет у пользователя не пропал.
Поэтому не советую трогать AccessRightsList руками.

[raz]

Цитата:

Сообщение от maximka

Ага, а если у нас на родительский объект дан доступ > NoAccess, то с удивлением обнаруживаем, что отчет у пользователя не пропал.
Поэтому не советую трогать AccessRightsList руками.

Читайте всё сообщение внимательно.

[maximka]

Цитата:

Сообщение от raz

Читайте всё сообщение внимательно.

Ок, согласен.
Конкретно с отчетами этот вариант работает, но в общем случае, считаю, что не следует лезть в AccessRightsList.