Я могу быть в невыполнимой миссии:
Условия: Проблема здравоохранения: ограничение доступа в зависимости от выполняемой работы в течение дня.
Человек может работать 3 дня в одном из наших организационных подразделений, а затем работать в течение 2 дней в другом подразделении. Т.е. человек работает неполный рабочий день в двух разных отделах.
Для одного приложения, называемого «Запись пациента», мы хотим, чтобы пользователь мог просматривать доступ к приложению при работе с OU 1 и использовать доступ к обновлению только в те дни, когда он находится в OU 2.
Я понимаю, что «Член группы» является атрибутом объекта пользователя, и типичное поведение для авторизации приложения - это видеть члена группы «Просмотр» и члена группы «Обновление» и назначать сеансу пользователя один из уровней доступ (самый ограничительный или самый разрешительный? или только первый найденный в списке?
Если я попросил пользователя при входе в систему с настраиваемой страницей входа выбрать OU (т.е. выбрать свой отдел из списка), есть ли способ получить приложение, чтобы предоставить им только доступ, связанный с этим OU?
Я знаю, что вы можете сделать это с двумя отдельными доменами, и предоставление пользователю другого идентификатора пользователя в одном домене, который у нас есть, является их любым способом сделать это и удовлетворить следующие требования:
Заранее благодарю за любую помощь.
Такого рода вещи нелегко настроить с помощью собственных инструментов AD. Active Directory не имеет возможности назначать наследуемые права для подразделения и имеет все член этого подразделения наследуют доступ от этого назначения. Чтобы AD выполнял то, что вы ищете, вам нужно будет автоматически изменить членство в группах этого пользователя в соответствии с его графиком работы и связать это с принудительным выходом из системы, чтобы их токен безопасности обновился.
Однако похоже, что вы работаете с веб-приложением, которое вводит уровень логики приложения между пользователем и фактическими данными. В этом случае вы можете добавить еще одно поле для входа в систему, назвать его «полномочиями» или что-то в этом роде, где пользователь должен выбрать роль для входа в систему, а само приложение будет проксировать доступ.