Connect ID.

建立与数据库的连接ID。

数据库安装和配置。

Access ID.

访问数据库的ID。

数据库安装和配置。

用户配置文件

(数据库)

定义数据库中的访问级别。

数据库安装和配置。

PTWEBSERVER

用于在web服务器启动后初始登录到PeopleSoft Pure Internet Architecture (PIA)的用户。

数据库安装和配置。

Domain connection.

用于加强web服务器和应用服务器之间的连接。

PIA 安装。

Web server.

用于与web服务器通信。

PIA 安装。

Integration gateway.

用于访问集成网关属性文件

PIA 安装。

1.1.1.1

Can Start Application Server?

勾选，启用此权限列表中的用户配置文件来启动PeopleSoft应用程序服务器。

1.1.1.2

Allow Password to be Emailed?

不勾选，不允许用户通过电子邮件接受被遗忘的密码。

1.1.1.3

Never Time-Out

不勾选，不允许永不超时的登入

1.1.1.4

Specific Time-out (minutes)

勾选，设置超时时间20min

注意：因为超时限制也是在web服务器级别控制的，所以您还需要更改web服务器的超时值。

1.1.1.2.1

Mobile Page Permissions

点击此处可以授予对移动应用程序页面的访问权限。

注意：PeopleSoft移动客户端是历史产品，此处仅用于向后兼容。

1.1.1.2.2

Edit Components

点击此处以授予对特定页面的访问权限，用于管理用户可以访问的页面，请基于权限最小化原则进行配置。

1.1.3.1

Application Designer Access

Tools Permission

• Build/Data Admin 控制对构建和工具、数据管理菜单的访问权限。建议选择 No access

• Change Control 只有在启用更改控制时，更改控制访问级别才有效。建议选择 Restricted access

• Language Translations 。建议选择 No access

• PeopleCode Debugger 。建议选择 No access

• SQL Editor 限制开发人员修改应用程序中的SQL。建议选择 No access

• Upgrade 。建议选择 No access

1.1.3.2

Application Designer Access

Miscellaneous Permissions

• Access Profiles, 建议选择Read Only

• Color, 不影响安全，根据需要选择

• Field Format, 不影响安全，根据需要选择

• Style, 不影响安全，根据需要选择

• Tool Bar.不影响安全，根据需要选择

1.1.3.3

Data Mover Access

建议勾选

1.1.3.4

Definition Security Access

建议勾选

1.1.3.5

Query Access

建议勾选

1.1.3.6

Performance Monitor PPMI Access

建议勾选

1.1.3.7

People Tools Data Set Access

不建议勾选

1.1.3.8

Real-time Event Notification Permissions

实时事件通知权限，根据具体需要配置即可，请遵循权限最小化原则

1.1.3.9

Data Archival

数据归档，建议全选。

1.1.4.1

Process Group Permission

此页面列出与权限列表关联的流程组。进程组是使用PeopleSoft进程调度器创建的进程定义的集合。

通常，您根据组织内的工作组对流程定义进行分组，并且该工作组通常具有与之关联的特定角色。无论您如何组织流程定义，都必须将流程组分配给权限列表。

用户只能运行属于分配给其角色的进程组的进程。例如，您可能有一组与您的人力资源部门相关的流程定义，另一组与您的制造部门相关的流程定义。

配置请遵循权限最小化原则。

1.1.4.2

Process Profile Permission

• Server Destinations

  • File 指定文件输出的目录，建议配置在普通权限账号的目录下

  • Printer 打印机配置，不建议配置

• Allow Process Request

  • 这些选项适用于使用PeopleSoft进程监视器。您可以根据启动(并拥有)某个流程的用户来限制允许哪些用户查看或更新给定的流程

  • Owner:对于已分配此进程配置文件权限列表的用户启动的进程，只有启动该进程的用户才能查看它。建议选择，请遵循权限最小化原则。

    All:所有用户都可以查看由分配了此流程配置文件权限列表的用户启动的流程。不建议选择。

    None:没有人可以查看由分配了此进程配置文件权限列表的用户启动的进程。建议选择，请遵循权限最小化原则。

1.1.4.3

Override Output Destination

不建议勾选

1.1.4.4

Override Server Parameters

不建议勾选

1.1.4.5

Enable Recurrence Selection

根据实际情况勾选，默认不勾选

1.1.5

Sign-on Times

此处可以根据实际情况进行配置，如不允许在系统升级/维护/更新期间登陆。

1.1.6

Component Interface Permissions

• Method Access建议选择Full Access，需要授权才可访问

• 不建议选择Full Access (All)

1.1.7

Web Service Permissions

• Service Operation web服务执行的每个操作都出现在服务操作列表中。

• Access 根据具体需要配置，不建议选择Full Access (All)

1.1.8

Personalization Permissions

根据特殊需求配置，如无需求该项建议不配置。

1.1.9

Defining Query Profiles

• PeopleSoft Query Use

  • Only Allowed to run Queries，建议勾选

  • Allow creation of Public Queries，不建议勾选

  • Allow creation of Workflow Queries，不建议勾选

  • Maximum Rows Fetched，建议查询最大值5000

• PeopleSoft Query Output

  • Run，建议勾选

  • Run to Excel，谨慎选择，可能造成数据泄漏，当勾选时请结合用户其他访问权限一起使用

• Advanced SQL Options

  • 根据需要进行勾选，尽量限制在可用范围内即可，以免缺乏经验的用户生成复杂的查询而影响系统性能

1.1.10

Mass Change

• 批量修改模板安全管控

  • 用户可以访问哪些批量修改模板来创建新的定义

  • 用户是否可以在线运行批量修改模板的定义

  • 用户是否可以打开、访问、执行批量修改模板

1.1.11

Data Migration

• 强烈建议配置，该项定义用户可以在数据迁移工作台中访问的记录，以及复制和比较数据的权限页面，您可以在其中定义用户可以执行的复制和比较操作。

1.1.12

Search Groups

• 强烈建议配置，该项通过搜索组分配给权限列表

1.1.13

Definition Security

• Display Only 建议勾选

• Definition Permissions

  • 授予对开发人员使用PeopleSoft应用程序设计器创建的定义的访问权。使用PeopleSoft应用程序设计器创建的每种类型的定义都将出现在定义权限列表中。

  • 不建议选择Full Access (ALL),

1.1.14

ACM Templates

• Display Only，建议勾选

1.1.15

Permission List Queries

• 权限列表查询提供有关权限的详细信息，例如与权限列表关联的用户id和角色。可用的查询被记录在页面上。

1.2.1

Permission List

• 用户的访问权限是由应用于该用户所属的每个角色的所有权限列表的总和决定的，请遵循权限最小化原则

1.2.2

Dynamic Members

• 动态用户的规则是在PeopleSoft查询、PeopleCode或LDAP目录中定义的，规则可以使用PeopleSoft查询和PeopleCode的组合，也可以使用PeopleSoft查询和LDAP的组合。配置请遵循权限最小化原则。

1.2.3

Workflow Routing Options

• Allow notification，根据具体情况勾选

• Allow Recipient Lookup，不建议勾选

• Use Query to Route Workflow，根据具体情况勾选

1.3.1

WWW_Authentication

web客户端静态密码验证

非常不建议使用

1.3.2

LDAP_Authentication

接入LDAP进行身份验证，系统将用户提交的凭据传递到ldap目录以执行身份验证

建议，并且建议使用SSL LDAP

1.3.3

SSO_Authentication

系统对用户的单点登录令牌进行身份验证

建议，可以通过和LDAP_ProfileSynch来自动生成配置文件，更多单点登陆验证知识可点击。

1.3.4

LDAP_ProfileSynch

适用于需要使用存储在LDAP目录中的数据创建或更新PeopleSoft用户配置文件的情况

建议和SSO_Authentication结合使用

1.4.1

User Profiles General

• Account Locked Out? 勾选后该用户将无法登陆，建议在安全事件应急中使用

• Password and Confirm Password 请根据公司密码强度要求设置

• Password Expired? 如果使用的是PS系统的密码认证，建议配置该选项，要求用户在首次登录时修改密码

• Enable Expert Entry 不建议勾选

• Allow Switch User 不建议勾选

1.4.2

User Profiles Roles

• Dynamic 该选项启用后意味着可以将角色赋予给动态用户，对于系统已有的角色。不建议勾选

2.1

Access Log Queries

• PS提供三种审计日志来追溯用户的登陆登出操作，分别是以用户为单位的活动日志、以天为单位的活动日志以及当前正登陆的用户日志

• 审计日志存放在数据库PSACCESSLOG表中，并且删除该表不会对正常业务产生任何影响，建议将该表的权限收敛到最高级别账号管理

3.1

PeopleTools 8.54 之后的版本支持数字签名应用于PDF输出

建议升级PS版本

1.1.1.1

PeopleTools > Security > Permissions & Roles > Permission Lists and click the General tab

Can Start Application Server?

勾选，启用此权限列表中的用户配置文件来启动PeopleSoft应用程序服务器。

1.1.1.2

Allow Password to be Emailed?

不勾选，不允许用户通过电子邮件接受被遗忘的密码。

1.1.1.3

Never Time-Out

不勾选，不允许永不超时的登入

1.1.1.4

Specific Time-out (minutes)

勾选，设置超时时间20min

注意：因为超时限制也是在web服务器级别控制的，所以您还需要更改web服务器的超时值。

1.1.1.2.1

PeopleTools > Security > Permissions & Roles > Permission Lists and click the Pages tab

Mobile Page Permissions

点击此处可以授予对移动应用程序页面的访问权限。

注意：PeopleSoft移动客户端是历史产品，此处仅用于向后兼容。

1.1.1.2.2

Edit Components

点击此处以授予对特定页面的访问权限，用于管理用户可以访问的页面，请基于权限最小化原则进行配置。

1.1.3.1

PeopleTools > Security > Permissions & Roles > Permission Lists and click the PeopleTools tab

Application Designer Access

Tools Permission

• Build/Data Admin 控制对构建和工具、数据管理菜单的访问权限。建议选择 No access

• Change Control 只有在启用更改控制时，更改控制访问级别才有效。建议选择 Restricted access

• Language Translations 。建议选择 No access

• PeopleCode Debugger 。建议选择 No access

• SQL Editor 限制开发人员修改应用程序中的SQL。建议选择 No access

• Upgrade 。建议选择 No access

1.1.3.2

Application Designer Access

Miscellaneous Permissions

• Access Profiles, 建议选择Read Only

• Color, 不影响安全，根据需要选择

• Field Format, 不影响安全，根据需要选择

• Style, 不影响安全，根据需要选择

• Tool Bar.不影响安全，根据需要选择

1.1.3.3

Data Mover Access

建议勾选

1.1.3.4

Definition Security Access

建议勾选

1.1.3.5

Query Access

建议勾选

1.1.3.6

Performance Monitor PPMI Access

建议勾选

1.1.3.7

People Tools Data Set Access

不建议勾选

1.1.3.8

Real-time Event Notification Permissions

实时事件通知权限，根据具体需要配置即可，请遵循权限最小化原则

1.1.3.9

Data Archival

数据归档，建议全选。

1.1.4.1

Process Group Permissions link on the Permission Lists - Process page

Process Group Permission

此页面列出与权限列表关联的流程组。进程组是使用PeopleSoft进程调度器创建的进程定义的集合。

通常，您根据组织内的工作组对流程定义进行分组，并且该工作组通常具有与之关联的特定角色。无论您如何组织流程定义，都必须将流程组分配给权限列表。

用户只能运行属于分配给其角色的进程组的进程。例如，您可能有一组与您的人力资源部门相关的流程定义，另一组与您的制造部门相关的流程定义。

配置请遵循权限最小化原则。

1.1.4.2

Process Profile Permission

• Server Destinations

  • File 指定文件输出的目录，建议配置在普通权限账号的目录下

  • Printer 打印机配置，不建议配置

• Allow Process Request

  • 这些选项适用于使用PeopleSoft进程监视器。您可以根据启动(并拥有)某个流程的用户来限制允许哪些用户查看或更新给定的流程

  • Owner:对于已分配此进程配置文件权限列表的用户启动的进程，只有启动该进程的用户才能查看它。建议选择，请遵循权限最小化原则。

    All:所有用户都可以查看由分配了此流程配置文件权限列表的用户启动的流程。不建议选择。

    None:没有人可以查看由分配了此进程配置文件权限列表的用户启动的进程。建议选择，请遵循权限最小化原则。

1.1.4.3

Override Output Destination

不建议勾选

1.1.4.4

Override Server Parameters

不建议勾选

1.1.4.5

Enable Recurrence Selection

根据实际情况勾选，默认不勾选

1.1.5

PeopleTools > Security > Permissions & Roles > Permission Lists and click the Sign-on Times tab

Sign-on Times

此处可以根据实际情况进行配置，如不允许在系统升级/维护/更新期间登陆。

1.1.6

PeopleTools > Security > Permissions & Roles > Permission Lists and click the Component Interfaces

Component Interface Permissions

• Method Access建议选择Full Access，需要授权才可访问

• 不建议选择Full Access (All)

1.1.7

PeopleTools > Security > Permissions & Roles > Permission Lists and click the Web Services

Web Service Permissions

• Service Operation web服务执行的每个操作都出现在服务操作列表中。

• Access 根据具体需要配置，不建议选择Full Access (All)

1.1.8

PeopleTools > Security > Permissions & Roles > Permission Lists and click the Personalizations tab

Personalization Permissions

根据特殊需求配置，如无需求该项建议不配置。

1.1.9

PeopleTools > Security > Permissions & Roles > Permission Lists and click the Query tab

Defining Query Profiles

• PeopleSoft Query Use

  • Only Allowed to run Queries，建议勾选

  • Allow creation of Public Queries，不建议勾选

  • Allow creation of Workflow Queries，不建议勾选

  • Maximum Rows Fetched，建议查询最大值5000

• PeopleSoft Query Output

  • Run，建议勾选

  • Run to Excel，谨慎选择，可能造成数据泄漏，当勾选时请结合用户其他访问权限一起使用

• Advanced SQL Options

  • 根据需要进行勾选，尽量限制在可用范围内即可，以免缺乏经验的用户生成复杂的查询而影响系统性能

1.1.10

PeopleTools > Security > Permissions & Roles > Permission Listsand click the Mass Change tab

Mass Change

• 批量修改模板安全管控

  • 用户可以访问哪些批量修改模板来创建新的定义

  • 用户是否可以在线运行批量修改模板的定义

  • 用户是否可以打开、访问、执行批量修改模板

1.1.11

PeopleTools > Security > Permissions & Roles > Permission Lists and click the Data Migration tab

Data Migration

• 强烈建议配置，该项定义用户可以在数据迁移工作台中访问的记录，以及复制和比较数据的权限页面，您可以在其中定义用户可以执行的复制和比较操作。

1.1.12

PeopleTools > Security > Permissions & Roles > Permission Lists and click the Search Groups tab

Search Groups

• 强烈建议配置，该项通过搜索组分配给权限列表

1.1.13

PeopleTools, Security, Permissions & Roles, Permissions and click the Definition Security tab

Definition Security

• Display Only 建议勾选

• Definition Permissions

  • 授予对开发人员使用PeopleSoft应用程序设计器创建的定义的访问权。使用PeopleSoft应用程序设计器创建的每种类型的定义都将出现在定义权限列表中。

  • 不建议选择Full Access (ALL),

1.1.14

PeopleTools > Security, > Permission & Roles > Permission Lists and click the ACM Templates tab

ACM Templates

• Display Only，建议勾选

1.1.15

PeopleTools > Security > Permissions & Roles > Permission Lists and click the Permission List Queries tabPeopleTools > Security > Permissions & Roles > Permission Lists and click the Permission List Queries tab

Permission List Queries

• 权限列表查询提供有关权限的详细信息，例如与权限列表关联的用户id和角色。可用的查询被记录在页面上。

1.2.1

PeopleTools > Security > Permissions & Roles > Roles and click the Permission Lists tab

Permission List

• 用户的访问权限是由应用于该用户所属的每个角色的所有权限列表的总和决定的，请遵循权限最小化原则

1.2.2

PeopleTools > Security > Permissions & Roles > Roles and click the Dynamic Members tab

Dynamic Members

• 动态用户的规则是在PeopleSoft查询、PeopleCode或LDAP目录中定义的，规则可以使用PeopleSoft查询和PeopleCode的组合，也可以使用PeopleSoft查询和LDAP的组合。配置请遵循权限最小化原则。

1.2.3

PeopleTools > Security > Permissions & Roles > Roles and click the Workflow tab

Workflow Routing Options

• Allow notification，根据具体情况勾选

• Allow Recipient Lookup，不建议勾选

• Use Query to Route Workflow，根据具体情况勾选

1.2.4

职责分离

在权限最小化原则中，职责分离用于对高权限访问的管控，具体而言是将权限的审批和赋予分别交予不同的人负责，当任何一方出现与另一方数据不对等时，则权限存在溢出风险。在PS的系统中，建议设置两种用户角色，一种是执行角色，无数据查看权限，仅有用户管理权限，一种是审计角色，无数据及用户权限，仅有日志查看权限。

1.3

用户登陆认证方式

建议采用SSO_Authentication，并配合LDAP_ProfileSynch来自动生成配置文件，更多单点登陆验证知识可点击。

1.4.1

PeopleTools > Security > User Profiles > User Profiles and click the General tab

User Profiles General

• Account Locked Out? 勾选后该用户将无法登陆，建议在安全事件应急中使用

• Password and Confirm Password 请根据公司密码强度要求设置

• Password Expired? 如果使用的是PS系统的密码认证，建议配置该选项，要求用户在首次登录时修改密码

• Enable Expert Entry 不建议勾选

• Allow Switch User 不建议勾选

1.4.2

PeopleTools > Security > User Profiles > User Profiles and click the Roles tab

User Profiles Roles

• Dynamic 该选项启用后意味着可以将角色赋予给动态用户，对于系统已有的角色。不建议勾选

2.1

PeopleTools > Security > Common Queries and click the Access Log Queries link on the Review Security Information page

Access Log Queries

• PS提供三种审计日志来追溯用户的登陆登出操作，分别是以用户为单位的活动日志、以天为单位的活动日志以及当前正登陆的用户日志

• 审计日志存放在数据库PSACCESSLOG表中，并且删除该表不会对正常业务产生任何影响，建议将该表的权限收敛到最高级别账号管理

2.2

web访问日志收集

PS自身的日志系统并不支持记录详细的web访问日志，此时需要通过收集nginx的access.log的方式进行必要的安全监控及审计。