随着数字化程度的不断加深，企业内部的权限管理面临巨大考验，成为掣肘企业全面发展、成长的拦路虎。因此，越来越多的BI厂商注重企业权限管理，避免因分配错误、人员流动导致权限漏洞引发风险。
观远数据推出「权限管控」功能，实现千人千面的数据查看，防止重要信息外泄，保障企业数据安全。12月8日，观远数据高级产品经理Monica为大家深度拆解「权限管控」功能，从管理员到普通用户，均可设置指定资源权限，提高公司管理效率，保障信息安全。
01 三位一体，Galaxy 权限管理架构
可以简单地将管理员的工作内容分为两大块：一块是管事，一块是管人。
在观远数据BI平台里，“管事”指的是管系统：系统分工，如谁只能访问，谁可以建大屏，谁来做系统运维等；业务资源管理，仪表板、大屏、数据集等由BI用户创建的内容；数据安全管理，如区域经理只能看本区域数据等。
“管人”主要指的是管用户：用户，多种用户创建维护方式，适配不同用户来源；用户组，合理的用户组结构设计，适配组织管理和业务管理需求；组管理员，权限下放，分层管理，减轻系统管理员管理压力。
本期将重点介绍管事。
如图所示，当用户输入账号密码，登入观远数据BI平台，看到这样一个看板，需要经过几重权限考验？
答案是三重。其一，功能模块的校验，证明该用户能够看到仪表板功能模块的入口；其二，资源权限的校验，该用户能看到这张仪表板，意味着其具备这张仪表板的权限；其三，数据权限的校验，该用户能看到这十几行数据，也意味着它经过了这张卡片底层数据集的数据安全校验。
以上述场景为例，观远的“三位一体”权限管控，是指功能权限管理、资源权限管理与数据权限管理。
● 功能权限管理，控制功能模块的访问/创建等操作，通过自定义角色来实现；
● 资源权限管理，控制具体单个业务资源（如仪表板、数据集、ETL等）的访问/编辑等操作，通过区分所有者、访问者/使用者来实现；
● 数据权限管理，控制最终看到的数据明细，通过确定行列权限与用户基础属性来实现。
接下来，将详细拆解精细化企业权限管控。
02 三层控制，精细化企业权限管控详解
这三个权限管理具体是怎么做的？怎么通过它去设置企业的权限安全管控体系？
功能权限管理
观远Galaxy BI平台提供了丰富的从数据接入到数据清洗、数据分析、数据应用、数据分发的全链路数据处理相关功能，所谓功能模块指的是你在观远数据BI平台能看到的功能入口，包括仪表板、数据大屏、数据中心等。
每一个功能模块的操作权限可分为四种：
● 查看：可以看到该功能入口，且在该功能中看到有访问者/使用者权限的资源；
● 编辑：在“查看”基础上，可对有权限的资源进行增删改；
● 授权：在“查看”基础上，可把有所有者权限的资源分享给其他人；
● 导出：在“查看”基础上，可导出有权限的资源。
观远系统中，通过“角色”来进行功能权限的设置，如何合理设置角色？可以从自身企业的业务分工入手，赋予不同的权限。
其一，数据分工相关角色，进行数据制作与消费。
● 数据建设者，对应数据账户管理、数据集管理、ETL搭建等工作内容；
● 数据制作者，对应仪表板制作、移动轻应用制作、大屏制作等工作内容；
● 数据消费者，对应仪表板查看、数据门户查看等；
其二，非数据分工相关角色，负责BI系统的健康稳定，往往不需要关注业务数据。
● 系统开发者，对应第三方集成配置、观远数据统一账户API集成等工作内容；
● 系统运维者，对应任务管理、运维日志、资源监控等工作内容；
我们可以根据企业内部分工的需要，把这些模块赋予同一个角色，或者是更细的分工，分别去创建角色，并且进行权限管控，最大程度地保证企业数据的安全。
资源权限管理
在观远Galaxy BI平台中，业务用户可按需创建多种类型的资源，包括仪表板模块中创建的仪表板，数据集模块里面创建的数据集等，所有由业务用户创建的内容都可以称为业务资源。
在观远BI系统里，资源操作的权限控制基准是无授权无访问，最大程度的去保障企业的数据安全。
资源的操作权限大致可以分为所有者、访问者跟导出者。
● 所有者：可以访问该资源，并对该资源进行增删改等操作——能看能用又能改
● 访问者/使用者/填报者：可以访问该资源，并进行另存为等不影响资源本身的操作——能看能用不能改
● 导出者：可以导出该资源到本地——能看能导不能改
要点提示：
1.客户最终可见某个资源并可进行增删改导等操作，是功能权限（角色）和资源权限（所有者/访问者/使用者/导出者）共同作用的结果。
2.功能权限的限制优先级高于资源权限。
举例说明：
有资源权限，无功能权限——看不到资源
● 张三是”经营驾驶舱“的所有者，但由于角色改动，失去了仪表板模块的“查看”权限，则张三在BI里看不到仪表板入口，也无法访问”经营驾驶舱“。
有资源指定操作权限，无功能指定操作权限——无法对资源做指定操作
● 张三是”经营驾驶舱“的导出者，但是张三的角色没有仪表板模块的“导出”权限，则张三在BI里可以看到”经营驾驶舱“，但导出权限受限，无法”导出“。
● 张三是”经营驾驶舱“的所有者，但是张三的角色没有仪表板模块的“授权”权限，则张三在BI里可以看到”经营驾驶舱“，可以编辑，但无法设置所有者/访问者。
数据权限管理
三位一体权限管理的最后一道防线就是数据权限，分为行权限和列权限。
行权限，只能查看指定行的数据。以上图为例，我们可以在这个卡片底层数据集上去设置一个行权限规则，比如张三只能看到上海市的数据，那么在销售表里他就只能看到这一行的数据。
列权限，只能看指定列的数据，通常用排除法，即设置不可见的列数据。以上图为例，财务和高管可看全部列数据，张三做为普通销售，不可见“成本”列数据。
通过自定义权限编辑器，将数据行列权限的规则设置结合用户属性管理，令每个人只能看到自己所属城市的数据，或每个人只能看到自己门店的数据，实现千人千面的数据管控。
即设定张三用户只能看到所属城市的数据，比如上饶，张三进入系统时，就只能看到上饶市的数据。当其用户所处地发生改变时，管理员只需要改变用户所在的城市，无需去数据集修改对应规则，得以实现动态的千人千面。
03 操作技巧，提升权限配置效率
1.善用【普通用户】的账号角色权限
功能权限设置时，将大部分用户拥有的模块权限，作为【普通用户】账号角色的功能权限。
——优点：创建时直接授权，免去二次授权的繁琐。
Tips：【普通用户】的角色权限应是最小普遍权限，其他需要给部分人额外赋权的功能模块，都可以通过自定义角色来给指定人赋权。
2.善用【用户组】
不管是功能权限（角色），还是资源权限，都可以赋权到指定用户组。
——优点：管理员只需控制用户和用户组的关系即可，无需每个用户的权限都一一调整。
3.善用【批量授权】
仪表板、大屏、数据集等通过文件夹来归类管理。做资源授权时，可利用文件夹来做批量授权
——优点：大大降低资源单独授权的繁琐工作量。
除了刚刚介绍的三道防线安全防线之外，观远数据作为一家数据分析平台，也提供了很多能够提升系统数据安全的一些操作，根据企业需要，可在管理员后台开启相关的设置。
1.开启系统水印，数据泄露可追踪
可设置固定文字水印，或用户信息水印，截图或导出图片均带水印，数据泄露可追踪。包括姓名、账号、部门、IP地址、当前时间等信息。
2.开启多种登录安全设置
单一登录设置，防止一个账号多方使用。我们可以指定用户只能在同一时间只能在一个设备上进行登录，当你在某个公用设备上面登录忘记登出了，那在自己电脑上直接再做一次登录，旧设备那边就会自动下线；
浏览器登录设置，当你关闭浏览器或者关闭浏览器里相关页面的时候，自动登出，防止由于忘记登出导致的数据安全风险。
如您还想了解更多权限相关的教程
欢迎扫码领取👇
