Учётные записи и роли на Mindray Resona R9: администратор, оператор, права и LDAP

Учётные записи на Mindray Resona R9 нужны, чтобы данные пациентов были доступны только тем, кому положено: после включения контроля доступа каждый врач входит под своим именем и видит только то, что разрешено его правами. Ниже порядок действий по руководству оператора: роли, добавление пользователей, пароли, блокировка, LDAP и параметр «Enable Emergency User».

Описание дано по руководству серии R9 и Resona 7 V3.0 (редакция V4.0 на русском, с пометкой «not for Russia»). В российской комплектации названия кнопок и состав функций могут отличаться. Общие вопросы работы с меню собраны в статье про системные настройки Resona R9.

Что нужно подготовить

Решить, кто будет администратором. По умолчанию назначается только один системный администратор.
Составить список врачей и определить, какие модули нужны каждому: оператор получает доступ к модулю только при назначенном праве.
Сделать резервную копию пользовательских и системных настроек: по руководству они хранятся на жёстком диске.
Для входа через LDAP заранее получить у ИТ-службы клиники тип каталога (AD или LDAP), адрес сервера, для LDAP значение полного имени корня и сертификат SSL, если он нужен.

Учётные записи пользователей: администратор и оператор

В русской редакции руководства описаны два типа пользователей.

Администратор. Имеет доступ ко всем модулям и видит все данные пациентов: сведения, изображения, отчёты. Добавляет и удаляет операторов, меняет пароли всех пользователей, задаёт правила паролей и настройки LDAP.
Оператор. Работает только с модулями, на которые ему назначены права, и видит только исследования, сохранённые и обработанные им самим. Пароль может менять только свой.

На практике это значит, что исследования коллеги оператору недоступны, а для общего обзора архива нужна учётная запись администратора. В англоязычной редакции V3.0 описаны три типа: системный администратор, администратор и оператор. Какая схема действует на аппарате, зависит от версии программного обеспечения: стоит открыть окно добавления пользователя и посмотреть, есть ли в нём выбор типа.

Как включить контроль доступа и добавить пользователя

Окно настроек открывается клавишей F10 Setup, раздел «Система» открывается автоматически, нужная вкладка называется «Контроль доступа». Настраивать её может только администратор.

Установить флажок «Включить контроль уч. записей». Пока он снят, данные открыты без авторизации, а правила паролей, LDAP и смена пароля недоступны.
Войти администратором. Заводской пароль администратора в руководстве указан как пустой, его можно изменить.
Нажать [Добавить], ввести имя пользователя, пароль и подтверждение.
В списке прав отметить нужные модули и снять отметки с лишних.
Нажать [Готово]: пользователь и его права появятся в списке.
Закрыть настройки с сохранением ([Save] по руководству; на русском интерфейсе название может отличаться).

Права меняют кнопкой [Edit Privilege] с подтверждением через [Готово], пользователя удаляют кнопкой [Удалить]. Обе операции доступны только администратору при включённом контроле доступа.

Экстренный пользователь

Флажок «Enable Emergency User» в том же разделе позволяет администратору менять права экстренных пользователей; если он снят, такой возможности нет. Как экстренный пользователь входит в систему и чем его запись отличается от обычной, руководство не поясняет. До включения параметра стоит уточнить порядок у ответственного за аппарат и закрепить его в регламенте клиники.

Пароли, блокировка и вход через LDAP

Руководство указывает, что пароль учётной записи нужно менять раз в 3 месяца. Администратор меняет пароли всех пользователей через [Смена пароля]. Пользователь может сменить свой пароль сам: значок в правом нижнем углу экрана открывает окно «Управление сеансом», в нём есть кнопка [Смена пароля], затем вводятся старый пароль, новый и подтверждение.

Правила паролей задаются кнопкой [Password Policy Config]: порог неверных попыток (Lockout Threshold), время их учёта и длительность блокировки, сброс всех блокировок (Reset all lockout) и надёжные пароли (Enable strong password) длиной от 6 до 64 символов. В примере руководства при пороге 5 и времени 60 минут учётная запись блокируется после пяти неверных вводов в течение часа и открывается через 60 минут, остальные пользователи входят как обычно.

Для единого каталога пользователей служит кнопка [LDAP Config]. Порядок такой: выбрать тип AD или LDAP, ввести адрес сервера (для LDAP ещё и полное имя корня, при необходимости флажок SSL и сертификаты), проверить сервер кнопкой [Test LDAP Server], добавить пользователей и права в блоке членства и проверить вход кнопкой [Logon Test]. Параметр «Days to keep cached password» задаёт, сколько дней пользователь может входить без связи с сервером: пустое значение означает постоянное хранение, 0 означает, что пароли не сохраняются. Кнопка [Очистить кэш] удаляет сохранённые данные аутентификации.

Вход, смена пользователя и блокировка на рабочем месте

При настроенном контроле доступа данные открываются только после входа: выбирают тип входа (локальный или LDAP) и имя пользователя, вводят пароль и нажимают [Вход]. После перезапуска или выхода из режима сна вход выполняется заново, подробнее об этом в статье про включение, вход в систему и режим ожидания Resona R9. Для передачи аппарата коллеге нажимают значок в правом нижнем углу и выбирают [Смена польз.]. Пункт [Блокир. маш.] блокирует аппарат до повторного входа, а блок «Auto Lock Machine» включает блокировку при простое после заданного времени ожидания.

Параметры учётных записей: что делают и когда менять

Параметр или шаг	Что делает	Когда менять / на что обратить внимание
Включить контроль уч. записей	Включает авторизацию, открывает правила паролей и LDAP	При вводе в работу и при нескольких пользователях; без флажка данные открыты
Enable Emergency User	Позволяет менять права экстренных пользователей	После согласования порядка в клинике; детали входа в руководстве не раскрыты
[Добавить] и список прав	Создаёт пользователя и назначает модули	При приёме нового врача; права выдавать по необходимости
[Смена пароля]	Меняет пароль учётной записи	Раз в 3 месяца по руководству; пароль администратора по умолчанию пустой
Lockout Threshold и Lockout Duration	Ограничивают неверные попытки и задают срок блокировки	Слишком малый порог даёт частые блокировки
Enable strong password	Требует пароли от 6 до 64 символов	Старые записи получат предупреждение, слабый пароль новой записи будет отклонён
[LDAP Config]	Подключает вход через AD или LDAP	При едином каталоге; проверять [Test LDAP Server] и [Logon Test]
Days to keep cached password	Определяет, сколько дней вход возможен без сервера	При нестабильной сети; значение 0 отключает хранение

Что ещё связано с защитой данных

В разделе «Безопасн.» описано шифрование диска: заводской метод по умолчанию и пользовательский с паролем. Если на диске есть данные пациентов, система предложит их стереть, а после [Безопасн. очистка] восстановить данные нельзя, поэтому операцию выполняют только после резервного копирования. Из антивирусов указаны Windows Defender (установлен) и McAfee как дополнительная функция, подробности на странице опции McAfee. Копирование исследований описано в статье про DICOM, архив и экспорт на Resona R9.

Типичные ошибки и как их исправить

Не находятся правила паролей и LDAP. Они работают только при включённом контроле доступа и входе администратором.
Нельзя добавить пользователя или изменить права. Проверить, под какой учётной записью выполнен вход: операции доступны администратору.
Врач заблокирован после неверных вводов. Сработал порог: администратор нажимает [Reset all lockout] или нужно дождаться окончания срока.
Новый пароль отклоняется. При надёжных паролях нужна длина от 6 до 64 символов, замечания указаны в сообщении об ошибке.
Вход через LDAP не проходит. Проверить сеть, адрес сервера, для LDAP полное имя корня, затем выполнить [Test LDAP Server] и [Logon Test].
Забыт пароль администратора. Порядок восстановления в пользовательском руководстве не описан, потребуется обратиться в сервисную службу.
Исследования коллеги не видны. Это ограничение роли оператора, а не сбой.

Что проверить после настройки

Контроль доступа включён, пустой пароль администратора заменён.
У каждого врача своя учётная запись, права проверены в списке пользователей.
Параметр экстренного пользователя включён осознанно.
Задан порог блокировки, при необходимости включены надёжные пароли.
При LDAP выполнены [Test LDAP Server] и [Logon Test] под реальной записью.
Проверены смена пользователя, блокировка аппарата и автоблокировка; резервная копия настроек сделана.

Состав функций и интерфейс зависят от комплектации и версии программного обеспечения. При вводе аппарата в эксплуатацию мы можем помочь настроить роли, права и правила паролей под порядок работы клиники; общие сведения об оборудовании собраны на главной странице сайта.

Частые вопросы

Сколько типов пользователей на Resona R9?

В русской редакции руководства V4.0 описаны два типа: администратор и оператор. В англоязычной редакции V3.0 перечислены три: системный администратор, администратор и оператор. Фактическая схема зависит от версии программного обеспечения.

Что будет, если не включать контроль доступа?

Доступ ко всем данным остаётся открытым без авторизации, а правила паролей, настройка LDAP и смена пароля недоступны. Включение выполняет администратор флажком «Включить контроль уч. записей».

Что делать, если учётная запись заблокирована после неверных вводов пароля?

Дождаться окончания срока блокировки либо попросить администратора нажать [Reset all lockout] в настройках правил паролей. Остальные пользователи в это время работают без ограничений.

Как часто нужно менять пароль?

Руководство указывает, что пароль учётной записи необходимо менять раз в 3 месяца. Администратор может менять пароли всех пользователей, оператор только собственный.