Quản lý người dùng và bảo mật
Bạn không gán từng quyền cho từng người. Quyền được gom thành vai trò, mỗi người nhận một hoặc vài vai trò, và nếu cần thì giới hạn thêm theo địa điểm. Trang này dành cho quản trị viên: dựng bộ vai trò, tạo tài khoản, bật xác thực hai lớp và soát lại ai đã làm gì.
Mô hình phân quyền
Ba tầng, mỗi tầng một việc:
- Quyền chia theo từng màn hình và hành động. Trong ma trận quyền, quyền được nhóm theo: Tổng quan & báo cáo, Danh mục, Kho & tồn kho, Xử lý đơn, Bán hàng & POS, Mua hàng & tài chính, Thiết bị & Kiosk, Quản trị & bảo mật. Trong mỗi nhóm, xem, tạo, duyệt và hủy là các quyền riêng.
- Vai trò là một bộ quyền có tên. Quyền của nhiều vai trò cộng dồn, không có quyền "cấm".
- Phạm vi địa điểm lọc dữ liệu sau khi đã có quyền: có quyền xem tồn kho nhưng chỉ được gán kho chi nhánh A thì chỉ thấy tồn của A.
Một thao tác có thể bị chặn vì tài khoản ngừng hoạt động, chưa đạt chính sách 2FA, module đang tắt, gói thuê bao không có tính năng, địa điểm nằm ngoài phạm vi, hoặc thiếu quyền. Thông báo bạn thấy cho biết lớp nào chặn. Quản trị viên luôn dùng được mọi địa điểm và mọi quyền.
Vai trò dựng sẵn
Hệ thống có sẵn các vai trò sau. Vai trò admin luôn có mọi quyền và bị khóa trong ma trận quyền.
| Vai trò | Dùng cho |
|---|---|
admin | Toàn bộ, bỏ qua kiểm tra quyền và địa điểm |
manager | Quản lý, rộng nhưng không có quyền quản trị hệ thống |
warehouse_staff | Làm việc kho và tồn kho |
cashier | POS, đơn hàng, tồn kho cơ bản |
user | Vai trò mặc định, chủ yếu quyền xem và tạo đơn |
kiosk | Tài khoản của máy tự thanh toán |
Các quyền như quản lý người dùng và vai trò, khóa API, webhook, ứng dụng, liên kết doanh nghiệp, MQTT, giám sát thiết bị và dữ liệu mẫu chỉ dành cho quản trị viên. Quản lý được gán địa điểm cho người dùng và vai trò, nhưng không tạo được người dùng hay sửa vai trò. Đối chiếu từng quyền trong Quản trị → Vai trò, tab Ma trận quyền.
Phạm vi địa điểm hoạt động thế nào
Nắm các quy tắc này trước khi gán:
- Quản trị viên luôn dùng được mọi địa điểm.
- Gán địa điểm trực tiếp cho một người dùng (Phân quyền riêng) sẽ thay hoàn toàn địa điểm theo vai trò của người đó.
- Nếu người dùng không có phân quyền riêng, phạm vi là hợp các địa điểm của mọi vai trò họ mang.
- Người dùng chưa được gán địa điểm nào, qua phân quyền riêng hay vai trò, theo Quyền mặc định: Mọi địa điểm, hoặc Không địa điểm nào cho đến khi được gán.
- Cấp một kho là cấp luôn mọi kho con và ô kệ của nó, xem Danh mục và kho hàng.
- Khi bật Ẩn bản ghi không có địa điểm với người dùng bị giới hạn, đơn hàng, chứng từ và bản ghi không có địa điểm chỉ hiện với người dùng được dùng mọi địa điểm.
Nói gọn: muốn một người chỉ thấy kho của họ, phải chủ động gán địa điểm và kiểm tra thẻ Quyền truy cập thực tế của người đó.
Tạo vai trò
Vào Quản trị → Vai trò và bấm Vai trò mới.
Nhập tên và mô tả, đặt tên theo công việc thật của cửa hàng, ví dụ "Thu ngân ca sáng", rồi bấm Tạo.
Mở tab Ma trận quyền. Mỗi vai trò là một cột. Dùng ô Tìm quyền, lọc theo Nhóm, hoặc ở Hiển thị chọn Khác nhau giữa các vai trò.
Tick các quyền tối thiểu đủ làm việc. Có thể dùng Cấp tất cả quyền hoặc Thu hồi tất cả quyền cho cả một cột. Chỉ người có quyền gán quyền cho vai trò mới sửa được ma trận.
Bấm Lưu. Thay đổi vai trò có hiệu lực ở thao tác kế tiếp của người dùng, họ không cần đăng nhập lại.
Đăng nhập bằng một tài khoản mang vai trò này, không phải tài khoản quản trị, rồi mở thử các màn hình chính. Thiếu quyền nào thì bổ sung ngay, trước khi có người dùng thật.
Muốn giới hạn địa điểm của vai trò, bấm Mở chi tiết vai trò, hoặc dùng Cài đặt → Bảo mật → Quyền truy cập địa điểm như bên dưới.
Hướng dẫn vận hành
Giữ nguyên tắc hai người ở khâu nhập hàng: quyền tạo phiếu kho và quyền duyệt phiếu là hai quyền riêng, nên đặt ở hai vai trò khác nhau. Người tự nhập tự duyệt thì số tồn chỉ dựa vào một người, xem Mua hàng và nhập kho.
Tạo người dùng
Hệ thống không gửi email mời. Quản trị viên tạo tài khoản kèm mật khẩu rồi tự đưa cho người dùng.
Vào Quản trị → Người dùng và bấm Người dùng mới.
Nhập tên, email và mật khẩu ban đầu, hoặc bấm Tạo tự động để hệ thống sinh mật khẩu mạnh. Mật khẩu cần ít nhất 12 ký tự, gồm chữ hoa, chữ thường, số và ký tự đặc biệt.
Chọn vai trò. Vai trò thứ hai trở đi thêm ở trang người dùng.
Bấm Tạo. Email và số điện thoại phải chưa dùng cho tài khoản nào.
Đưa email và mật khẩu cho nhân viên qua kênh an toàn và dặn đổi ngay ở Hồ sơ.
Nếu gói thuê bao đã đủ số người dùng, hệ thống báo "Đã đạt giới hạn của gói dịch vụ" và không tạo thêm.
Gán thêm vai trò
Vào Quản trị → Người dùng và bấm vào người dùng.
Mở tab Vai trò người dùng rồi tick hoặc bỏ tick vai trò. Mỗi thay đổi tự lưu. Bạn không tự đổi vai trò của chính mình được.
Đọc thẻ Quyền truy cập thực tế để biết kết quả, ví dụ "Theo vai trò: ..." hoặc "Chưa được gán địa điểm: quyền mặc định cho dùng mọi địa điểm."
Chọn địa điểm mỗi người được dùng
Vào Cài đặt → Bảo mật → Quyền truy cập địa điểm. Bạn cần quyền gán kho cho người dùng hoặc cho vai trò.
Ở Quyền mặc định, chọn Mọi địa điểm hoặc Không địa điểm nào cho đến khi được gán. Chuyển sang lựa chọn sau sẽ cảnh báo bao nhiêu người mất quyền truy cập.
Ở Địa điểm theo vai trò, bấm Sửa địa điểm cạnh vai trò, chọn địa điểm rồi lưu.
Ở Ai dùng được địa điểm nào, tìm người dùng, bấm Sửa địa điểm để đặt phân quyền riêng. Cột Nguồn quyền cho biết quyền đến từ Phân quyền riêng, Theo vai trò hay quyền mặc định.
Nếu bản thân bạn bị giới hạn địa điểm, bạn chỉ gán được địa điểm nằm trong phạm vi của mình.
Ngừng, đổi trạng thái và xóa tài khoản
Sửa Trạng thái của người dùng để chuyển giữa Đang hoạt động, Ngừng hoạt động và Tạm ngưng. Hai trạng thái sau đều chặn đăng nhập. Phiên đang mở của người đó bị ngắt và khi thử đăng nhập họ thấy "Email hoặc mật khẩu không đúng".
Hệ thống luôn chặn hai việc: bạn không tự xóa, vô hiệu hóa hay tạm khóa chính mình, và quản trị viên đang hoạt động cuối cùng không bị xóa, vô hiệu hóa hay mất vai trò quản trị.
Hướng dẫn vận hành
Khi nhân viên nghỉ việc, chuyển tài khoản sang Ngừng hoạt động thay vì xóa, để lịch sử thao tác trong nhật ký vẫn gắn với tên người đó. Xóa không hoàn tác được, chỉ làm khi chính sách lưu trữ của công ty cho phép.
Đăng nhập và xác thực hai lớp
Xác thực hai lớp (2FA) yêu cầu thêm mã từ ứng dụng xác thực khi đăng nhập. Hệ thống còn cho dùng khóa bảo mật hoặc khóa truy cập (passkey), kể cả để đăng nhập không cần mật khẩu. Mỗi người có tối đa 10 khóa, và gói thuê bao phải có tính năng khóa bảo mật.
Bật 2FA cho chính bạn
Mở Hồ sơ, mục Xác thực hai lớp (2FA), bấm Thiết lập xác thực hai lớp.
Quét mã QR bằng ứng dụng xác thực, hoặc nhập khóa thủ công.
Nhập mã 6 chữ số rồi bấm Xác nhận & bật.
Lưu Mã dự phòng ở nơi an toàn. Mã chỉ hiện một lần và mỗi mã dùng được một lần.
Tùy chọn: ở Khóa bảo mật và khóa truy cập, bấm Thêm khóa bảo mật, đặt Tên khóa, nhập Mật khẩu hiện tại rồi làm theo hướng dẫn của trình duyệt.
Cần bộ mã dự phòng mới thì bấm Mã dự phòng mới. Bộ cũ hết hiệu lực.
Ứng dụng di động không thiết lập được 2FA hay khóa bảo mật. Hãy làm trên web trước rồi mới đăng nhập trên điện thoại. Khi được hỏi mã, nhập mã 6 chữ số hoặc một mã dự phòng.
Bắt buộc 2FA cho cả doanh nghiệp
Trước khi bật, bảo đảm ít nhất một quản trị viên đã đăng ký 2FA và đăng nhập thử thành công.
- Vào Cài đặt → Cài đặt chung, mục Chính sách cho toàn doanh nghiệp.
- Bật Bắt buộc xác thực hai lớp.
- Ở Áp dụng cho, chọn Tất cả người dùng hoặc Quản trị viên.
- Tùy chọn bật Bắt buộc khóa bảo mật. Khi đó lớp thứ hai phải là khóa bảo mật hoặc khóa truy cập, mã dự phòng vẫn dùng được để khôi phục.
- Bấm Lưu. Người thuộc phạm vi áp dụng phải thiết lập ở Hồ sơ trước khi làm việc tiếp, nếu không sẽ thấy "Doanh nghiệp yêu cầu xác thực hai lớp. Hãy thiết lập trong hồ sơ để tiếp tục." Thiết bị cầm tay tin cậy và phiên ghép bằng QR không bị ảnh hưởng.
Mất điện thoại hoặc quên mật khẩu
Mất điện thoại, kẹt 2FA: một quản trị viên khác mở người dùng đó, bấm Đặt lại xác thực hai lớp và xác nhận. Ứng dụng xác thực, khóa bảo mật và mã dự phòng bị gỡ, người đó bị đăng xuất khỏi mọi thiết bị. Nếu cần, bấm thêm Đổi mật khẩu để đặt mật khẩu mới.
Quên mật khẩu: ở trang đăng nhập bấm Quên mật khẩu?, nhập email rồi bấm Gửi liên kết đặt lại. Liên kết chỉ dùng được một lần và hết hạn sau 45 phút. Đặt mật khẩu mới sẽ đăng xuất mọi thiết bị. Cách này chỉ chạy khi doanh nghiệp đã cấu hình gửi email. Nếu chưa, quản trị viên mở người dùng, bấm Đổi mật khẩu và đưa mật khẩu mới qua kênh an toàn.
Mất thiết bị hoặc dùng máy chung: vào Hồ sơ và bấm Đăng xuất khỏi mọi thiết bị.
Nhập sai mật khẩu 10 lần liên tiếp sẽ khóa tài khoản trong 30 phút, dù cài đặt thế nào. Đăng nhập quá nhiều lần từ một địa chỉ mạng cũng bị chặn tạm thời.
Soát lại bằng Nhật ký hoạt động
Quản trị → Nhật ký hoạt động ghi ai làm gì, lúc nào.
- Chọn tab: Tất cả, Tồn kho, Bảo mật, Bán hàng, Tài sản hoặc Xuất báo cáo.
- Thu hẹp bằng Phạm vi, Từ ngày và Đến ngày, hoặc ô tìm kiếm. Bật Tự động làm mới để theo dõi trực tiếp.
- Mở chi tiết một dòng để xem Thay đổi và Ngữ cảnh.
Nhật ký trả lời các câu hỏi như: ai sửa giá sản phẩm này, ai duyệt phiếu nhập hôm đó, ai đã xuất báo cáo nào, tài khoản kia có đăng nhập ngoài giờ không. Nhật ký ẩn các dòng gắn với kho bạn không được dùng.
Khi có vấn đề
| Hiện tượng | Nguyên nhân thường gặp | Cách xử lý |
|---|---|---|
| Không thấy một mục menu cụ thể | Vai trò thiếu quyền, module tắt, hoặc gói không có tính năng | Soát theo đúng thứ tự đó, xem Cấu hình và tích hợp |
| Nút bị ẩn hoặc báo "Bạn không có quyền xem trang này" | Thiếu quyền của thao tác đó | Cấp quyền qua vai trò |
| "Gói hiện tại chưa có tính năng này" | Gói thuê bao không có tính năng | Liên hệ nhà cung cấp để nâng gói |
| "Tính năng này không có trong doanh nghiệp này" | Module đang tắt | Bật ở Cài đặt → Tính năng hoặc nhờ nhà cung cấp |
| Thấy ít dữ liệu hơn đồng nghiệp | Bị giới hạn phạm vi địa điểm | Xem thẻ Quyền truy cập thực tế của người dùng |
| "Bạn không có quyền truy cập kho này" | Kho ngoài phạm vi được gán | Nhờ người có quyền gán thêm địa điểm cho bạn |
| Không bấm được nút duyệt phiếu | Thiếu quyền duyệt của nhóm phiếu đó | Cấp quyền qua vai trò, giữ nguyên tắc người tạo khác người duyệt |
| "Email hoặc mật khẩu không đúng" dù nhập đúng | Tài khoản ở trạng thái Ngừng hoạt động hoặc Tạm ngưng | Đặt Trạng thái về Đang hoạt động |
| "Đăng nhập sai quá nhiều lần. Tài khoản tạm bị khóa, hãy thử lại sau 30 phút." | Sai mật khẩu 10 lần liên tiếp | Chờ 30 phút |
| "Quá nhiều yêu cầu. Vui lòng đợi một lát rồi thử lại." | Quá nhiều lần thử từ một địa chỉ mạng | Chờ rồi thử lại |
| "Cần mã xác thực hai lớp" hoặc "Mã xác thực hai lớp không đúng" | Chưa nhập hoặc nhập sai mã | Dùng mã mới trên ứng dụng hoặc một mã dự phòng |
| "Doanh nghiệp này yêu cầu khóa bảo mật" | Chính sách bắt buộc khóa, bạn nhập mã 6 chữ số | Dùng khóa bảo mật hoặc mã dự phòng |
| "Doanh nghiệp yêu cầu xác thực hai lớp" | Chính sách áp dụng cho bạn nhưng chưa thiết lập | Thiết lập 2FA ở Hồ sơ |
| "Mật khẩu hiện tại không đúng" | Nhập sai mật khẩu khi đổi mật khẩu, tắt 2FA hoặc thêm khóa | Nhập lại mật khẩu hiện tại |
| "Đã đạt giới hạn 10 khóa bảo mật" | Đã có 10 khóa | Gỡ bớt một khóa trước |
| Khóa bảo mật báo "Yêu cầu đã hết hạn" | Xác nhận khóa quá chậm | Thử lại |
| "Đây là quản trị viên đang hoạt động cuối cùng" | Thao tác sẽ làm mất quản trị viên cuối | Đặt người khác làm quản trị viên trước |
| "Email này đã được sử dụng" hoặc "Số điện thoại này đã được sử dụng" | Trùng với tài khoản có sẵn | Dùng email hoặc số khác |
| Liên kết đặt lại mật khẩu không còn hiệu lực | Đã dùng hoặc quá 45 phút | Bấm Yêu cầu liên kết mới |
Đọc tiếp
- Cấu hình và tích hợp: nhóm Bảo mật, cổng an ninh và các chính sách đăng nhập.
- Danh mục và kho hàng: cây kho, đơn vị của phạm vi truy cập.
- Mua hàng và nhập kho: nguyên tắc hai người trong thực tế vận hành.