Amand: Доступ в Microsoft Dynamics AX 4.0 без Active Directory

[gl00mie]

Цитата:

Сообщение от mazzy

Отдельная тема - это ограничение доступа к таблицам на уровне SQL от несанкционированного доступа к информации о лицензиях, пользователях и паролях. По поводу ограничения доступа для подобных действий в свое время писалось здесь http://axapta.mazzy.ru/lib/2db_owner/
На практике это означает, что надо держать 2 набора логинов.
1. для АОСа - с полными правами
2. для захода из Enterprise Manager для администраторов, программеров и консультантов у которых на таблицу UserInfo установлены права только на чтение, а на SysConfig никаких прав.
Но с другой стороны, администраторы, программисты и консультанты должны иметь доступ к профайлеру. А это значит, они должны иметь полные администраторские права...

Ограничение прав доступа администраторов - это абсурд. Применительно к администраторам может imho работать только один способ ограничения доступа к информации: криптографическая защита (как, например, это делается при шифровании файлов средствами NTFS). Вспомним хотя бы о том, что кроме настройки параметров БД с помощью профайлера администраторы занимаются еще и созданием резервных копий баз, которые можно потом разрвенуть на совершенно другом сервере с совершенно другими правами доступа.

Цитата:

В общем, тема благодатная. Может кто-нибудь напишет о грамотном разделении прав в 3хуровневой Аксапте?

Если разделение прав доступа нацелено на снижение вероятности и тяжести последствий НСД (несанкционированного доступа), то здесь в первую очередь надо сформулировать модели нарушителей, а уже потом на основании этих моделей думать, как разделять права доступа.

[mazzy]

Цитата:

Сообщение от gl00mie

Ограничение прав доступа администраторов - это абсурд

А где я говорил, про ограничение прав администраторов?
Я говорил про ограничение прав к данным. Эта задача актуальна не для администраторов, а для консультантов-программистов.

Должен ли консультант иметь возможность непосредственной правки UserInfo.SID?
Через Аксапту - да, а через EM - нет.
Также он не должен иметь возможность правки через ODBC, ADO и другое.
Только через Аксапту.