iDempiere(アイデンピエレ)のユーザー管理とセキュリティ

 ここでは、オープンソースのERP iDempiere(アイデンピエレ)のユーザー管理と権限管理及びユーザーの操作ログの管理について調査及び研究し、その成果をまとめています。

ユーザー管理概要

 iDempiereのユーザー管理では、主にiDempiereにログインして操作する人をユーザー(User)として登録し管理します。iDempiereにログインして操作する人とは、従業員や経営者などの“社内の人”と取引先の担当者などの“社外の人”に2分する事ができます。iDempiereでは、“社外の人”となる取引先の担当者へもユーザーIDとパスワードを発行し、iDempiereにログインさせ操作できるようにも考えられています。

 社外の人である取引先の担当者をiDempiereにユーザー登録しログインできるようにしているのは、iDempiereの機能の1つであるWeb-Store(EC-Site)にログインし、自由に買い物をしてもらうためです。そして、Web-Store以外の機能も一部取引先の担当者に開放して操作させる事により、互いの業務負荷を軽減したり、取引の履歴を取引先の担当者に自由に確認させる事ができるようにするためでもあります。

 社外の人にはiDempiereへのログインを許可しない場合でも、取引先の担当者の情報はユーザー登録し管理します。その場合は、パスワードをユーザーマスタに設定しない事と「職責(Role)」を割り当てない事により、取引先の担当者はiDempiereにログインする事はできません。

取引先マスタとユーザーマスタの関係

 iDempiereでは、取引先マスタに得意先(顧客)と仕入先、従業員を登録します。そのためユーザーマスタは取引先マスタと結びつくように設計されています。

取引先マスタとユーザーマスタの関係
取引先マスタとユーザーマスタの関係

 ユーザーマスタには取引先マスタを設定するフィールドが1つあり、取引先マスタと結びつけられるようになっています。  “社内の人”の場合、通常は取引先マスタとユーザーマスタは1:1の関係になります。  “社外の人”の場合、取引先の担当者が複数人いる場合も考えられるので、取引先マスタとユーザーマスタは1:Nの関係にもできるようになっています。

ユーザーと職責(Role)の関係

 iDempiereアイデンピエレ)の権限は「職責(Role)」で管理され、職責をユーザーに割り当てる仕組みになっています。職責には業務メニューやデータのアクセスが許可される「組織(Organization)」などが設定できるようになっています。

 データのアクセスが許可される組織は、職責とユーザーそれぞれに設定できるようになっており、どちらの設定を有効にするかは職責で設定します。

 一人のユーザーには複数の職責を割り当てる事ができ、その場合はログイン時に選択する事になります。

職責の組織アクセス優先イメージ

 「職責(role)」の「ユーザー組織アクセス優先(Use User Org Access)」フラグをOFFにすると職責に結びつけられた、組織を優先してデータアクセスが制御されます。

職責の組織アクセス優先イメージ
職責の組織アクセス優先イメージ

ユーザーの組織アクセス優先イメージ

 「職責(role)」の「ユーザー組織アクセス優先(Use User Org Access)」フラグをONにすると ユーザーに結びつけられた、組織を優先してデータアクセスが制御されます。

ユーザーの組織アクセス優先イメージ
ユーザーの組織アクセス優先イメージ

【補足説明】職責とユーザーの組織アクセス制御の使い分けについて

 組織へのアクセス制御は、職責と結びつく組織にするのか、ユーザーに結びつく組織にするのか「職責(Role)」の「ユーザー組織アクセス優先(Use User Org Access)」フラグの設定により選択する事ができます。

 例えば、職責と結びつく組織へのアクセスを優先するようになっている職責は、本部(本社)など、部門毎に業務が異なっているケースに使用します。反対に、ユーザーと結びつく組織へのアクセスを優先するような職責は、店舗展開しているような業態で、行っている業務はどこの店舗でも同じであるようなケースに使用します。

ユーザー管理とセキュリティメニュー

 iDempiere(アイデンピエレ)のユーザー管理とセキュリティーは主に以下のメニューから構成されています。

Icon mOpen.png  ユーザー管理とセキュリティー

Icon mWindow.png ユーザー管理

Icon mWindow.png ユーザー(User)

Icon mWindow.png ユーザーメール(My Profile)

Icon mWindow.png パスワードポリシー設定(Password Rule)

Icon mProcess.png パスワードとメール変更(Reset Password)

Icon mProcess.png パスワードをハッシュ化する(Convert password to hashes)

Icon mProcess.png アカウントロック解除(Reset Locked Account)

Icon mProcess.png 権限管理

Icon mWindow.png 職責(Role)

Icon mWindow.png 職責データアクセス制限(Role Data Access)

Icon mWindow.png 職責アクセス更新(Role Access Update)

Icon mWindow.png 職責をコピーして作成(Copy Role)

Icon mProcess.png ログ管理

Icon mWindow.png 変更履歴監査(Change Audit)

Icon mWindow.png プロセス監査(Process Audit)

Icon mWindow.png セッション監査(Session Audit)

 ※このメニューはiDempiereに設定されているベースメニューをわかりやすいように再構成しています。