ACL и группы клиентов

[ykolesnikov]

Добрый день!
Пояаилась необходимость ограничить клиентам доступ к очередям в зависимости от группы клиентов. Сначала хотел это сделать по CustomerID, но потом вспомнил, что ряд подразделений сидит в разных зданиях и обслуживается разными территориальными группами агентов.
Отсюда вопрос.
Какой переменной/атрибутом воспользоваться в предложении Properties?
В мануале, как я понимаю, для агентов, есть конструкция:

Код: Выделить всё

Properties => {
            # current action match properties
            Frontend => {
                Action => ['AgentTicketPhone', 'AgentTicketEmail'],
            },
            # current user match properties
            User => {
                Group_rw => [
                    'hotline',
                ],
            },

А как для клиентов?
CustomerUser? Естественно с другим Action => ['CustomerTicketMessage']

[merkushov]

Да http://doc.otrs.org/3.2/en/html/customi ... -reference

[yuri0001]

О.К. спасибо, Виктор!
Завтра попробую.

[ykolesnikov]

Создал ACL:

Код: Выделить всё

#### Ограничение для КЛИЕНТА выбора Очереди для заявки по CustomerUserGroup ##
    $Self->{TicketAcl}->{'051 ACL-Customer-Ограничение выбора очереди для КУИ'} = {
        Properties => {
            Frontend => {
               Action => ['CustomerTicketMessage']
                        },
            CustomerUser => {
                Group_rw => ['Cust_KUI'],
                            },
                      },
        Possible => {
            Ticket => {
                QueueID => ['21','2','41']
                      },
                    },
    };
#########################################################################
    $Self->{TicketAcl}->{'052 ACL-Customer-Ограничение выбора очереди для Терр_Уобр_УАГ_Укульт_Ленина_117'} = {
        Properties => {
            Frontend => {
               Action => ['CustomerTicketMessage']
                        },
            CustomerUser => {
               Group_rw => ['Cust_Cult_Ed_Arch'],
                            },
                      },
        Possible => {
            Ticket => {
                QueueID => ['24','2','41']
                      },
                    },
    };

Клиенты имеют права -rw в первой или второй группе, однако ограничения выбора очереди не происходит, видны все, их более 15.
В чем ошибка может крыться?

[ykolesnikov]

Попробовал вариант с Queue вместо Ticket:

Код: Выделить всё

    $Self->{TicketAcl}->{'051 ACL-Customer-Ограничение выбора очереди для КУИ'} = {
        Properties => {
            Frontend => {
               Action => ['CustomerTicketMessage']
                        },
            CustomerUser => {
                Group_rw => ['Cust_KUI'],
                            },
                      },
        Possible => {
            Queue=> {
                QueueID => ['2','21','41']
                      },
                    },
    };

Все равно клиенту видны все очереди в списке.
Или я чег-то не понимаю?

[ykolesnikov]

Решил исходную задачу через механизм групп клиентов с игрой правами -ro/rw, без использования ACL,
НО ВОПРОС: ПОЧЕМУ НЕ РАБОТАЕТ ACL ТАК И ОСТАЛСЯ
Хочется все-таки понять - на какие грабли налетел. Поддержка групп клиентов включена где только можно - и в АдминКонфиге и в Config.pm.
Клиенты включены в нужные группы, а все равно ACL не работает.

[merkushov]

А если так попробовать?

Код: Выделить всё

    $Self->{TicketAcl}->{'051 ACL-Customer-Ограничение выбора очереди для КУИ'} = {
        Properties => {
            Frontend => {
               Action => ['CustomerTicketMessage']
            },
            CustomerUser => {
                Group_rw => ['Cust_KUI'],
            },
        },
        Possible => {
            Ticket => {
                Queue => ['Raw', 'Junk']
            },
        },
    };

[ykolesnikov]

Оказалось и не решил. При установке прав клиенту в группе -ro, он в web-форме не видит очереди связанной с этой группой, видит заявку в своем списке заявок, но отвечать на вопросы агента - не может. А цель была - только ограничить список очередей клиенту при вводе заявки. Поэтому и смотрел в сторону ACL. Но не работает, хоть убей, никак. Даже неправильно не работает.

[ykolesnikov]

Не увидел сразу Вашего ответа Виктор!
Попробую позже, сейчас админ занят, а я к линуксовому серверу не имею доступа.
Единственный вопрос сразу. У меня имена очередей по-русски. Не будет ли облома?
Попробую и с теми и другими.

[ykolesnikov]

До пробы дело не дошло. Пока админ занят поставил 3.3.0 beta3 на винде на своем ПК, чтобы посмотреть ACL Editor.
Впечатление неоднозначное, тем более, что описания его нигде в мануале нет (3.3)
Куда он пишет сохраненные ACL неясно и как они взаимодействуют с Config.pm тоже. Надо поискать. При экспорте он создает *.yml.htm - файл. При открытии его браузером или Notepad++ - видно только, что он как бы перевернут наоборот, т.е. сначала идут Possible, потом Properties.
Попробовал создать свой ACL как в примере, что приводил выше

Код: Выделить всё

    $Self->{TicketAcl}->{'051 ACL-Customer-Ограничение выбора очереди для КУИ'} = {
        Properties => {
            Frontend => {
               Action => ['CustomerTicketMessage']
                        },
            CustomerUser => {
                Group_rw => ['Cust_KUI'],
                            },
                      },
        Possible => {
            Ticket=> {
                Queue => ['2','21','41']
                      },
                    },
    };

и создавал именно так как написано. Однако, после сохранения, редактор поменял порядок операторов в Properties - то ли так и надо, то ли просто по алфавиту см. скриншот

ACL-Администрирование - OTRS-Action=AdminACL;Subaction=ACLEdit.png (35.18 КБ) 17276 просмотров

Концовку с Action в Possible - добавил специально, чтобы проверить, поменяет ли по алфавиту здесь - не поменял, однако.
Сижу чешу репу. Надо теперь поднастроить систему немного, чтобы попробовать как это в работе.
Кстати, после установки локально на винде, раньше Инсталлер, кидал в меню Пуск команды перезапуска, остановки и старта системы. Теперь их нет. Непонятно, как теперь перезапускаться?

PS. Нашел. Теперь ACL хранятся в базе OTRS в таблице ACL. Properties и Posiible по отдельности в blob - полях, в htm/yml - формате
Для актуализации в системе служит кнопка Deploy ACL's. О том, что синхронизация еще не выполнена при любом сохранении под заголовком страницы вешается сообщение о ее необходимости.

[ykolesnikov]

Попробовал сегодня конструкцию Ticket => {Queue => [ - с русскими именами очередей.
На группу клиента стала реагировать, но список очередей пустой.
Попробовал связку Queue => {QueueID => [ с ID очередей - список выдает, но не имеющий никакого отношения к заданному списку. И для разных групп, указанных в ACL - одинаковый Не для членов этих групп - ограничения нет, все нормально.

Кстати, поменял местами операторы Frontend и Customer, как мне показал конструктор в 3.3. После этого и пошел некий прогресс.
Пока пытаюсь осознать.

[ykolesnikov]

Попробовал сегодня конструкцию Ticket => {Queue => [ в 3.3.0 beta3 c использованием редактора ACL, но в чистом виде с использованием английских названий очередей. Конструкция работает. Теперь буду идти от обратного - вставлю очереди с русскими именами. О результате отпишусь.

[ykolesnikov]

И с русскими (кириллицей) написанными именами в 3.3.0 все работает без танцев с бубном.
Пробую на тестовой системе в 3.2.10 - полный облом. Для клиентов групп указанных в ACL - список очередей - пустой.
И decode_utf8 ставил и очередь переименовывал на аглицкие буквы - результат тот же.

[yuri0001]

Кстати, хотелось бы еще как-то точнее понять смысл оператора - StopAfterMatch =>1.
Скажем, у меня есть последовательность ACL, которые задают допустимые наборы значений Категории заявки (динамическое поле) в зависимости от Типа заявки для Action - CustomerTicketMessage, затем похожая последовательность для AgentPhoneNew (пишу по памяти, надеюсь смысл понятен). Затем хочу создать еще набор для CustomerTicketMessage - но уже для ограничения набора очередей для клиента в зависимости от его принадлежности к определенной группе.
Отсюда вопрос где надо, а где нет - расставлять StopAfterMatch =>1 ?

[alexus]

StopAfterMatch надо ставить для правил по одному признаку Properties. Грубо говоря - это завершение прерывание проверки для исключения остальных действий. Надо рисовать логическую схему для моделирования процесса

[ykolesnikov]

О.К., спасибо! Теперь уложилось.
Продолжаю опыты с ACL.
Сегодня проверил последний вариант, чтобы исключить возможность влияния других ACL на мои опыты и опять - пустой список очередей.
Т.е. ACL отрабатывает фильтр по группам клиентов (т.к. для клиентов не входящих в проверяемую группу список очередей доступен и полный), а вот Possible, где указаны очереди при соответствии фильтру - убирает их все. Пробовал и с английскими именами очередей, то же самое.
Открыл заявку в Bug List - Bug#9807. Ответа пока нет.
Пришел к этому решению, когда увидел, что в 3.2.11 исправлена похожая ошибка для агентского интерфейса Bug#9764 - не абсолютно такая, но...
В 3.3.0 beta3 ставил опыт - работает.
Еще раз текст ACL:

Код: Выделить всё

#### Ограничение для КЛИЕНТА выбора Очереди для заявки по CustomerGroup ##
    $Self->{TicketAcl}->{'051 ACL-Customer'} = 
    {
    Properties => {
      CustomerUser => {
       Group_rw => ['Cust_KUI'],
      },
      Frontend => {
       Action => ['CustomerTicketMessage']
      },
    },
    Possible => {
      Ticket => {
       Queue => ['OTP::TER_CUI','Raw']
      },
    },
    StopAfterMatch => 1,
    };
#########################################################################
    $Self->{TicketAcl}->{'052 ACL-Customer'} = 
    {
    Properties => {
      CustomerUser => {
       Group_rw => ['Cust_Cult_Ed_Arch'],
      },
      Frontend => {
       Action => ['CustomerTicketMessage']
      },
    },
    Possible => {
      Ticket => {
       Queue => ['OTP::TER_UAG'),'Raw']
      },
    },
    StopAfterMatch => 1,
    };

[alexus]

http://bugs.otrs.org/show_bug.cgi?id=9764
Похоже баг пофиксили.

[yuri0001]

Я его видел, глубоко не копал, но там про агентский интерфейс, впрочем, завтра почитаю внимательно.
Я свой открыл, его передали тому же исполнителю http://bugs.otrs.org/show_bug.cgi?id=9807

[ykolesnikov]

Конечно, сам был дурак!
Зря ребят напрягал из OTRS. Конечно, они несмогли воспроизвести мою дурь!
В ACL было все правильно. Просто, у клиента не было прав в группах тех очередей, которые я им хотел назначить в списке в ACL - Queue => ...
Исправил права и все поехало! Просто в ходе многочисленных экспериментов потерял нить изменений. Документируйте ребята. Мне старому, вообще грех такие ошибки делать.

[ykolesnikov]

Кстати, проверил, вместе с этими ACL работу еще одной фичи - CustomerPanelOwnSelection в SysConfig in Ticket -> Frontend::Customer::Ticket::ViewNew.
Я ее использовал для замены названий очередей для клиентов, на более удобоваримые. Фактически, этот параметр, задает синонимы для названий очередей, при отображении их в интерфейсе клиента при вводе заявки. Когда разбирался с ACL, коллеги с буржуйского форума и те, которые разбирали мою заявку на Bugzill'a - рекомендовали ее отключить, что я и сделал. Теперь, перед переносом на боевой сервер, решил еще раз проверить, а будет ли работь с этим включенным параметром и оказалось, что прекрасно работает, т.е. синоним, видимо, подставляется уже после и виден только в выпадающем списке. Приятно.

[alexus]

проверил, вместе с этими ACL работу еще одной фичи - CustomerPanelOwnSelection

Юрий, ну Вы знаете, что я скажу сейчас про очереди на клиентском портале !

[yuri0001]

Знаю, Алексей!
Я не настаиваю на своем решении, но если это кому-то надо, то это все, что могу. На этом и закрываем тему!

[paver]

Немного некрофилии

Оказалось и не решил. При установке прав клиенту в группе -ro, он в web-форме не видит очереди связанной с этой группой, видит заявку в своем списке заявок, но отвечать на вопросы агента - не может. А цель была - только ограничить список очередей клиенту при вводе заявки.

Чтобы позволить клиенту делать заметки к своим заявкам, нужно дать ему право Note в группе/очереди.
Чтобы в интерфейсе настройки прав клиента на группу появилась эта опция, в config.pm следует добавить строку
$Self->{'System::Customer::Permission'} = [ 'ro', 'note', 'rw' ];

[ykolesnikov]

Я уже писал, все это работает без предоставления лишних прав клиенту, достаточно, чтобы он был в группе users и имел там права -rw. У меня, по крайней мере, так.

[paver]

Думаю, вы ошибаетесь.

Зы дополнено, чтобы превзойти минимум в 25 символов