Vai trò, truy cập và bảo mật tài khoản

Quản lý truy cập trên Rifena gồm ba lớp riêng biệt:

Vai trò quyết định người dùng được thực hiện những việc gì.
Phạm vi quyết định họ được xem hoặc thao tác với dữ liệu của ai.
Đăng nhập và bảo mật tài khoản quyết định cách người dùng xác minh danh tính khi vào hệ thống.

Một người thấy đúng menu chưa đủ để kết luận quyền đã đúng. Quy trình chỉ hoàn tất khi người đó mở được công việc cần làm, chỉ thấy dữ liệu trong phạm vi được giao và không thực hiện được hành động nằm ngoài trách nhiệm.

Người quản lý vai trò: quản trị viên tổ chức.

Người có thể được uỷ quyền: quản trị nhóm, nhưng chỉ với các vai trò và nhóm được phép trên màn hình.

Người quản lý đăng nhập doanh nghiệp: quản trị viên phối hợp với IT.

Mọi người dùng: tự quản lý khóa truy cập (passkey), xác thực hai bước và tuỳ chọn thông báo của mình.

Phân biệt vai trò, đối tượng và phạm vi

Thành phần	Câu hỏi cần trả lời	Ví dụ
Đối tượng	Cấp cho ai?	Một nhân viên, một nhóm hoặc một vị trí
Vai trò	Được làm gì?	Xem chấm công, duyệt nghỉ, quản lý lương
Phạm vi	Được làm với dữ liệu của ai?	Toàn tổ chức, các nhóm được chọn hoặc chỉ cá nhân
Thời hạn	Quyền có hiệu lực đến bao giờ?	Không giới hạn hoặc hết hạn sau một dự án

Phần A — Tạo và quản lý vai trò

Mở Cài đặt → Vai trò & Quyền. Trang có bốn khu vực:

Tổng quan: số liệu và lối vào nhanh;
Quản lý vai trò: tạo hoặc chỉnh sửa vai trò;
Phân quyền đã cấp: xem ai đang giữ vai trò nào, trong phạm vi nào và đến khi nào;
Nhật ký: lịch sử cấp, thu hồi hoặc xóa phân quyền.

1. Chọn vai trò có sẵn trước

Tại Quản lý vai trò, tìm một vai trò hệ thống hoặc vai trò tuỳ chỉnh đang có. Mở vai trò và kiểm tra danh sách quyền theo từng nhóm nghiệp vụ.

Chỉ tạo vai trò mới khi không có vai trò hiện tại nào phản ánh đúng công việc. Một vai trò quá rộng khó kiểm soát; nhiều vai trò gần giống nhau lại khó rà soát. Ưu tiên một vai trò có tên rõ mục đích và chỉ chứa quyền cần cho công việc đó.

2. Tạo vai trò mới khi cần

Bấm Tạo vai trò.
Nhập Tên vai trò theo ngôn ngữ nghiệp vụ, ví dụ “Quản lý chấm công miền Nam”.
Nhập Mã tham chiếu; mã này không đổi được sau khi tạo.
Chọn quyền trong các nhóm Quản trị hệ thống, Vận hành & duyệt và Tự phục vụ.
Nếu muốn Quản trị nhóm được cấp vai trò này, bật tuỳ chọn Uỷ quyền. Vai trò được uỷ quyền không thể chứa quyền quản trị toàn tổ chức mà màn hình đã cảnh báo.
Kiểm tra số thay đổi chưa lưu và bấm Lưu.

Nếu chỉ muốn ngừng cấp mới, chuyển vai trò sang Tạm khóa. Vai trò đã từng được sử dụng thường cần được giữ lại để bảo toàn lịch sử; không xóa chỉ để làm gọn danh sách.

Phần B — Cấp đúng đối tượng và phạm vi

Tại Tổng quan hoặc Phân quyền đã cấp, bấm Cấp phân quyền mới.

1. Chọn đối tượng

Nhân viên: dùng cho một người cụ thể, đặc biệt là ngoại lệ hoặc quyền có thời hạn.
Nhóm: áp dụng cho mọi thành viên hiện tại và tương lai của nhóm.
Vị trí: quyền đi theo vị trí trong cơ cấu; khi đổi người đảm nhận, cấu hình trên vị trí vẫn được giữ.

Đối tượng cho biết ai nhận vai trò; nó không thay cho phạm vi dữ liệu. Ví dụ, cấp một vai trò cho một nhân viên vẫn có thể cho người đó quyền trên toàn tổ chức nếu phạm vi tiếp theo được chọn quá rộng.

2. Chọn vai trò

Chọn một vai trò đang Hoạt động. Nếu chỉ thấy một số vai trò, tài khoản hiện tại có thể chỉ được phép cấp các vai trò đã bật Uỷ quyền.

Đọc cảnh báo về mức phạm vi tối đa của vai trò. Nếu vai trò chứa quyền chỉ hỗ trợ phạm vi rộng hơn, Rifena sẽ không cho lưu một kết hợp không tương thích; hãy sửa vai trò hoặc chọn phạm vi đúng, không chọn ngẫu nhiên để vượt cảnh báo.

3. Chọn phạm vi dữ liệu

Phạm vi	Người nhận có thể làm việc với
Toàn tổ chức	Dữ liệu của toàn bộ nhân viên trong tổ chức; chỉ dùng cho trách nhiệm thực sự ở cấp tổ chức
Theo nhóm	Các nhóm được chọn; có thể bật Bao gồm các nhóm con
Chỉ cá nhân	Dữ liệu của chính nhân viên được cấp; phù hợp với quyền tự phục vụ

Với trách nhiệm quản lý một nhánh, chọn đúng nhóm và quyết định có bao gồm nhóm con hay không. Với đối tượng Nhóm, giao diện có thể giới hạn phạm vi theo cấu trúc quyền hiện tại; đọc phần tóm tắt trước khi lưu. Nếu mục tiêu là một quản lý chỉ làm việc với nhánh của mình, thường nên cấp cho Vị trí hoặc Nhân viên với phạm vi Theo nhóm, thay vì cấp toàn tổ chức cho cả nhóm.

4. Đặt thời hạn cho quyền tạm

Trong Thời hạn (tùy chọn):

chọn Hiệu lực từ nếu quyền bắt đầu trong tương lai;
chọn Hết hiệu lực cho dự án, thời gian thay thế hoặc giai đoạn hội nhập;
ghi Ghi chú nội bộ để người rà soát hiểu lý do.

Với ngoại lệ cá nhân, nên đặt ngày kết thúc để Rifena tự thu hồi theo thời hạn đã khai. Không dùng quyền vĩnh viễn cho một nhu cầu có mốc kết thúc rõ ràng.

5. Đọc tóm tắt và cấp quyền

Trước khi bấm Cấp phân quyền, đọc câu tóm tắt ở cuối hộp thoại:

vai trò nào;
cấp cho ai;
phạm vi nào và bao nhiêu nhóm;
có bao gồm nhóm con hay không;
hiệu lực đến ngày nào.

Sau khi lưu, mở Phân quyền đã cấp, tìm đúng đối tượng và xác nhận vai trò, phạm vi cùng thời hạn xuất hiện như dự kiến.

Phần C — Kiểm tra, thu hồi và xem lịch sử

Kiểm tra quyền thực tế

Dùng một tài khoản đại diện cho đúng đối tượng vừa cấp, hoặc nhờ người nhận thực hiện cùng danh sách kiểm tra:

chọn đúng tổ chức đang làm việc;
mở phân hệ cần dùng;
xác nhận thấy đúng nhóm hoặc hồ sơ cá nhân;
thử hành động cần cho công việc;
thử mở một bản ghi ngoài phạm vi và xác nhận không thể truy cập;
ghi lại kết quả nếu đây là quyền nhạy cảm.

Nếu quyền thiếu, kiểm tra vai trò có hành động cần thiết hay chưa. Nếu dữ liệu thừa, kiểm tra phạm vi và lựa chọn nhóm con trước; không thêm một vai trò rộng hơn để chữa lỗi cấu hình.

Thu hồi

Mở Phân quyền đã cấp, tìm đúng dòng và bấm Thu hồi. Đọc lại đối tượng, vai trò và phạm vi trong hộp xác nhận rồi mới tiếp tục.

Một người có thể nhận quyền từ nhiều dòng khác nhau: trực tiếp, qua nhóm hoặc qua vị trí. Thu hồi một dòng không bảo đảm mọi quyền tương tự đã mất. Lọc lại theo đối tượng và kiểm tra tất cả phân quyền còn hoạt động, sau đó lặp lại phép thử bằng tài khoản đại diện.

Nhật ký

Tab Nhật ký ghi các sự kiện Cấp mới, Đã thu hồi, Đã xóa và thay đổi liên quan. Chọn một sự kiện để xem:

thời gian;
người thực hiện;
đối tượng;
vai trò;
phạm vi;
chi tiết trước và sau khi thay đổi nếu có.

Dùng nhật ký để trả lời “ai đã cấp hoặc thu quyền, vào lúc nào”. Không dùng nhật ký thay cho danh sách quyền hiện đang hoạt động.

Phần D — Đăng nhập doanh nghiệp và xác thực nhiều lớp

Mở Cài đặt → Đăng nhập một lần (SSO). Trang này cho phép giữ Tài khoản Rifena hoặc khai một nhà cung cấp danh tính bên ngoài bằng OpenID Connect hay SAML 2.0. Đây là công việc cần phối hợp với IT và nhà cung cấp danh tính.

Hiểu đúng trạng thái SSO

Trạng thái	Ý nghĩa
Tài khoản Rifena	Người dùng đang đăng nhập bằng tài khoản do Rifena quản lý
Đã cấu hình	Thông tin nhà cung cấp đã được lưu nhưng chưa chứng minh đường đăng nhập đang hoạt động
Đang hoạt động	Rifena xác nhận có nhà cung cấp có thể dùng cho đăng nhập

Trình tự cấu hình an toàn

Chọn Nhà cung cấp danh tính bên ngoài.
Đặt Mã tổ chức để nhân viên dùng trên màn hình đăng nhập SSO.
Chọn OpenID Connect hoặc SAML 2.0.
Sao chép Địa chỉ chuyển hướng (Redirect URI) hoặc Thông tin nhà cung cấp dịch vụ (SP) đang hiển thị sang cấu hình của nhà cung cấp danh tính.
Nhập thông tin nhà cung cấp; với SAML có thể dùng Nhập metadata rồi kiểm tra lại các trường được điền.
Chọn chính sách Cấp tài khoản tức thời (JIT) và Tên miền email được phép nếu doanh nghiệp sử dụng.
Chọn mức xác thực nhiều lớp (MFA): Tắt, Tùy chọn hoặc Bắt buộc, cùng các phương thức được phép.
Bấm Lưu thay đổi và đọc trạng thái sau khi lưu.
Thử đăng nhập bằng một tài khoản không phải tài khoản quản trị đang cấu hình.
Chỉ khi thử nghiệm thành công và trạng thái Đang hoạt động, cân nhắc bật Bắt buộc SSO.

Ô Khóa bí mật ứng dụng (client secret) để trống sau khi hệ thống đã lưu nghĩa là giữ nguyên giá trị cũ. Không nhập lại một giá trị giả chỉ để làm đầy biểu mẫu.

Phần E — Bảo mật tài khoản cá nhân

Mỗi người dùng mở Tài khoản → Bảo mật.

Đổi mật khẩu

Mở Tài khoản → Thông tin, tìm phần Bảo mật rồi:

nhập Mật khẩu hiện tại;
tạo Mật khẩu mới có ít nhất 12 ký tự, gồm chữ hoa, chữ thường và số;
nhập lại tại Xác nhận mật khẩu;
bấm Đổi mật khẩu và chờ thông báo thành công.

Mật khẩu mới không được trùng mật khẩu cũ. Tránh mật khẩu phổ biến hoặc dễ đoán; hệ thống có thể từ chối dù chuỗi đã đủ 12 ký tự. Không bấm lại khi chưa đọc thông báo lỗi của lần đầu.

Thêm khóa truy cập (passkey)

Tại phần Passkey, bấm Thêm passkey.
Làm theo yêu cầu của trình duyệt hoặc thiết bị.
Xác nhận passkey xuất hiện trong danh sách cùng ngày tạo.

Nếu thiết bị báo không hỗ trợ, dùng một phương thức xác thực hai bước khác; không cố đăng ký trên trình duyệt không tương thích.

Bật ứng dụng Authenticator

Tại Ứng dụng Authenticator, bấm Thiết lập.
Quét mã hoặc nhập khóa thiết lập vào ứng dụng Authenticator.
Nhập Mã xác minh gồm 6 chữ số.
Bấm Xác minh.
Xác nhận trạng thái chuyển sang Bật.

Mã QR và khóa thiết lập là thông tin nhạy cảm chỉ dùng trong lúc đăng ký. Không chụp hoặc gửi chúng qua kênh hỗ trợ.

Mã qua email và mã khôi phục

Tại Mã qua email, bấm Bật nếu phương thức này được chính sách tổ chức cho phép. Nhập mã 6 chữ số được gửi tới email và bấm Xác minh email; phương thức chưa được bật chỉ vì email đã được gửi.
Tại Mã khôi phục, bấm Tạo mã và lưu mã ở nơi an toàn ngoài thiết bị dùng để xác thực.
Dùng Tạo lại khi mã cũ có nguy cơ lộ; bộ mã trước không còn là chuẩn để sử dụng tiếp.

Mã khôi phục chỉ hiển thị một lần. Chỉ bấm Tôi đã lưu các mã này sau khi đã lưu đầy đủ ở nơi an toàn; đóng hộp trước bước đó có thể khiến bạn không còn bản để đối chiếu.

Màn hình có thể ghi rằng đăng ký sẽ hoàn tất khi dịch vụ danh tính được bật cho tài khoản. Nếu thao tác không tạo được kết quả, ghi lại trạng thái và thông báo đang thấy thay vì mặc định phương thức đã hoạt động.

Phần F — Chọn kênh thông báo

Người dùng có hai đường vào phần tuỳ chọn:

mở Trung tâm thông báo và bấm Tùy chọn; hoặc
mở Tài khoản → Thông báo.

Tại đây:

tìm theo loại hoặc nhóm thông báo;
chọn một kênh: Trong app, Đẩy, Email hoặc Đẩy + Email;
dùng công tắc Đang nhận / Tạm dừng cho từng loại;
chờ thông báo Đã lưu tùy chọn thông báo.

Lịch sử vẫn được giữ trong Trung tâm thông báo ngay cả khi một loại đang Tạm dừng. Công tắc chỉ dừng thông báo thời gian thực, thông báo đẩy và email; nó không xóa những thông báo đã có.

Khi chọn một thông báo có hành động, Rifena mở đúng khu vực liên quan. Thông báo sự kiện nhân sự đang chờ duyệt có thể mở thẳng hàng đợi Phê duyệt và chọn đúng yêu cầu. Hãy đọc lại nhân viên, loại yêu cầu và trạng thái trước khi quyết định; đánh dấu thông báo đã đọc không có nghĩa yêu cầu đã được xử lý.

Khi kết quả chưa đúng

Không thấy Vai trò & Quyền: tài khoản hiện tại không có quyền xem trang; nhờ quản trị viên tổ chức kiểm tra.
Không cấp được vai trò: kiểm tra vai trò đang Hoạt động, phạm vi tương thích và tài khoản cấp có được phép uỷ quyền hay không.
Người nhận thấy thiếu dữ liệu: kiểm tra nhóm được chọn và tuỳ chọn nhóm con.
Người nhận thấy thừa dữ liệu: kiểm tra có phân quyền Toàn tổ chức hoặc một dòng cấp khác qua nhóm/vị trí hay không.
Đã thu hồi nhưng người dùng vẫn làm được: tìm mọi phân quyền còn hoạt động của người đó rồi kiểm tra lại bằng tài khoản đại diện.
SSO chỉ hiển thị Đã cấu hình: đọc cảnh báo nhà cung cấp; chưa được coi là đường đăng nhập hoạt động.
Không bật được Bắt buộc SSO: tổ chức chưa có nhà cung cấp ở trạng thái hoạt động; không tìm cách bỏ qua điều kiện an toàn này.
Không nhận thông báo đẩy hoặc email: mở Tài khoản → Thông báo, kiểm tra loại đang Đang nhận, kênh đã chọn và quyền thông báo của trình duyệt hoặc thiết bị.
Không đổi được mật khẩu: kiểm tra mật khẩu hiện tại, độ dài 12 ký tự, chữ hoa, chữ thường, số và phần xác nhận; nếu hệ thống báo mật khẩu phổ biến, chọn một mật khẩu khác khó đoán hơn.
Mã qua email vẫn Tắt: mở lại thiết lập và hoàn tất bước nhập mã 6 chữ số; việc nhận được email chưa phải là kết quả bật thành công.
Không thiết lập được passkey hoặc Authenticator: ghi lại phương thức, trạng thái dịch vụ và thông báo lỗi để chuyển cho bộ phận hỗ trợ.