Phân quyền thư mục Autodesk Forma: User, Role, Company và 6 mức quyền

“Em đã gỡ quyền của anh ấy rồi, sao vẫn tải được bản vẽ?”

“Anh ấy còn trong role của nhóm điều phối không? Company của anh ấy có được cấp quyền thư mục đó không?”

Đây là tình huống giả định tại Riverside Palace. Xóa một dòng quyền theo tên người chưa chắc đã cắt được truy cập nếu người đó còn được cấp quyền qua nhóm khác.

Forma Data Management giúp các bên lưu và trao đổi hồ sơ dự án. Một người có thể được cấp quyền qua đơn vị, nhóm công việc hoặc trực tiếp theo tên. Vì vậy, cần một bảng thống nhất: nhóm nào được làm gì, ở đâu, và người đó nhận quyền qua những nguồn nào.

Thực hành trên giao diện: kiểm tra quyền của một thư mục

Trên một project mẫu, đăng nhập bằng tài khoản được cấp quyền quản trị Files. Trong Files, chọn đúng thư mục cần kiểm soát rồi mở phần quản lý quyền (Permissions) theo giao diện đang sử dụng. Trước khi thay đổi, ghi lại quyền hiện có ở thư mục cha và các nguồn cấp quyền Company, Role, User.

Bước	Cần ghi lại trên màn hình	Kiểm chứng
1. Chọn thư mục	Đường dẫn thư mục và quyền được kế thừa	Đang ở đúng phạm vi cần thử
2. Kiểm tra quyền	Người/nhóm nhận quyền và mức quyền	So với ma trận vai trò đã duyệt
3. Thử bằng tài khoản đại diện	Có mở/tải/sửa được theo mức được cấp không	Ghi PASS/FAIL cho từng hành động

Dừng nếu phát hiện quyền rộng hơn ma trận đã thống nhất; kiểm tra các nguồn cấp quyền khác trước khi giảm quyền ở một mục. Nguồn: Autodesk Help — Folder Permissions.

Đọc nhanh

• Ưu tiên bảng role chuẩn để cấp quyền theo công việc; dùng quyền User cho ngoại lệ có ghi nhận.
• Kiểm tra cả Company, Role, User và quyền kế thừa. Quyền thấp ở một nguồn không tự phủ nhận quyền cao ở nguồn khác.
• Tài khoản thường phải được thử cả thao tác được phép và thao tác phải bị chặn; tài khoản admin không đại diện cho người dùng.

Gán theo Company, Role hay từng User?

Company xác định tổ chức tham gia, chẳng hạn tư vấn thiết kế hoặc nhà thầu. Role tập hợp người theo trách nhiệm. User cấp trực tiếp cho một tài khoản. Autodesk cho phép gán quyền thư mục bằng cả ba cách.

Với Riverside Palace, Company phù hợp khi toàn bộ người thuộc đơn vị đó thực sự có cùng phạm vi hồ sơ. Role phù hợp cho nhóm làm cùng công việc, kể cả khi người thực hiện thay đổi. User hữu ích cho một ngoại lệ cụ thể, như chuyên gia được giao kiểm tra một gói hồ sơ trong thời gian ngắn.

Không nên cấp một Company quyền rộng rồi kỳ vọng chỉ những người có thêm role tương ứng mới được vào. Mỗi dòng cấp quyền có thể tạo quyền truy cập; Company và Role không phải hai điều kiện bắt buộc đi cùng nhau để thu hẹp quyền.

Một người có thể nhận quyền từ một hoặc nhiều nguồn; cần kiểm tra cả quyền từ thư mục bên ngoài.

Dùng bảng role chuẩn để thay người và tạo template

Bài A0003 phân biệt hai việc cần ghi: quyền thao tác trên hồ sơ và trách nhiệm trong công việc, xét duyệt. Các mã và tên nhóm dưới đây chỉ là ví dụ dự án đặt ra.

Ví dụ doanh nghiệp có thể thống nhất bảng gọn như sau:

Nhóm	Role mẫu	Dùng để làm gì?
Permission role	P-DESIGN-AUTHOR	Soạn và cập nhật trong vùng thiết kế được giao
Permission role	P-REVIEW-READER	Đọc bộ hồ sơ được trình để kiểm tra
Permission role	P-ISSUED-READER	Xem và tải bản phát hành cho công việc
Permission role	P-DOCUMENT-CONTROL	Quản lý hồ sơ trong phạm vi được giao
Title role	T-DESIGN-MANAGER	Đầu mối quản lý thiết kế, tham gia luồng xét duyệt
Title role	T-CONSTRUCTION-MANAGER	Đầu mối nhận bàn giao và quản lý triển khai ngoài công trường

Đây là bảng role mẫu cho Riverside Palace. Một người có thể đồng thời mang trách nhiệm quản lý thiết kế và quyền đọc bộ hồ sơ trình. Khi thay người, cập nhật thành viên thuộc nhóm công việc và người được giao trong quy trình, rồi kiểm tra lại kết quả.

Chỉ dùng chung một permission role cho các thành viên có cùng phạm vi truy cập. Nếu kiến trúc và kết cấu phải giữ WIP riêng, gán chung một role có quyền trên cả hai vùng sẽ mở cả hai cho mọi người trong role đó. Cần tách nhóm theo ranh giới thực tế, nhưng không tạo role mới chỉ vì có thêm một nhân viên.

Sáu mức quyền thư mục trên Forma

Chọn mức theo thao tác người dùng cần làm, không theo chức danh cao hay thấp. Bảng dưới giúp đọc tên quyền; bảng hành động của Autodesk là nơi tra điều kiện cho từng thao tác.

Mức quyền	Nhu cầu chính cần phân biệt
View only	Xem hồ sơ, không cấp quyền tải file nguồn thông thường
View + Download	Xem và tải file nguồn
Create + Publish	Thêm khả năng publish theo công cụ; chưa phải quyền upload file
Create + Upload	Tải file và bản cập nhật vào thư mục được cấp
Edit	Thực hiện thêm các thao tác sửa, đổi tên, xóa và tổ chức hồ sơ
Manage	Quản lý quyền và thiết lập thuộc phạm vi thư mục

Chữ Publish trong tên quyền không phải quyết định phát hành thiết kế cho thi công. Tương tự, quyền Upload không trao thẩm quyền chấp thuận hồ sơ.

Một người chỉ cần xem và tải bản phát hành thường không cần Edit. Người phụ trách cấp quyền thư mục cần Manage; không vì thế phải giao toàn bộ công việc xét duyệt thiết kế cho họ.

Đừng cấp rộng ở cha rồi tìm cách khóa ở con

Thư mục cha là thư mục bên ngoài chứa các thư mục con. Theo Autodesk về quyền kế thừa, thư mục con nhận quyền từ thư mục cha; mức ở con phải bằng hoặc cao hơn mức nhận từ cha.

Giả sử Company Nhà thầu được View + Download tại thư mục gốc. Nếu WIP nằm bên dưới, tạo nhánh tên PRIVATE hoặc đặt một dòng quyền thấp hơn ở nhánh đó không thu hồi được quyền đã cấp từ cha.

Với cây thư mục đã chọn ở A0005, cấp quyền tại đúng nhánh công việc. Nhà thầu nhận quyền ở khu hồ sơ phát hành và các khu phối hợp cần thiết, không nhận mặc định toàn bộ cây. Muốn giữ riêng WIP phải thiết kế ranh giới đó trước khi dữ liệu được đưa vào.

Đưa role vào ma trận thư mục

Ma trận cần ghi cả role, phạm vi và thao tác. Ví dụ dưới dùng các vùng của Riverside Palace:

Nhóm người	WIP được giao	Hồ sơ trình QLTK	Hồ sơ phát hành cho thi công
Tác giả thiết kế	Create + Upload; Edit nếu có nhiệm vụ sửa cấu trúc	Quyền nộp/đọc theo phân công	View + Download
Quản lý thiết kế (QLTK)	Không cấp mặc định	View + Download; tham gia xét duyệt theo luồng	View + Download
Nhà thầu	Không cấp	Chỉ cấp khi cần phối hợp	View + Download
Kiểm soát hồ sơ	Theo phạm vi quản trị được giao	Theo nhiệm vụ quản lý hồ sơ	Quyền đủ để cập nhật khu phát hành

Người vận hành còn phải đối chiếu quyền theo hành động. Chẳng hạn upload một file và upload cả thư mục có yêu cầu khác nhau; bảng Autodesk ghi Create + Upload cho file, Edit cho folder. Với copy hoặc move, kiểm tra cả nơi lấy và nơi nhận trước khi thiết kế luồng tự động.

Quyền của thư mục và người tham gia quy trình review phải khớp nhau. Được mời duyệt không có nghĩa được tự sửa file nguồn hoặc được tự phát hành hồ sơ cho nhà thầu.

Quyền kế thừa và quyền nhận từ nhiều nguồn

Khi kiểm tra một người dùng, hãy xem quyền cấp qua User, Role, Company và quyền kế thừa từ thư mục cha. Việc bỏ một dòng cấp quyền riêng không chắc loại bỏ quyền họ còn được nhận từ một nhóm khác; ngược lại, không thể giả định thư mục con được giảm quyền thấp hơn thư mục cha. Hãy kiểm thử bằng tài khoản thực của vai trò mục tiêu và ghi lại đường cấp quyền. Nguồn: Autodesk — Folder Permissions.

Kiểm thử bằng tài khoản thực sự nhận quyền

Dùng một gói tài liệu thử để kiểm tra ba trường hợp:

1. Tác giả thiết kế cập nhật đúng vùng được giao nhưng không sửa được hồ sơ ngoài phạm vi.
2. Nhà thầu tải được bản phát hành nhưng không vào được WIP riêng của tư vấn thiết kế (TVTK).
3. Người đã đổi nhiệm vụ không còn quyền cũ qua Company, Role hoặc User trực tiếp.

Với mỗi phép thử, ghi tài khoản, thư mục, thao tác, kết quả mong đợi và kết quả thực tế. Khi gỡ một grant, kiểm tra lại các nguồn còn lại thay vì chỉ nhìn dòng vừa xóa.

Project Admin có quyền Manage trên mọi thư mục theo tài liệu Autodesk, nên phải dùng tài khoản thành viên thường để thử các ranh giới này. Rà thêm các link chia sẻ và bản đã tải xuống: thay quyền trên hệ thống không tự thu hồi những bản người nhận đã lưu riêng.

Trước khi lưu cấu hình vào project template, cho người đại diện thiết kế, QLTK và nhà thầu chạy thử đúng phần việc của mình. Bảng role chỉ dùng lại tốt khi quyền thực tế đã khớp với trách nhiệm của các nhóm.

Phiếu kiểm thử phân quyền bằng tài khoản thành viên

Mẫu thực hành do ZhouWorks đề xuất; sao chép bảng để điền và thử trên dữ liệu không nhạy cảm. Các kết quả phụ thuộc cấu hình dự án.

Tài khoản / thao tác	Kết quả mong đợi	Thực tế / Đạt-Chưa đạt
Tư vấn tải lên WIP được giao	Cho phép	…
Nhà thầu mở WIP riêng của tư vấn	Bị chặn	…
Nhà thầu đọc Published được cấp quyền	Cho phép	…
Người đọc thử sửa quyền thư mục	Bị chặn	…