Роли и права

Что сотрудник может делать в консоли, определяет его роль в организации. Ролей пять, четыре из них дают вход в консоль. Роль назначается при приглашении и меняется в карточке организации.

Роль	Вход в консоль	Коротко
Владелец	да	Всё, включая назначение администраторов и дополнительные роли
Администратор	да	Всё управление организацией, кроме прав, оставленных владельцу
Оператор	да	Повседневная работа: обращения, устройства, справочники
Аудитор	да	Только просмотр и журнал аудита
Пользователь	нет	Только клиент TeamWFA: удалённый доступ к разрешённым устройствам

Роли вложены друг в друга не полностью. Аудитор видит журнал аудита и юридические документы, которых нет у оператора, зато ничего не меняет. Полный перечень — в главе Таблица прав.

Что определяет доступ

Роль — не единственное условие. Раздел открывается, когда выполнено всё сразу:

1. Роль даёт право. Если права нет, пункта меню не видно, а прямая ссылка ведёт на страницу Раздел недоступен с кнопками Вернуться в консоль и Открыть «Мою роль».
2. Продукт подключён в тарифе. Если нет — пункт меню виден, но с замком, а внутри объяснение, какой тариф нужен.
3. Выдано именное место — для «Обращений» и «Дополненной реальности». Без места раздел закрыт даже владельцу: вместо него заглушка Именное место не выдано с кнопкой Перейти к лицензиям.

Права можно расширить сверх роли — дополнительной ролью или персональным допуском. Отнять право у роли нельзя.

Проверить свои права

В Аккаунте есть карточка Моя роль: роль, дополнительная роль, персональные допуски и все доступные действия по направлениям — удалённый доступ, обращения, дополненная реальность. Рядом с каждым правом указано, откуда оно взялось.

Владелец

Для кого. Руководитель или ответственный за организацию в целом. Владельцем становится тот, кто создал организацию, или тот, кому передано владение.

Что может. Всё, что есть в консоли. Только владельцу доступны:

• назначать и снимать администраторов;
• создавать, менять и архивировать дополнительные роли, выдавать и отзывать персональные допуски;
• сопоставлять группы корпоративного каталога с ролями при входе через SSO и включать вход только через SSO — с аварийным входом паролем для себя;
• сбрасывать подтверждённый номер телефона участника;
• безвозвратно удалять обращение вместе с перепиской и файлами;
• удалять персональные данные контакта и менять сроки их хранения;
• включать в сценарии опасные действия: отвязку устройства, разрыв сеанса, блокировку ввода.

Чего не может никто в консоли, включая владельца. Удалить организацию и передать владение другому человеку. Это делает администратор платформы TeamWFA по запросу владельца, с подтверждением паролем и кодом двухфакторной аутентификации.

Защита владельца. Владельца нельзя отключить или исключить из организации, а роль владельца нельзя выдать приглашением или через вход по SSO.

Пример

Директор сервисной компании зарегистрировал организацию и стал её владельцем. Он приглашает руководителя ИТ-отдела с ролью Администратор, настраивает вход сотрудников через корпоративный SSO и включает вход только через SSO, оставив себе аварийный вход паролем на случай сбоя каталога.

Администратор

Для кого. Руководитель ИТ-службы, заместитель владельца по технической части — тот, кто ведёт организацию изо дня в день.

Что может.

• приглашать сотрудников, менять их карточки, отключать и архивировать; назначать роли Оператор, Аудитор и Пользователь;
• вести группы пользователей;
• управлять устройствами, группами устройств и политиками подключения, определять, кому доступны устройства группы;
• выпускать ключи массового развёртывания и ключи синхронизации каталога AD;
• настраивать адрес входа, единый вход (SSO), требования к паролям;
• настраивать каналы доставки — почту, Telegram и SMS организации;
• выдавать именные места «Обращения» и «Дополненная реальность»;
• настраивать очереди, сроки обработки и каналы приёма обращений, выгружать отчёты;
• подключать телефонную станцию к обращениям: линии, внутренние номера сотрудников, ключи станции;
• управлять дополненной реальностью и назначать её операторов;
• составлять сценарии автоматической обработки;
• читать журнал аудита, заполнять юридические документы.

Чего не может. Назначать администраторов и менять роли других администраторов; всё, что выше перечислено как право только владельца.

Пример

Руководитель ИТ-отдела приглашает трёх инженеров поддержки с ролью Оператор и выдаёт им именные места «Обращения». Затем создаёт группу устройств «Бухгалтерия» и привязывает к ней политику подключения, по которой каждое подключение подтверждает пользователь компьютера.

Оператор

Для кого. Инженер технической поддержки, диспетчер, специалист выездной службы.

Что может.

• работать с обращениями: отвечать заявителю, менять статус, назначать исполнителя, помечать спам;
• видеть журнал звонков, слушать записи разговоров и звонить заявителю через телефонную станцию организации, если она подключена;
• вести карточки контактов и оборудования;
• добавлять и редактировать устройства, подтверждать заявки на подключение новых устройств, запускать обновление клиента на устройствах;
• менять структуру групп устройств, теги и профили адресных книг;
• сбрасывать зависшие сеансы удалённого доступа, открывать командную строку на устройстве;
• просматривать сессии дополненной реальности и ключи развёртывания;
• просматривать организацию, пользователей, лицензии и настройки входа.

Чего не может. Приглашать и менять пользователей; менять политики подключения и доступ к группам; настраивать очереди, сроки и каналы «Обращений», подключать телефонную станцию; выдавать лицензии; читать журнал аудита.

Пример

Инженер поддержки берёт обращение из очереди, подключается к компьютеру заявителя из клиента Full, устраняет неисправность и закрывает обращение. Для этого ему нужны роль Оператор, именное место «Обращения» и доступ к группе устройств заявителя.

Аудитор

Для кого. Служба информационной безопасности, внутренний контроль, внешний проверяющий.

Что может. Просматривать всё, что открыто для просмотра: организацию, пользователей, устройства, сеансы, обращения и отчёты по ним, журнал звонков, справочники, лицензии, настройки входа. Слушать записи телефонных разговоров — контроль качества обычно ведёт именно проверяющий, а не оператор; каждое прослушивание попадает в журнал аудита. Кроме того — то, чего нет у оператора: журнал аудита, журнал командной строки устройств, журнал массового развёртывания и юридические документы.

Чего не может. Ничего изменить. В обращениях у аудитора нет поля ответа, звонить через станцию он не может, раздела «Дополненная реальность» и пункта Развертывание он не видит.

Важно

Не назначайте аудитору дополнительную роль. Дополнительная роль всегда строится на базе оператора: вместе с отмеченными правами аудитор получит и все права оператора и перестанет быть ролью «только для чтения».

Пример

Сотрудник службы безопасности выясняет, кто изменил политику подключения группы «Бухгалтерия»: открывает Безопасность → Аудит и отбирает события по периоду. Изменить политику или отменить изменение он не может — только увидеть.

Пользователь

Для кого. Сотрудник, которому нужен только удалённый доступ: подключаться к своему рабочему компьютеру или принимать помощь поддержки.

Что может. Входить в клиент TeamWFA своей учётной записью и подключаться к устройствам, к которым ему открыт доступ, — через список Кто подключается у группы устройств.

Чего не может. Входить в консоль организации: при попытке входа он получит отказ. Дополнительная роль этого не меняет.

Пример

Бухгалтер работает из дома. Он входит в клиент Full своей учётной записью и подключается к рабочему компьютеру: компьютер состоит в группе «Бухгалтерия», а в её списке Кто подключается указана группа пользователей «Бухгалтеры».

Кто кому назначает роли

Кто назначает	Какие роли может выдать
Владелец	Администратор, Оператор, Аудитор, Пользователь
Администратор	Оператор, Аудитор, Пользователь

• Роль владельца в консоли не назначается.
• Администратор не меняет роли других администраторов.
• Собственную роль изменить нельзя, исключить себя из организации — тоже.

Назначение выполняется в карточке организации — см. Организация и пользователи.

Что видит каждая роль в меню

Пункт меню	Владелец	Админ.	Оператор	Аудитор
Организация	✓	✓	✓	✓
Управление → Устройства, Группы, Политики	✓	✓	✓	✓
Обращения → Очередь, Справочники, Отчёты	✓	✓	✓	✓
AR → Сессии, Журнал, Справочники	✓	✓	✓	—
Безопасность → Аудит	✓	✓	—	✓
Безопасность → Роли	✓	✓	просмотр	просмотр
Скачать	✓	✓	✓	✓
Настройки → Обращения	✓	✓	шаблоны ответов	шаблоны ответов
Настройки → AR (каналы доставки)	✓	✓	—	—
Настройки → Уведомления	✓	✓	личные	личные
Настройки → Сценарии	✓	✓	—	—
Настройки → Развертывание	✓	✓	просмотр	—
Настройки → Лицензии	✓	✓	просмотр	просмотр
Настройки → ПДн	✓	✓	—	просмотр
Настройки → Безопасность	✓	✓	—	—
Настройки → Доступ	✓	✓	просмотр	просмотр

Разделы «Обращения» и «AR» дополнительно требуют продукта в тарифе и именного места. Группы устройств каждый видит только те, в управление которыми его включили.