BISSecurity - Histórico de revisão

Rodrigogml: /* Grupo de Sistema, Grupo de Segurança e Grupo de Usuário */

2019-08-24T14:22:11Z

Grupo de Sistema, Grupo de Segurança e Grupo de Usuário

← Edição anterior		Edição das 14h22min de 24 de agosto de 2019
Linha 63:		Linha 63:
	=== Grupo de Sistema, Grupo de Segurança e Grupo de Usuário ===		=== Grupo de Sistema, Grupo de Segurança e Grupo de Usuário ===

	Existem ~~três~~ '''tipos de grupos''' que o sistema suporta:		Existem quatro '''tipos de grupos''' que o sistema suporta:
	* '''Grupo de Usuário''' - Este grupo é criado e mantido pelo usuário conforme ele bem entender e achar necessário.		* '''Grupo de Usuário''' - Este grupo é criado e mantido pelo usuário conforme ele bem entender e achar necessário.
	* '''Grupo de Segurança''' - Esse grupo é internamente criado pelo sistema. Este tipo de grupo não pode ser excluído do sistema, nem seu Nome e Descrição podem ser alterados. Ele oferece acessos predefinidos pelas atualizações do sistema, mas que podem ser alteradas pelo usuário para personalizar melhor este grupo conforme as necessidades do usuário. A vantagem em um grupo assim é que o sistema pode incluir automaticamente novas permissões nestes grupos conforme o sistema evolui, sem tirar a autonomia do usuário em adaptar o grupo a sua necessidade. Definir novas permissões automaticamente durante as atualizações é viável pois evita que após uma atualização seja necessário definir manualmente todas as novas permissões para um determinado grupo de acesso.		* '''Grupo de Segurança''' - Esse grupo é internamente criado pelo sistema. Este tipo de grupo não pode ser excluído do sistema, nem seu Nome e Descrição podem ser alterados. Ele oferece acessos predefinidos pelas atualizações do sistema, mas que podem ser alteradas pelo usuário para personalizar melhor este grupo conforme as necessidades do usuário. A vantagem em um grupo assim é que o sistema pode incluir automaticamente novas permissões nestes grupos conforme o sistema evolui, sem tirar a autonomia do usuário em adaptar o grupo a sua necessidade. Definir novas permissões automaticamente durante as atualizações é viável pois evita que após uma atualização seja necessário definir manualmente todas as novas permissões para um determinado grupo de acesso.
Linha 79:		Linha 79:

	E deixando a descrição detalhada do que entra ou não neste grupo.}}		E deixando a descrição detalhada do que entra ou não neste grupo.}}


	=== Grupos de Domínio Pré Definidos do BIS ===		=== Grupos de Domínio Pré Definidos do BIS ===

Rodrigogml: /* Usuários e Grupos de Acesso */

2019-08-24T14:20:36Z

Usuários e Grupos de Acesso

← Edição anterior		Edição das 14h20min de 24 de agosto de 2019
Linha 90:		Linha 90:
	* '''Administradores do Domínio [DOMAINADMIN]''' - Grupo que concede acesso à TODAS as partes do sistema de TODAS as empresas. Este grupo é destinado apenas a desenvolvedores e administradores do BIS. Nenhum cliente ou técnico deve ser incluso neste grupo.		* '''Administradores do Domínio [DOMAINADMIN]''' - Grupo que concede acesso à TODAS as partes do sistema de TODAS as empresas. Este grupo é destinado apenas a desenvolvedores e administradores do BIS. Nenhum cliente ou técnico deve ser incluso neste grupo.
	*: Note que o sistema deve sempre cuidar para que usuários desse grupo tenham acesso total. Ao fazer login todas as chaves já são adicionadas, bem como todas as empresas adicionadas a sessão. Mas em uma busca direta no banco de dados o usuário pode nem estar associado a empresa. A única empresa que ele deve estar associado para estar nesse grupo é na empresa principal.		*: Note que o sistema deve sempre cuidar para que usuários desse grupo tenham acesso total. Ao fazer login todas as chaves já são adicionadas, bem como todas as empresas adicionadas a sessão. Mas em uma busca direta no banco de dados o usuário pode nem estar associado a empresa. A única empresa que ele deve estar associado para estar nesse grupo é na empresa principal.

	~~Para visualizar e estudar os grupos já criados, basta utilizar a versão de desenvolvimento e executar a seguinte query:~~
	~~<pre>select * from `bis_bis`.`k_usergroup` where type in ('SYSTEM', 'DOMAIN')\G</pre>~~


Linha 99:		Linha 96:
	* '''Administradores da Empresa [COMPANYADMIN]''' - Grupo que concede acesso a todas as funcionalidades da empresa.		* '''Administradores da Empresa [COMPANYADMIN]''' - Grupo que concede acesso a todas as funcionalidades da empresa.
	*: Neste grupo normalmente entra os donos da empresa e/ou os responsáveis que tem acesso a todas as informações da empresa.		*: Neste grupo normalmente entra os donos da empresa e/ou os responsáveis que tem acesso a todas as informações da empresa.

	~~Para visualizar e estudar os grupos já criados, basta utilizar a versão de desenvolvimento e executar a seguinte query:~~
	~~<pre>select * from `bis_bis`.`k_usergroup` where type in ('SYSTEM', 'SYSTEM')\G</pre>~~


Linha 110:		Linha 104:

	Para visualizar e estudar os grupos já criados, basta utilizar a versão de desenvolvimento e executar a seguinte query:		Para visualizar e estudar os grupos já criados, basta utilizar a versão de desenvolvimento e executar a seguinte query:
	<pre>select * from `bis_bis`.`k_usergroup` where type in ('SYSTEM', 'SECURITY')\G</pre>		<pre>select * from `bis_bis`.`k_usergroup` where type in ('DOMAIN', 'SYSTEM', 'SECURITY') order by `type`, `name`\G</pre>

	== Controle de Acesso à Métodos do Fachada ==		== Controle de Acesso à Métodos do Fachada ==

Rodrigogml: /* Usuários e Grupos de Acesso */

2019-08-24T14:18:09Z

Usuários e Grupos de Acesso

← Edição anterior		Edição das 14h18min de 24 de agosto de 2019
Linha 90:		Linha 90:
	* '''Administradores do Domínio [DOMAINADMIN]''' - Grupo que concede acesso à TODAS as partes do sistema de TODAS as empresas. Este grupo é destinado apenas a desenvolvedores e administradores do BIS. Nenhum cliente ou técnico deve ser incluso neste grupo.		* '''Administradores do Domínio [DOMAINADMIN]''' - Grupo que concede acesso à TODAS as partes do sistema de TODAS as empresas. Este grupo é destinado apenas a desenvolvedores e administradores do BIS. Nenhum cliente ou técnico deve ser incluso neste grupo.
	*: Note que o sistema deve sempre cuidar para que usuários desse grupo tenham acesso total. Ao fazer login todas as chaves já são adicionadas, bem como todas as empresas adicionadas a sessão. Mas em uma busca direta no banco de dados o usuário pode nem estar associado a empresa. A única empresa que ele deve estar associado para estar nesse grupo é na empresa principal.		*: Note que o sistema deve sempre cuidar para que usuários desse grupo tenham acesso total. Ao fazer login todas as chaves já são adicionadas, bem como todas as empresas adicionadas a sessão. Mas em uma busca direta no banco de dados o usuário pode nem estar associado a empresa. A única empresa que ele deve estar associado para estar nesse grupo é na empresa principal.

			Para visualizar e estudar os grupos já criados, basta utilizar a versão de desenvolvimento e executar a seguinte query:
			<pre>select * from `bis_bis`.`k_usergroup` where type in ('SYSTEM', 'DOMAIN')\G</pre>


	=== Grupos de Sistema Pré Definidos do BIS ===		=== Grupos de Sistema Pré Definidos do BIS ===
Linha 95:		Linha 99:
	* '''Administradores da Empresa [COMPANYADMIN]''' - Grupo que concede acesso a todas as funcionalidades da empresa.		* '''Administradores da Empresa [COMPANYADMIN]''' - Grupo que concede acesso a todas as funcionalidades da empresa.
	*: Neste grupo normalmente entra os donos da empresa e/ou os responsáveis que tem acesso a todas as informações da empresa.		*: Neste grupo normalmente entra os donos da empresa e/ou os responsáveis que tem acesso a todas as informações da empresa.

			Para visualizar e estudar os grupos já criados, basta utilizar a versão de desenvolvimento e executar a seguinte query:
			<pre>select * from `bis_bis`.`k_usergroup` where type in ('SYSTEM', 'SYSTEM')\G</pre>


Linha 100:		Linha 107:

	* '''Administrador Financeiro [CFLOW_ACCOUNT_MANAGER]''' - Este grupo concede acesso sobre a administração financeira da empresa. Em outras palavras, sobre o módulo financeiro do sistema. Acessos como criação e exclusão de contas, auditorias, pagamentos, etc..		* '''Administrador Financeiro [CFLOW_ACCOUNT_MANAGER]''' - Este grupo concede acesso sobre a administração financeira da empresa. Em outras palavras, sobre o módulo financeiro do sistema. Acessos como criação e exclusão de contas, auditorias, pagamentos, etc..

Rodrigogml: /* Grupos de Domínio Pré Definidos do BIS */

2019-08-24T14:15:20Z

Grupos de Domínio Pré Definidos do BIS

← Edição anterior		Edição das 14h15min de 24 de agosto de 2019
Linha 85:		Linha 85:


	{{stop\|~~Estes grupos~~ são criados apenas na empresa principal!\|Por serem grupos de controle de acesso do domínio, eles são criados apenas na empresa principal, tabela 'bis_bis'.}}		{{stop\|Grupos de Domínio são criados apenas na empresa principal!\|Por serem grupos de controle de acesso do domínio, eles são criados apenas na empresa principal, tabela 'bis_bis'.}}

Rodrigogml: /* Grupos de Domínio Pré Definidos do BIS */

2019-08-24T14:15:06Z

Grupos de Domínio Pré Definidos do BIS

← Edição anterior		Edição das 14h15min de 24 de agosto de 2019
Linha 83:		Linha 83:
	=== Grupos de Domínio Pré Definidos do BIS ===		=== Grupos de Domínio Pré Definidos do BIS ===

	Estes grupos são criados apenas na empresa principal.

			{{stop\|Estes grupos são criados apenas na empresa principal!\|Por serem grupos de controle de acesso do domínio, eles são criados apenas na empresa principal, tabela 'bis_bis'.}}


	* '''Administradores do Domínio [DOMAINADMIN]''' - Grupo que concede acesso à TODAS as partes do sistema de TODAS as empresas. Este grupo é destinado apenas a desenvolvedores e administradores do BIS. Nenhum cliente ou técnico deve ser incluso neste grupo.		* '''Administradores do Domínio [DOMAINADMIN]''' - Grupo que concede acesso à TODAS as partes do sistema de TODAS as empresas. Este grupo é destinado apenas a desenvolvedores e administradores do BIS. Nenhum cliente ou técnico deve ser incluso neste grupo.
	*: Note que o sistema deve sempre cuidar para que usuários desse grupo tenham acesso total. Ao fazer login todas as chaves já são adicionadas, bem como todas as empresas adicionadas a sessão. Mas em uma busca direta no banco de dados o usuário pode nem estar associado a empresa. A única empresa que ele deve estar associado para estar nesse grupo é na empresa principal.		*: Note que o sistema deve sempre cuidar para que usuários desse grupo tenham acesso total. Ao fazer login todas as chaves já são adicionadas, bem como todas as empresas adicionadas a sessão. Mas em uma busca direta no banco de dados o usuário pode nem estar associado a empresa. A única empresa que ele deve estar associado para estar nesse grupo é na empresa principal.


	=== Grupos de Sistema Pré Definidos do BIS ===		=== Grupos de Sistema Pré Definidos do BIS ===

Rodrigogml: /* Usuários e Grupos de Acesso */

2019-06-26T21:30:00Z

Usuários e Grupos de Acesso

← Edição anterior		Edição das 21h30min de 26 de junho de 2019
Linha 79:		Linha 79:

	E deixando a descrição detalhada do que entra ou não neste grupo.}}		E deixando a descrição detalhada do que entra ou não neste grupo.}}


			=== Grupos de Domínio Pré Definidos do BIS ===

			Estes grupos são criados apenas na empresa principal.

			* '''Administradores do Domínio [DOMAINADMIN]''' - Grupo que concede acesso à TODAS as partes do sistema de TODAS as empresas. Este grupo é destinado apenas a desenvolvedores e administradores do BIS. Nenhum cliente ou técnico deve ser incluso neste grupo.
			*: Note que o sistema deve sempre cuidar para que usuários desse grupo tenham acesso total. Ao fazer login todas as chaves já são adicionadas, bem como todas as empresas adicionadas a sessão. Mas em uma busca direta no banco de dados o usuário pode nem estar associado a empresa. A única empresa que ele deve estar associado para estar nesse grupo é na empresa principal.


			=== Grupos de Sistema Pré Definidos do BIS ===

			* '''Administradores da Empresa [COMPANYADMIN]''' - Grupo que concede acesso a todas as funcionalidades da empresa.
			*: Neste grupo normalmente entra os donos da empresa e/ou os responsáveis que tem acesso a todas as informações da empresa.


			=== Grupos de Segurança ===

			* '''Administrador Financeiro [CFLOW_ACCOUNT_MANAGER]''' - Este grupo concede acesso sobre a administração financeira da empresa. Em outras palavras, sobre o módulo financeiro do sistema. Acessos como criação e exclusão de contas, auditorias, pagamentos, etc..

Rodrigogml: /* Grupo de Sistema, Grupo de Segurança e Grupo de Usuário */

2019-06-26T18:13:31Z

Grupo de Sistema, Grupo de Segurança e Grupo de Usuário

← Edição anterior		Edição das 18h13min de 26 de junho de 2019
Linha 67:		Linha 67:
	* '''Grupo de Segurança''' - Esse grupo é internamente criado pelo sistema. Este tipo de grupo não pode ser excluído do sistema, nem seu Nome e Descrição podem ser alterados. Ele oferece acessos predefinidos pelas atualizações do sistema, mas que podem ser alteradas pelo usuário para personalizar melhor este grupo conforme as necessidades do usuário. A vantagem em um grupo assim é que o sistema pode incluir automaticamente novas permissões nestes grupos conforme o sistema evolui, sem tirar a autonomia do usuário em adaptar o grupo a sua necessidade. Definir novas permissões automaticamente durante as atualizações é viável pois evita que após uma atualização seja necessário definir manualmente todas as novas permissões para um determinado grupo de acesso.		* '''Grupo de Segurança''' - Esse grupo é internamente criado pelo sistema. Este tipo de grupo não pode ser excluído do sistema, nem seu Nome e Descrição podem ser alterados. Ele oferece acessos predefinidos pelas atualizações do sistema, mas que podem ser alteradas pelo usuário para personalizar melhor este grupo conforme as necessidades do usuário. A vantagem em um grupo assim é que o sistema pode incluir automaticamente novas permissões nestes grupos conforme o sistema evolui, sem tirar a autonomia do usuário em adaptar o grupo a sua necessidade. Definir novas permissões automaticamente durante as atualizações é viável pois evita que após uma atualização seja necessário definir manualmente todas as novas permissões para um determinado grupo de acesso.
	* '''Grupo de Sistema''' - Esse grupo é completamente fechado e não pode ser alterado em ponto algum pelo usuário. Nem ter suas permissões alteradas, nome alterado, descrição, etc. Apenas é permitido escolher quem participará deste grupo.		* '''Grupo de Sistema''' - Esse grupo é completamente fechado e não pode ser alterado em ponto algum pelo usuário. Nem ter suas permissões alteradas, nome alterado, descrição, etc. Apenas é permitido escolher quem participará deste grupo.
			* '''Grupo de Domínio''' - Tem as mesmas características imutáveis do '''Grupo de Sistema''', porém o grupo de domínio é um grupo utilizado para definir acessos relacionados ao sistema como um todo, independente de empresas. Esses grupos devem existir apenas na empresa base "bis_bis", mas seus acessos é dado para o usuário independente da empresa que ele esteja. Esse grupo é útil para definir acesso de técnicos e funcionários do BIS. Permitindo que tenham acesso as configurações do sistema, mas não aos dados financeiros e/ou outros documentos particulares da empresa. O que ajuda na segurança da informação dos clientes.

	{{nota\|Identificação do Grupo\|Durante o desenvolvimento, os grupos de '''Sistema''' e '''Segurança''' criados devem receber um 'innerID' único utilizado para identificar o grupo. Isso porque o ID pode variar de uma instalação para outra, já que o usuário pode ter criado seus próprios grupos, e novos grupos de Segurança e Sistema receberem IDs diferentes em casa instalação do sistema.}}		{{nota\|Identificação do Grupo\|Durante o desenvolvimento, os grupos de '''Sistema''' e '''Segurança''' criados devem receber um 'innerID' único utilizado para identificar o grupo. Isso porque o ID pode variar de uma instalação para outra, já que o usuário pode ter criado seus próprios grupos, e novos grupos de Segurança e Sistema receberem IDs diferentes em casa instalação do sistema.}}

Rodrigogml: /* Usuários e Grupos de Acesso */

2019-06-26T18:09:08Z

Usuários e Grupos de Acesso

← Edição anterior		Edição das 18h09min de 26 de junho de 2019
Linha 45:		Linha 45:

	{{stop\|Exclusão de Chaves de Acesso\|O BIS por padrão '''não''' exclui acessos do banco de dados só porque a chave foi excluída do sistema. Essa limpeza de chaves que não estão mais em usa deverá ser feita manualmente no futuro. Ou mesmo ter alguma tarefa capaz de realizar esse tipo de atividade.}}		{{stop\|Exclusão de Chaves de Acesso\|O BIS por padrão '''não''' exclui acessos do banco de dados só porque a chave foi excluída do sistema. Essa limpeza de chaves que não estão mais em usa deverá ser feita manualmente no futuro. Ou mesmo ter alguma tarefa capaz de realizar esse tipo de atividade.}}

			== Medidas de Segurança ==

			Além das chaves de acesso que permitem ou negam o acesso a partes do sistema, temos de tomar cuidado com algumas outras regras para não anular o funcionamento do sistema de acesso:
			* O acesso à tela de '''Grupos de Acesso''' só é concedido aos participantes do grupo de Sistema '''Administradores da Empresa'''.
			* A chave que permite acesso à tela '''Grupo de Acesso''' não é exibida na tela de definição de acesso, para que este acesso não seja manualmente concedido a nenhum outro grupo.

			Desta maneira, apenas os administradores da empresa, que tem acesso a empresa toda, podem definir outros acessos. Garantimos assim, de forma bem restrita e poucas condições no código, que algum usuário possa ser dar mais acesso do que já tem.


	== Usuários e Grupos de Acesso ==		== Usuários e Grupos de Acesso ==

Rodrigogml: /* Usuários e Grupos de Acesso */

2019-06-26T17:52:48Z

Usuários e Grupos de Acesso

← Edição anterior		Edição das 17h52min de 26 de junho de 2019
Linha 74:		Linha 74:

	Para visualizar e estudar os grupos já criados, basta utilizar a versão de desenvolvimento e executar a seguinte query:		Para visualizar e estudar os grupos já criados, basta utilizar a versão de desenvolvimento e executar a seguinte query:
	<pre>select * from `bis_bis`.`k_usergroup` where type in ('SYSTEM', 'SECURITY');</pre>		<pre>select * from `bis_bis`.`k_usergroup` where type in ('SYSTEM', 'SECURITY')\G</pre>

	== Controle de Acesso à Métodos do Fachada ==		== Controle de Acesso à Métodos do Fachada ==

Rodrigogml: /* Controle de Acesso à Métodos do Fachada */

2019-06-26T17:34:41Z

Controle de Acesso à Métodos do Fachada

← Edição anterior		Edição das 17h34min de 26 de junho de 2019
Linha 81:		Linha 81:
	A fachada do BIS tem sua segurança implementada no BISFacadeInterceptor. Todos os métodos da fachada por padrão devem receber como primeiro parâmetro uma String com o UUID da sessão do usuário. Essa UUID é fornecida quando o usuário chama o método '''doLogin()''' da fachada. O método '''doLogin()''' não exige a UUID, por razões óbvioas.		A fachada do BIS tem sua segurança implementada no BISFacadeInterceptor. Todos os métodos da fachada por padrão devem receber como primeiro parâmetro uma String com o UUID da sessão do usuário. Essa UUID é fornecida quando o usuário chama o método '''doLogin()''' da fachada. O método '''doLogin()''' não exige a UUID, por razões óbvioas.

	Para configurar os métodos da fachada, o método deve usar a Annotation '''Security''' e utilizar uma de suas opções de autenticação. ~~A exigência da~~ sessão (mandar a UUID como primeiro parâmetro do método) é a ~~autenticação padrão e não exige~~ a ~~presença a Annotation. Para que não seja exigida a UUID ou outros tipos~~ de ~~definições a Annotation é obrigatória~~.		Para configurar os métodos da fachada, o método deve usar a Annotation '''Security''' e utilizar uma de suas opções de autenticação.
			Por padrão, quando não há uma Annotation definida no método, é que o usuário esteja autenticado em uma sessão válida. Ou seja, deve mandar a UUID como primeiro parâmetro do método
			Métodos que podem ser chamados sem uma autenticação prévia (como o método de Login) devem ter a annotation definida com a opção de byPass de Sessão.

	Quando o UUID está presente, o BISFacadeInterceptor recupera a sessão e a registra automaticamente no BISSessionManager ~~para a~~ Thread sendo utilizada.
			Quando o UUID está presente, o BISFacadeInterceptor recupera a sessão e a registra automaticamente no BISSessionManager na Thread sendo utilizada. Deste modo em qualquer ponto depois da fachada fica fácil recuperar dados da sessão.


			{{stop\|Fork de Thread e a sessão\|Quando há no código a utilização de Threads ou de trabalhos em Background, é necessário registrar a sessão nas novas Threads. Caso contrário partes do código podem não funcionar bem, como por exemplo o sistema de Log.}}

	== Obtendo dados da Sessão ==		== Obtendo dados da Sessão ==