Учётные записи
Локальный вход или вход через Active Directory / LDAP. По желанию — SAML, OIDC или Keycloak.
Для ИТ-директоров и служб информационной безопасности
Кто что видит в системе — и как это проверить
АСК Легарус разграничивает доступ по ролям и рабочим объектам, поддерживает вход через домен или корпоративный SSO и фиксирует изменения в журналах. Система ставится на серверах заказчика или в частном облаке — данные остаются в вашем контуре.
Страница описывает механизмы продукта. Сертификацию ФСТЭК и соответствие отраслевым требованиям проверяют отдельно под ваш проект.
Четыре механизма, которые видит заказчик в продукте
Они работают вместе с вашей сетью, серверами, шифрованием канала и регламентами доступа — а не вместо них.
Роли и права
Можно открыть модуль, но ограничить доступ до конкретного клиента, проекта или заявки.
Интеграции
Внешняя система получает отдельный ключ с ограниченными правами, сроком действия и отзывом.
Журналы
Фиксируются изменения полей и важные действия в процессе: кто, что и когда изменил.
Типы пользователей
Тип задаёт рабочий контекст. Конкретный объём данных всё равно ограничивают роль и правила доступа.
Сотрудник
Работает с внутренними заявками, проектами и документами в пределах своей роли.
Клиент
Видит только свои заявки и разрешённый сервисный контекст, без внутренних комментариев.
Подрядчик
Участвует в согласованных проектах или сервисных работах без лишних данных.
Интеграция
Внешняя система проходит те же проверки прав через ключ API.
Как пользователи входят в систему
Базовый сценарий — локальная учётка или Active Directory / LDAP: вход, ФИО, должность, руководитель и контакты. При необходимости подключаются SAML, OIDC, OAuth2 или Keycloak — настраиваются отдельно под ваш корпоративный вход.
- LDAP / Active Directory
- SAML
- OIDC
- Keycloak
- локальные учётки
Жизненный цикл доступа
- Назначение типа пользователя, подразделения и групп
- Пересмотр прав при переводе на другую должность
- Блокировка при увольнении и отзыв ключей интеграций
Два журнала для разбора инцидентов и контроля процесса
Технические изменения данных и события в бизнес-процессе фиксируются отдельно — так проще восстановить картину.
Журнал изменений
Какое поле изменилось, прежнее и новое значение, кто изменил и когда. Чувствительные поля можно исключить из записи.
Журнал процесса
Действие по заявке, проекту или согласованию: статус, комментарий, участник и связанный объект.
Журнал в приложении сам по себе не является защищённым от изменения архивом. Если нужен особый режим хранения, его организуют на инфраструктуре заказчика.
Интеграции
Ключ API выдаётся с минимальными правами
Ключ привязан к пользователю, действует в рамках его прав, имеет срок и может быть отозван. Открытое значение показывается один раз при создании; в базе хранится только хеш.
| Что настроить | Зачем |
|---|---|
| Ответственный и отдельный ключ | Понятно, какая интеграция действует и кого уведомлять |
| Список объектов и операций | Интеграция читает или пишет только нужное |
| Срок действия и отзыв | Ключ не остаётся бессрочным после проекта |
| Проверка ошибок доступа | Нет доступа — система не отдаёт чужие данные |
Что входит в продукт и что не обещается «из коробки»
Можно опираться в проекте
- Размещение на серверах заказчика или в частном облаке
- LDAP/AD, роли, права по объектам, журналы изменений
- SAML, OIDC, OAuth2 и Keycloak — поддерживаются, настраиваются отдельно
- Разделение доступа сотрудников и внешних клиентов
Файлы и внешние каналы
Права на файл проверяются на сервере. Сообщение в мессенджер или почту уходит к оператору канала — допустимость такого обмена определяет заказчик.
Что обычно проверяют на демонстрации
- Внешний пользователь не видит внутренние комментарии и файлы
- Прямая ссылка не обходит проверку прав
- Пароли и ключи API не попадают в журналы
- Удаление в корзину не заменяет политику хранения и архив
Частые вопросы
Да. SAML, OIDC, OAuth2 и Keycloak поддерживаются и могут быть настроены отдельно под корпоративный вход.
Да. Вместе с ролями работают правила доступа к объектам: пользователь видит только разрешённые записи.
Ключ привязан к пользователю, ограничивается правами и сроком, может быть отозван. В базе хранится хеш, а не открытое значение.
Да. Есть журнал изменений полей и отдельный журнал действий в процессе.
Часть объектов уходит в корзину (мягкое удаление). Политику окончательного удаления и хранения задаёт заказчик.
Подтверждённого сертификата ФСТЭК у продукта нет. Включение в реестр российского ПО не равно сертификату информационной безопасности.
Следующий шаг
Разберём требования вашей службы ИБ
Опишите пользователей, чувствительные данные, способ входа и обязательные проверки. Подготовим карту контролей продукта, границы ответственности и программу демонстрации.