EBS五種安全性屏蔽解析

• http://blog.11equals3.top/2018/02/09/190/

  分類帳集

定義：

分類帳集顧名思義就是分類賬的集合。它是總帳提供的將相同科目表和相同日歷的多個分類帳集合一起用於多分類賬操作的一種功能。例如可以用分類帳集運行報表、運行經常性日記賬和打開期間等操作。

 

分配或使用

• 在職責配置文件GL:數據訪問權限集中使用所定義的分類帳集。
• 使用報表時選擇已定義的分類帳集。
• 在日記賬錄入或查詢時選擇分類帳集的各個分類賬。
• 賬戶查詢中選擇分類帳集的各個分類賬，可以看到各個分類賬中匯總或明細的數據；或者直接選擇分類帳集，可以看到所有分類賬的明細數據。
  

報表使用：

日記賬錄入：

查詢賬戶：

要點：

• 分類帳集中的分類賬必須共用相同科目表、日歷和期間類型。

• 數據訪問權限集

定義：

數據訪問權限集是一種通過授予不同職責對分類帳或平衡段值或管理段值只讀權限或讀寫權限來實現職責的查詢或改寫操作。它包括三種數據訪問權限集類型：

• 全部分類帳：授予分類帳中所有數據的訪問權限。例如，在具有兩個分類帳（A 和 B）的數據訪問權限集中，我們可以授予對分類帳 A 中所有數據的只讀權限，對分類帳 B 中所有數據的讀寫權限。
• 平衡段值：授予對所有或特定分類帳/平衡段值 (BSV) 組合的訪問權限。例如，我們可能使用包含分類帳 A 的數據訪問權限集，授予對平衡段值 01 的只讀權限，授予對平衡段值 02 的讀寫權限，對於相同分類帳中的平衡段值 03 沒有任何權限。
• 管理段值：授予對所有或特定分類帳/管理段值 (MSV) 組合的訪問權限。例如，我們可能使用包含分類帳 A 的數據訪問權限集，授予對管理段值 100 的只讀權限，授予對管理段值 200 的讀寫權限，對於相同分類帳中的管理段值 300 沒有任何權限。

  

分配或使用：

• 在系統配置文件中，將配置文件GL:數據訪問權限集選擇之前設置的數據訪問權限集分配給職責。
• 日記賬的錄入和查詢中根據設置的讀寫權限的不同而被不同使用。如對A帳套的讀寫權限和B帳套的只讀權限定義后，職責能查詢A、B帳套的日記賬，但是只能新建A帳套的日記賬。如果定義的是平衡段，則系統會報”您無權訪問此賬戶”的錯加以限制。管理段也同理。
• 帳戶查詢中只能看到定義具有權限的帳套或平衡段或管理段。
• 在報表運行中，如果數據訪問權限集設設了多個帳套（相同科目表和日歷）

1. 要點：

• 分配至數據訪問權限集的分類帳和分類帳集必須共用相同科目表、日歷和期間類型。
• 只在當我們在科目表中指定了管理段時（管理段限定詞），才能使用管理段值。
• 我們必須為每個數據訪問權限集指定三種類型之一。在定義之后，我們不能更改類型。我們只能添加或刪除數據訪問權限集中指定的分類帳/分類帳集和段值。

問題：

• 數據訪問權限集的平衡段權限如何應用？

訪問權限集類型選擇了平衡段后，可對專門的平衡段定義讀或讀寫的權限，在職責配置文件選擇了該平衡段數據訪問權限集后，在此職責下可以讀或讀寫含該平衡段的賬戶。例如設置了101平衡段只讀權限的訪問權限集后，職責可以訪問查看包含這個平衡段的賬戶的單據；設置了101平衡段讀寫權限的訪問權限集，職責可以查看或新建包含這個平衡段的賬戶的單據，新建102平衡段單據時報無權限的錯；

• 數據訪問權限集和分類帳集的聯系與區別？

相同點：

都可以對多個分類賬進行功能控制；都要職責配置文件GL：數據訪問權限集中設置才能應用。

不同點：

數據訪問權限集可以對分類賬的控制分為只讀或讀寫權限；分類賬集沒有具體區分權限，全為讀寫權限；

數據訪問權限集不能對各個分類賬進行總體的控制；分類賬集可以對所有定義中的分類賬進行總體控制，例如賬戶查詢中一次性查找到所有分類賬的信息。

數據訪問權限集功能更全面，除了對分類賬進行控制，也可以對平衡段或任意段（設為管理段）進行控制；分類賬集只能對分類賬進行控制。

例子：

設置了數據訪問權限集（全部分類賬）后：可以選到不同的分類賬，進而對不同的分類賬提交請求。

設置了分類賬集后:可以選到不同分類賬和分類賬集，進而對所有分類賬單獨或全部提交請求。

• 段值安全性

定義：

安全性規則是一種限制彈性域段值訪問的安全性屏蔽功能。我們可以使用安全性規則為彈性域和報表參數值的范圍定義值進行限定，從而限制訪問。完整操作是先定義安全性規則，再將安全性規則分配給應用產品責任。在定義過程中，我們先通過為段指定包括下限值和上限值在內的值范圍來定義安全性規則要素。安全性規則要素適用於包括在所指定的值范圍內的所有段值。每個安全性規則要素標識為 Include 或 Exclude，其中 Include 指包括指定范圍內的所有值；Exclude 指排除指定范圍內的所有值。由於規則會自動排除所有值（除非特別指定包括這些值），因此每個規則必須至少有一個Include 規則要素。Exclude 規則要素優先於 Include 規則要素。如果要指定所包括或排除的單個值，則在”下限”和”上限”字段中輸入相同的值。例如，在COA的公司段上，我們可以定義僅限A公司的安全性，然后要素選擇Include 自A至A，再分配給A公司各個職責，那么在這些職責下做帳戶選擇時公司段只能選得到A.

分配或使用：

• 在分配界面將定義的安全性規則分配給所需定義的職責，即可以完成安全性規則的使用；

  

要點：

• 設置前要先啟用段和值集的安全性設置；
• 在分配或更改安全性規則之后，為使更改生效，我們必須更改責任，或退出應用產品並重新登錄。
• 安全性定義時，建議使用包含所有段，排除不要的段來定義，而不是直接包含所要的段。后者設置可能會在匯總模板查詢賬戶時不被識別。

問題：

• 數據訪問權限集的平衡段權限和平衡段段值安全性在應用上有什

么區分？

平衡段數據訪問權限集控制平衡段的權限（可選只讀、可選讀寫，無權限時可見而不可選），段值安全性控制平衡段的可見選擇（有權限時可見並可選，無權限時不可見）例如設置了101平衡段讀寫權限的訪問權限集，職責可以查看或新建包含這個平衡段的賬戶的單據，新建102平衡段數據時報無權限；如果設置了101平衡段段值安全性，則職責只能選到該平衡段，具有讀寫權限，看不到其他平衡段。

• 交叉驗證規則

定義：

交叉驗證規則是一種限定段值組合的安全性屏蔽功能。鍵彈性域可以根據自定義鍵彈性域時所定義的規則，執行段值的自動交叉驗證，來嚴密控制新的鍵彈性域組合的創建過程。交叉驗證規則定義了特定段的值是否可與其它段的特定值相互組合，從而控制在輸入鍵彈性域值時可創建的值組合。

我們可以使用交叉驗證規則來防止創建不應存在的組合（即其中的值不應同時存在的組合）。例如，如果不允許部門段和貨幣資金類科目組合的帳戶，我們就可以通過排除部門段1001到Z（所有部門段）與科目段10010000到10090505（貨幣資金類科目） 的組合來達到目的。在設置完交叉驗證規則后，我們在彈性域彈出式窗口中輸入段值后，彈性域會在更新數據庫之前檢查這些段值的組合是否有效。如果用戶輸入的組合無效，則屏幕上會出現一則診斷錯誤消息，同時光標將返回到假定包含無效值的第一個段。

分配或使用：

在定義界面中選擇不同的COA結構進行定義，填寫交叉驗證規則的名稱，錄入需要報錯的信息以及驗證規則所包含的要素，則這些規則就會在使用到該COA結構的帳套中生效。當輸入定義中排除的組合就會報出錯誤信息。

要點：

• 對於在定義交叉驗證規則時就已經存在的組合，交叉驗證規則對其沒有任何作用。
• 我們在設置COA彈性域結構時需要勾選 “交叉驗證規則”的框。

問題：

交叉規則中包括和排除的含義？

包括指規則允許的賬戶組合，排除指規則不允許的賬戶組合。兩者結合是屬於全集包含不屬於集合排除的賬戶組成的集合，也是排除對包含的補集。如下例：

包括：0.0.0.0.0.0.0至z.z.z.z.z.z.z

排除：0.0.0.0.0.0.0至110.z.z.z.z.z.z

排除：112.0.0.0.0.0至112.z.z.z.z.z.z

則此規則只允許下列組合：

111.0.0.0.0.0.0至111.z.z.z.z.z.z

從上例中，我們知道使用交叉驗證規則同樣能限制平衡段的選擇，與平衡段數據訪問權限集和平衡段段值安全性有着異曲同工之妙。但交叉驗證規則是限制其他平衡段賬戶組合的生成，數據訪問權限集是限制其他平衡段賬戶的訪問權限，平衡段段值安全性是限制其他平衡段賬戶的是否可見。

• 訪問權限集

定義：

訪問權限集是一種賦予用戶對FSG報表、經常性日記賬和重估等操作權限限制的功能。如下圖，定義類型包含所能限制的總帳功能，如FSG內容集、FSG報表集、成批日記賬、科目表映射和預算組織等，定義名稱是指系統存在的用這些功能定義的單據名稱，如經常性日記賬的名稱等。訪問權限集的權限包括使用、查詢和修改，即允許用戶在流程或報表中使用定義、允許用戶查看定義和允許用戶查看和修改定義。

分配或使用：

• 在分配界面將定義好的訪問權限集分配給職責，則職責受該訪問權限集限制。在該職責用到定義中的報表或經常性日記賬等時，職責受所定義的訪問權限集定義。如果只有使用權限時，可以在生成的復選框中選到報表或經常性日記賬等，其他地方看不到；如果只有查看權限，可以在報表或經常性日記賬定義界面看到定義的功能，但所有字段被鎖定，不能修改，在生成界面無法選到；如果只有修改權限（默認有查看權限），可以在定義界面中看到報表或經常性日記賬並且能改動，但在生成界面無法選到。

要點：

• 在設置FSG報表等功能時選擇’啟用安全性’的復選框
• 在分配界面中有自動分配和自動權限，當勾選自動分配后，必須選擇一個或多個自動權限，但最終權限還是以訪問權限集定義界面的權限為主。

• 小結

五種功能具體聯系與區別見下表。這五種功能賦予了用戶或職責不同的權限做處理某些事務，這就形成了屏蔽作用，讓不同的用戶做不同的事務。這五種安全性屏蔽是分別處於不同層級上的，分別是多分類帳，單一分類帳，段值、段值組合和總帳功能使用上。我們可以根據不同安全性需求來選擇不同屏蔽功能。這是因為五種功能上的屏蔽，加上業務實體、帳套、法人主體、經營組織、庫存組織和子庫等組織上的區分，使得oracle系統實現精細分工的作用。

	分類賬集	數據訪問權限集	段值安全性	交叉驗證規則	訪問權限集
應用層次	多個分類賬	分類賬、平衡段、管理段	段值	段值組合	報表等
所起作用	能對多個分類賬同時控制	能限制分類賬、平衡度和管理段的選擇和查看	能限制各個段 的選擇	能限制段值與段值之間組合的選擇	能限制報表等功能的查看、使用和修改
權限區分	無	只讀、讀寫	無	無	查看、使用、修改
應用邏輯	定義后，在職責配置文件”GL:數據訪問權限集”下配置給各個職責	定義后，在職責配置文件”GL:數據訪問權限集”下配置給各個職責	定義后，將安全性規則在分配界面根據不同COA結構分配給各個職責	根據不同COA結構定義后生效。	定義后，將安全性規則在分配界面分配給各個職責
界面體現	查看、新建和修改時選不到未定義的分類賬。	查看、新建和修改時選不到未定義的分類賬。新建或修改選到未定義段時會報沒有權限的錯誤	看不到且選不到未定義的段。	選到定義不能組合在一起的段值組合時會報錯。	使用權限，可以在生成復選框中選到；查看權限，可以定義界面看到定義但不能修改；修改權限（默認有查看權限），可以在定義界面中看到定義並改動，