Administrare acces: conturi pe toate aplicațiile

Pagina Administrare acces (meniul Administrare) e locul unic pentru conturile tuturor aplicațiilor din Nexus: Medical (clinic, paraclinic, farmacie, raportare), Financiar (facturi, achiziții, magazie, casierie, juridic), Salarizare (angajați, pontaj, stat de plată) și Administrare (utilizatori, setări, audit). În sistemul anterior fiecare aplicație își avea utilizatorii și drepturile ei (Hipocrate cu nivelurile de securitate, programul financiar cu grupele pe module, salarizarea separat); în Nexus e același cont, cu aceleași grupe, iar pagina arată ce poate face fiecare cont în fiecare aplicație.

Vizualizarea cere dreptul utilizatori.vizualizare; orice modificare utilizatori.administrare; politicile și domeniul admin.sistem; jurnalul audit.vizualizare sau utilizatori.administrare.

Conturi

• Lista are, pentru fiecare cont, nivelul pe fiecare aplicație: vizualizare, operare sau administrare (cel mai mare drept al contului acolo). Administratorul are tot.
• Filtre: căutare (nume, utilizator, email; fără diacritice), aplicația și nivelul minim (ex. „cine are operare în Financiar”), starea (active, inactive, blocate, expirate, expiră în 30 de zile, parolă de schimbat, din domeniu, de serviciu, administratori), grupa, secția.
• Fișa contului: profilul, grupele, secțiile (fără secții = toate), persoana din personal (leagă contul de medicul / asistentul din Personal și, prin el, de angajatul din Salarizare), șabloanele aplicate, drepturile efective cu grupa din care vine fiecare și jurnalul contului.
• Cont nou: alege tipul (personal sau de serviciu), autentificarea (parolă Nexus sau domeniu), eventual o dată de valabilitate și unul sau mai multe șabloane. Fără parolă, Nexus generează una temporară, arătată o singură dată; utilizatorul își alege una proprie la prima intrare.
• Mai multe conturi deodată: bifează-le în listă, alege șablonul, apoi Aplică sau Retrage.

Doar un administrator poate da sau lua dreptul de administrator și grupa ADMIN, și doar un administrator poate modifica un cont de administrator (date, autentificare, identitate din domeniu) sau îi poate reseta parola — și din pagina veche Utilizatori. Nimeni nu își poate dezactiva sau expira propriul cont, iar ultimul administrator activ nu se poate dezactiva.

Drepturile și secțiile intră în sesiunea utilizatorului la autentificare. Când îi scoateți o grupă, îi restrângeți secțiile (inclusiv din „toate” la câteva), îi retrageți un șablon, scoateți un drept dintr-o grupă sau dezactivați o grupă, sesiunile lui deschise se închid: intră din nou și primește drepturile actuale. O grupă sau o secție adăugată nu închide sesiunea (noile drepturi apar la următoarea intrare).

Ciclul de viață al contului

Conturi de serviciu (ex. conectorul de laborator Nexus.Lis): parola nu expiră, nu se cere schimbarea ei și contul nu se dezactivează după inactivitate. Folosește o parolă lungă, generată, pusă doar în configurarea programului.

Șabloane pe aplicații

Un șablon e un set de grupe (și, opțional, de secții) pentru o aplicație: „Contabil” (grupa FINANCIAR), „Casier” (CASIERIE), „Resurse umane și salarizare” (SALARIZARE), „Medic de secție care face gărzi” (MEDIC_SECTIE + MEDIC_GARDA) etc. Nexus vine cu șabloanele de bază; se pot modifica, crea și dezactiva (nu se șterg). Aplicarea doar adaugă grupele și secțiile șablonului; retragerea scoate grupele lui. Drepturile grupelor se schimbă din Grupe.

Politici de cont

Aici se schimbă (și din Sistem → Securitate și acces): lungimea minimă a parolei, caracterul special obligatoriu, valabilitatea parolei, blocarea după încercări greșite și durata ei, schimbarea obligatorie a parolei date de administrator și dezactivarea după inactivitate (un cont personal fără nicio intrare de N zile e dezactivat la următoarea încercare; administratorii și conturile de serviciu nu). Tot aici: cererea de schimbare a parolei pentru toate conturile locale și lista conturilor inactive, cu dezactivarea lor dintr-un clic.

Autentificarea în doi pași (2FA)

Fișa contului arată rândul Doi pași (2FA): activă (din ce dată, câte coduri de recuperare mai are, când a folosit ultimul cod) sau neînrolat. Resetează 2FA (dreptul utilizatori.administrare; contul unui administrator îl resetează numai un administrator; nimeni nu își resetează propriul 2FA de aici) șterge înrolarea, codurile de recuperare și dispozitivele ținute minte și închide sesiunile contului; intrarea apare în jurnal (acces.2fa-resetare). Folosiți-o pentru un telefon pierdut când utilizatorul nu mai are coduri de recuperare. Politica (cine trebuie să folosească 2FA și dacă numai din afara spitalului) e în Sistem → Securitate și acces; detaliile: Securitate. Codul de înrolare merge numai din rețeaua spitalului: din afara ei un cont neînrolat nu intră deloc.

Domeniu (AD / LDAP)

Pentru spitalele cu domeniu Windows: completează serverul (sau serverele, separate prin „;”), criptarea (LDAPS pe 636 sau StartTLS pe 389), domeniul (spital.local), opțional baza de căutare, contul de citire, grupul de domeniu obligatoriu, crearea automată a conturilor și șablonul lor. Testează cu un cont real înainte de a porni autentificarea. Apoi:

• marchează conturile ca „domeniu” (fișa contului → Autentificare) sau lasă crearea automată să le facă la prima intrare, cu șablonul ales;
• utilizatorul intră cu numele de Windows (ion.pop, SPITAL\ion.pop sau ion.pop@spital.local) și parola de Windows; parola se schimbă din Windows, nu din Nexus;
• drepturile rămân cele din Nexus (grupe, secții); grupul de domeniu doar decide cine are voie să intre;
• conturile locale (inclusiv admin) merg mereu, ca rezervă când domeniul nu răspunde. Dacă domeniul e oprit sau nu răspunde, conturile de domeniu nu intră, dar încercarea nu se numără la blocare;
• la fel o greșeală de configurare: parola contului de citire schimbată sau expirată, ori o bază de căutare în care contul nu se găsește (sau se găsește de două ori) cu grupul obligatoriu cerut. Nimeni nu intră până la corectare, dar nimeni nu e blocat; Testează arată cauza;
• o identitate din domeniu intră într-un singur cont Nexus: aceeași identitate (sau același nume scurt, ex. SPITAL\ion.pop și ion.pop@spital.local) nu se poate pune pe două conturi.

Matricea drepturilor

Vederea drepturi × grupe (ce poate face fiecare rol) și conturi × aplicații (nivelul fiecărui cont pe fiecare aplicație), cu filtru pe aplicație. Tipărește produce documentul de control al accesului (cu antetul unității și semnături), iar exporturile Excel (Excel drepturi × grupe, Excel conturi × drepturi) dau matricea completă: drept × grupă și cont × drept. O celulă care ar începe cu =, +, - sau @ primește un apostrof (nu devine formulă).

Jurnal

Toate acțiunile de administrare a accesului, cele mai noi primele: conturi create sau modificate (cu grupele și secțiile adăugate / scoase), dezactivări cu motiv, reactivări, valabilitate, parole resetate, sesiuni închise, șabloane, grupe, deblocări, salvările setărilor de parolă și domeniu, conturile create din domeniu și cele dezactivate automat. Parolele nu apar niciodată în jurnal.