Vai trò và phân quyền

Trang này giải thích ai thấy gì trong trang quản trị: tổ chức có sẵn những vai trò nào, đọc và sửa một vai trò ra sao, và vì sao một người "không thấy màn hình X". Cách gán vai trò cho từng người nằm ở Người dùng và nhóm.

Một dòng tóm tắt

/admin > nhóm Quản lý người dùng > Vai trò (/admin/shield/roles). Một người vào được trang quản trị khi có panel_user (hoặc super_admin); vào rồi thấy gì là do vai trò nghiệp vụ của họ và do các module tổ chức đang bật.

Ba lớp quyết định một người thấy gì

1. Cửa vào. Trang quản trị /admin và trang giảng viên /trainer chỉ mở cho người mang vai trò super_admin hoặc panel_user; riêng /trainer còn đòi người đó đang được phân công dạy. Thiếu cả hai thì đăng nhập xong bị chặn ngay, dù vai trò nghiệp vụ có nhiều quyền đến đâu. (Trang /manager cho quản lý trực tiếp và trang /teacher cho giáo viên K12 tự gác theo quan hệ phụ trách, không cần panel_user.)
2. Quyền của vai trò. Mỗi màn hình, nút, khối cài đặt, widget đòi một quyền. Người có nhiều vai trò thì được cộng quyền của tất cả.
3. Module. Module bị tắt cho tổ chức thì mọi màn hình của nó biến mất, kể cả với super_admin, và quyền của module đó cũng không hiện ở trang sửa vai trò.

Vai trò có sẵn

Khi tổ chức được tạo, hệ thống dựng sẵn một bộ vai trò theo mô hình tổ chức đã chọn.

Mọi tổ chức đều có:

Vai trò	Dành cho
super_admin	Toàn quyền, kể cả những thứ admin bị chặn
admin	Quản trị viên: mọi quyền trừ sửa khối Thương hiệu & trang chủ (tên, logo, trang chủ, mã chèn thêm)
panel_user	Không có quyền nào. Chỉ là vé vào trang quản trị, luôn gán kèm một vai trò nghiệp vụ
subscriber	Người học. Không vào trang quản trị
course_manager	Người soạn khoá học: khoá, hoạt động, danh mục, thẻ, đề thi, lộ trình, thư viện media, mini-game, mẫu chứng chỉ, các khối AI soạn nội dung
writer	Biên tập viên website: bài viết, trang, danh mục (tạo, sửa), media, kho tài nguyên

Thêm theo mô hình tổ chức:

Mô hình	Vai trò thêm
Trung tâm đào tạo	training_manager, trainer, teaching_assistant, marketer, sales, finance
Nền tảng học online	marketer, sales, finance
Doanh nghiệp (đào tạo nội bộ)	hr_admin, training_manager, trainer, teaching_assistant
Trường phổ thông (K12)	academic_officer, homeroom_teacher, subject_teacher, guardian, school_nurse, librarian, facility_manager, boarding_manager. Xem tài liệu Trường phổ thông

Tóm tắt các vai trò nghiệp vụ (không thuộc K12):

Vai trò	Có gì (tóm tắt)
hr_admin (nhân sự / đào tạo doanh nghiệp)	đợt cấp chứng chỉ (soạn + duyệt); Cơ cấu tổ chức, hồ sơ nhân viên, gán đào tạo, quy định, lộ trình, đào tạo bên ngoài, năng lực theo vị trí; xem nhật ký kiểm toán; xem người dùng, nhóm, khoá học; Trung tâm báo cáo, Bảng điều hành; khảo sát; kho tri thức; kho lưu trữ
training_manager (quản lý đào tạo)	đợt cấp chứng chỉ (soạn + duyệt); Chương trình, lớp, buổi học, nhật ký lớp, điểm, ghi danh, học viên, đơn từ, thực tập, sự kiện, khảo sát, phiên trực tiếp, chứng chỉ, khung năng lực, lịch gửi báo cáo, Trung tâm báo cáo, Bảng điều hành; xem người dùng, nhóm, khoá học; Hồ sơ học tập 360°
trainer (giảng viên)	Xem lớp và học viên, điểm danh, chấm bài, điểm, ghi chú học viên, phiên trực tiếp của chính mình, đơn từ của học viên
teaching_assistant (trợ giảng)	Xem lớp, buổi học, nhật ký lớp; điểm danh; xem học viên, khoá học
marketer	Website (trang, bài viết, danh mục, menu, media), biểu mẫu liên hệ và phản hồi, lead (xem, sửa, xuất, cấu hình; không chia lead và không xử lý lead), phễu khảo sát, trang lộ trình cho khách, chiến dịch email, tập đối tượng, nguồn tài khoản, affiliate, chuyển đổi quảng cáo, thu hồi đơn bỏ dở, chuyển đổi học thử, sự kiện, mini-game, Trung tâm báo cáo, Bảng điều hành. Không có đơn hàng, voucher, Zalo
sales	Toàn quyền lead (kể cả chia và xử lý lead, xuất, cấu hình), Hộp thư Zalo và trả lời, xem, tạo và sửa đơn hàng; xem sản phẩm, giao dịch, voucher, gói và thuê bao; ghi danh (xem, tạo); phản hồi biểu mẫu; xem người dùng; Trung tâm báo cáo, Bảng điều hành
finance	Đơn hàng, giao dịch, voucher, sản phẩm, cổng thanh toán, gói thuê bao (toàn quyền); duyệt và thu hồi hoa hồng affiliate; xem ví và gói credits AI; widget doanh thu. Không xem tab Gói dịch vụ của tổ chức

Mọi vai trò nghiệp vụ ở trên đều không xoá vĩnh viễn được bản ghi trong thùng rác. Chỉ admin và super_admin làm được việc đó.

Bật thêm module không tự sinh vai trò

Vai trò được dựng theo mô hình lúc tạo tổ chức. Tổ chức tạo theo mô hình K12 rồi bật thêm module đào tạo sẽ không có sẵn trainer. Khi đó tự tạo vai trò (xem dưới), hoặc nhờ đội hỗ trợ nền tảng bổ sung.

Mở và đọc một vai trò

Quản lý người dùng > Vai trò. Cần quyền view_any_role để xem danh sách, update_role để sửa.

Trang sửa vai trò có các tab theo loại quyền: theo màn hình quản lý dữ liệu (resource), theo trang, theo widget, và quyền tuỳ chỉnh.

• Ở tab màn hình quản lý dữ liệu, các thẻ được gom theo nhóm menu đúng như sidebar (ví dụ Quản lý người dùng, Thương mại điện tử). Mỗi nhóm mặc định đang gập, kèm dòng tóm tắt N mục · M quyền. Mỗi nhóm có hai nút Chọn cả nhóm và Bỏ chọn cả nhóm.
• Màn hình nào không khai nhóm menu thì nằm trong nhóm Khác.
• Chỉ quyền của module tổ chức đang bật mới hiện. Quyền của module đang tắt không hiện, và không bị mất khi bạn bấm Lưu: bật module trở lại thì vai trò vẫn còn nguyên quyền cũ.

Đọc tên quyền

Mẫu tên	Nghĩa	Ví dụ
view_any_<đối tượng>	Mở được danh sách	view_any_lead
view_<đối tượng>, update_<đối tượng>, delete_<đối tượng>	Thao tác trên bản ghi của chính mình (với hầu hết màn hình)	update_live_session
update_any_…, delete_any_…	Thao tác trên mọi bản ghi	update_any_user
create_<đối tượng>	Tạo mới	create_group
restore_…, force_delete_…	Khôi phục và xoá vĩnh viễn ở thùng rác (với màn hình có thùng rác)
Động từ riêng	Việc đặc thù của màn hình đó	import_user, manage_roles_user, host_live_session, export_lead
configure_<khối>	Sửa một khối trong trang Cài đặt	configure_accounts, configure_leads
page_<Tên>	Mở một trang riêng (báo cáo, bảng điều khiển)	page_ReportCenter, page_ExecutiveOverview
widget_<Tên>	Thấy một widget trên dashboard	widget_OnlineUsersWidget

"Của chính mình" không phải lúc nào cũng giống nhau

Quy ước verb trần = của mình, _any_ = của mọi người là quy ước chung, nhưng từng màn hình có thể diễn giải khác. Trang tài liệu của từng tính năng ghi rõ bảng quyền của nó; đọc ở đó trước khi cấp. Ví dụ: với tài khoản người dùng, delete_user cho xoá tài khoản người khác (không xoá được chính mình).

Quyền configure_* cấp từng khối cài đặt riêng: một người có configure_leads chỉ thấy khối Lead & tư vấn trong trang Cài đặt, không thấy các khối khác.

Sửa một vai trò có sẵn

Mở vai trò, tick hoặc bỏ tick, Lưu. Hiệu lực ngay ở lần tải trang kế tiếp của người mang vai trò đó.

Vai trò có sẵn có thể bị đặt lại theo mẫu

Bộ vai trò có sẵn được dựng từ một mẫu của hệ thống. Khi đội vận hành nền tảng chạy lại bước dựng vai trò cho tổ chức (ví dụ khi bổ sung vai trò còn thiếu), quyền của các vai trò có sẵn được đặt lại đúng theo mẫu, và những chỉnh sửa tay trên chúng có thể mất. Vai trò bạn tự tạo thì không bị đụng tới.

Cần một bộ quyền khác hẳn mẫu và muốn giữ lâu dài: tạo vai trò mới thay vì sửa vai trò có sẵn.

Gán và gỡ vai trò cho một người được ghi vào Nhật ký kiểm toán.

Tạo vai trò mới

Vai trò > tạo mới (cần create_role). Đặt tên, tick quyền, Lưu. Rồi gán vai trò đó cho người cần, kèm panel_user nếu họ cần vào trang quản trị.

Ví dụ hay gặp:

Nhu cầu	Gợi ý
Một người chỉ quản lý nhóm, không đụng tài khoản	Các quyền của Nhóm (view_any_group, create_group, update_any_group…)
Trợ lý chỉ xem báo cáo	page_ReportCenter, page_ExecutiveOverview và các quyền xem của dữ liệu mà báo cáo dùng
Người được giao cấu hình một kênh	Đúng một quyền configure_<khối> của khối đó

Tính năng mới không tự cấp cho vai trò bạn tự tạo

Khi hệ thống ra tính năng mới, quyền mới xuất hiện trên trang sửa vai trò nhưng không tự được tick cho vai trò bạn tự tạo. Người mang vai trò đó sẽ không thấy tính năng mới cho tới khi bạn tick.

Quyền nhạy cảm

• manage_roles_user: cho phép dùng cột Vai trò khi nhập Excel, tức là gán vai trò hàng loạt.
• Quyền tạo và sửa người dùng (create_user, update_any_user) cho phép tick vai trò trên form người dùng, và ô vai trò liệt kê cả super_admin. Thực chất đây là quyền nâng quyền: người có nó có thể biến mình hoặc người khác thành super_admin. Chỉ cấp cho người bạn tin như quản trị viên.
• Quyền sửa vai trò (update_role, create_role) là quyền tự nâng quyền: ai có nó có thể tự cấp cho mình mọi thứ.

Không thấy màn hình X

Đi lần lượt:

1. Đăng nhập xong bị chặn ở cửa? Thiếu panel_user. Xem Tạo tài khoản.
2. Không thấy cả nhóm menu? Module tương ứng có thể đang tắt cho tổ chức. Danh sách module do đội vận hành nền tảng bật; liên hệ họ.
3. Thấy mục menu nhưng mở ra báo không có quyền, hoặc không thấy mục đó? Thiếu view_any_<đối tượng> hoặc page_<Tên>. Mở vai trò của người đó và tìm trong nhóm menu tương ứng.
4. Không thấy một khối trong Cài đặt? Thiếu configure_<khối>, hoặc module sở hữu khối đó đang tắt.
5. Dashboard thiếu widget? Thiếu widget_<Tên> của widget đó.
6. admin không sửa được Thương hiệu & trang chủ? Đúng như thiết kế: chỉ super_admin sửa được khối đó.

Xem thêm: Người dùng và nhóm, Tài khoản, Nhật ký kiểm toán.