Cognos审计用户：对所有内容拥有只读权限

核心思路 #

通过组合内置角色与显式权限覆盖，实现审计用户仅查看所有内容、无任何修改权限的需求，避免逐个资源配置的繁琐操作。

具体操作步骤 #

• 创建审计用户/组
  登录Cognos Administration，进入Security > Users, Groups, and Roles，新建单独的审计用户（如Audit_ReadOnly）或创建审计用户组，将需要审计的用户加入组内，便于统一管理。

• 分配基础只读角色
  给目标用户/组分配内置的Read All Content角色，该角色默认赋予查看所有内容的权限，但需进一步限制修改类操作。

• 覆盖修改类权限（关键步骤）
  进入Security > Permissions，依次对以下核心节点设置显式拒绝权限：

  • Public Folders、Content Store根节点：选择目标用户/组，将Create、Delete、Write、Set Policy、Take Ownership权限设为Deny；保留Read、Execute权限（确保能查看并运行报表）。
  • My Folders（若需审计用户查看个人文件夹内容）：重复上述权限设置，拒绝所有修改类操作。

• 限制系统级权限
  进入Configuration > System > Security，找到系统权限配置项，确保目标用户/组仅拥有View类系统权限，拒绝所有涉及修改系统配置、管理用户的权限。

• 验证权限有效性
  使用审计用户账号登录Cognos BI，尝试执行修改报表、创建文件夹、删除内容等操作，确认均被拦截；同时检查所有内容（报表包、仪表盘、数据源配置等）均可正常查看和运行。

注意事项 #

• 若审计用户已加入其他自定义角色，需将其移除，避免自定义角色赋予额外修改权限。
• 对于部分特殊资源（如自定义数据源、调度任务），需单独检查权限设置，确保仅开放查看权限。
• 利用Cognos的权限继承特性，顶级节点的拒绝权限会覆盖子节点的允许权限，无需逐个配置子资源。

内容的提问来源于stack exchange，提问作者Helvio