Quản Lý Tài Khoản

Route: /user-management

Mục đích

Module phụ trách hai việc:

Quản lý tài khoản người dùng — Tạo, sửa, xóa tài khoản; phân quyền; bật xác thực 2 lớp

Nhật ký hoạt động — Ghi lại toàn bộ hành động của từng user trong hệ thống để kiểm toán

Tab Quản lý tài khoản

Danh sách users

Bảng hiển thị tất cả tài khoản trong hệ thống. Email được ẩn một phần để bảo mật — chỉ hiển thị 2 ký tự đầu và 2 ký tự cuối.

Ba thao tác cho mỗi tài khoản:

Đổi mật khẩu — Đặt mật khẩu mới cho tài khoản đó

Chỉnh sửa — Sửa tên hiển thị (không thể sửa email)

Xóa — Xóa tài khoản (không thể tự xóa tài khoản của chính mình)

Tạo tài khoản mới

Cần điền: tên hiển thị, email (phải là duy nhất trong hệ thống), mật khẩu.

Phân quyền

Hệ thống có hai cấp quyền:

Admin — Toàn quyền, bao gồm truy cập các trang quản trị nâng cao.

User — Quyền thông thường, không truy cập được các trang dành riêng cho admin.

Xác thực 2 lớp (2FA)

Hệ thống dùng Google Authenticator (TOTP) — mã 6 chữ số thay đổi mỗi 30 giây.

Quy trình thiết lập:

Vào trang cài đặt tài khoản, chọn "Thiết lập 2FA"

Hệ thống hiển thị mã QR

Quét mã QR bằng Google Authenticator trên điện thoại

Nhập mã 6 chữ số từ app để xác nhận

Từ lần đăng nhập tiếp theo, sẽ cần nhập mã này sau khi nhập email/mật khẩu

Lưu ý: Nếu mất điện thoại, cần liên hệ admin để reset 2FA.

Luồng đăng nhập

Nhập email và mật khẩu

Nếu tài khoản có 2FA → chuyển sang màn hình nhập mã OTP

Nhập mã 6 chữ số từ Google Authenticator

Đăng nhập thành công, vào Dashboard

Hệ thống tự động đăng xuất sau một khoảng thời gian không hoạt động. Khi mở lại tab hoặc F5 trang, nếu phiên còn hiệu lực, hệ thống tự động phục hồi mà không cần đăng nhập lại.

Tab Nhật ký hoạt động

Ghi lại toàn bộ hành động của từng user: thao tác gì, trên đối tượng nào, giá trị trước và sau khi thay đổi, địa chỉ IP và thiết bị sử dụng.

Nhật ký không thể bị xóa hay chỉnh sửa — đảm bảo tính toàn vẹn cho mục đích kiểm toán.

Cách hiển thị: Dữ liệu được nhóm theo từng user. Mỗi user là một hàng trong bảng, click để xem danh sách tất cả hành động của user đó.

Các hành động được ghi lại (không chỉ giới hạn ở module này):

Tạo / sửa / xóa tài khoản

Đổi mật khẩu

Thiết lập 2FA

Tạo / sửa / xóa chiến dịch

Tạo / sửa / xóa proxy

Và nhiều hành động khác từ các module khác

Bảo mật tài khoản

Mật khẩu — Được mã hóa trước khi lưu. Không ai (kể cả admin) có thể xem mật khẩu gốc.

Phiên làm việc — Tự động hết hạn sau thời gian không hoạt động. Khi hết hạn, hệ thống tự động đăng xuất và chuyển về trang đăng nhập.

Đăng nhập nhiều thiết bị — Mỗi lần đăng nhập trên một thiết bị mới được quản lý độc lập. Admin có thể vô hiệu hóa một thiết bị cụ thể mà không ảnh hưởng đến các thiết bị khác của cùng user.

Điểm cần lưu ý khi vận hành

Không thể tự xóa tài khoản của mình — Nút xóa không hiển thị cho tài khoản đang đăng nhập. Cần nhờ admin khác xóa.

Không thể sửa email — Sau khi tạo tài khoản, email không thể thay đổi. Nếu cần đổi email, phải tạo tài khoản mới.

Mất điện thoại có 2FA — Không thể đăng nhập nếu mất điện thoại có Google Authenticator. Cần liên hệ admin để reset 2FA trực tiếp trong database.

Nhật ký lưu cả thông tin nhạy cảm — Một số hành động ghi lại toàn bộ dữ liệu request, bao gồm cả mật khẩu khi tạo tài khoản mới. Cần lưu ý khi cho phép người khác xem nhật ký.

5. Quản lý tài khoản (Account Management)

Quản Lý Tài Khoản#

Mục đích#

Tab Quản lý tài khoản#

Danh sách users#

Tạo tài khoản mới#

Phân quyền#

Xác thực 2 lớp (2FA)#

Luồng đăng nhập#

Tab Nhật ký hoạt động#

Bảo mật tài khoản#

Điểm cần lưu ý khi vận hành#