Quyền

Tổng quan

Là quản trị viên hệ thống Workplace, bạn có thể kiểm soát các tính năng được cung cấp cho mỗi tiện ích tích hợp bằng cách tạo ứng dụng và cấp các quyền cụ thể cho ứng dụng đó. Bạn có thể đặt tên cho từng ứng dụng để thể hiện dịch vụ mà ứng dụng đó hỗ trợ. Ứng dụng có sẵn mã truy cập và quyền riêng biệt để kiểm soát thông tin mà ứng dụng đó được phép đọc hoặc ghi.

Hướng dẫn này mô tả chi tiết hơn về ứng dụng và mô hình cấp quyền.

Các tùy chọn kiểm soát quyền khi chỉnh sửa một ứng dụng tích hợp tùy chỉnh

Quyền có sẵn

Bạn có thể cấp nhóm quyền riêng cho mỗi ứng dụng Workplace để kiểm soát cấp độ chức năng có sẵn cho ứng dụng đó trên API Đồ thị và API Quản lý tài khoản.

Khi bạn tạo ứng dụng và cấp quyền, những quyền đó sẽ được áp dụng cho mọi tài khoản trong cộng đồng của bạn. Chủ tài khoản không cần cấp thêm quyền cho ứng dụng để được hưởng lợi từ chức năng của ứng dụng. Điều này khác với mô hình cấp quyền trên Facebook, trong đó mỗi người dùng cấp quyền riêng lẻ cho một ứng dụng khi đăng nhập.

Dưới đây là danh sách đầy đủ các quyền ứng dụng có sẵn cho tiện ích tích hợp, cùng với thông tin tổng quan về cách sử dụng quyền.

Quyền ở cấp độ nhóm

Đối với một số quyền, bạn có thể chọn chỉ kích hoạt một tiện ích tích hợp trong các nhóm cụ thể. Nhờ vậy, bạn có thể xác định phạm vi quyền truy cập của một tiện ích tích hợp chỉ trong nội dung mà mình muốn tiện ích đó tiếp cận.

Ví dụ: bạn có thể cho phép một tiện ích tích hợp đăng cảnh báo chỉ đăng trong nhóm riêng của đội ngũ. Hoặc, bạn có thể cho phép một tiện ích tích hợp ứng dụng dành cho nhân viên chỉ đọc nội dung trong các nhóm mở cụ thể.

Để chỉ định quyền ở cấp độ nhóm cho một tiện ích tích hợp tùy chỉnh, hãy dùng bảng điều khiển Quyền truy cập nhóm trong hộp thoại Chỉnh sửa tích hợp.

Kích hoạt quyền ở cấp độ nhóm cho tiện ích tích hợp này.

Quyền ở cấp độ nhóm áp dụng cho các quyền sau:

• Đọc nội dung của nhóm - Đọc bài viết, bình luận và trang cá nhân của thành viên trong các nhóm đã chọn
• Quản lý nội dung trong nhóm - Quản lý bài viết và bình luận trong nhóm đã chọn
• Quản lý nhóm - Chỉnh sửa hoặc gỡ các nhóm đã chọn và thành viên của nhóm

Bạn có thể đặt cấu hình một tiện ích tích hợp để các quyền ở cấp độ nhóm có thể được áp dụng cho Tất cả các nhóm, Nhóm cụ thể như quản trị viên hệ thống đã chọn hoặc Cho phép quản trị viên nhóm kích hoạt cho nhóm của họ.

Quy trình cài đặt của quản trị viên

Khi kích hoạt quyền Cho phép quản trị viên nhóm kích hoạt cho nhóm của họ, quản trị viên của một nhóm sẽ thấy tab Tiện ích tích hợp mới trong màn hình Quản lý nhóm, cho phép họ kích hoạt tiện ích tích hợp trong nhóm của mình.

Một ứng dụng mẫu mà quản trị viên nhóm hiện có thể bật.

Mã ứng dụng và cách sử dụng

Khi bạn tạo một ứng dụng mới cho Workplace, mã truy cập sẽ được tạo để dùng với API Đồ thị, API Quản lý tài khoản hoặc Webhooks.

Mã truy cập này sẽ chỉ hiển thị một lần nên bạn cần lưu trữ mã truy cập một cách an toàn để dùng sau đó trong mã.

Quy trình đặt lại mã cho ứng dụng tích hợp tùy chỉnh

Mã ứng dụng Workplace không bao giờ hết hạn và không cần phải làm mới trừ khi được đặt lại theo cách thủ công. Nếu bạn chỉnh sửa các quyền có sẵn cho một ứng dụng nhất định, mã hiện có sẽ vẫn hoạt động và bạn không cần tạo mã mới.

Nếu cần vô hiệu hóa một mã, bạn có thể đặt lại mã đó qua nút Đặt lại mã truy cập trong hộp thoại Chỉnh sửa ứng dụng. Mã mới sẽ được tạo và hiển thị, còn mã hiện có sẽ bị vô hiệu hóa ngay lập tức.

Bảo mật mã

Mã truy cập rất mạnh mẽ. Mã này cấp quyền truy cập vào dữ liệu của công ty bạn trên Workplace. Khi tạo ứng dụng, hãy xem xét nhóm quyền tối thiểu cần thiết để hoàn thành các tính năng của tiện ích tích hợp, chứ không cấp quyền không cần thiết nào.

Khi lưu trữ hoặc thêm mã vào kho lưu trữ mã, bạn cần hết sức thận trọng để đảm bảo không chia sẻ mã với những người không phù hợp.

Để thêm một lớp bảo mật bổ sung cho tiện ích tích hợp, bạn nên thêm danh sách IP hợp lệ. Danh sách này sẽ chỉ cho phép các máy chủ thuộc danh sách địa chỉ IP hợp lệ sử dụng mã.

Thêm danh sách IP hợp lệ để chỉ cho phép các máy chủ đã chỉ định sử dụng mã và yêu cầu Bằng chứng khóa bí mật của ứng dụng

Tự động gỡ các quyền không dùng đến

Nếu tiện ích tích hợp tùy chỉnh không thực hiện lệnh gọi nào bằng một quyền cụ thể trong 30 ngày, quyền đó sẽ bị gỡ. Sau khi trường hợp này xảy ra một lần đối với tiện ích tích hợp tùy chỉnh, bạn sẽ thấy tùy chọn để ngăn quy trình gỡ này.

Nếu bạn đã thiết lập hoạt động đăng ký webhook hợp lệ, các webhook gửi bằng cách này sẽ được xem là sử dụng quyền có liên quan.

Kiểm soát hoạt động tự động gỡ quyền

Bằng chứng khóa bí mật của ứng dụng

Mã truy cập cho Workplace sẽ không hết hạn. Các tiện ích tích hợp tùy chỉnh có thể yêu cầu bằng chứng khóa bí mật của ứng dụng để thêm một lớp bảo mật bổ sung. Việc bật tùy chọn "Cần bằng chứng khóa bí mật của ứng dụng" sẽ đảm bảo rằng các lệnh gọi API chỉ được thực hiện từ mã phía máy chủ. Bạn sẽ phải cung cấp bằng chứng khóa bí mật của ứng dụng sắp hết hạn cùng với mã truy cập khi thực hiện lệnh gọi API.

Để tạo bằng chứng khóa bí mật của ứng dụng sắp hết hạn, bạn sẽ cần ghép nối mã với nhãn thời gian unix, được phân tách bằng dấu gạch đứng |, sau đó tạo hàm băm SHA-256 của chuỗi ghép nối, dùng khóa bí mật của ứng dụng làm khóa. Sau đây là một ví dụ trong PHP:

$appsecret_proof = hash_hmac('sha256', $access_token.'|'.time(), $app_secret); 

Để thực hiện các lệnh gọi API có bằng chứng khóa bí mật của ứng dụng, hãy chuyển hàm băm đã tạo qua thông số appsecret_proof, với appsecret_time được đặt thành nhãn thời gian mà bạn đã dùng khi băm khóa bí mật của ứng dụng, cùng với mã truy cập.

GET https://graph.facebook.com/v2.9/community/groups?
&access_token={access-token}
&appsecret_proof={appsecret_proof}
&appsecret_time={appsecret_time}

Khám phá chức năng API qua Postman

Postman là công cụ được sử dụng rộng rãi để làm việc với các API web. Bạn có thể thấy thuận tiện khi khám phá API Workplace bằng Postman, nhưng thông số $appsecret_proof có chút phức tạp - vì giá trị này phải được tính toán và sẽ hết hạn sau 5 phút. Mọi việc sẽ trở nên đơn giản hơn nếu Postman có thể tạo ra giá trị vào thời điểm yêu cầu. Trên thực tế, Postman có thể làm vậy bằng cách sử dụng Tập lệnh trước khi yêu cầu và tính năng Thông số. Bạn có thể dùng tập lệnh này làm điểm bắt đầu:

// Add to Postman's Pre-request Script Tab
var access_token = "replace-me";
var app_secret = "replace-me";
var time = (new Date().getTime()/1000|0);
postman.setEnvironmentVariable("access_token", access_token)
postman.setEnvironmentVariable("appsecret_time", time);
postman.setEnvironmentVariable("appsecret_proof", CryptoJS.HmacSHA256(access_token + '|' + time, app_secret));

1) Tạo một môi trường hoạt động (không có môi trường nào theo mặc định), sau đó 2) thêm 3 thông số này, được tính toán bằng tập lệnh trước khi yêu cầu của bạn.