Zespoły, uprawnienia i bezpieczeństwo w Xcellerate OPS: kto co widzi (także pieniądze)

Twoja przestrzeń robocza jest gotowa i chcesz zaprosić współpracowników. Najpierw zrób jedno: zdecyduj, kto co może widzieć. W Xcellerate OPS zajmuje to około pół godziny i oszczędza później sytuacji, w których technik widzi stawki godzinowe albo były pracownik wciąż może się zalogować.

TL;DR

• Dostęp działa przez zespoły: dla każdego obszaru funkcjonalnego wybierasz „współtworzy”, „wyświetla”, „brak dostępu” lub „zablokowany”. „Zablokowany” w jednym zespole zawsze ma pierwszeństwo. Kto nie jest w żadnym zespole, nie widzi nic.
• Kwoty budżetów i stawki techników można usuwać po stronie serwera dla osób, które nie muszą widzieć pieniędzy.
• Gdy ktoś odchodzi, wyłączasz go: sesje się kończą, logowanie jest odrzucane, a klucze API cofane, w każdej przestrzeni roboczej.

Dlaczego uprawnienia przed zaproszeniami

OPS jest domyślnie bezpieczny. Uprawnienia są przypisane do zespołów, nie do pojedynczych osób. Dla każdego obszaru funkcjonalnego zespół dostaje jeden z czterech poziomów: współtworzy, wyświetla, brak dostępu lub zablokowany. Jeśli ktoś jest w kilku zespołach, wygrywa najszerszy poziom, z jednym wyjątkiem: „zablokowany” w jednym zespole zawsze ma pierwszeństwo przed wszystkimi innymi. „Brak dostępu” oznacza tylko „ten zespół tego nie przyznaje”: inny zespół nadal może to przyznać. Osoba bez zespołu jest zablokowana wszędzie, dopóki nie przypiszesz jej zespołu. Administratorzy przestrzeni roboczej nigdy nie są blokowani.

To bezpieczne, ale oznacza też, że jeśli zaprosisz wszystkich bez zespołów, szybko dostaniesz wiadomości, że „OPS jest pusty”. Dlatego najpierw struktura.

Krok 1: rozrysuj zespoły na kartce

Zacznij od kartki papieru, nie od oprogramowania. Które grupy wykonują inną pracę i powinny widzieć co innego? Dla małego MSP to praktyczny przykład. Nasza przestrzeń demo używa tych samych czterech zespołów.

To przykład, nie szablon: obszary funkcjonalne w OPS mogą nazywać się inaczej albo być podzielone dokładniej. Utrzymuj małą liczbę zespołów. Cztery dobrze przemyślane zespoły łatwiej prowadzić niż dziesięć.

Krok 2: utwórz zespoły i wyznacz lidera

W ustawieniach otwórz sekcję zespołów i uprawnień w grupie dotyczącej osób i dostępu. Zespół tworzysz, nadając mu nazwę. Lista pokazuje dla każdego zespołu liczbę członków i lidera.

Lista zespołów z liczbą członków i liderem każdego z nich, w tym zespół systemowy „Tenant admins”.

Zobaczysz tam też zespół systemowy: „Tenant admins”. To zespół administratorów Twojej przestrzeni. Utrzymuj go jak najmniejszym, najlepiej Ty i jedna osoba zastępcza.

Liderów wybieraj świadomie. W OPS dostają między innymi alerty o naruszeniu SLA i mogą być w ścieżce akceptacji kart czasu pracy. Wybierz kogoś, kto naprawdę reaguje.

Krok 3: ustaw „współtworzy”, „wyświetla”, „brak dostępu” lub „zablokowany” dla każdego obszaru

Przejdź przez obszary funkcjonalne zespół po zespole. W razie wątpliwości wybierz „wyświetla” zamiast „współtworzy”. Poszerzyć dostęp możesz zawsze. Ponieważ uprawnienia sumują się między zespołami, dodatkowy dostęp dawaj, dodając osobę do drugiego zespołu, a nie poszerzając zespół bardziej niż trzeba.

Świadomie wybieraj między dwoma poziomami na „nie”:

• Brak dostępu: ten zespół nie potrzebuje obszaru. Inny zespół tej samej osoby nadal może go przyznać. To właściwy wybór prawie zawsze, jak w tabeli powyżej.
• Zablokowany: członkowie tego zespołu nigdy nie mogą widzieć obszaru, niezależnie od tego, do jakiego innego zespołu dołączą, na przykład zespół podwykonawców. „Zablokowany” w jednym zespole ma pierwszeństwo przed wszystkimi innymi, więc blokada w szerokim zespole zamyka obszar dla wszystkich jego członków.

Jeszcze jedna kontrola: obszar, którego nigdy nie ustawisz w zespole, liczy się dla tego zespołu jako „współtworzy” (kilka wrażliwych uprawnień, np. eksport danych, liczy się tylko wtedy, gdy przyznasz je celowo). Przejrzyj więc każdy obszar tworzonego zespołu. Na stronie zespołu zobaczysz połączone uprawnienia członka ze wszystkich jego zespołów.

Trzymaj pieniądze poza zasięgiem wzroku

Nie każdy musi wiedzieć, ile kosztuje technik ani jaki jest budżet projektu. OPS ma do tego osobne uprawnienia, które usuwają po stronie serwera kwoty budżetów i stawki techników. Liczby nie są więc tylko ukryte na ekranie, w ogóle nie trafiają do tego użytkownika. Rentowność projektów (przychód, koszt i marża) i tak widzą wyłącznie administratorzy.

Krok 4: zaproś użytkowników z rolą, zespołami i dostępnością

Dopiero teraz zapraszasz ludzi, podając adres e-mail. Od razu wybierasz rolę (administrator lub technik) i zespoły. Dzięki temu dostęp jest poprawny od pierwszego logowania.

Lista użytkowników z rolą, prowadzonymi zespołami, widocznością i dostępnością oraz formularz zaproszenia.

Uzupełnij też dostępność, na przykład 8 godzin dziennie lub 40 godzin tygodniowo. Dzięki temu dla każdej osoby zapisane jest, ile godzin jest dostępna, co ma znaczenie zwłaszcza przy niepełnym etacie.

Krok 5: zabezpiecz logowanie

• MFA: każde logowanie hasłem wymaga drugiego potwierdzenia, klucza passkey lub kodu z aplikacji uwierzytelniającej. Dostępne są jednorazowe kody odzyskiwania. Poproś zespół, by przechowywał je bezpiecznie.
• Passkeys: logowanie odciskiem palca, twarzą lub PIN-em urządzenia, odporne na phishing. Przestrzeń robocza może ich wymagać.
• SSO: jeśli zespół pracuje już w Microsoft 365 lub Google Workspace, skonfiguruj logowanie jednokrotne Microsoft lub Google dla swojej przestrzeni. W centrum integracji przeciągasz je do kategorii uwierzytelniania.
• Ochrona przed atakami brute-force: każda ścieżka logowania jest spowalniana przy powtarzanych próbach. Nie trzeba nic konfigurować.

Więcej o MFA, passkeys i SSO: Bezpieczeństwo i kontrola dostępu.

Kilka przestrzeni roboczych

Prowadzisz więcej niż jedną przestrzeń, na przykład dla drugiej firmy? Jedno konto może należeć do kilku przestrzeni, z przełącznikiem między nimi i jednym resetem hasła dla wszystkich. Każda przestrzeń ma własną, odizolowaną bazę danych. Zobacz architektura multi-tenant.

Lista kontrolna przy odejściu pracownika

1. Wyłącz osobę w OPS. To natychmiast kończy jej sesje, odrzuca logowanie hasłem i przez SSO oraz cofa jej klucze API, w każdej przestrzeni, do której miała dostęp.
2. Przekaż jej otwarte zgłoszenia i zadania współpracownikowi.
3. Była liderem zespołu? Wyznacz nowego, żeby alerty i akceptacje nie utknęły.
4. Zmień wspólne hasła, które znała. Sejf prowadzi dziennik audytu, kto miał dostęp do jakich danych logowania; to dobry punkt wyjścia.
5. Sprawdź konta u klientów i dostawców, które nie przechodzą przez OPS.

Częste błędy

• Ukrywanie modułów i nazywanie tego bezpieczeństwem. Przełączniki widocznych funkcji są czysto kosmetyczne: strony pozostają dostępne. Dostępem sterujesz przez zespoły. Zobacz modułowość i personalizacja.
• Wrzucenie wszystkich do „Tenant admins”, bo tak szybciej. Wtedy nie masz modelu uprawnień, tylko zaufanie.
• Zaproszenie kogoś bez zespołu. Taka osoba nic nie widzi i uznaje, że OPS nie działa.
• Wspólne loginy. Jedno konto dla dwóch osób sprawia, że MFA, wyłączanie przy odejściu i logi tracą sens.

Nie masz jeszcze przestrzeni roboczej? Zacznij za darmo i skonfiguruj zespoły, zanim zaprosisz pierwszą osobę.