YonBIPV3.0(R6_2407_1)旗舰版云平台-数字化建模-权限管理用友网络科技股份有限公司2024年9月用户手册1/93版权©2024用友集团版权所有。未经用友集团的书面许可，本用户手册任何整体或部分的内容不得被复制、复印、翻译或缩减以用于任何目的。本用户手册的内容在未经通知的情形下可能会发生改变，敬请留意。请注意：本用户手册的内容并不代表用友网络所做的承诺。用户手册2/93目录第一章总体概述.............................................................8第二章应用价值.............................................................8第三章应用场景.............................................................93.1场景一：权限中心整体框架.............................................93.1.1业务描述.........................................................93.1.2业务流程........................................................103.1.3应用清单........................................................103.2场景二：创建用户....................................................103.2.1业务描述........................................................103.2.2业务流程........................................................113.2.3应用清单........................................................113.3场景三：创建角色....................................................123.3.1业务描述........................................................123.3.2业务流程........................................................123.3.3应用清单........................................................133.4场景四：专业应用授权................................................133.4.1业务描述........................................................133.4.2业务流程........................................................133.4.3应用清单........................................................143.5场景五：全员应用授权................................................143.5.1业务描述........................................................143.5.2业务流程........................................................153.5.3应用清单........................................................153.6场景六：设置数据权限................................................153.6.1业务描述........................................................153.6.2业务流程........................................................163.6.3应用清单........................................................16用户手册3/93第四章初始准备............................................................16第五章相关专题............................................................175.1多级账号体系........................................................175.2主组织权限..........................................................18第六章用户管理............................................................186.1总体概述............................................................186.2总体价值............................................................186.3相关内容............................................................196.4用户管理............................................................196.4.1功能描述........................................................196.4.2业务规则........................................................196.4.3栏目说明........................................................196.4.4操作说明........................................................206.5用户组..............................................................226.5.1功能描述........................................................226.5.2关键应用........................................................226.5.3栏目说明........................................................236.5.4操作说明........................................................23第七章角色管理............................................................267.1总体概述............................................................267.2总体价值............................................................267.3相关内容............................................................267.4角色管理............................................................267.4.1功能描述........................................................267.4.2业务规则........................................................267.4.3栏目说明........................................................267.4.4操作说明........................................................277.5角色组..............................................................36用户手册4/937.5.1功能描述........................................................367.5.2业务规则........................................................367.5.3栏目说明........................................................377.5.4操作说明........................................................377.6角色标签............................................................387.6.1功能描述........................................................387.6.2业务规则........................................................387.6.3栏目说明........................................................397.6.4操作说明........................................................39第八章管理员授权设置......................................................408.1总体概述............................................................408.2总体价值............................................................408.3相关内容............................................................408.4组织权限管理员......................................................408.4.1功能描述........................................................408.4.2业务规则........................................................418.4.3可管控范围......................................................418.4.4操作说明........................................................428.4.5组织管理员和职能管理员差异......................................438.5管理员授权..........................................................438.5.1功能描述........................................................438.5.2业务规则........................................................448.5.3可管控范围......................................................448.5.4操作说明........................................................458.5.5组织管理员和职能管理员差异......................................47第九章授权................................................................479.1总体概述............................................................479.2总体价值............................................................47用户手册5/939.3相关内容............................................................479.4授权................................................................489.4.1功能描述........................................................489.4.2业务规则........................................................489.4.3栏目说明........................................................489.4.4操作说明........................................................489.5全员应用授权........................................................559.5.1功能描述........................................................559.5.2关键应用........................................................559.5.3栏目说明........................................................559.5.4操作说明........................................................569.6数据权限............................................................609.6.1功能描述........................................................609.6.2业务规则........................................................609.6.3栏目说明........................................................609.6.4操作说明........................................................619.7特殊数据权限........................................................709.7.1功能描述........................................................709.7.2业务规则........................................................709.7.3关键字段说明....................................................709.7.4操作说明........................................................709.7.5场景示例........................................................71第十章权限查询............................................................7110.1总体概述............................................................7110.2总体价值............................................................7110.3相关内容............................................................7210.4权限分析中心........................................................7210.4.1功能描述.....................................................72用户手册6/9310.4.2关键应用.....................................................7210.4.3业务规则.....................................................7210.4.4栏目说明.....................................................7210.4.5按钮说明.....................................................7310.4.6操作说明.....................................................7310.5授权查询............................................................7410.5.1授权查询.....................................................7410.6功能权限查询（按用户）..............................................7710.6.1功能描述.....................................................7710.6.2业务规则.....................................................7710.6.3栏目说明.....................................................7810.6.4操作说明.....................................................7810.7功能权限查询（按角色）..............................................7910.7.1功能描述.....................................................7910.7.2业务规则.....................................................7910.7.3栏目说明.....................................................7910.7.4操作说明.....................................................7910.8功能权限查询（按全员应用）..........................................8010.8.1功能描述.....................................................8010.8.2业务规则.....................................................8110.8.3栏目说明.....................................................8110.8.4操作说明.....................................................8110.9数据权限查询（按用户）..............................................8310.9.1功能描述.....................................................8310.9.2业务规则.....................................................8310.9.3栏目说明.....................................................8410.9.4操作说明.....................................................8410.10数据权限查询（按角色）..........................................84用户手册7/9310.10.1功能描述.....................................................8510.10.2业务规则.....................................................8510.10.3栏目说明.....................................................8510.10.4操作说明.....................................................8510.11字段权限查询（按用户）..........................................8610.11.1功能描述.....................................................8610.11.2业务规则.....................................................8610.11.3栏目说明.....................................................8610.11.4操作说明.....................................................8610.12字段权限查询（按角色）..........................................8710.12.1功能描述.....................................................8710.12.2业务规则.....................................................8710.12.3栏目说明.....................................................8710.12.4操作说明.....................................................8810.13敏感数据权限查询（按用户).......................................8810.13.1功能描述.....................................................8810.13.2业务规则.....................................................8810.13.3栏目说明.....................................................8910.13.4操作说明.....................................................89用户手册8/93第一章总体概述权限中心用于设置用户所能操作的功能和数据的范围，提供多场景的授权来管理用户可以访问的数据和界面，包括全员应用授权、专业应用授权、数据权限、权限查询。系统以RBAC模型为基础的权限体系，即将功能权限、数据权限组合为角色，用户通过授权得到这个角色的权限。系统在用户授予角色的同时指定相应的职能组织，进行主要的组织数据权限的隔离和控制。这样在大多数情况下，不需要设置数据权限也能基本展开业务。第二章应用价值集中用户管理避免账号孤岛将访问各应用的用户进行集中的全生命周期管理，避免各应用账号不统一需要重复管理付出的高昂管理成本，以及可能导致的离职员工留有部分访问权限导致的信息泄密。统一权限体系确保访问安全覆盖和统一了各应用所有权限场景，包括全员类应用授权、专业功能类授权和数据权限，避免因体系不一致造成的漏洞。集中统一应用访问入口，包括菜单、工作台、URL跳转都受统一授权的控制。确保以正确的方式、以正确的理由，给予正确的人员访问正确的资源的权利。覆盖多端全方位安全保证对多端进行统一授权（web端、移动端），避免各端授权不统一不一致造成的访问安全漏洞。RBAC高效低成本的授权管理基于RBAC模型，将权限和用户通过角色解耦，角色与企业的岗位对应便于理解、便于授权统一管理和权限的调整。例如，当岗位职责发生变化时只要更改角色关联的权限，所有拥有此用户手册9/93角色的用户即统一更新了权限，避免了一个一个用户变更权限可能造成的错误。RBAC模型也便于赋予权限最小原则、便于职责分离。分层分类权限精细控制从访问和操作的角度将用户分为系统管理员和一般操作员两大类。系统管理员无需授权即拥有系统类功能权限和管理类功能权限和数据权限，一般操作员则需要经过授权获得管理类和业务类的功能权限和数据权限。企业还可根据实际需要，将管理操作类用户和业务操作类用户通过不同角色分开，也可将授权权角色从一般管理类角色中剥离出来，支持企业将授权权、管理权、业务权分离，给予员工完成工作所需的访问权。4A管理审计无死角4A是指：认证Authentication、授权Authorization、账号Account和审计Audit。系统采用集中账号管理、集中认证管理、集中权限管理、集中审计策略。系统记录每个应用的被授权者以及每个用户被授予的权限，和每个用户被授予权限的路径，以确保安全审计无死角。第三章应用场景3.1场景一：权限中心整体框架3.1.1业务描述用户可由员工档案自动创建，也可由企业账号管理员手工创建并绑定员工。系统已经预置了企业中常用的角色，并分配相应的功能和全部按钮权限，企业账号管理员也可新建角色并分配相应的功能。系统中分全员应用类功能和非全员类（专业）应用功能；全员应用类功能缺省的范围为全员，若不改变缺省设置，则用户登录系统后就拥有全员应用类功能节点，除非系统管理员改变全员应用的可见范围。用户手册10/93非全员类应用一般指专业业务类应用，需要通过角色将功能授权给用户，而用户获得功能权限后还需要设置主组织范围才能进行正常的业务操作。3.1.2业务流程3.1.3应用清单•用户管理•角色管理•管理员授权设置•授权•权限查询3.2场景二：创建用户3.2.1业务描述用户手册11/93企业中的员工用户由员工档案自动创建；业务关联伙伴用户在相应门户中创建和管理。•企业账号注册创建用户：注册企业账号的用户即为该企业账号第一个用户，自动获得企业账号管理员角色；•员工档案创建用户：系统用户绝大部分是企业员工，当员工档案的状态设置为启用时系统自动生成相应的用户；•管理员创建用户：管理员直接在用户管理中直接创建用户。3.2.2业务流程3.2.3应用清单•用户管理用户手册12/933.3场景三：创建角色3.3.1业务描述可将企业中管理类岗位设置相应的角色，例如权限管理员、组织管理员、基础数据管理员。也可将权限管理、组织管理、基础数据管理职能都设置到普通管理员角色。根据企业业务岗位设置相应的业务类角色。系统已提供预置标准业务角色：例如采购员、销售员、会计等。•企业账号管理员或具有角色管理权的管理员，进入角色管理节点创建角色，或检查系统预置的角色；•企业账号管理员或具有角色管理权的管理员，将相关功能关联到角色；例如将组织管理相关功能关联组织管理员角色，将采购管理相关功能关联到采购员角色•企业账号管理员或具有角色管理权的管理员，将角色具有的常用功能加到工作台磁贴。3.3.2业务流程用户手册13/933.3.3应用清单•角色管理•角色组•角色标签3.4场景四：专业应用授权3.4.1业务描述专业应用是指专业业务人员可操作的功能，例如总账会计可以做总账的业务、采购员可以录入采购订单等采购相关的业务。这些应用只有专业岗位的人员经过授权才能使用。由于这些应用的专业性强，所以必须是具备相应的角色才能使用，即通过功能授权授予对应角色权限。•创建用户：可通过创建员工档案自动生成用户；•创建角色：为用户创建具体的专业应用角色并关联功能，或根据企业需要更新预置角色关联的功能；•分配角色：进入授权节点，将角色分配给用户并授予相应的主组织权限。如：将采购管理员角色分配给某用户张三，并分配相应的采购组织。关于主组织的设置参见介绍功能权限的主组织权限。3.4.2业务流程用户手册14/933.4.3应用清单•用户管理•角色管理•授权3.5场景五：全员应用授权3.5.1业务描述全员应用是指企业中每个用户都可使用的功能，系统一般将此类应用授权范围为全员，即全部用户。如果要限制使用范围，可在全员应用授权节点进行范围设置。•创建用户：员工启用后自动创建用户，该用户即有全员应用功能权限。例如考勤、报销、请假等；•限制全员应用范围：因企业需要限制全员应用范围，例如限制考勤在某些组织使用，则可将考勤全员应用范围限制在这些组织范围，表示只有授权组织下的员工对应的用户才能考勤。用户手册15/933.5.2业务流程3.5.3应用清单•用户管理•角色管理•全员应用授权3.6场景六：设置数据权限3.6.1业务描述数据权限是因企业业务分工的需要，限定角色或用户只针对某些范围的数据具有权限。当企业需要对业务进行更精细化管理，可以设置数据权限。•创建用户：员工启用后自动创建用户，用户创建流程参见创建用户；•创建角色：管理员根据企业需要创建岗位相应的角色，例如权限管理员、从基础数据管理员、采购员、业务员。角色创建流程参见创建角色；•功能授权：管理员将角色分配给相应的用户。功能授权参见专业应用功能授权；用户手册16/93•数据权限：将数据权限授权给角色，或直接将数据权限授权给用户。用户最终得到的数据权限，包括直接分配给用户的数据权限和通过角色授权给用户的数据权限。3.6.2业务流程3.6.3应用清单•用户管理•角色管理•授权•数据权限第四章初始准备权限管理的前提是企业账号已注册、应用已激活、组织已创建、数据权限相关的档案已创建。用户手册17/93第五章相关专题5.1多级账号体系广义上来说，系统的账号体系分以下几个层次：企业账号管理员主要职能是创建企业账号、进行系统初始化和参数配置、监督系统的实施和持续管理，以及日常的系统维护管理和性能监控，也是系统与企业的主要联系人。除此之外，企业账号管理员也具有全部的管理员职责：企业账号范围内的用户管理、角色划分、授权权的分配、以及组织管理、基础数据管理、流程建模、系统管理等。注册企业账号的用户自动获得企业账号管理员角色，该角色也可赋予其他用户。一个企业账号下可以有一个或多个企业账号管理员。普通管理员由企业账号管理员创建并授权，主要用于用户管理等系统类功能权限和创建组织基础数据授权等管理类功能权限，包括组织管理、基础数据管理、权限管理、流程建模、系统管理等。与企业账号管理员不同的是，普通管理员主要对系统的的基础设置、基础数据以及权限的管理，需要通过角色授权得到相关管理功能。普通管理员一般不具备企业账号管理特有的企业账号管理权限：例如系统初始化、应用服务看板、系统日常维护和性能监控等。基础数据管理员由企业账号管理员或普通管理员创建并授权，主要针对客户、物料、供应商等基础数据的管理。业务人员由租户管理员或普通管理员创建并授权，在系统中进行授权范围内的业务操作。例如采购员进行授权采购组织范围内的采购订单的录入、到货单确认、库存查询等操作。用户手册18/93企业员工企业中的员工，无需角色授权，自动获取全员类应用权限，自助进行个人业务操作。例如考勤、报销、出差申请等。业务关联伙伴需要登录到系统中进行业务协作的企业外部用户。5.2主组织权限如果启用多组织，则用户所有的操作权限都必须在有相应的主组织范围内，即在分配功能权限的同时需要指定用户可以在哪些主组织范围内进行业务处理。对于有主组织的功能节点，功能授权时如果没有指定组织权限，虽然能进入功能节点，但不能做任何组织的业务（在做单据时选择不了组织，也看不到单据）。例如采购订单以采购组织作为主组织的，那么在给某个采购员分配采购订单权限时，必须分配其能做业务的采购组织。如果未启用多组织，一般情况下不需要设置主组织权限（特殊的，如税务的开票点除外）。第六章用户管理6.1总体概述用户管理用于设置有权访问系统的用户，您需要根据用户身份类型为他们设置，包括员工、客户管理员等。添加用户时，您需要为该用户设置一个身份。6.2总体价值用户管理是权限管理非常重要的部分，通过此处相关功能能够实现用户权限的管理和控制，进而进行系统中的业务操作。用户手册19/936.3相关内容•用户管理•商家用户6.4用户管理6.4.1功能描述用户管理用于设置有权访问系统的用户，您需要根据用户身份类型为他们设置，包括员工、客户管理员等。添加用户时，您需要为该用户设置一个身份。用户的来源包括：开通企业帐号的用户、员工档案自动创建员工类型用户、客户档案的客户管理员信息创建的用户、在用户管理节点创建的用户。6.4.2业务规则•用户管理；•添加/移除用户；•设置/解除管理员；•清除面部密码；•编辑备注名；•签名图片管理；•用户身份管理；•新增/启用/停用租户下的用户身份。6.4.3栏目说明栏目名称说明用户名称用户名称，租户下的用户名，初始值取用友云用户的用户昵称，管理员可手动修改用户手册20/93手机帐号必输项，系统用户识别依据，相同的手机号被认为是同一用户，可以用手机号登录邮箱帐号如果输入邮箱并认证则可按邮箱登录备注名备注名是用户在本企业帐号下的名字，由企业帐号管理员维护身份类型每个用户至少有一个身份：普通员工、客户管理员等，一个用户可以有多个身份，例如同时是员工身份和客户管理员身份。在本节点只能维护员工身份类型的用户6.4.4操作说明6.4.4.1添加用户该场景是为未生成用户的员工或未生成用户的客户管理员手工创建用户，并手工选择关联的员工档案。操作路径：进入用户管理，在用户视图或用户身份视图，输入用户名、手机号码、身份类型（目前仅支持普通员工身份类型），关联已启用但未绑定身份的员工，点击保存。保存后如下：用户手册21/93注意：•用户在用友云中唯一，由用户中心统一管理和认证；•系统是依靠手机号来识别用户的，如果手机号或邮箱在用友云中已存在，则直接将用户注册到当前企业帐号，若输入的用户名称和用友云用户昵称不相同，则以用友云用户昵称为准。6.4.4.2移除用户将用户从当前企业帐号移除出去，移除后用户就不能进入系统。可多选用户批量移除。注意：•企业帐号管理员可以移除自身用户：重要提示：您移除的是当前登录用户【XXX】；•企业帐号的唯一管理员不允许移除：唯一管理员不允许解除！；6.4.4.3新增用户身份可为已有用户新增用户身份，一个用户可有一个或多个用户身份。没有身份的用户无法使用该企业帐户下的任何系统应用，也无法为该用户授权。操作路径：进入用户管理后，在用户视图或用户身份视图下，选择用户，点击新增按钮，新增身份类型（目前仅支持普通员工身份类型），关联已启用但未绑定身份的员工，点击保存。用户手册22/936.4.4.4移除用户身份可以用户视图移除用户时移除相应身份；可在身份视图中批量选择用户启用/停用用户身份。通过以上用户管理和身份管理，可实现用户与员工的换绑。6.5用户组6.5.1功能描述用户组：用户组是一定具有相同特征的用户集合，是把用户通过用户组进行划分分组。如果用户的数量较多时，可以给用户组，主要用于业务上根据用户组管理用户范围。如：管理员授权权范围、审批用户组、消息、预警等。6.5.2关键应用路径：用户组节点位置（数字化建模–用户管理–用户组）用户手册23/93标准产品【用户组】节点定位是维护身份类型是普通员工身份类型的用户，节点类型是管理类+业务类。在权限的上下文支持通过用户组选择用户授权场景，支持在分级授权场景中通过用户组选择需要控制的用户范围。6.5.3栏目说明栏目名称说明用户组来源已有的用户身份类型可初始化至用户组(系统级别)用户组类型对不同的用户组进行归类管理用户组编码自定义可编辑用户组名称自定义可编辑分配用户用户组已添加的用户系统预置用户组是否为系统预置上级用户组记录用户组的层级关系6.5.4操作说明6.5.4.1用户组类型新增进入【数字化建模】→【用户管理】→【用户组】场景一：仅支持自定义用户组类型新增用户手册24/93场景二：后续支持通过多维组织树引入用户组类型。场景三：其他用户类型通过用户身份类型同步。6.5.4.2用户组新增1.支持用户组新增，用户组有上下级关系；2.按用户组编码/用户组名称/用户组类型查询；3.支持用户组及身份批量导入导出；用户手册25/936.5.4.3用户分配1.支持给用户组分配或移除用户2.支持按用户身份类型中同步用户到对应的用户组下6.5.4.4查询搜索1.支持按用户组编码、用户组名称搜索用户组2.支持按用户名称、手机账号、邮箱账号搜索用户用户手册26/93第七章角色管理7.1总体概述角色是为完成某种特定的业务职能指定的一组许可权集合。角色包含系统角色和使用者自定义角色。7.2总体价值角色既是用户的职责体现，同时也是许可权的载体，起到很重要的桥梁作用。7.3相关内容•角色管理•角色组•角色标籤7.4角色管理7.4.1功能描述角色是为完成某种特定的业务职能指定的一组权限集合。角色包含系统角色和用户自定义角色。7.4.2业务规则系统角色是系统预置的，不允许删除，但可以编辑角色名称、调整关联的功能和角色首页中的磁贴。7.4.3栏目说明栏目名称说明用户手册27/93系统角色系统预置的角色，不允许删除，但可以编辑角色名称、调整关联的功能等功能权限设置角色关联的功能和功能下的按钮/页签/链接；数据权限显示已授权给角色的数据权限，本节点只显示不维护；新建角色时不显示数据权限页签；敏感字段权限显示已授权给角色的敏感字段权限，本节点可维护；新建角色时不显示敏感字段权限页签；字段权限显示已授权给角色的字段权限，本节点可维护；新建角色时不显示字段权限页签。7.4.4操作说明新增角色操作路径：进入，角色管理，点击<新建>按钮，维护角色编码、角色名称、角色描述。首先，设置功能权限。点击<功能权限>页签，选择要赋予该角色的功能权限和按钮权限，保存。如果按钮权限中有<查看>按钮权限，则选择任何其他按钮时，都需要同时勾选“查看”按钮权限，否则将查不到任何数据，即使有<新增>按钮权限，新增数据后也会查不到该数据。编辑角色-基本信息系统角色和自定义角色可编辑角色名、备注，可调整关联的功能。用户手册28/93编辑角色-数据权限“数据权限”页签须保存后才出现,进入角色管理，选择已保存的角色，选择“数据权限”页签，点击“编辑数据权限”进入独立的“数据权限”节点。注意：在数据权限节点定义完，该角色节点的数据权限页签会同步。最后，如果需要设置角色数据权限，可从数据权限页签跳转。关于数据权限的详细操作参见数据权限。数据权限管理维度，是通过注册制，在开发态进行预置的；系统支持扩展，根据业务需求添加新的权限管理维度。数据权限受控对象，是通过注册制，在开发态进行预置的；系统支持应用构建扩展。受控对象，是指数据权限的影响范围，可设置为：1）全部受控对象；2）选择受控对象。用户手册29/93数据权限支持按照用户或按照角色授权，选择某一具体角色或者用户后，点击<增行>按钮，选择权限管理维度，然后设置受控对象，自定义权限范围。编辑角色-敏感字段权限“敏感字段权限”页签须也是保存后才出现；进入，角色管理，选择已保存的角色，点击“敏感数据权限”页签，进入编辑态。注意：敏感控制包括“无权”/“读写”/“只读”。编辑角色-字段权限“字段权限”页签须也是保存后才出现；进入角色管理，选择已保存的角色，点击“字段权限”页签，进入编辑态，基于业务对象进行字段控制，支持正向授权。用户手册30/93注意：字段控制包括“无权”/“读写”/“只读”,字段权限对接UI模板，某个页签中所有字段无权则该页签不显示。删除角色自定义角色可删除。操作路径：进入，角色管理，选择列表中角色，如果该角色为自定义角色，则出现删除按钮。角色删除后，已分配该角色的用户相应权限也随之删除，用户其他角色权限不受影响。示例：创建职能权限管理员当企业需要将授权的职能从企业账号管理员中分离时，可以通过设置角色管理员来做到。权限管理员专门负责角色的创建，给角色分配功能权限和数据权限，给用户分配权限。企业也可将权限管理进一步细分：角色管理员和授权管理员，将角色管理和用户授权分开。1、创建权限管理员并关联功能权限进入，角色管理，点击<新建>按钮，维护角色编码、角色名称、角色描述；点击“功能权限”页签，勾选“角色管理”下的功能，保存。用户手册31/93备注：此管理类角色，后续可以作为管理员授权的职能管理员。2、将角色分配到具体用户进入授权节点，选择用户，点击行按钮<角色设置>，选择“权限管理员”角色，关于授权的详细操作参见功能授权。7.4.4.1常见问题1.查询方案如何控制其权限？查询方案是可以通过功能权限分配控制用户是否有查询方案的权限。操作步骤如下：【数字化建模】-【角色管理】-【功能权限】节点中选择管理类角色，在系统管理下有一个查询方案分配的设置，包括查询方案设置和自定义查询设置，这两个都可以用户手册32/93分别分配。2.建立角色时，角色类型如何选择到通用类？通用类不是标准角色类型，按企业的岗位划分是管理岗和业务岗，实际没有通用岗。所以新建角色的时候，不会出现通用类的角色类型。如果用户存在管理和业务重叠，需要分配2个角色。3.如何查看角色的创建记录？在【数字化建模】-【系统管理】-【日志管理】节点下有业务日志和操作日志节点，其中谁可以操作，通过业务日志中可以查看到角色修改的记录。操作日志中可以查看做了什么操作，登录日志可以看到谁登录的信息...
