Права на возможности¶

Что вы сделаете¶

Вы научитесь настраивать, какие классы функций вообще доступны каждой роли, а затем отличать эти права от доступа к конкретным помощникам, навыкам и другим объектам.

1. Зачем нужен отдельный уровень прав¶

Представим, что сотруднику дали доступ к помощнику «Аналитик».

Но роль сотрудника запрещает интернет-поиск.

Помощник может содержать возможность поиска в своей конфигурации, однако пользователь всё равно не должен получить обход общего запрета роли.

Именно поэтому существует несколько уровней:

глобальная политика
        ↓
право роли на функцию
        ↓
доступ к конкретному объекту
        ↓
политика конкретной операции

2. Основные классы возможностей¶

В текущей модели доступа отдельными классами могут управляться:

ИИ-помощники;
библиотека запросов;
подключённые сервисы;
внешние помощники, если они используются;
навыки;
общие ссылки;
плановые задания;
память;
закладки;
сравнение нескольких разговоров/моделей;
временные разговоры;
выполнение кода;
интернет-поиск;
поиск по файлам;
цитаты файлов;
каталог расширений;
выбор пользователей, групп и ролей при предоставлении доступа.

Продуктовая поставка ИИ Студии дополнительно ограничивает часть функций независимо от возможностей базовой платформы.

3. Типовые действия внутри класса¶

Для разных классов доступны разные действия.

Наиболее распространённые:

Использовать¶

Разрешает пользоваться существующей функцией или объектом.

Создавать¶

Разрешает создавать новый объект.

Делиться¶

Разрешает предоставлять доступ конкретным пользователям, группам или ролям.

Публиковать для всех пользователей установки¶

Более широкое право.

Не следует автоматически выдавать его вместе с обычным правом «Делиться».

Читать / изменять память¶

Для памяти права детализированы сильнее, поскольку это отдельное пользовательское хранилище.

4. Продуктовый базовый профиль¶

Для обычной корпоративной установки рекомендуется начинать со строгого профиля.

Пример принципов:

Возможность	USER	ADMIN
Обычный чат	да	да
Файлы	да	да
Поиск по файлам	да	да
Интернет-поиск	по политике	да
Использование помощников	да	да
Создание помощников	по политике	да
Публикация помощника всем	нет	да/по политике
Память	по политике	да
Плановые задания	по политике	да
Создание произвольного внешнего сервиса	нет	через управляемую административную процедуру
Выполнение произвольного кода	нет	нет в текущем продуктовом профиле

Точная матрица организации может отличаться.

5. Почему ADMIN не должен быть шаблоном¶

Роль ADMIN имеет очень широкие возможности.

Если сотруднику нужно только:

управлять пользователями

не выдавайте ему полный ADMIN.

Используйте системные административные возможности:

доступ к панели
+
просмотр пользователей
+
управление пользователями

6. Системные права администратора¶

Отдельно от пользовательских функций существуют системные возможности.

В текущей панели предусмотрены, в частности:

доступ к панели администратора;
просмотр/управление пользователями;
просмотр/управление группами;
просмотр/управление ролями;
просмотр/управление конфигурацией;
назначение профилей конфигурации;
просмотр статистики использования;
просмотр/управление помощниками;
просмотр/управление библиотекой запросов;
просмотр/управление навыками;
просмотр/управление общими ссылками;
просмотр журнала аудита.

Принцип¶

Выдавайте человеку задачу, а не звание «администратор».

7. Права на конфигурацию по разделам¶

Современная административная модель позволяет делегировать не обязательно всю конфигурацию целиком.

Например, сотруднику можно дать управление одним верхнеуровневым разделом конфигурации без полного доступа ко всем остальным.

Практический смысл:

администратор файлов управляет файловыми настройками;
администратор поиска — поиском;
оператор пользователей — не видит секреты поставщиков моделей;
аудитор получает только чтение.

Важно¶

Право изменения обычно подразумевает право чтения того же раздела.

Обратное неверно.

8. Право на функцию и доступ к ресурсу¶

Рассмотрим помощников.

У пользователя есть `Использовать помощников`¶

Это означает, что класс функции доступен.

Но помощник «Юридический отдел» может быть закрыт отдельным списком доступа.

Пользователю выдали Viewer на помощника¶

Если сама роль запрещает помощников, выдача конкретного объекта не должна рассматриваться как надёжный способ обхода запрета.

Всегда проверяйте обе стороны.

9. Право «Делиться» и «Публиковать для всех»¶

Это должны быть разные решения.

Делиться¶

Пользователь может выбрать конкретного получателя.

Публиковать для всех¶

Ресурс становится доступен всем аутентифицированным пользователям текущей установки, если именно так устроен данный тип ресурса.

Это не означает публикацию в открытый Интернет, но всё равно расширяет аудиторию значительно сильнее.

10. Подключённые сервисы¶

В текущем продуктовом профиле обычному пользователю разрешено использовать опубликованные системные сервисы по правилам организации, но запрещено произвольно создавать и публиковать собственные внешние подключения.

Это важное защитное ограничение.

Иначе пользователь мог бы подключить внешний адрес и вывести через него содержимое разговора или корпоративного документа.

11. Выполнение кода¶

Базовая платформа умеет поддерживать среды выполнения кода.

Однако текущая продуктовая политика ИИ Студии запрещает произвольное серверное выполнение кода.

Поэтому:

не включайте функцию только потому, что видите её в схеме базовой платформы;
не описывайте её пользователям как доступную;
после обновления проверяйте, что запрет сохранился;
проверяйте роль USER отрицательным тестом.

12. Интернет-поиск¶

Право интернет-поиска определяет, может ли роль использовать эту функцию.

Отдельно действует политика подтверждений.

То есть возможны два уровня:

поиск разрешён роли
        ↓
при конкретном вызове требуется подтверждение

Они не противоречат друг другу.

13. Память¶

Память особенно чувствительна, потому что сохраняет сведения между разговорами.

При настройке роли отдельно продумайте:

использование;
чтение;
создание;
изменение;
возможность отказаться от памяти.

Для организаций с чувствительными данными лучше сначала включить память небольшой пилотной группе.

14. Поиск по файлам и цитаты¶

Рекомендуется согласованная настройка:

поиск по файлам разрешён
+
цитаты разрешены

Если поиск разрешён, а цитаты скрыты, пользователю сложнее проверять основание ответа.

Для корпоративной базы знаний это снижает проверяемость результата.

15. Изменение прав роли¶

Откройте «Доступ → Роли».
Выберите роль.
Откройте матрицу разрешений.
Измените только нужный пункт.
Сохраните.
Зафиксируйте причину изменения.
Выполните тест разрешённого действия.
Выполните тест запрещённого действия.

Не меняйте сразу десять пунктов¶

Иначе при неожиданном поведении будет трудно понять, какое изменение повлияло на результат.

16. Контрольная матрица для организации¶

Создайте свой документ:

Функция	USER	Исследователь	Редактор знаний	Аудитор	ADMIN
Помощники: использовать	✓	✓	✓	—	✓
Помощники: создавать	—	✓	✓	—	✓
Помощники: публиковать всем	—	—	—	—	✓
Интернет-поиск	по политике	✓	✓	—	✓
Память	по политике	✓	✓	—	✓
Поиск по файлам	✓	✓	✓	—	✓
Аудит	—	—	—	✓	✓

Матрица должна быть частью эксплуатационной документации организации.

17. Тест после изменения¶

Используйте отдельную тестовую учётную запись.

Проверка положительная¶

Если включили интернет-поиск — он должен появиться и работать.

Проверка отрицательная¶

Если запретили публичную публикацию помощников — пользователь не должен получить такую возможность даже если владеет помощником.

Проверка второй роли¶

Назначьте пользователю дополнительную роль и убедитесь, что понимаете итоговую сумму прав.

18. Аудит изменения¶

Изменения системных административных возможностей фиксируются в журнале аудита панели.

Для важных изменений дополнительно сохраняйте:

кто
когда
какую роль изменил
что было
что стало
зачем
номер заявки/изменения

Частые ошибки¶

«Я запретил функцию, но пользователь её видит»¶

Проверьте:

другие роли;
группы;
пользовательский профиль;
старую сессию;
является ли видимая кнопка реально доступным действием.

«Я разрешил функцию, но объект не виден»¶

Вероятно, нет доступа к конкретному ресурсу.

«Сотруднику нужен один административный раздел»¶

Не выдавайте ADMIN. Рассмотрите точечные системные возможности.

Что дальше¶

После прав переходите к Центру управления моделями.

Права на возможности¶

Что вы сделаете¶

1. Зачем нужен отдельный уровень прав¶

2. Основные классы возможностей¶

3. Типовые действия внутри класса¶

Использовать¶

Создавать¶

Делиться¶

Публиковать для всех пользователей установки¶

Читать / изменять память¶

4. Продуктовый базовый профиль¶

5. Почему ADMIN не должен быть шаблоном¶

6. Системные права администратора¶

Принцип¶

7. Права на конфигурацию по разделам¶

Важно¶

8. Право на функцию и доступ к ресурсу¶

У пользователя есть Использовать помощников¶

Пользователю выдали Viewer на помощника¶

9. Право «Делиться» и «Публиковать для всех»¶

Делиться¶

Публиковать для всех¶

10. Подключённые сервисы¶

11. Выполнение кода¶

12. Интернет-поиск¶

13. Память¶

14. Поиск по файлам и цитаты¶

15. Изменение прав роли¶

Не меняйте сразу десять пунктов¶

16. Контрольная матрица для организации¶

17. Тест после изменения¶

Проверка положительная¶

Проверка отрицательная¶

Проверка второй роли¶

18. Аудит изменения¶

Частые ошибки¶

«Я запретил функцию, но пользователь её видит»¶

«Я разрешил функцию, но объект не виден»¶

«Сотруднику нужен один административный раздел»¶

Что дальше¶

У пользователя есть `Использовать помощников`¶