Dotyczy wersji: 2023 R3 i powyżej; autor: Krystyna Gawryał
Wprowadzenie
W wersji 2023 R3 WEBCON BPS wprowadzono funkcjonalność, która stanowi dodatkowe zabezpieczenie przed nieupoważnionym przejściem ścieżką i wykonaniem zadania (np. akceptacji wniosku) przez osobę do tego niepowołaną. Użytkownik, chcąc przejść do następnego kroku, będzie musiał potwierdzić swoją tożsamość na podstawie dodatkowej operacji autoryzacyjnej.
Niniejszy artykuł stanowi opis funkcjonalności Autoryzacji przejścia ścieżką oraz powiązanych zmian systemowych.
Konfiguracja i zasady działania
Funkcjonalność autoryzacji przejścia ścieżką jest formą dodatkowego uwierzytelnienia, które zabezpiecza przed wykonaniem jakiegokolwiek zadania w procesie przez osobę do tego nieupoważnioną, na przykład, w przypadku gdy opuściła stanowisko pracy i jest ono aktualnie zajmowane przez innego pracownika. Dostęp do danych będzie jednorazowy (jedno przejście ścieżką) lub ograniczony w czasie i będzie wymagał od użytkowników przeprowadzenia dodatkowej operacji uwierzytelniającej.
Na potrzeby obsługi funkcjonalności w konfiguracji ścieżki przejścia w zakładce Parametry dodano opcję Autoryzacja przejścia ścieżką, dla której dostępne są następujące ustawienia:
- Wymagana okresowo – wymagana jest jedna autoryzacja na cały czas trwania sesji autoryzacyjnej. Czas trwania sesji to domyślnie 5 minut, jednak wartość tę można zmieniać globalnie dla środowiska. W trakcie sesji autoryzacyjnej użytkownik może wykonać dowolną liczbę przejść każdą ścieżką (na dowolnym elemencie) z autoryzacją ustawioną w trybie Wymagana okresowo. Po wygaśnięciu sesji autoryzacyjnej konieczna będzie kolejna autoryzacja,
- Zawsze wymagana – wymusza na użytkowniku każdorazową autoryzację przejścia ścieżką. W tym trybie sesja autoryzacyjna związana jest z określonym elementem prezentowanym użytkownikowi w momencie wykonywania procesu autoryzacji oraz konkretną ścieżką przejścia. Z tego względu dodatkowa autoryzacja w trybie „Zawsze wymagana” skonfigurowana na ścieżkach podobiegów nie będzie mogła być wykonana i zakończy się błędem.
Wykonanie autoryzacji w trybie „Zawsze wymagana” powoduje odświeżenie sesji autoryzacyjnej dla trybu „Wymagana okresowo”. Oznacza to, że przez cały czas trwania odświeżonej sesji autoryzacyjnej użytkownik może wykonać dowolną liczbę przejść ścieżkami, które mają skonfigurowany tryb autoryzacji jako „Wymagana okresowo”. - Brak – dodatkowa autoryzacja nie jest wymagana.
Jeśli w konfiguracji ścieżki jako krok docelowy została ustawiona opcja Cofnij do poprzedniego kroku, wówczas opcja autoryzacji przejścia ścieżką pozostanie nieaktywna.
Rys. 1. Konfiguracja autoryzacji przejścia ścieżką
Metody autoryzacji, z których będzie mógł skorzystać użytkownik w trakcie wykonywania procesu autoryzacji, określane są przez administratora systemu w Konfiguracji systemu w zakładce Parametry globalne → Bezpieczeństwo → Metody dodatkowej autoryzacji.
Rys. 2. Wybór metod autoryzacji dostępnych dla użytkownika
W przypadku gdy ścieżka jest skonfigurowana z uwzględnieniem opcji Wymagana okresowo lub Zawsze wymagana i administrator dopuszcza każdą z metod autoryzacji (patrz Rys. 2), przy próbie przejścia ścieżką wyświetlone zostanie okno:
Rys. 3. Wybór metody autoryzacji przejścia ścieżką
Wygląd okna może się różnić w zależności od rzeczonych ustawień systemu lub, w przypadku wybrania tylko jednej z metod autoryzacji, jego wyświetlenie może zostać całkowicie pominięte. Za jego pośrednictwem użytkownik może wybrać sposób, w jaki chce dokonać autoryzacji: jednorazowy kod autoryzacyjny zostanie wysłany na jego adres e-mail (wiadomość e-mail), numer telefonu pobierany z Active Directory i zdefiniowany w profilu użytkownika (SMS) lub na aplikację mobilną (powiadomienie PUSH).
Rys. 4 SMS z kodem autoryzacyjnym
W Portalu wyświetlone zostanie okno, w którym użytkownik musi wprowadzić otrzymany kod autoryzacyjny:
Rys. 5. Okno formularza do wprowadzania kodu autoryzacyjnego
Wprowadzenie kodu jest jednoznaczne z potwierdzeniem tożsamości przez użytkownika, a po przeprowadzeniu autoryzacji będzie on mógł jednorazowo kontynuować swoją pracę z formularzem lub przez czas trwania sesji.
Należy pamiętać, że użytkownik może mieć aktywną tylko jedną sesję autoryzacyjną w tym samym czasie – uruchomienie nowej sesji automatycznie unieważnia poprzednią.
Jeżeli ścieżka została skonfigurowana z uwzględnieniem opcji Zawsze wymagana, to dodatkowa autoryzacja przejścia ścieżką będzie konieczna, nawet jeśli użytkownik w danym momencie posiada już aktywną sesję autoryzacyjną. Poprzednia sesja zostanie unieważniona i przejście do kolejnego kroku obiegu będzie wiązało się z koniecznością ponownego wprowadzenia jednorazowego hasła uwierzytelniającego.
Warto zaznaczyć, że w przypadku aktywnego Zastępstwa, gdy użytkownik pracuje w imieniu zastępowanej osoby z pełnym dostępem lub zastępuje ją w realizacji zadań w trybie automatycznego delegowania zadań, to przy próbie przejścia ścieżką, dla której skonfigurowano każdorazową lub okresową autoryzację, zastępca otrzyma kod autoryzacyjny automatycznie na swój własny adres e-mail, SMS na własny numer telefonu lub powiadomienie PUSH w swojej aplikacji mobilnej. Oznacza to, że zastępca będzie zawsze dokonywał uwierzytelnienia sesji autoryzacyjnej z wykorzystaniem własnych danych.
MailApproval, HotFoldery, HotMailBoxy, WEBCON BPS Workflow Service
Jeżeli przejście ścieżką wymaga okresowej lub każdorazowej autoryzacji, to taka ścieżka nie będzie mogła być wykorzystana na potrzeby funkcjonalności MailApproval, a dedykowana jej zakładka w konfiguracji przestanie być aktywna. W przypadku próby ustawienia wymogu autoryzacji dla Ścieżki dostępnej poprzez MailApproval wyświetlony zostanie odpowiedni komunikat.
Rys. 6. Komunikat informujący o brak możliwości zmiany
ustawień autoryzacyjnych ścieżki ze skonfigurowaną funkcjonalnością MailApproval
Podobne ograniczenia będą obowiązywać w przypadku funkcjonalności HotFolderów i HotMailBoxów, a ścieżką, dla której wymagana jest autoryzacja nie będą mogły przechodzić przetwarzane w ich kontekście dokumenty i załączniki.
Jeżeli przejście ścieżką realizowane jest przez WEBCON BPS Workflow Service (np. automatyczne startowanie obiegu, wykonywanie akcji Cyklicznych, akcji Na Timeout), to skonfigurowanie dodatkowej autoryzacji na takiej ścieżce będzie skutkować błędem wykonania operacji.
Autoryzacja na przejściu Szybkimi ścieżkami i za pośrednictwem Akcji masowych
Funkcjonalność autoryzacji przejścia ścieżką zadziała również w określonych przypadkach podczas korzystania z Szybkich ścieżek Jeżeli użytkownik skonfiguruję Szybką ścieżkę z uwzględnieniem okresowej lub każdorazowej autoryzacji, to otrzymany kod będzie mógł wykorzystać do przesunięcia tą ścieżką pojedynczego lub wielu elementów jednocześnie, np. z poziomu Raportu lub Moich zadań, bez konieczności wchodzenia w tryb edycji formularza.
Podobne rozwiązanie autoryzacyjne przewidziano dla użytkowników raportów, którzy korzystają z funkcjonalności Akcji masowych. Konfigurując Przyciski akcji masowych, użytkownik będzie mógł wybrać ścieżkę, dla której ustawiono wymóg okresowej lub każdorazowej autoryzacji. Wówczas otrzymany kod posłuży do jednoczesnego autoryzowanego przesunięcia tą ścieżką wielu elementów raportu w tym samym czasie.
Przejścia ścieżkami w obiegach podrzędnych
Funkcjonalność autoryzacji przejścia ścieżką będzie miała również wpływ na sposób, w jaki obsługiwane są automatyczne przejścia ścieżkami wewnętrznymi/podrzędnymi, tj. gdy element obiegu startowany jest w nowym obiegu lub podobiegu, np. w wyniku wywołania akcji lub automatyzacji. W związku z tym, konieczne jest uwzględnienie następujących zasad konfiguracyjnych:
- Nie zaleca się konfigurowania dodatkowej autoryzacji w odniesieniu do ścieżek w obiegach podrzędnych (Brak autoryzacji).
- Jeżeli jednak użytkownik chciałby skonfigurować oddzielną operację autoryzacji przejścia ścieżką w obiegu podrzędnym, to powinien wybrać autoryzację okresową (Wymagana okresowo). Wówczas nastąpi walidacja, a przejście ścieżką w obiegu podrzędnym powiedzie się wyłącznie, jeśli dla ścieżki w obiegu nadrzędnym również skonfigurowano autoryzację okresową lub każdorazową (Zawsze wymagana) i sesja ta jest nadal aktywna.
- Przejście ścieżką w obiegu podrzędnym, którą skonfigurowano z uwzględnieniem każdorazowej autoryzacji (Zawsze wymagana) nigdy się nie powiedzie, nawet jeżeli dla ścieżki przejścia w obiegu nadrzędnym również zdefiniowano wymóg każdorazowej autoryzacji. Z tego względu w przypadku ścieżek w podobiegach zaleca się stosowanie rozwiązania z pkt 2).
Podsumowanie
Funkcjonalność Autoryzacji przejścia ścieżką stanowi dodatkowe zabezpieczenie przed dostępem do danych na formularzu i wykonywaniem zadań przez nieupoważnione do tego osoby. Dzięki niej administrator, właściciel elementu obiegu lub użytkownik odpowiedzialny za jego konfigurację może weryfikować, kto i na jak długo będzie miał dostęp do elementów obiegu na danym kroku i wykonywał na nich operacje, a w razie nieprawidłowości skutecznie ten dostęp ograniczyć. Funkcjonalność wpływa także na te funkcje systemu, gdzie przejście ścieżką następuje automatycznie lub grupowo dla wielu elementów obiegu w tym samym czasie. Nie należy jednak traktować jej jako ograniczenia, lecz metodę, dzięki której wzrasta poziom bezpieczeństwa informacji wprowadzanych przez użytkowników do systemu.
