 Vema - Synchronizace autorizace

Vema - Synchronizace autorizace

  • Stručný popis

  • Instalace a konfigurace

  • Spuštění

  • Provoz a údržba

  • Systémová a technická podpora


 Vema - Synchronizace autorizace
  • Vema - Synchronizace autorizace


 Stručný popis

Stručný popis

Produkt "Vema - Synchronizace autorizace" (VemaAuthSync) je systémový modul, který umožňuje synchronizaci dat z aplikací HR (konkrétně PAM, PER a případně i STM) do autentizační a autorizační databáze Vema. Typicky je tento modul používán ve spojení s produkty "Vema - Portál" a "Vema - V3 server", do jejichž autorizačních databází exportuje z aplikací HR atributy pracovníků a jejich přístupová oprávnění v rámci Portálu a V3 serveru. Umožňuje tak řídit přístupová oprávnění k Portálu centrálně z aplikací HR. Volitelně bývá využíván také ve spojení s produktem "Vema - Autentizační služba" v prostředích, kde je k ověřování identity uživatelů využívána tato autentizační služba.

Z aplikace PER se čerpají data o vazbách osobního čísla na uživatelská jména a role (ze souboru "Přístupy a oprávnění" (PRISTUPX)) a z aplikací PAM a STM data o pracovním zařazení pracovníků na pracoviště, útvary a systemizovaná místa.


 Instalace a konfigurace

Instalace a konfigurace

Tento modul se typicky instaluje na server, na kterém běží "Vema - V3 server" a "Vema - Portál".

Instalace a konfigurace sestává z následujících kroků:

  • Systémové předpoklady

  • Instalace balíčku VemaAuthSync

  • Registrace aplikačních objektů

  • Zavedení synchronizačního účtu do autentizační služby Vema

  • Zavedení synchronizačního účtu do aplikací HR

  • Úprava konfiguračního souboru

  • Úprava výchozích šablon skriptů

  • Definice přístupů a oprávnění

  • Kontrola nastavení DBV aplikací


 Systémové předpoklady

Systémové předpoklady

Klasifikace konfigurací z hlediska podpory

Obecně je možné říci, že pro provoz aplikací Vema na klientské stanici podporujeme české (CZ) a slovenské (SK) verze operačních systémů Microsoft Windows 98 SE, 2000, XP, Server 2003, Vista, Server 2008 a vyšší. Nelze garantovat práci v jinojazyčných verzích s doinstalovanou češtinou nebo slovenštinou. Na serverové stanici (varianta V3 a Portál) je nutný serverový operační systém Microsoft Windows 2000, Server 2003, Server 2008 nebo vyšší, nejlépe v české (CZ), slovenské (SK) nebo anglické (EN) verzi.

Výše uvedené obecné konstatování o podporovaných platformách má však svá úskalí. Každý ze zmíněných operačních systémů existuje v různých verzích a jazykových mutacích, pro většinu z nich existují různé opravné balíčky a zejména instalace jakékoliv aplikace může zásadním způsobem ovlivnit celkové prostředí operačního systému. Není v našich silách ověřit zcela a dokonale všechny aplikace Vema na všech verzích těchto operačních systémů, navíc v kombinaci s variantami dalších aplikací (různé verze aplikace Internet Explorer, Microsoft Office apod.). Abychom jasně určili, které platformy a konfigurace používáme pro důkladné ověření veškeré systémové funkčnosti, a současně jasně definovali i konfigurace, o kterých víme, že jsou z nejrůznějších důvodů problematické, zavádíme následující klasifikaci konfigurací:

Certifikované konfigurace jsou ty, na kterých probíhá úplné ověřování nových verzí aplikací Vema. Pro provoz aplikací Vema by měly být jednoznačně preferovány tyto konfigurace. Garantujeme u nich plnou podporu a maximální možné úsilí při řešení jakýchkoliv problémů s instalací či provozem aplikací Vema.

Podporované konfigurace jsou ty, na kterých by aplikace Vema měly pracovat bez problémů. Úplné ověřování nových verzí aplikací Vema však na těchto konfiguracích neprobíhá. Poskytujeme u nich plnou podporu - snažíme se o vyřešení jakéhokoliv problému. Jako minimální podporované konfigurace pak označujeme kombinace nejnižších možných verzí operačního systému a podpůrných komponent, resp. aplikací, se kterými jsou aplikace Vema schopny spolupracovat.

Nedoporučené konfigurace jsou ty, na kterých by aplikace Vema měly pracovat bez problémů, avšak z provozních důvodů je nedoporučujeme používat, většinou z důvodu omezení v kapacitě, výkonu nebo škálovatelnosti. Společnost Vema neposkytuje podporu svých produktů u těchto konfigurací.

Nepodporované konfigurace jsou ty, o nichž máme pozitivně zjištěno, že na nich provoz aplikací Vema není možný či spolehlivý. Typicky se jedná o zastaralé verze operačních systémů, některé známé případy kombinací vzájemně nekompatibilních komponent apod. Společnost Vema neposkytuje podporu svých produktů u těchto konfigurací.

Technické požadavky

Požadavky na hardware

Tento produkt neklade na vybavení ani na výpočetní výkon počítače žádné vysoké nároky, obecně postačí serverový počítač odpovídající minimálním nárokům použitého operačního systému.

V případě čerpání dat z rozsáhlých databází HR (řádově stovky MB a více) je však vhodné disponovat dostatečným výkonem na počítači, kde jsou spouštěny DBV aplikace, z nichž tento produkt čerpá data. Tzn. v případě lokálního spouštění DBV aplikací přímo na počítači s tímto produktem a v případě vzdáleného spouštění DBV aplikací na vzdáleném počítači, na kterém běží V3 server spouštějící požadované DBV aplikace. V takových případech pak vyšší výkon počítače (zejména výkon procesoru a zčásti také výkon paměťového a diskového subsystému) úměrně zkracuje dobu, za jakou se dokončí generování autorizační a autentizační databáze. Generování trvá obvykle v řádu jednotek až desítek minut (na současných serverových systémech (takt procesoru okolo 3 GHz) u rozsáhlejších databází HR (okolo 1GB)). Vysoký výkon však není bezpodmínečně nutný, protože spuštění tohoto produktu se odehrává obvykle jednou denně v nočních hodinách, kdy nedochází k žádnému zpomalování klientského provozu.

Potřebný prostor pro programové soubory na pevném disku je do 10 MB.

Požadavky na software

Obecné požadavky

Pro všechny dále uvedené konfigurace platí, že se jedná o základní instalaci operačního systému Microsoft Windows v české (CZ), slovenské (SK) nebo anglické (EN) verzi, s českým nebo slovenským národním nastavením (tzv. locale) a s výchozími verzemi aplikací Microsoft Installer a Microsoft Internet Explorer, které se s danou verzí Windows instalují, není-li u konkrétní konfigurace uvedeno jinak.

Pro práci v síti se předpokládá síť Microsoft. Aplikace Vema fungují i v jiných síťových prostředích, jako např. Novell NetWare, Samba aj.; podmínkou bezproblémového provozu je však správné nastavení těchto sítí tak, aby jejich chování při práci se síťovými prostředky odpovídalo chování sítě Microsoft.

Pro instalaci aplikace formou balíčku MSI je zapotřebí, aby v systému byl přítomen program Microsoft Installer verze 1.10 nebo vyšší. Doporučujeme používat vždy jeho nejnovější verzi.

Minimální podporované konfigurace

Podporované operační systémy:

  • Microsoft Windows 2000 Server SP2 EN a vyšší
  • Microsoft Windows Server 2003 Standard a vyšší
  • Microsoft Windows Server 2008 Standard a vyšší (nutno dodržet instalační postup pro Windows Vista a Windows Server 2008)

Minimální podporovaná verze aplikace Microsoft Internet Explorer je 5.5, která je důležitá zejména kvůli šifrování komunikace mezi klientem a serverem. S ohledem na celkové zabezpečení systému však doporučujeme používat vždy nejnovější verzi aplikace Internet Explorer.

Certifikované konfigurace

Operační systém | Microsoft Installer | Microsoft Internet Explorer
Microsoft Windows 2000 Server SP4 EN | výchozí | 6.0 SP1 EN
Microsoft Windows Server 2003 Standard SP1 CZ | výchozí | výchozí

Nedoporučené konfigurace

Nedoporučené operační systémy:

  • Microsoft Windows 2000 Professional SP2 a vyšší
  • Microsoft Windows XP Home a vyšší
  • Microsoft Windows XP Professional a vyšší
  • Microsoft Windows Vista

Nepodporované konfigurace

Nepodporované operační systémy:

  • Microsoft Windows NT 3.5
  • Microsoft Windows NT 3.51
  • Microsoft Windows NT 4.0
  • Microsoft Windows 95 (všechny varianty)
  • Microsoft Windows 98 (všechny varianty)
  • Microsoft Windows ME
  • Microsoft Windows 2000 SP1 a nižší
  • všechny ostatní operační systémy mimo Microsoft Windows (DOS, Unix, Linux, OS/2, Mac/OS, ...)

Nepodporované verze programu Microsoft Installer:

  • Microsoft Installer 1.00

Nepodporované verze aplikace Microsoft Internet Explorer:

  • Microsoft Internet Explorer 5.01 a nižší

Instalační postup pro Windows Vista a Windows Server 2008

  • Přihlásit se pod účtem, který má administrátorská práva.
  • Nejprve ručně spustit instalaci MSI balíčku produktu Vema - Start verze 2.1.4 nebo vyšší (poklepáním na příslušný balíček např. VemaStart.02.01.04.msi). Objeví-li se dotaz na potvrzení spuštění, spuštění potvrdit i přesto, že se nepodaří ověřit vydavatele.
  • V průběhu instalace zvolit "Výběrovou instalaci" a jako kořenový i integrační adresář zadat adresář C:\Vema.
  • Dokončit instalaci Vema - Start, v jejím průběhu je potřeba povolit přístup instalačního programu k počítači.
  • Další produkty distribuované po 25. 10. 2007 je pak již možné instalovat běžným způsobem, tzn. včetně použití instalačních plánů (přes Start nebo Správce), pouze je potřeba během instalace každého balíčku povolit přístup k počítači. Starší produkty není možné instalovat běžným způsobem, lze je však používat či instalovat z knihovny produktů Vema (bude dodávána na DVD).


 Instalace balíčku VemaAuthSync

Instalace balíčku VemaAuthSync

Instalace se provádí spuštěním instalačního balíčku VemaAuthSync. Jako standardní instalační adresář je nabídnut "C:\Program Files\Vema\VemaAuthSync".

K provozu tohoto modulu není potřeba žádné licence ze strany společnosti Vema.

Chcete-li mít možnost spouštět synchronizační proces přímo z aplikace PER, je nutno na počítač, kde je nainstalována aplikace PER, nainstalovat také produkt Vema Python verze 2.05.03 nebo vyšší.


 Registrace aplikačních objektů

Registrace aplikačních objektů

Po instalaci je potřeba zaregistrovat aplikační objekty s registrací dynamických dokumentů pro synchronizaci a s registrací spouštěcích skriptů do DBV aplikací. Provádí se přes "Vema - Správce":

  1. Po spuštění "Vema - Správce" klepnout pravým tlačítkem myši na datové prostředí, ze kterého se budou čerpat data aplikací HR o pracovnících, a zvolit "Registrace aplikačního objektu".
  2. V zobrazeném dialogu vyplnit přihlašovací údaje k V3 serveru (je-li používán) a k aplikaci PAM nebo PER, v seznamu aplikačních objektů ponechat zatrženou jen poslední verzi modulu VemaAuthSync a potvrdit.


 Zavedení synchronizačního účtu do autentizační služby Vema

Zavedení synchronizačního účtu do autentizační služby Vema

Pokud se bude pro autentizaci používat autentizační služba Vema a AuthSync bude k datům HR přistupovat přes V3 server, je nutno v autentizační službě vytvořit účet, kterým se AuthSync bude při přístupu k datům ověřovat:

  1. Spusťte nástroj pro správu autentizační služby VemaAuthAdmin (START - Programy - Vema - "Autentizační služba" - "Správa služby") a přihlaste se jako správce (výchozí správcovský účet má název "Admin" s výchozím heslem "heslo").
  2. Vytvořte účet (s názvem např. "AuthSync") a nastavte mu dostatečně bezpečné heslo.

  3. Pokud má navíc AuthSync také zavádět a rušit účty jednotlivých uživatelů v autentizační službě Vema podle aktuálního stavu dat v aplikacích HR, je nutno pro výše zvolený účet povolit správcovská oprávnění (po klepnutí na tlačítko "Upravit uživatele..." nastavit zatržítko "Správce autentizační služby"). Má-li však AuthSync zavádět a rušit účty pouze v rámci určité domény autentizační služby Vema, postačí zvolenému účtu přidělit správcovská oprávnění pouze v rámci zvolené domény (podrobnosti k nastavení naleznete v dokumentaci k nástroji VemaAuthAdmin).


 Zavedení synchronizačního účtu do aplikací HR

Zavedení synchronizačního účtu do aplikací HR

  1. V aplikacích PAM a PER v ostrých datech HR zaveďte nový uživatelský účet se jménem např. "AuthSync" se zvoleným netriviálním heslem. Tento účet bude sloužit pro export autorizačních informací pro Portál.
  2. V aplikacích PAM a PER v souboru DYNDOKUM (Systém - Konfigurace dynamických dokumentů) zakažte pomocí uživatelské události typu "Filtr pro čtení vět" přístup na dokumenty produktu AuthSync všem uživatelským účtům vyjma nového účtu pro synchronizaci ("AuthSync") a vyjma dalších oprávněných účtů (správci apod.). Dokumenty produktu AuthSync jsou identifikovány položkou IDOTCE (Identifikace nadřazeného dokumentu) nastavenou na hodnotu "vmasync".
    Příklad filtru: Typ události 2 (Filtr pro čtení vět), položka "Kdo" nastavena na hodnotu "Všichni uživatelé", položka "Výraz" nastavena na tento výraz:
    idotce<>"vmasync" or getuser=["AuthSync","spravce","spravce2"]
  3. Novému účtu ("AuthSync") zakažte mu veškerá menu.
  4. Ověřte, zda po přihlášení do obou aplikací PAM a PER nový účet ("AuthSync") nevidí žádná menu vyjma položky "Konec".


 Úprava konfiguračního souboru

Úprava konfiguračního souboru

Výchozí konfigurační soubor (VemaAuthSync.VmConfig) je komentovaný, význam jednotlivých uzlů je tedy popsán přímo v něm. Soubor lze otevřít prostřednictvím zástupce v nabídce START - Programy - Vema - "Synchronizace autorizace" - "Úprava konfigurace", nebo přímo v instalačním adresáři modulu (standardně "C:\Program Files\Vema\VemaAuthSync").

V konfiguraci je potřeba nastavit především tyto uzly:

  • Config/Diagnostics
    • System, App - úroveň systémové a aplikační diagnostiky, povolené hodnoty 0 (žádná diagnostika), 1 (pouze chyby), 2 (základní diagnostika) až 5 (nejpodrobnější diagnostika)
    • LogFile - cesta k logovému souboru
  • Config/VemaAuthSync/CfgVersion - udává verzi konfigurace. Tento uzel by neměl být měněn, pokud není potřeba upravit konfiguraci na některou novější verzi.
  • Config/VemaAuthSync/RegisteredTasks - seznam identifikátorů registrovaných úloh (oddělovaný čárkami, např. VmAuthAs,MojeUlohaA,MojeUlohaB), které lze vybrat při spuštění synchronizace pomocí parametru příkazové řádky. V nepovinném parametru příkazové řádky pro vyvolání vybraných úloh (Tasks) lze použít pouze ty názvy úloh, které jsou zde zaregistrovány.
  • Config/VemaAuthSync/Sources/HR
    • Server - spojovací řetězec na V3 server. Obvykle ve tvar "IP:adresa" - za adresu se dosazuje IP adresa nebo DNS jméno. Prázdný uzel znamená lokální provoz bez V3 serveru.
    • Subsystem - výchozí název subsystému (obvykle PAM). Pokud některý z exportních dynamických dokumentů (níže) patří do jiného subsystému v tomtéž datovém prostředí, dojde automaticky k přepnutí do potřebného subsystému. To však s sebou nese menší nadbytečnou výpočetní zátěž, proto je také možné uzel Subsystem uvést také přímo u konkrétního exportního dynamického dokumentu na stejné úrovni s uzlem DynDocID.
    • DataName - název datového prostředí, odkud se budou čerpat data o pracovnících
    • AuthUserName, AuthPassword - přihlašovací jméno a heslo, kterým se synchronizátor ověří proti autentizační autoritě, pokud je na V3 serveru požadována autentizace vůči doméně nebo autentizační autoritě Vema. V případě lokálního provozu bez V3 serveru nemají tyto uzly význam. Pokud si nepřejete uvádět heslo zde ve formě prostého textu, ponechejte oba uzly prázdné a nastavte místo nich odpovídající uzly v sekci Config/PSEdit (popsány níže). K uložení hesla pak využijte nástroj pro nastavení hesel do chráněného úložiště (VmSrvInstaller - lze jej spustit z nabídky START - Programy - Vema - Synchronizace autorizace - Nastavení hesel).
    • RoleName, RolePassword - název role (účtu) a případné heslo role pro přihlášení do aplikací PAM a PER. V případě provozu s V3 serverem se zapnutým překladem rolí musí mít autentizovaný uživatel (AuthUserName) právo přepnutí do zde uvedené role. Pokud si nepřejete uvádět heslo zde ve formě prostého textu, ponechejte oba uzly prázdné a nastavte místo nich odpovídající uzly v sekci Config/PSEdit (popsány níže). K uložení hesla pak využijte nástroj pro nastavení hesel do chráněného úložiště (VmSrvInstaller - lze jej spustit z nabídky START - Programy - Vema - Synchronizace autorizace - Nastavení hesel).
    • PristupyAuth, PristupyOther, Pracovnici - tyto uzly a jejich poduzly není nutné při standardním nastavení nijak měnit. Určují vazby jednotlivých exportních akcí na identifikátory exportních dynamických dokumentů (DynDocID) v aplikacích PAM a PER a vazby na typy přístupu v aplikaci PER (soubor TTYPPROP).
      Pokud je v datovém prostředí používána i aplikace STM a je naplněna platnými údaji (vztahy útvarů, pracovišť a pracovníků), pak lze v poduzlu Pracovnici/DynDocID použít namísto identifikátoru dyn. dokumentu "vmprac" identifikátor "vmpracst", díky kterému bude export dat výrazně rychlejší. Podmínkou pro tuto konfiguraci však je, aby každý pracovník byl zařazen na nějaké systemizované místo, jinak se pro něj nevyexportují platná data.
    • Pracovnici/NeplatneTKLC - příznak, zda se mají do podřízených pracovišť pro vedoucí pracovníky zahrnout také ta pracoviště, která jsou označena jako neplatná. Nenulová hodnota (1) znamená, že budou generována i neplatná pracoviště, tedy ta, která mají v tabulce TKLC nastavenu položku PLATNOST na hodnotu 0. Jiná hodnota (0) znamená, že budou generována pouze platná pracoviště.
    • Pracovnici/BezPodrizUtvaru - seznam útvarů, které se mají vynechat při generování seznamů podřízených útvarů (i seznamů souvisejících podřízených systemizovaných míst, pracovišť a pracovníků) pro vedoucí pracovníky. Netýká se to však přímých vedoucích těchto útvarů, u těch se seznamy generují vždy úplné bez ohledu na obsah tohoto uzlu. Uvádí se zde seznam hodnot v uvozovkách, hodnoty od sebe navzájem odděleny čárkami, např. jedna hodnota ("308") nebo více hodnot ("308","309","510"). Je-li tento uzel prázdný nebo neexistuje-li, pak budou seznamy útvarů, pracovišť a pracovníků generovány vždy úplné.
  • Config/VemaAuthSync/Destinations
    • DomainFilter - seznam domén (oddělený čárkami), pro které se budou uživatelské účty synchronizovat do cílů uvedených v Destinations. Není-li uzel DomainFilter uveden nebo je-li prázdný, provede se synchronizace pro všechny uživatelské účty bez ohledu na doménu. Je-li zde uvedena alespoň jedna položka představující název domény, pak se synchronizace provede pouze pro účty zařazené do zadané domény (domén). Požadavek na synchronizaci účtů nezařazených do žádné domény se identifikuje prázdnou položkou v seznamu, např. <DomainFilter>,Dom1,Dom2,Dom3</DomainFilter> nebo <DomainFilter>Dom1,,Dom2,Dom3</DomainFilter>. Oba tyto příklady zajistí synchronizaci pouze těch účtů, které nejsou zařazeny do žádné domény nebo jsou zařazeny do některé z domén Dom1, Dom2, Dom3.
    • DefaultDomain - název výchozí domény pro přihlašovací jména uživatelů. Je-li zadán, pak v něm uvedený řetězec se dosadí jako doménová předpona do všech přihlašovacích jmen uživatelů, která nemají doménu explicitně uvedenu. Pokud je zde uvedena např. hodnota "Centrala" a v souboru "Přístupy a oprávnění" např. vyskytne záznam s typem přístupu pro autentizaci (typ přístupu s hodnotou "vmauth"), který má uvedeno v poli "kod" pouze neúplně kvalifikované přihlašovací jméno (např. "novak"), bude při exportu do autentizační služby a do autorizačních a konfiguračních databází toto přihlašovací jméno doplněno na plně kvalifikovaný (doménový) tvar, tj. "Centrala\novak".
    • AuthenticationServer
      • Perform - pokud je zde nenulová hodnota (např. 1), provede se synchronizace seznamu pracovníků z aplikací HR a případné nastavení jim předgenerovaných hesel do autentizační autority Vema. Nemá význam v prostředí, kde V3 server a Portál mají nastavenou autentizaci typu ActiveDir. V případě hodnoty 0 se synchronizace neprovede a další poduzly nadřazeného uzlu nemají význam.
        Do tohoto uzlu lze napsat také jednoduchý výraz ve formě čárkami odděleného seznamu úloh, při kterých se tento synchronizační úkon má či nemá provést. Seznam může mít na začátku uveden vykřičník, který má význam negace. Požadované úlohy lze uvést na příkazové řádce v parametru Tasks, seznam povolených úloh se uvádí v uzlu Config/VemaAuthSync/RegisteredTasks. Příklady:
        • MojeUloha1 - provést pouze v případě, že v seznamu požadovaných úloh na příkazové řádce byla uvedena úloha "MojeUloha1".
        • !VmAuthAs - provést pouze v případě, že v seznamu požadovaných úloh na příkazové řádce nebyla uvedena úloha "VmAuthAs".
        • VmAuthAs,MojeUloha1,MojeUloha2 - provést pouze v případě, že v seznamu požadovaných úloh na příkazové řádce byla uvedena alespoň jedna z úloh "VmAuthAs", "MojeUloha1", "MojeUloha2".
        • !VmAuthAs,MojeUloha1,MojeUloha2 - provést pouze v případě, že v seznamu požadovaných úloh na příkazové řádce nebyla uvedena ani jedna z úloh "VmAuthAs", "MojeUloha1", "MojeUloha2".
      • Addr - IP adresa nebo DNS jméno autentizačního serveru Vema
      • UserName, Password - jméno a heslo, kterým se při synchronizaci proces autentizuje vůči autoritě. Zvolený účet musí mít správcovská oprávnění. Pokud si nepřejete uvádět heslo zde ve formě prostého textu, ponechejte oba uzly prázdné a nastavte místo nich odpovídající uzly v sekci Config/PSEdit (popsány níže). K uložení hesla pak využijte nástroj pro nastavení hesel do chráněného úložiště (VmSrvInstaller - lze jej spustit z nabídky START - Programy - Vema - Synchronizace autorizace - Nastavení hesel).
      • FixedAccounts - názvy účtů, které jsou vyhrazené a nebudou synchronizovány. V případě použití domén se uvádí plně kvalifikované jméno uživatele, např. "Domena1\Novak". Pozor!!! Při nastaveném uzlu Perform=1 budou účty, které nejsou uvedeny zde a ani v souboru "Přístupy a oprávnění" v aplikaci PER, z autentizační autority Vema při nejbližší synchronizaci smazány!!!
      • ForceNewPassChange - je-li zde nenulová hodnota, bude u nově přidaných účtů a nově nasynchronizovaných hesel v aut. službě nastaveno vynucení změny hesla při prvním přihlášení uživatele (výchozí hodnota je 0, tedy nevynucovat).
    • AuthorizationServer
      • Perform - pokud je zde nenulová hodnota (např. 1), provede se export atributů pracovníků z aplikací HR do autorizačních skriptů, které jsou uvedeny dále. V případě hodnoty 0 se export neprovede a další poduzly nadřazeného uzlu nemají význam.
        Do tohoto uzlu lze napsat také jednoduchý výraz ve formě čárkami odděleného seznamu úloh, při kterých se tento synchronizační úkon má či nemá provést. Seznam může mít na začátku uveden vykřičník, který má význam negace. Požadované úlohy lze uvést na příkazové řádce v parametru Tasks, seznam povolených úloh se uvádí v uzlu Config/VemaAuthSync/RegisteredTasks. Příklady jsou uvedeny v popisu uzlu AuthenticationServer/Perform (výše).
      • Scripts - seznam skriptů, které se mají exportovat. Každý zde uvedený uzel musím mít libovolné jméno unikátní v rámci uzlu Scripts a má tyto poduzly:
        • Perform - pokud je zde nenulová hodnota (např. 1), provede se export atributů pracovníků z HR do tohoto autorizačního skriptu. V případě hodnoty 0 se export neprovede.
          Do tohoto uzlu lze napsat také jednoduchý výraz ve formě čárkami odděleného seznamu úloh, při kterých se tento synchronizační úkon má či nemá provést. Seznam může mít na začátku uveden vykřičník, který má význam negace. Požadované úlohy lze uvést na příkazové řádce v parametru Tasks, seznam povolených úloh se uvádí v uzlu Config/VemaAuthSync/RegisteredTasks. Příklady jsou uvedeny v popisu uzlu AuthenticationServer/Perform (výše).
        • Encrypt - pokud je zde nenulová hodnota (např. 1), cílový autorizační skript bude uložen v zašifrované podobě. V případě, že uzel chybí nebo je nastaven na hodnotu 0, bude skript uložen v nezašifrované podobě (holý text). Podrobnosti o šifrovaných skriptech naleznete v dokumentaci autorizačního a konfiguračního serveru.
        • ScriptPath - cesta k cílovému skriptu, do kterého se bude exportovat
        • ScriptTemplatePath - cesta k textové šabloně, která bude použita pro vygenerování skriptu. Šablona je textový soubor, který může obsahovat níže uvedené nahrazovací sekvence. Nahrazovací sekvence je v okamžiku generování skriptu nahrazena odpovídající hodnotou dle níže uvedené tabulky. Před nahrazením je každá hodnota zkontrolována, zda neobsahuje znaky, které by mohly porušit syntaxi skriptu. Jedná se o znaky \ a " (tedy zpětné lomítko a uvozovky). Pokud jsou tyto znaky v hodnotě přítomny, jsou nahrazeny za tzv. escape-sekvence - \\ a \" (předřadí se jim zpětné lomítko).
          Tvorba šablony vyžaduje podrobné znalosti o konceptu autorizační databáze Vema pro V3 server i Portál, podrobnější informace naleznete v dokumentaci těchto produktů.

Nahrazovací sekvence | Význam
/*$(!ForEach UserName Beg)*/
...
/*$(!ForEach UserName End)*/ 		Obsah uvedený mezi počátečním a koncovým makrem bude ve výsledném souboru zopakován pro každé přihlašovací jméno.
/*$(!If Param!="")*/
...
/*$(!EndIf)*/

Tuto nahrazovací sekvenci lze použít pouze uvnitř sekvence ForEach (uvedeno výše). Za Param lze dosadit libovolný název nahrazovacího parametru, tj. některý z níže uvedených názvů (např. OscisVed, Pracv, PracvVed, Utvar atd.) nebo některý z uživatelsky definovaných parametrů (viz $(NAME)). Obsah uvedený mezi počátečním a koncovým makrem bude ve výsledném souboru buďto ponechán (v případě, že hodnota parametru Param je neprázdná), nebo bude odstraněn vč. případného ukončení řádku (v případě, že hodnota parametru je prázdná).

Tímto lze zajistit, že se zbytečně nebudou nastavovat uzly na prázdný řetězec, takže se dá ušetřit místo ve výsledném skriptu a tím zrychlit jeho překlad.

Příklad použití:

/*$(!ForEach UserName Beg)*/
Global Section (App=="VemaPanel" && Domain=="$(DomainName)" && User=="$(UserName)")
{
/*$(!If Personalista!="")*/Personalista="$(Personalista)";/*$(!EndIf)*/
/*$(!If Vzdelavac!="")*/Vzdelavac="$(Vzdelavac)";/*$(!EndIf)*/
}
/*$(!ForEach UserName End)*/
/*$(!CheckEmpty Beg)*/
...
/*$(!CheckEmpty End)*/

Tuto nahrazovací sekvenci lze použít pouze uvnitř sekvence ForEach (uvedeno výše). Pokud je výsledný obsah uzavřený mezi počátečním a koncovým makrem (CheckEmpty Beg a CheckEmpty End) prázdný, resp. obsahuje pouze tzv. bílé znaky (mezera, tabulátor, konec řádku), pak bude obsah celé aktuální iterace mezi makry ForEach UserName Beg/End (pro aktuálně zpracovávané přihlašovací jméno) zcela vypuštěn a do výsledného souboru nebude generován. Používá se obvykle ve spojení s makry If/Endif pro eliminaci vygenerovaných sekcí s výsledným prázdným tělem.

Příklad použití:

/*$(!ForEach UserName Beg)*/
Global Section (App=="VemaPanel" && Domain=="$(DomainName)" && User=="$(UserName)")
{
/*$(!CheckEmpty Beg)*/
/*$(!If Personalista!="")*/Personalista="$(Personalista)";/*$(!EndIf)*/
/*$(!If Vzdelavac!="")*/Vzdelavac="$(Vzdelavac)";/*$(!EndIf)*/
/*$(!CheckEmpty End)*/
}
/*$(!ForEach UserName End)*/
/*$(!TaskArea NazevUlohy Beg)*/
...
/*$(!TaskArea NazevUlohy End)*/

Označení části skriptu, která se má exportovat při spuštění částečné synchronizace (při výběru určitých úloh parametrem příkazové řádky Tasks). Ostatní části v cílovém skriptu jsou při této částečné synchronizaci ponechány v původní podobě. Částečná synchronizace výrazně zkracuje dobu generování tím, že se z DBV aplikací načítají jen ty údaje, které jsou potřeba pro danou úlohu.

Pozn.:

  • Nahrazovací sekvence TaskArea se nesmí vyskytovat uvnitř nahrazovací sekvence ForEach.
  • Nahrazovací sekvence TaskArea musí být vždy párová a nesmí se částečně prolínat s jinou nahrazovací sekvencí TaskArea. Je však možné jejich vzájemné zanoření za účelem označení části skriptu, která se má exportovat při více různých úlohách, tj. např. takto:

/*$(!TaskArea MojeUloha1 Beg)*/
/*$(!TaskArea MojeUloha2 Beg)*/
...
/*$(!TaskArea MojeUloha2 End)*/
/*$(!TaskArea MojeUloha1 End)*/

$(UserName) | Přihlašovací jméno (login) pracovníka (bez domény).
$(DomainName) | Doména, do které patří přihlašovací jméno (login) pracovníka.
$(FullUserName) | Plně kvalifikované přihlašovací jméno (login) pracovníka (včetně domény - např. "Domena1\Novak").
$(FullName) | Celé jméno pracovníka (jméno, příjmení, titul).
$(Oscis) | Osobní číslo pracovníka.
$(OscisVed) | Seznam osobních čísel pracovníků oddělených středníky, kteří jsou umístěni na pracovištích, které pracovník vede ve všech svých činnostech, kde je vedoucím (i tranzitivně podřízení pracovníci).
$(Pracv) | Pracoviště, na které je pracovník zařazen ve své hlavní činnosti.
$(PracvVed) | Seznam pracovišť oddělených středníky, které pracovník vede ve všech svých činnostech, kde je vedoucím (i tranzitivně podřízená pracoviště).
$(Utvar) | Útvar, na který je pracovník zařazen ve své hlavní činnosti.
$(UtvarVed) | Seznam útvarů oddělených středníky, které pracovník vede ve všech svých činnostech, kde je vedoucím (i tranzitivně podřízená pracoviště).
$(SysMisto) | Systemizované místo, na které je pracovník zařazen ve své hlavní činnosti.
$(SysMistoVed) | Seznam systemizovaných míst oddělených středníky, které pracovník vede ve všech svých činnostech, kde je vedoucím (i tranzitivně podřízená pracoviště).
$(NAME)

Za NAME lze dosadit libovolný název uzlu, který je uveden v konfiguraci jako poduzel uzlu Config/VemaAuthSync/Sources/HR/PristupyOther. Tento poduzel pak obsahuje uzel s mapováním na typ přístupu v aplikaci PER (TypProp), podle kterého se vezme výsledná hodnota ze souboru "Přístupy a oprávnění".
Ve výchozí konfiguraci jsou definovány tyto uzly:

Nahrazovací sekvence | Typ přístupu v PER | Význam | Akceptované hodnoty (tučná je výchozí)
$(Role) | vmrole | Role uživatele
$(AuthAsUser), $(AuthAsUser:DomainPart), $(AuthAsUser:UserPart), vmauthas

Pokud je tento typ přístupu u některého uživatele nastaven, pak určuje, že uživateli budou přiděleny atributy jiného uživatele, uvedeného v tomto typu přístupu. Tzn. že konfigurace a oprávnění skutečně přihlášeného uživatele budou nastaveny tak, jakoby se přihlásil jiný, zde uvedený uživatel. Tento typ přístupu je určen především pro správce, kteří si pomocí něj mohou na svém uživatelském účtu snadno nasimulovat problém, který se vyskytuje u jiného uživatele.

Nahrazovací sekvence má několik variant:

  • $(AuthAsUser) - nahradí se za celý obsah uživatelského jména tak, jak je uvedeno v souboru "Přístupy a oprávnění", tzn. např. "Domena\Novak"
  • $(AuthAsUser:DomainPart) - nahradí se za doménovou část uživatelského jména (tj. část před zpětným lomítkem), tzn. např. "Domena". Nemá-li uživatelské jméno doménovou část, nahrazuje se za prázdný řetězec.
  • $(AuthAsUser:UserPart) - nahradí se za uživatelskou část uživatelského jména (tj. část za zpětným lomítkem), tzn. např. "Novak".
$(Personalista) | vmpers | Určuje, zda je uživatel pracovníkem personálního oddělení (má neomezený přístup k personálním datům všech pracovníků). | 0 nebo 1
$(Vzdelavac) | vmvzdel | Určuje, zda je uživatel vzdělávacím referentem (plný přístup ke vzdělávacím datům). | 0 nebo 1
$(DochVedouci) | vmdochved | Určuje, zda je uživatel docházkový vedoucí (plný přístup k docházkovým datům osob, jejichž docházkovou evidenci má na starosti). | 0 nebo 1
$(Ekonom) | vmekonom | Ekonomický ředitel (plný přístup k ekonomickým datům celé společnosti + speciální dynamické dokumenty pro ekonomické analýzy). | 0 nebo 1
$(Ucetni) | vmucetni | Pracovník ekonomického oddělení (plný přístup k ekonomickým datům celé společnosti). | 0 nebo 1
$(WkfUziv) | vmwkfuziv | Uživatel aplikace Workflow (WKF, resp. eWKF). | 0 nebo 1
$(PracvPrid) | vmpracprid | Čárkami oddělený seznam předpon přidělených pracovišť (pro speciální role). | např. 321,322,325

$(Date) | Datum, kdy byla synchronizace provedena (ve formátu "yyyy.MM.dd", tedy např. "2006.02.15"). Jedná se o lokální čas dle časového pásma a období (tzn. uplatňuje se i letní čas).
$(Time) | Čas, kdy byla synchronizace provedena (ve formátu "HH:mm:ss", tedy např. "17:23:48"). Jedná se o lokální čas dle časového pásma a období (tzn. uplatňuje se i letní čas).
$(DateTime) | Datum a čas, kdy byla synchronizace provedena (ve formátu "yyyy.MM.dd HH:mm:ss", tedy např. "2006.02.15 17:23:48"). Jedná se o lokální čas dle časového pásma a období (tzn. uplatňuje se i letní čas).

  • Config/VemaAuthSync/Alerts/Failure/EMailSMTP - tato sekce umožňuje definovat e-mailové adresy, na které se má zaslat upozornění v případě, že synchronizace skončí s chybou
    • Perform - pokud je zde nenulová hodnota (např. 1), provede se odeslání upozorňujícího e-mailu. V případě hodnoty 0 se odeslání e-mailu neprovede a další poduzly nadřazeného uzlu nemají význam.
    • Server - adresa SMTP serveru
    • Port - port SMTP služby (výchozí hodnota 25)
    • To - adresa příjemce nebo adresy více příjemců oddělené středníkem
  • Config/PSEdit - pokud si nepřejete v některých výše uvedených uzlech uvádět hesla k ve formě prostého textu, ponechejte uzly pro přihlašovací jména i hesla prázdné a nastavte místo nich odpovídající uzly v této sekci. K zadání a uložení hesla pak využijte nástroj pro nastavení hesel do chráněného úložiště, který podle zde uvedených konfiguračních uzlů sestaví dialog pro ukládání hesel (VmSrvInstaller - lze jej spustit z nabídky START - Programy - Vema - Synchronizace autorizace - Nastavení hesel, nebo přímo z příkazové řádky příkazem VmSrvInstaller.exe /CfgFile:VemaAuthSync.VmConfig). Poté, co nastavíte níže uvedené uzly a konfiguraci uložíte, spusťte uvedený nástroj, v úvodním dialogu zadejte jméno a heslo účtu, pod kterým bude nástroj spouštěn (není-li to zrovna účet přihlášeného uživatele), a po klepnutí na tlačítko "Editace hesel" vyplňte potřebná hesla a potvrďte tlačítkem OK. Zadaná hesla budou uložena výhradně pro zadaný spouštěcí uživatelský účet, z jiného uživatelského účtu k nim nebude možné přistoupit a využít je pro přihlášení.
    • Item s poduzlem Type=1 (autentizační údaje pro přihlášení k serveru)
      • AuthType - možné hodnoty jsou Vema nebo ActiveDir podle typu autentizace vyžadované na V3 serveru
      • AuthServer - autentizační server.
        Pro autentizaci typu Vema se uvádí adresa autentizačního serveru tak, jak je uvedena v konfiguraci V3 serveru (SrvConfig.xml - atribut Server příslušného připojovacího bodu (CP)). Pozor! Pokud je tam však uvedeno "localhost", je nutno zde namísto "localhost" zadat plně kvalifikované jméno počítače, na kterém běží autentizační služba, tj. např. "server.firma.cz".
        Pro autentizaci typu ActiveDir je to plně kvalifikovaný název domény tak, jak je uveden v konfiguraci V3 serveru (SrvConfig.xml - atribut Realm příslušného připojovacího bodu (CP)).
      • User - název uživatelského účtu, pod kterým se bude AuthSync autentizovat a pro který se tudíž má do chráněného úložiště uložit heslo.
    • Item s poduzlem Type=2 (údaje pro přihlášení do DBV aplikací)
      • Data - název datového prostředí, do něhož mají být přihlašovací údaje použity.
      • User - název uživatelského účtu v DBV (role v DBV), pod kterým se bude AuthSync do dané DBV aplikace přihlašovat a pro který se tudíž má do chráněného úložiště uložit heslo.


 Úprava výchozích šablon skriptů

Úprava výchozích šablon skriptů

Pokud použijete pro konfiguraci synchronizace standardní šablony, pak jsou zde uvedeny body pro jejich rychlou úpravu:

  1. Používáte-li pro Portál jinou než standardní výchozí konfigurační databázi, pak v šabloně VemaPortal.Cache.AuthSync.VmConfigDBT nastavte u DBVRun.Data platné aliasy datových prostředí. V této výchozí šabloně jsou totiž místo přímých názvů datových prostředí použity aliasy uzlů obsahujících názvy odpovídajících datových prostředí a předpokládá se, že tyto uzly jsou v rámci cílové konfigurační databáze skutečně definovány.
  2. Je-li předem známo, že všechny uživatelské účty v rámci počítačové sítě společnosti jsou zařazeny pouze do jedné společné domény nebo nebude-li vůbec používáno domén, smažte v šablonách Authorization.Attribs.AuthSync.VmConfigDBT a Authorization.VemaPortal.Attribs.AuthSync.VmConfigDBT v záhlaví generované sekce část podmínky týkající se domény, tzn. smazat následující: "Domain=="$(DomainName)" && ". Zredukuje se tím zbytečná režie při vyhodnocování vygenerovaných skriptů.
  3. Šablony skriptů upravte dle potřeby tak, aby korespondovaly s Vámi připravenou autorizační a konfigurační databázi Portálu i V3 serveru. Šablony skriptů odpovídají standardní výchozí autorizační a konfigurační databázi, takže obvykle zde není potřeba nic upravovat, nebo pouze postačí vypustit nastavování nepotřebných uzlů.


 Definice přístupů a oprávnění

Definice přístupů a oprávnění

Při první instalaci je potřeba pro správné fungování synchronizace nejprve nadefinovat typy přístupů, které se budou používat, a konečně také přístupy pro jednotlivé pracovníky. Jedná se v podstatě o přiřazení přihlašovacích jmen a rolí v aplikacích Vema pro jednotlivé pracovníky, kteří jsou evidováni v aplikacích HR, v souboru "Přístupy a oprávnění". Údaje z tohoto souboru jsou pak synchronizovány do autentizační služby Vema (je-li to zapnuto v konfiguraci) a do autorizační databáze V3 serveru a Portálu.

Je také nutné zkontrolovat správnost nastavení vztahů útvarů, pracovišť, pracovníků a systemizovaných míst.

Typy přístupu

Definice se provádí v aplikaci PER v tabulce "Typy přístupu" (Soubory - "Editor souborů" - PER - "Základní nastavení" - "TTYPPROP - Typy přístupu"). Pro zjednodušení je možné nahrát výchozí definici typů přístupu:

  1. Spusťte aplikaci PER.
  2. Před importem nejprve zkontrolujte, zda je v technickém nastavení aktuálního uživatele nastaven "Kód pro export dat" (KODEXP) na hodnotu 2 (nutné pro správný import následujícího souboru), případně jej dočasně nastavte na tuto hodnotu.
  3. V souboru PER - "Základní nastavení" - "TTYPPROP - Typy přístupu" smažte výchozí záznam s typem "login", pokud tam existuje a není k ničemu používán.
  4. Zvolte Soubory - Vstupy a otevřete z instalačního adresáře (standardně "C:\Program Files\Vema\VemaAuthSync") jeden ze souborů
    • TTYPPROP_Vema.csv (pokud je použita ve V3 serveru a Portálu autentizace proti autoritě Vema),
    • TTYPPROP_ActiveDir.csv (pokud je použita ve V3 serveru a Portálu autentizace typu ActiveDir (tj. proti doméně Windows)).
  5. Po provedení importu zkontrolujte v tabulce "Typy přístupu", zda data byla naimportována správně.
  6. Případně vraťte nastavení KODEXP na původní hodnotu.

Naimportované typy přístupu lze pak dodatečně upravit podle požadavků dané organizace. Např. v případě použité autentizace Vema a zapnuté synchronizace jmen a hesel do autentizační služby Vema (uzel konfigurace Config/VemaAuthSync/Destinations/AuthenticationServer/Perform) má význam u typu přístupu "vmauth" upravit pole "maska" pro automatickou tvorbu uživatelského jména a pole "hdelka" a "hobsah" pro tvar automaticky generovaného přiděleného hesla pro nové uživatele. Naopak u autentizace typu ActiveDir nemá generování hesla smysl, protože je přidělováno správcem domény Windows.

Přístupy a oprávnění

Přístupy a oprávnění jednotlivých pracovníků se definují v aplikaci PER v souboru "Přístupy a oprávnění" (PRISTUPX) (Soubory - "Editor souborů" - PER - Zaměstnanci - "Osobní údaje" - "Přístupy a oprávnění"). V podstatě se jedná o vazbu osobního čísla pracovníka na jeho přihlašovací jména a role v různých systémech. U každého přístupu lze definovat i časovou platnost a případně nechat vygenerovat výchozí heslo (pokud je patřičně nastaven formát hesla u daného typu přístupu v tabulce "Typy přístupu" (TTYPPROP)).

Po výše uvedeném nahrání obsahu tabulky "Typy přístupu" (TTYPPROP) jsou definovány tyto výchozí typy přístupu a lze je pak používat v souboru "Přístupy a oprávnění" následujícím způsobem:

  • vmauth - do pole "kod" se vyplňuje přihlašovací jméno uživatele do domény nebo do autentizační služby Vema. V případě použité autentizace Vema a zapnutého přidělování hesel u tohoto typu přístupu se také automaticky vygeneruje výchozí heslo uživatele a při nejbližší synchronizaci se nasynchronizuje do autentizační služby Vema. Vygenerované heslo lze pak pro pracovníka vytisknout na diskrétní tiskopis sestavou Sestavy - Ostatní - "S44 - Distribuce hesel" (možno i hromadně).
  • vmauthas - pomocný dočasný typ přístupu. Do pole "kod" se vyplňuje přihlašovací jméno jiného uživatele, na kterého se má uživatel uvedený v typu přístupu "vmauth" namapovat, tzn. vystupovat jako on. Pokud je tento typ přístupu u některého uživatele nastaven, pak určuje, že uživateli budou přiděleny atributy jiného uživatele, uvedeného v tomto typu přístupu. Tzn. že konfigurace a oprávnění skutečně přihlášeného uživatele budou nastaveny tak, jakoby se přihlásil jiný, zde uvedený uživatel. Tento typ přístupu je určen především pro správce, kteří si pomocí něj mohou na svém uživatelském účtu snadno nasimulovat problém, který se vyskytuje u jiného uživatele.
  • vmrole - do pole "kod" se vyplňuje název základní role v aplikacích Vema. Musí korespondovat s autorizační databází Portálu a V3 serveru. Obvykle jsou používány základní role "zamestnanec", "vedouci" a "reditel". Pokud pro některého uživatele není role uvedena, dostane výchozí roli popsanou v konfiguraci VemaAuthSync.VmConfig v uzlu Config/VemaAuthSync/Sources/HR/PristupyOther/Zamestnanec nebo Config/VemaAuthSync/Sources/HR/PristupyOther/Manager (podle toho, zda se jedná o běžného zaměstnance, nebo vedoucího). Standardně tedy není nutno role "zamestnanec" a "vedouci" v souboru "Přístupy a oprávnění" uvádět, stačí uvádět pouze roli "reditel" pro ředitele společnosti.
  • vmpers, vmvzdel, vmdochved, vmekonom, vmucetni, vmwkfuziv - nepovinné přiřazení doplňkové role (personalista, vzdělávač, doch. vedoucí, ekonomický ředitel, účetní, uživatel Workflow) danému uživateli k jeho základní roli (zamestnanec, vedouci, reditel). Hodnota 1 v poli "kod" znamená, že uživatel má danou doplňkovou roli. Jakákoli jiná hodnota (0 je výchozí, není nutno ji uvádět) znamená, že uživatel nemá danou doplňkovou roli. Popis významu těchto jednotlivých typů přístupu naleznete v tabulce v kapitole "Úprava konfiguračního souboru" u nahrazovací sekvence "$(NAME)".
  • vmpracprid - umožňuje definovat v poli "kod" výčet pracovišť pomocí uvedení seznamu začátků (prefixů) čísel pracovišť oddělených čárkou (bez mezer či jiných znaků), např. "321,322,325" (bez uvozovek). Tento výčet se při generování rozvine v úplný seznam pracovišť, jejichž číslo začíná na některou z předpon uvedenou v seznamu předpon (zde např. na čísla 3210000, 3210070, 3210080, 3220000, 3250000, 3250010, ...). Výsledný seznam lze použít např. v autorizační databázi V3 serveru k definici filtru na uvedená pracoviště pro specializované role, kde každý uživatel přiřazený do dané speciální role má přidělenu správu určité skupiny pracovišť. Pro generování tohoto typu přístupu je použit dynamický dokument vmprist2.

Před prvním spuštěním synchronizace je nutné soubor "Přístupy a oprávnění" naplnit platnými údaji, jinak může dojít např. k znepřístupnění aplikací Vema pro zde nezavedené pracovníky v důsledku vymazání jejich účtů z autentizační autority Vema!

V prostředích se zapnutou autentizací typu ActiveDir je nejvhodnější formou úvodního nastavení import předchystaného CSV souboru s osobními čísly a přihlašovacími jmény pracovníků. Tato data lze obvykle získat např. z aplikace Vema ADR, z LDAP serveru společnosti či z jiného datového zdroje, kde je vazba osobních čísel pracovníků na jejich přihlašovací jména evidována. Pokud nikde taková data neexistují, bude asi nutno je zadat ručně, nebo párováním z různých agend (např. PAM a LDAP) přes jména a příjmení uživatelů, samozřejmě s následnou kontrolou správnosti párování (pro případ pracovníků se shodnými jmény).

Nastavení pracovních zařazení a vztahů

Před prvním spuštěním je nutné zkontrolovat správnost nastavení vztahů útvarů, pracovišť, pracovníků a případně i systemizovaných míst v aplikacích PAM, PER a případně i STM.

Varianta bez aplikace STM (použití DD vmprac)

V aplikaci PAM prověřit:

  1. Soubor TUTV (Organizační útvary), zda existují platné útvary včetně nastavené položky UROVNE (Úrovně).
    • Pro definování organizačních útvarů v TUTV lze využít existující tabulky TKLC (Struktura organizace), pomocí Excelentu importovat do TUTV položky TKLC.PRACV (pozor - změnit na textový formát) a TLKC.PRACVT.
    • Pro nastavení položky TUTV.UROVNE definovat číselník TPOUR (Tabulka popisů úrovní).
  2. Soubory TUTVNAD (Organizační útvary nadřízené), TUTVPOD (Organizační útvary podřízené), zda jsou nadefinovány platné vztahy nadřízenost/podřízenost mezi útvary.
  3. Soubor TKLC (Struktura organizace), zda je u platných pracovišť nastavena položka PLATNOST (Platnost) na hodnotu 1 (u neplatných pracovišť na hodnotu 0) a položka UTVAR (Organizační útvar) - každé platné pracoviště musí mít zadaný odpovídající platný organizační útvar.
    • Pokud čísla pracovišť odpovídají číslům útvarů, lze s využitím Excelentu nastavit položku TKLC.UTVAR (pozor textový formát) podle položky TKLC.PRACV.
  4. V souboru F4 (Charakteristiky PPV), zda pracovníci v PPV mají v položce F4.UTVAR nastaven organizační útvar a vedoucí pracovníci v položce VEDOUCI (Vedoucí) na hodnotu 1. (Pozn.: položka VEDOUCI se vztahuje k útvaru, ne k pracovišti.)
    • Je-li F4.UTVAR=nedef, pak soubor F4 zúžit na pracovníky v PPV, skupinovou kopií vytvořit pro tyto pracovníky nový záznam v F4 a skupinově dosadit položku PRACVZ, čímž se automaticky nastaví i položka F4.UTVAR.

Varianta s aplikací STM (použití DD vmpracst)

V aplikaci PER prověřit soubor PZARAZX (Pracovní zařazení), zda je u pracovníků v PPV nastavena položka MISTO (Systemizované místo). Postup pro obsazení systemizovaných míst je uveden v uživatelské příručce STM.

Nastavení docházkových vedoucích

Pokud má být u každého pracovníka exportován i příznak, zda pracovník je docházkovým vedoucím (předdefinovaný typ přístupu "vmdochved"), je nutno tento příznak pro docházkové vedoucí nastavit v souboru PZARAZX (Pracovní zařazení), položka DOCHVED (Indikace vedoucího pro docházku).

Tato položka je však ve výchozím nastavení PER skryta, proto je obvykle nutné nejprve zapnout její zobrazování volbou VDOCHVED (Automatické vyhodnocení vedoucího pro docházku) v souboru UNPE (Nastavení personalistiky).


 Kontrola nastavení DBV aplikací

Kontrola nastavení DBV aplikací

Zkontrolujte, zda je v aplikacích PAM a PER v technickém nastavení uživatele, přes kterého AuthSync bude exportovat, uvedeno v dostupných zařízeních i zařízení "2" (Kameníci). Je to nutné pro správné generování dynamických dokumentů.


 Spuštění

Spuštění

Před prvním spuštěním řádně nadefinujte přístupy a oprávnění, protože bez jejího vyplnění synchronizace proběhne naprázdno, případně může navíc smazat účty v autentizační službě Vema, což není žádoucí. Zkontrolujte také správnost nastavení pracovních zařazení a vztahů.

Typické scénáře spouštění tohoto nástroje jsou tyto:

  1. Přímé spuštění - z nabídky START - "Všechny programy" - Vema - "Synchronizace autorizace" - "Spuštění synchronizace". Provede se úplná synchronizace.
  2. Spuštění přes plánovač Windows - z nabídky START - "Ovládací panely" - "Naplánované úlohy" - naplánováním spuštění procesu VemaAuthSync.exe z instalačního adresáře modulu (standardně "C:\Program Files\Vema\VemaAuthSync"). Pokud nejsou uvedeny žádné parametry na přík. řádce, provede se úplná synchronizace. Plán spuštění se obvykle nastavuje na noční hodiny po půlnoci tak, aby běh synchronizace nekolidoval s jinými úlohami, které provádějí operace v aplikacích HR (PAM, PER, DCH, STM, ...) nebo které potřebují značnou část výpočetních prostředků hostitelského počítače. Spuštění je potřeba naplánovat až na čas po půlnoci, protože platnost přístupů uživatelů se definuje v celých dnech, a je nutné, aby se stav platnosti přístupů exportoval pro nadcházející den, ne pro předchozí den. Pokud synchronizace navíc čerpá data z kopie ostrého datového prostředí, je nutno naplánovat její spuštění až po provedení kopie datového prostředí.
  3. Spuštění prostřednictvím aplikační funkce (klávesa F7) nad souborem "Přístupy a oprávnění" - položky kontextového menu "Aktualizovat autentizační a autorizační DB (vše)" nebo "Aktualizovat autorizační DB (jen přihl. na jiného uživ.)". V tomto případě bude synchronizační proces spuštěn v kontextu provozního účtu hostitelského V3 serveru. Uvedené položky jsou v kontextovém menu dostupné jen tehdy, jsou-li řádně zaregistrovány aplikační objekty produktu VemaAuthSync. Zároveň musí být na počítači, kde se spouští aplikace PER, nainstalován produkt Vema Python verze 2.05.03 nebo vyšší.
  4. Spuštění prostřednictvím aplikační funkce (klávesa F7) nad příslušnými větami souboru Skripty (SCRPTPER) - např. věty s ID "vmasyn", "vmasynas" apod. V tomto případě bude synchronizační proces spuštěn v kontextu provozního účtu hostitelského V3 serveru. Uvedené skripty jsou v aplikaci PER přítomny jen tehdy, jsou-li řádně zaregistrovány aplikační objekty produktu VemaAuthSync. Zároveň musí být na počítači, kde se spouští aplikace PER, nainstalován produkt Vema Python verze 2.05.03 nebo vyšší.

Je potřeba dbát na to, aby uživatelský účet, pod kterým se synchronizace spouští, měl patřičná oprávnění (čtení, zápis) na cílové adresáře a na adresář s logovým souborem.

Modul po svém spuštění se připojí ke zvolené aplikaci HR (obvykle PAM) a získá z ní data potřebná pro synchronizaci. Následně provede synchronizaci zjištěných údajů do autentizační autority Vema (pokud je požadována - dle nastavení konfigurace) a dále export požadovaných skriptů na základě šablon a získaných dat o pracovnících. Je potřeba mít na paměti, že se jedná o časově náročnou operaci, jejíž doba průběhu závisí na výkonu hostitelského počítače a objemu personální databáze. Řádově může trvat minuty pro stovky osobních čísel až desítky minut pro tisíce osobních čísel. Čas generování lze výrazně omezit zvolením provedení pouze určitých úloh použitím parametru Tasks na příkazové řádce.

Modul nemá žádné grafické rozhraní. Výstupem jsou pouze exportované cílové soubory, dále logový soubor nastavený v konfiguraci (konfigurační uzel Config/Diagnostics/LogFile), stručné konzolové výstupy a návratová hodnota procesu VemaAuthSync.exe. Případně i nově zavedení či zrušení uživatelé v autentizační autoritě Vema (pokud je tento cíl nastaven v konfiguraci). V případě bezproblémového průběhu vrací proces nulovou návratovou hodnotu, v případě chyby vrací nenulovou návratovou hodnotu (lze kontrolovat např. při dávkovém spuštění).

Po prvním spuštění je tedy možné správnost exportu zkontrolovat podle záznamů v logovém souboru a podle časové známky a obsahu vyexportovaných souborů. Při standardní konfiguraci s použitím výchozích šablon skriptů se jedná o tyto soubory:

  • Authorization.VemaPortal.Attribs.AuthSync.VmConfigDB,
  • VemaPortal.Attribs.AuthSync.VmConfigDB,
  • VemaPortal.Cache.AuthSync.VmConfigDB,
  • Authorization.Attribs.AuthSync.VmConfigDB.

Případně, pokud je jako cíl synchronizace používána autentizační autorita Vema, musí být po synchronizaci také správně naplněná databáze autentizační autority (jména a hesla portálových uživatelů) - ověřte přes nástroj pro správu autentizační služby VemaAuthAdmin (START - Programy - Vema - "Autentizační služba" - "Správa služby").

  • Parametry příkazové řádky


 Parametry příkazové řádky

Parametry příkazové řádky

Název parametru Příklad Popis
Tasks /Tasks=VmAuthAs,MojeUloha1,MojeUloha2

Seznam identifikátorů úloh, které se mají provést. Provedení pouze vybraných úloh (tzv. částečná synchronizace) může výrazně zkrátit dobu synchronizace tím, že se z DBV aplikací načítají jen ty údaje, které jsou potřeba pro danou úlohu.
Seznam povolených úloh se uvádí v konfiguraci v uzlu Config/VemaAuthSync/RegisteredTasks. Názvy úloh pak lze v podmínkách používat jednak v některých konfiguračních uzlech (typicky uzly Perform), jednak také v šablonách skriptů v párové instrukci

/*$(!TaskArea NazevUlohy Beg)*/
...
/*$(!TaskArea NazevUlohy End)*/

Upozornění: Před provedením částečné synchronizace je potřeba nejprve alespoň jednou spustit úplnou synchronizaci, tj. spuštění bez parametru Tasks. Rovněž po změně definic šablon skriptů nebo konfigurace je potřeba provést nejrpve úplnou synchronizaci.

Pozn.: Při provedení částečné synchronizace se kontroluje existence všech cílových skriptů, i těch, do nichž se synchronizace při dané úloze neprovádí. Děje se tak z důvodu zamezení vzájemným nekonzistencím mezi skripty.


 Provoz a údržba

Provoz a údržba

Při naplánovaném spouštění modul zajišťuje pravidelnou synchronizaci dat z aplikací HR do autentizační autority Vema a zvolených autorizačních databází (dle konfigurace). Do těchto cílových entit se synchronizují pouze pracovníci, kteří mají v souboru "Přístupy a oprávnění" záznam typu "vmauth" platný k danému datu a zároveň mají k danému datu platnou pracovní smlouvu. Pro ostatní pracovníky se nic nesynchronizuje, tzn. v autentizační DB jsou zrušeny jejich účty, pokud existovaly, a do autorizační databáze nejsou pro ně generovány žádné záznamy.

Garantování přístupů do vybraných systémů je tedy ve spojení se zapnutou synchronizací pouze záležitostí úprav v konfiguračním souboru "Přístupy a oprávnění" v aplikaci PER. Garantování viditelnosti dat je jednak záležitostí úprav v konfiguračním souboru "Přístupy a oprávnění" v aplikaci PER (např. přiřazení speciální role apod.), jednak záležitostí správného nastavení pracovních zařazení a vztahů v aplikacích HR. Všechna tato nastavení je zapotřebí udržovat neustále aktuální a významově správné, jinak hrozí např. prostřednictvím Portálu kompromitace citlivých dat, případně znepřístupnění dat pro oprávněné osoby.

Je potřeba mít na paměti, že veškeré změny provedené v souboru "Přístupy a oprávnění" i v pracovních zařazeních a vztazích se efektivně projeví až po další synchronizaci. V případě potřeby rychlé aktualizace oprávnění je možno synchronizaci provést okamžitě, a to např. ručně zástupcem z nabídky START - Programy - Vema - "Synchronizace autorizace" - "Spuštění synchronizace". Opět však platí, že se jedná o časově náročnou operaci, která může ostatním uživatelům právě pracujícím s aplikacemi Vema dočasně snížit rychlost aplikační odezvy.

Zde jsou uvedeny některé základní postupy (předpokládají existenci předdefinovaných typů přístupu "vmauth", "vmrole" a "vmdchman" + výchozí naimportovaný CSV soubor TTYPPROP + výchozí konfiguraci VemaAuthSync.VmConfig):

  • Zavedení přístupu pro nového pracovníka

  • Změna přístupu k určenému datu

  • Zrušení přístupu pro pracovníka

  • Přihlášení s atributy jiného uživatele


 Zavedení přístupu pro nového pracovníka

Zavedení přístupu pro nového pracovníka

  1. Získat osobní číslo pracovníka a k němu jeho přihlašovací jméno do autentizační autority Vema nebo do domény. Tento pracovník musí být nejdříve zaveden do dat aplikací HR (PAM, PER, příp. STM).
  2. Do souboru "Přístupy a oprávnění" přidat záznam, vybrat osobní číslo pracovníka, typ "vmauth" a do pole "kod" vyplnit jeho přihlašovací jméno. V případě autority Vema mu bude (podle nastavení) vygenerováno heslo. Vygenerované heslo lze pak pro pracovníka vytisknout sestavou Sestavy - Ostatní - "S44 - Distribuce hesel" (možno i hromadně).
  3. Pokud se jedná o pracovníka, který je ředitel (základní role "reditel"), nebo vystupuje v nějaké zákaznicky definované speciální roli (např. "special"), je nutno přidat pro totéž osobní číslo ještě další záznam typu "vmrole" a do pole kod dopsat přesný název role ("reditel", "special", ...). Základní role "zamestnanec" a "vedouci" není nutno takto explicitně uvádět, přiřadí se automaticky na základě pracovních vztahů z dat HR.
  4. Pokud se jedná o pracovníka, který má určitou doplňkovou roli (např. je personální pracovník, vzdělávací referent, docházkový vedoucí, ekonomický ředitel, účetní apod.), je nutno přidat pro totéž osobní číslo ještě další záznam odpovídajícího typu (vmpers, vmvzdel, vmdochved, vmekonom, vmucetni, vmwkfuziv, ...) a do pole kod dopsat hodnotu "1" (bez uvozovek). Pro některé specializované doplňkové role může být ještě dále požadován seznam přidělených pracovišť, pak je nutno přidat další záznam typu vmpracprid a do pole kod zapsat čárkami oddělený seznam předpon čísel přidělených pracovišť (např. 321,322,325).

Nové změny se projeví až po další úplné synchronizaci. Je možné ji spustit např. v aplikaci PER přímo v souboru "Přístupy a oprávnění" pomocí aplikační funkce (F7) - položka kontextového menu s názvem "Aktualizovat autentizační a autorizační DB (vše)".


 Změna přístupu k určenému datu

Změna přístupu k určenému datu

Pokud k určenému datu pracovník dostane např. nové přihlašovací jméno nebo novou roli:

  1. Jeho původní přístupový záznam se v souboru "Přístupy a oprávnění" ponechá, nastaví se na něm pouze požadovaný "Konec platnosti".
  2. Vytvořit pro tohoto pracovníka nový záznam stejného typu, ve kterém se nastaví požadovaný "Začátek platnosti" a do pole "Kód přístupu" se vyplní nové přihlašovací jméno.

Nové změny se projeví až po další úplné synchronizaci. Je možné ji spustit např. v aplikaci PER přímo v souboru "Přístupy a oprávnění" pomocí aplikační funkce (F7) - položka kontextového menu s názvem "Aktualizovat autentizační a autorizační DB (vše)".


 Zrušení přístupu pro pracovníka

Zrušení přístupu pro pracovníka

Pracovníkovi automaticky skončí platnost jeho přístupu, pokud mu dle dat aplikace PAM skončí pracovní vztah (pracovní smlouva). Pro ukončení platnosti přístupů není tedy potřeba dělat žádné další kroky.

Je-li však potřeba zamezit přístupu pracovníka např. k Portálu předčasně nebo na přechodnou dobu, nabízí se tyto možnosti:

  • V souboru "Přístupy a oprávnění" nastavit konec platnosti na záznamu typu "vmauth" spojeného s jeho osobním číslem na požadovaný datum (možno např. i na včerejší či dnešní den),
  • nebo úplně smazat záznam typu "vmauth" spojený s jeho osobním číslem.

Podobně se dá operovat s platností rolí ("vmrole", "vmpers", "vmvzdel, "vmdochved", ...) a různých doplňkových seznamů ("vmpracprid").

Nové změny se projeví až po další úplné synchronizaci. Je možné ji spustit např. v aplikaci PER přímo v souboru "Přístupy a oprávnění" pomocí aplikační funkce (F7) - položka kontextového menu s názvem "Aktualizovat autentizační a autorizační DB (vše)".


 Přihlášení s atributy jiného uživatele

Přihlášení s atributy jiného uživatele

Pokud uživatel nahlásí správci aplikací Vema problém při své práci v systému Vema (např. že v Portálu nevidí potřebná data apod.), může správce využít možnosti přihlásit se do systému s atributy uživatele, který nahlásil problém:

  1. Do souboru "Přístupy a oprávnění" přidat záznam, vybrat osobní číslo správce, typ "vmauthas" a do pole "kod" vyplnit přihlašovací jméno uživatele, který nahlásil problém.
  2. Spustit synchronizaci a počkat na její dokončení. V tomto případě je možné spustit zrychlenou synchronizaci v souboru Skripty (SCRPTPER) v aplikaci PER pomocí klávesy F7 nad větou s identifikátorem (ID) "vmasynas".
  3. Správce se přihlásí do systému Vema svým standardním doménovým uživatelským účtem, přičemž bude vystupovat s atributy uživatele, který nahlásil problém (uvidí veškeré údaje stejně, jakoby se přihlásil zmíněný uživatel).
  4. Po vyřešení problému smazat v souboru "Přístupy a oprávnění" celý záznam typu "vmauthas" spojený s osobním číslem správce.
  5. Spustit synchronizaci a počkat na její dokončení. V tomto případě je možné spustit zrychlenou synchronizaci v souboru "Přístupy a oprávnění" pomocí aplikační funkce (F7) - položka kontextového menu s názvem "Aktualizovat autorizační DB (jen přihl. na jiného uživ.)".


 Systémová a technická podpora

Systémová a technická podpora

V případě problémů se pokuste nejdříve nalézt řešení na našem informačním webu „Báze znalostí“ na adrese http://znalosti.vema.cz. Pokud zde nenaleznete odpověď na Váš dotaz, popište Váš požadavek do webového formuláře na http://ccv.vema.cz. Jeho výhodou je, že jej můžete využívat bez omezení 7 dnů v týdnu 24 hodin denně a svůj požadavek zde můžete sami přímo podrobně popsat. To konzultantům zkrátí dobu na jeho řešení. Obrátit se můžete též telefonicky na naše Call Centrum Vema (CCV) na Žlutou linku 900 200 200 (20,- Kč/min., tarifikace po 1 s., nelze volat z mobilních telefonů) s možností přepojení na konzultanty nebo Váš požadavek můžete zaregistrovat na bezplatné Zelené lince 800 100 262. Nejlepším postupem je ale po prvotním hledání v Bázi znalostí vyplnění webového formuláře. Při technických potížích při instalaci nebo provozu aplikací Vema nám můžete také zaslat protokol, který vygeneruje aplikace Vema - Technické informace.

Vema - Technické informace

Produkt "Vema - Technické informace" (TechInfo) je diagnostický nástroj pro vyhodnocení připravenosti počítače na provoz produktů Vema. Je volně k dispozici ke stažení.

Produkt TechInfo po svém spuštění zjišťuje informace o konfiguraci počítače, tj. o operačním systému, verzích některých aplikací a komponent, instalovaných tiskárnách apod. Na základě zjištěných informací poté vyhodnotí, zda je daná konfigurace pro jednotlivé produkty Vema podporovaná, resp. certifikovaná. O výsledku testu zobrazí stručnou zprávu, upozorní na případné provozní problémy na dané konfiguraci a doporučí způsob jejich vyřešení. Právě proto, že součástí výsledné zprávy jsou také komentáře a doporučení k řešení případných provozních problémů, by správci systémů měli použít produkt TechInfo ještě dříve, než se obrátí s dotazem přímo na technickou podporu Vema.

Produkt TechInfo také vygeneruje soubory s podrobnou zprávou o výsledku testu (VemaInfo.txt a Description.xml), o něž můžete být požádáni pracovníky technické podpory Vema při řešení Vašeho problému. Umožňuje také přímé odeslání této výsledné zprávy e-mailem technické podpoře Vema. Technická podpora požaduje ve většině případů jako první krok právě zaslání výsledné zprávy z produktu TechInfo.