Objets sécurisés et services applicatifs

Eléments sécurisés par un service applicatif

• Les points suivants décrivent la sécurité relative à l'affichage et à la modification des enregistrements individuels dans le système :

  • Tous les objets de maintenance définissent un service applicatif qui inclut les actions de base disponibles, généralement Ajouter, Modifier, Supprimer et Interroger. L'installation standard fournit un service applicatif pour chaque objet de maintenance. Certains objets dont le cycle de vie est fixe peuvent définir des modes d'accès supplémentaires sur le service applicatif de l'objet de maintenance. Le service applicatif pour l'objet de maintenance est défini dans son programme de service.

    ATTENTION :

    Important ! Si un service applicatif comprend des actions qui modifient la base de données, autres que Ajouter, Modifier et Supprimer, vous devez attribuer les droits de modification à l'utilisateur, en plus des autres droits d'accès. Prenons l'exemple d'un objet de maintenance qui inclut les modes d'accès Valider, Finaliser et Annuler. Si vous souhaitez en attribuer les droits d'accès à un utilisateur, vous devez préalablement lui permettre d'accéder à l'action Modifier.

  • Pour les objets de maintenance dont la page de l'interface utilisateur n'est pas basée sur un portail, le service applicatif détermine également l'affichage ou non des options de menu. Si un utilisateur ne dispose pas des droits d'accès au service applicatif de l'objet de maintenance, l'option de menu correspondante lui est masquée.

  • Pour les interfaces utilisateur basées sur portail, chaque portail principal (autonome) définit un service applicatif spécifique avec mode d'accès Interroger, permettant de sécuriser l'interface utilisateur indépendamment de la sécurité de l'objet sous-jacent. Si un utilisateur ne dispose pas des droits d'accès au service applicatif du portail, l'option de menu correspondante lui est masquée. L'installation standard fournit un service applicatif pour chaque portail accessible à partir du menu. Notez que le service applicatif pour le portail est défini dans son programme de service, qui est dérivé via son option et sa clé de navigation.

  • Les options de menu peuvent définir un service applicatif / un mode d'accès. Généralement, la sécurité fournie pour les portails et les objets de maintenance procure une granularité suffisante pour supprimer les options de menu auxquelles un utilisateur n'a pas accès. Par ailleurs, le système renseigne par défaut les services applicatifs/modes d'accès dans les options de menu associées à un script APT. Un cas d'utilisation courant est l'option de menu "Ajouter" pour tenir à jour un objet. Dans ce cas, le service applicatif pour l'objet de maintenance est généralement utilisé avec le mode d'accès Ajouter. D'autres types d'options de menu associées à un script APT peuvent avoir une autre configuration appropriée.

    Les clients peuvent opter pour associer un service applicatif/mode d'accès explicite pour supprimer une option de menu. Par exemple, supposons que votre implémentation crée un script APT spécial pour ajouter une entrée de tâche et souhaite que les utilisateurs appliquent ce script plutôt que la boîte de dialogue Ajouter fournie par le produit de base pour l'entrée de tâche. L'option de menu fournie par l'installation standard pour l'ajout d'une entrée de tâche utilise le service applicatif d'objet de maintenance Entrée de tâche avec l'accès Ajouter. Les utilisateurs ont besoin de ce paramètre de sécurité pour pouvoir ajouter une entrée de tâche même à partir d'une autre boîte de dialogue. Pour supprimer la boîte de dialogue Ajouter de l'installation standard, remplacez le paramètre de l'option de menu standard pour l'ajout d'entrée de tâche par un service applicatif et un mode d'accès spéciaux. Définissez ensuite une option de menu pour le nouveau script APT dédié à l'ajout.

  • Les zones définissent un service applicatif.

    • Pour les zones associées à un portail, si un utilisateur ne dispose pas des droits d'accès au service applicatif de la zone, cette dernière n'apparaîtra pas sur le portail. Dans la plupart des cas, la zone est fournie avec le même service applicatif que son portail. Dans certains cas, tels que les zones de la barre latérale, le produit fournit des services applicatifs séparés pour chaque zone, permettant aux implémentations de déterminer plus précisément les utilisateurs disposant d'un droit d'accès à des zones spécifiques.

    • Pour les zones de requête configurées comme zones multirequêtes, si un utilisateur ne dispose pas des droits d'accès au service applicatif de la zone, cette dernière n'apparaîtra pas dans la liste déroulante de la zone multirequête. Dans la plupart des cas, toutes les zones d'une zone multirequête définissent le même service applicatif que la zone multirequête. Le produit peut fournir un service applicatif spécifique pour une ou plusieurs zones d'une zone multirequête si la fonctionnalité est spécifique à certains marchés ou à certaines juridictions et ne s'applique pas à toutes les implémentations.

    • Pour les zones utilisées par les services fonctionnels pour exécuter des requêtes SQL, le produit fournit un service applicatif par défaut (F1-DFLTS). La sécurité de ces zones n'est pas vérifiée par le produit car elles sont utilisées à des fins internes.

  • Pour les pages basées sur un portail, des éléments individuels peuvent être affichés ou masqués en fonction des paramètres de sécurité à l'aide de la fonction oraHasSecurity dans le HTML d'une matrice IU ou dans les indications uiHint d'un schéma. Pour plus d'informations, voir Vérifier les droits de sécurité de l'utilisateur.

  • Les objets métier définissent un service applicatif. Si l'objet métier définit un cycle de vie, le service applicatif doit inclure les modes d'accès correspondant à chaque état. En outre, les modes d'accès aux objets de maintenance standard Ajouter, Modifier, Supprimer et Interroger sont inclus. Les objets métier de l'installation standard sont fournis avec les services applicatifs appropriés. En outre, les implémentations peuvent remplacer le service applicatif configuré, si nécessaire.

    ATTENTION :

    Important ! Si un service applicatif comprend des actions qui modifient la base de données, autres que Ajouter, Modifier et Supprimer, vous devez attribuer les droits de modification à l'utilisateur, en plus des autres droits d'accès. Prenons l'exemple d'un objet métier qui inclut les états de cycle de vie Valider, Finaliser et Annuler. Si vous souhaitez en attribuer les droits d'accès à un utilisateur, vous devez préalablement lui permettre d'accéder à l'action Modifier.

  • Les contrôles de batch définissent un service applicatif qui permet une soumission sécurisée des différents processus en mode batch. Le service applicatif doit inclure un mode d'accès de type Exécuter. Les contrôles de batch de l'installation standard sont fournis avec les services applicatifs appropriés. Ces services ont généralement un ID correspondant à l'ID du contrôle de batch.

  • Les enregistrements de définition de rapport définissent un service applicatif. Le service applicatif doit inclure un mode d'accès de type Soumettre/Voir le rapport.

• Les objets suivants sont sécurisables mais sont généralement exécutés à l'aide de processus internes. La sécurité est fournie pour garantir que tout accès aux objets à partir d'une source externe est sécurisé.

  • Les scripts APT peuvent définir un service applicatif avec le mode d'accès Exécuter. Les scripts APT de base ne sont généralement pas configurés pour les services applicatifs. Une implémentation peut en définir un. Notez que, comme mentionné plus haut, une option de menu peut également être configurée pour un service applicatif et un mode d'accès. Cela permet à un script APT qui est appelé via une entrée de menu, d'être sécurisé de différentes manières.

  • Les services fonctionnels et les scripts de service définissent un service applicatif avec le mode d'accès Exécuter. Cette opération est nécessaire pour les services pouvant être exécutés à partir d'un système tiers, par exemple via une service Web entrant. Les services fonctionnels et scripts de service de base qui sont liés à un service Web entrant sont configurés avec un service applicatif spécial. Tous les autres sont fournis avec un service applicatif par défaut (F1-DFLTS) qui peut être remplacé dans une implémentation.

  • Les scripts peuvent également vérifier la sécurité au sein d'une étape de type Modifier les données si certaines fonctionnalités doivent ou ne doivent pas s'exécuter en fonction des droits d'accès d'un utilisateur. L'étape Modifier les données inclut un appel au service fonctionnel F1-CheckApplicationSecurity.

  • Les programmes de service définissent un service applicatif. Comme mentionné plus haut, le service applicatif des portails et des objets de maintenance provient du programme de service associé. Dans l'installation standard, des services applicatifs sont fournis pour chacun de ces types de programme de service. Tous les autres programmes de service sont livrés avec un service applicatif par défaut(F1-DFLTS) qui peut être remplacé par une implémentation. Notez que, pour les programmes de service liés à un service fonctionnel, le service applicatif du service fonctionnel prévaut lorsqu'il s'agit d'appeler le service fonctionnel.

Déterminer les éléments sécurisés par un service applicatif

Comme le produit se doit d'être aussi détaillé que possible pour que les implémentations puissent bénéficier d'un contrôle maximal sur les actions que les utilisateurs peuvent effectuer, de nombreux services applicatifs sont fournis prêts à l'emploi et il peut être difficile de comprendre qui doit avoir accès à quels services applicatifs pour faire son travail. Le produit fournit plusieurs outils en ligne pour aider les administrateurs de sécurité à comprendre quels services applicatifs existent et à quoi ils servent.

• Sur la page Service applicatif elle-même, une zone Objets sécurisés indique toutes les métadonnées associées à ce service applicatif. Un petit nombre de services applicatifs sécurisent des fonctionnalités qui ne sont pas détectables par la zone Objets sécurisés. Pour ces services, la description détaillée du service applicatif doit indiquer à quoi ils servent.

• Une grande partie de la sécurité repose sur une page spécifique du système accessible via le menu. En raison des différentes couches de sécurité, pour afficher un enregistrement, vous devez peut-être accéder à plusieurs services applicatifs : celui associé au portail de requête, celui associé au portail de maintenance, celui associé à l'objet de maintenance de l'enregistrement et celui associé à l'objet métier qui régit l'enregistrement. Lorsque vous affichez un menu, un onglet Sécurité applicative vous permet de consulter chaque ligne de menu et d'afficher la liste de tous les services applicatifs auxquels un utilisateur peut avoir besoin d'accéder pour afficher ou tenir à jour les données sur cette page associée.

• Le portail Requête de sécurité applicative fournit différents filtres permettant d'afficher quels objets sont sécurisés par quels services. En plus des options de menu, il affiche les contrôles de batch, les rapports, les services Web et d'autres fonctionnalités. Par ailleurs, il permet de voir les services applicatifs accessibles par chaque utilisateur et groupe d'utilisateur, et vous permet de comparer la sécurité de deux utilisateurs.
• Le portail Groupe d'utilisateurs comporte plusieurs zones qui aident les administrateurs de sécurité à configurer les options de sécurité ou à vérifier la configuration de la sécurité. L'onglet principal comprend une zone permettant d'ajouter des services applicatifs. Cette zone affiche uniquement les services applicatifs qui ne sont pas déjà liés et offre plusieurs moyens de réduire la liste des services applicatifs. L'onglet Gestionnaire de services comporte une zone similaire, mais décompose les informations en une combinaison de service applicatif et de mode d'accès. Enfin, l'onglet Composants sécurisés est similaire à l'onglet Requête de sécurité applicative. Il vous permet d'interroger les objets sécurisés par les services applicatifs de ce groupe d'utilisateurs.

Services applicatifs introduits dans une version

Lorsque de nouvelles fonctionnalités introduites incluent un objet associé à un service applicatif, de nouveaux services applicatifs peuvent être introduits. Les notes de version du produit indiquent les nouveaux services applicatifs inclus dans la version. Par ailleurs, le produit inclut une étiquette d'entité spéciale qui inclut la liste des nouveaux services applicatifs. La description de l'étiquette utilise la référence de la version cloud plutôt que la référence de la version sur site pour s'identifier.