Как в Teamcenter владельцу объекта вернуть себе права на объект, если он запретил вообще всё группе, в которую входит?

[NeedMoreLODs 81]

Допустим есть некий Item.

 

Владелец Item'а через "Вид->Доступ" добавляет на данный object новый ACE (или как это называется правильно?), в котором некоей группе запрещает вообще всё, включая "Чтение".

Только вот незадача - владелец сам состоит в этой группе.

Соответственно теперь даже "увидеть" этот Item он не может, Item'а не будет ни в результатах поиска, ни по UID до Item'а достучаться нельзя.

 

Может ли владелец Item'а без звонка DBA'шникам достучаться до этого Item'а через стандартный интерфейс rich client'а и поменять права назад?

[Krusty 194]

"потерянное не теряется", только по "звонку" "дба-шникам"

[NeedMoreLODs 81]

Понятно.

А есть ли тогда вообще простой способ запретить нескольким десяткам человек из определённой группы права, например, на изменение объекта, но при этом не затронуть владельца объекта, который в этой же группе состоит (в правилах у Owning group есть права на изменение)?

Я так понимаю вариант с добавлением двух ACE, один на группу с запрещением всего, а другой на владельца с разрешением всего в случае Teamcenter не пройдёт?

Изменено 27 июня 2016 пользователем Ленивый

[Krusty 194]

да масса вариантов, можно через ADA поиграться

можно объектные ACL использовать.

[Krusty 194]

Ленивый, ну так как ?

[NeedMoreLODs 81]

Ленивый, ну так как ?

 

 

Да пока никак.

 

Дело, в принципе то, не горящее, и без этого обойтись можно, но бутерброд то хочется не просто с маслом, но ещё и с икорочкой.

 

Просто некоторые элементы хотелось бы закрыть от редактирования (в первую очередь от случайного редактирования, диверсантов у нас нет  ) сотрудниками, состоящими в этой же группе.

Права доступа для Owning Group выглядят как во вложении ниже (менять общие правила в данном конкретном случае не вариант).

В группе может быть от нескольких человек до нескольких десятков.

Создавать на каждого вхождение в списке очень муторно, это ж надо каждого вручную искать, к тому же состав группы может быть меняться со временем.

Да и объектов может создаваться немало.

Т.е. как бы я хотел - создаю я объект, и создаю пару объектных ACE (с одним ACE вариант не прокатил).

Для произвольной группы запретить возможность редактирования несложно, сложности когда надо запретить всей группе, кроме владельца, который в ней состоит.

Буду access_manager.pdf читать, видимо, в ближайшее время, т.к. понимания явно не хватает.

Изменено 4 июля 2016 пользователем Ленивый

[NeedMoreLODs 81]

Похоже что разобрался.

Просто добавил два объектных ACE.

Одни на группу с запрещением редактирования, другой на владельца - с разрешением.

Главное в одном сеансе это делать, ну или сначала разрешать, а потом запрещать. 

Перезагрузил клиент.

Вроде работает.

Пока правда не понял в каком виде приоритет для объектных ACE считается (в руководстве как-то непонятно написано), т.к. видно, что явно не в порядке создания ACE (по алфавиту, чтоли?), т.к. в случае сначала запрещения для группы, а потом разрешения для владельца, так и в обратном порядке итоговый результат один.

Но в целом чего хотел получил.

Изменено 5 июля 2016 пользователем Ленивый

[Krusty 194]

Объектная перекрывает глобальное дерево правил.

[NeedMoreLODs 81]

Объектная перекрывает глобальное дерево правил.

 

Да это то я из руководства понял, там схема формирования эффективного ACL на базе правил на первых же страницах хорошо описана.

Мне пока непонятно по какому принципу определяется приоритет именно объектных правил между собой

[Krusty 194]

сверх вниз, какой первый критерий встретился тот и сработал.