Nhiều đơn vị bắt đầu vận hành mạng lưới sạc bằng một tài khoản quản trị dùng chung. Cách này thuận tiện khi đưa địa điểm đầu tiên vào hoạt động, nhưng rủi ro sẽ xuất hiện khi có người đổi biểu giá nhầm trạm, nhà thầu bảo trì vẫn có thể dừng phiên sạc nhiều tháng sau khi hợp đồng kết thúc, hoặc không ai xác định được người đã điều chỉnh một giao dịch đang bị khiếu nại. Đây là những sự cố thực tế khiến đơn vị vận hành phải tìm đến một hệ thống phân quyền đúng nghĩa. Bài viết này trình bày cách thiết lập hệ thống đó từ sớm.
Phân quyền là vấn đề vận hành, không phải thủ tục IT
Vai trò và phân quyền dễ bị xem như một mục cần đánh dấu trong danh sách tuân thủ và chỉ thiết lập một lần khi khởi tạo hệ thống. Với doanh nghiệp sạc, đây thực chất là một quyết định về thiết kế vận hành, vì màn hình quản trị không phải một công cụ báo cáo - nó phát ra những lệnh tác động đến thiết bị thật và tiền thật. Một màn hình quản trị có thể dừng một phiên sạc mà khách hàng đang trả tiền, mở khóa cáp sạc, đẩy bản cập nhật firmware xuống một loạt trụ sạc, thay đổi mức giá mà mọi tài xế nhìn thấy, và kích hoạt một khoản chi trả cho chủ mặt bằng. Đó là năm hệ quả rất khác nhau, và rất ít người trong một tổ chức nên có khả năng làm cả năm.
Bốn vai trò gần như mọi đơn vị vận hành đều cần
| Vai trò | Thường cần | Thường không nên có |
|---|---|---|
| Vận hành | Tình trạng mạng lưới, sự cố và cảnh báo, reset/mở khóa từ xa, phiếu bảo trì, cấu hình trụ sạc | Thay đổi biểu giá, chi trả, hoàn tiền, dữ liệu thanh toán của khách hàng |
| Hỗ trợ khách hàng | Tra cứu khách hàng, lịch sử phiên sạc, biên lai, khả năng xem lại đúng những gì tài xế đã thấy | Thay đổi giá, phát lệnh hàng loạt tới trụ sạc, hồ sơ quyết toán |
| Tài chính | Biểu giá, hóa đơn, thu hồi công nợ, đối soát, chia doanh thu và hồ sơ chi trả cho chủ mặt bằng | Điều khiển trụ sạc từ xa, quản lý firmware |
| Quản trị hệ thống | Quản lý người dùng và vai trò, thông tin đăng nhập cho tích hợp, cấu hình ở cấp nền tảng | Về cấu trúc thì không giới hạn - và đó chính là lý do số lượng quản trị viên nên ít và được rà soát định kỳ |
Ý nghĩa của cột bên phải không phải là sự thiếu tin tưởng, mà là phạm vi ảnh hưởng khi có sự cố. Một nhân viên hỗ trợ không thể vô tình đổi biểu giá là một nhân viên hỗ trợ làm việc nhanh hơn, vì ít thao tác của họ mang theo hệ quả lớn. Nguyên tắc cấp quyền tối thiểu làm công việc thường ngày bớt căng thẳng, không phải bớt tự do.
Khi các vai trò mặc định không còn đủ
Tổ chức thực tế luôn có những phần trách nhiệm không khớp với bốn cấp bậc. Một giám đốc khu vực phụ trách giá cho khu vực của mình nhưng không phải trên toàn quốc. Một nhà thầu bảo trì hiện trường cần quyền reset từ xa trên một nhóm trụ sạc cụ thể nhưng không cần quyền nào khác. Một chuyên viên phân tích cần xem mọi phiên sạc và không thay đổi gì. Một chủ mặt bằng muốn thấy hiệu quả của chính địa điểm mình mà không truy cập được phần còn lại của mạng lưới.
Hai cơ chế giải quyết những trường hợp này, và một nền tảng nên có cả hai. Vai trò tùy chỉnh cho phép bạn định nghĩa một tập quyền khớp với một công việc thực tế, thay vì ép công việc đó vào một cấp bậc có sẵn. Giới hạn phạm vi thu hẹp một vai trò xuống một phần của mạng lưới - một khu vực, một vùng, một nhóm trạm - để cùng một vai trò “vận hành” có thể được cấp hẹp cho nhà thầu và cấp rộng cho đội nội bộ. Đây là lúc một cấu trúc phân cấp địa điểm rõ ràng phát huy giá trị: việc tổ chức hạ tầng theo khu vực, vùng, trạm và cổng sạc chủ yếu là tiện lợi về quản lý cho đến khi bạn cần phân cấp quyền hạn theo đúng các ranh giới đó; khi ấy, cấu trúc này trở thành nền tảng của mô hình phân quyền.
Lịch sử kiểm toán: phần dễ bị bỏ qua
Phân quyền quyết định điều gì có thể xảy ra. Lịch sử kiểm toán là cách bạn biết điều gì đã xảy ra. Chuẩn hữu ích là ghi log ở cấp từng yêu cầu - mọi thao tác quản trị và vận hành được lưu lại cùng bốn thông tin:
- Ai - người dùng hoặc thông tin đăng nhập API cụ thể, không bao giờ là một tài khoản dùng chung.
- Làm gì - thao tác và đối tượng bị tác động, với đủ chi tiết để dựng lại được thay đổi đó.
- Khi nào - một mốc thời gian đáng tin, điều này quan trọng hơn vẻ ngoài của nó khi cần đối chiếu một thao tác trên màn hình quản trị với một phiên sạc đang bị khiếu nại.
- Kết quả - thành công hay thất bại. Những lần thất bại thường là bản ghi đáng chú ý hơn: nhiều lần thất bại liên tiếp ở cùng một ranh giới phân quyền là một tín hiệu, không phải nhiễu.
Hai đặc tính biến một bản log thành thứ dùng được. Nó phải lọc được, vì câu hỏi không bao giờ là “cho tôi xem tất cả” mà là “cho tôi xem mọi thay đổi biểu giá tại trạm này trong tháng Ba”. Và nó phải xuất được, vì những người cuối cùng cần đến nó là kiểm toán, tài chính và đôi khi là bộ phận pháp chế - không ai trong số đó sẽ đăng nhập vào màn hình quản trị của bạn.
Bốn thói quen ngăn được những sự cố thường gặp
- Không bao giờ dùng tài khoản chung. Một tài khoản quản trị dùng chung làm lịch sử kiểm toán trở nên vô giá trị ngay khi cần điều tra bất cứ việc gì - mọi dòng log đều ghi “admin”, tức là không trả lời được gì. Đây là thay đổi mang lại giá trị cao nhất mà phần lớn đơn vị vận hành nhỏ có thể thực hiện.
- Tích hợp cũng cần thông tin đăng nhập riêng. Một tài khoản máy cũng là một người dùng. Hãy cấp cho mỗi tích hợp một thông tin đăng nhập riêng, có giới hạn phạm vi, để một thao tác tự động luôn truy được về một hệ thống cụ thể, và để việc thu hồi một khóa không làm gián đoạn các tích hợp còn lại - cùng nguyên tắc được trình bày trong bài API, webhook và luồng sự kiện.
- Thu hồi quyền qua hệ thống định danh. Nếu quyền truy cập màn hình quản trị được liên kết với hệ thống định danh của doanh nghiệp, việc vô hiệu hóa tài khoản của một người sẽ tự động xóa quyền truy cập trạm sạc của họ. Tài khoản riêng của nền tảng mới là thứ mọi người hay quên - xem SSO doanh nghiệp cho nền tảng sạc.
- Rà soát quyền theo định kỳ. Rà soát mỗi quý là phù hợp với phần lớn đơn vị vận hành. Quyền hạn có xu hướng tăng dần theo thời gian: một người được thêm vào vai trò để xử lý việc đột xuất nhưng không được gỡ bỏ sau đó. Cách khắc phục đáng tin cậy là định kỳ xem lại ai đang được phép làm gì.
Vận hành nhiều thương hiệu và nhiều đối tác làm tăng mức độ quan trọng
Mọi điều ở trên đều giả định chỉ có một tổ chức. Ngay khi một nền tảng vận hành nhiều thương hiệu, nhiều đơn vị nhận nhượng quyền hoặc nhiều đối tác, việc phân quyền không còn là chuyện tiện lợi mà trở thành cơ chế giữ các bên tách biệt nhau: nhân sự của một đối tác không được thấy phiên sạc, khách hàng hay doanh thu của đối tác khác, dù cả hai cùng chạy trên một nền tảng. Mức độ tách biệt đó là đặc tính của kiến trúc, không phải kết quả của việc gán vai trò cẩn thận - đây là cốt lõi của những gì một CSMS đa khách hàng cung cấp, và là thứ nên được kiểm tra trực tiếp trong giai đoạn đánh giá thay vì mặc định tin là có.
Những câu hỏi nên đặt ra với nhà cung cấp
- Có tạo được vai trò tùy chỉnh, hay chỉ dùng được các cấp bậc có sẵn?
- Một vai trò có giới hạn được theo khu vực, địa điểm hay một nhóm trụ sạc, thay vì toàn mạng lưới?
- Mọi thao tác quản trị đều được ghi log ở cấp từng yêu cầu, bao gồm cả thao tác thất bại và lệnh gọi API?
- Bản ghi kiểm toán có lọc và xuất được, và được lưu trong bao lâu?
- Có xem được bảng phân quyền chi tiết trong giai đoạn đánh giá - tức danh sách thực tế mỗi vai trò làm được gì?
CarChargeOS cung cấp phân quyền theo vai trò cho đội vận hành, hỗ trợ, tài chính và quản trị viên, vai trò tùy chỉnh cho những trách nhiệm ngoài các cấp bậc đó, cùng lịch sử kiểm toán ở cấp từng yêu cầu có thể lọc và xuất bất cứ lúc nào - xem phần vận hành và bảo mật tại trang nền tảng.
Câu hỏi thường gặp
Đội chỉ có năm người thì có cần thiết lập những việc này?
Việc tách vai trò ít quan trọng hơn ở quy mô đó; lịch sử kiểm toán thì quan trọng không kém. Tài khoản đăng nhập riêng cho từng người không tốn gì để thiết lập ngay từ đầu, nhưng rất khó bù lại sau một năm vận hành bằng tài khoản dùng chung. Hãy bắt đầu từ đó, và bổ sung việc tách vai trò khi đội lớn đến mức không còn ai nắm được người khác đã làm gì.
Nên lưu bản ghi kiểm toán trong bao lâu?
Đủ dài để phủ hết chu kỳ khiếu nại và chu kỳ báo cáo tài chính của bạn, trên thực tế nghĩa là ít nhất bằng khoảng thời gian một khách hàng còn có thể khiếu nại một giao dịch, và bằng khoảng thời gian bộ phận tài chính có thể cần xem lại một kỳ đối soát. Hãy xác nhận thời gian lưu trữ của nền tảng thay vì mặc định cho rằng nó là vô hạn, và tự xuất ra những gì bạn cần giữ lâu hơn.
Có nên cấp quyền truy cập màn hình quản trị cho chủ mặt bằng?
Thường là có, nhưng ở phạm vi hẹp - một quyền xem chỉ đọc đối với phiên sạc và phần doanh thu của chính địa điểm của họ thường là đủ, đồng thời giúp đội của bạn giảm bớt việc lập báo cáo định kỳ. Điều quan trọng là phạm vi đó phải do nền tảng thực thi, không phải do hai bên thỏa thuận không xem phần của nhau. Việc cho chủ mặt bằng thấy số liệu của chính họ cũng thường làm quan hệ cho thuê mặt bằng dễ hơn vào kỳ gia hạn.