Prirucky - Příspěvky [cs]

Přístupy k objektům aplikace

2026-09-11T09:02:02Z

Pavelr: /* Odkazy */

{{Navigace konfigurace aplikace}}

'''Přístupová práva'''

 Menu: Systém > Přístupová práva 

Jedná se o část aplikace přístupnou pouze správci. Přístupy jednotlivých uživatelů aplikace je možné definovat k objektům aplikace nebo ke střediskům a osobním číslům.

Účelem nastavení přístupových práv je dosáhnout toho, aby různí uživatelé aplikace měli různý přístup k položkám menu aplikace. Tak například nějaký uživatel může mít do daného menu (k dané záložce) přístup povolen, jiný zakázán, další uživatel sice přístup bude mít povolen, ale jen pro prohlížení a tisk, nikoli pro editaci (měnění) záznamů.

Zde není řešena otázka přístupu uživatele jen k některým osobním číslům (zaměstnancům) nebo jen k zaměstnancům určitého střediska. Tuto problematiku řeší další agenda (přístupová práva na střediska a osobní čísla). Obě agendy je možno použít současně, tj. oba přístupy (přístup k položkám menu, přístup k osobním číslům) je možno kombinovat.

V textu níže je popisována nová varianta nastavování přístupových práv; pokud ji chcete využívat, je potřeba mít nastaven parametr '''[[nova_prava (sk.13)]]''' na hodnotu '''Ano'''.

Hlavní okno v ypadá následovně:

Jsou zde tři hlavní části:

* '''Akce'''
* '''Role'''
* '''Uživatelé.'''

Případně skupina - '''Položky''',

pokud je přepnut rozšiřující parametr (viz dále).

Rozbalení nebo sbalení větve může provést kliknutím na '''symboly +/-'''.

Další funkcionalita je skryta – objeví se po vybrání příslušné položky a '''kliku pravého tlačítka myši''' nebo '''kliku myši na ikonu''' (obrázek).

[[Image:Sys-pristupova-prava.png]]

''obrázek 1- hlavní okno přístupových práv''

Tlačítko Filtr uživatelů umožňuje omezit množinu zobrazovaných uživatelů pro nastavování přístupových práv do jednotlivých části aplikace.

[[Image:Sys-filtr-loginu.png]]

'''1. Definice rolí'''

Na začátku je potřeba si ujasnit, jaké jsou ve vaší firmě role z hlediska přístupových práv. Tedy do kolika skupin (z hlediska přístupových práv) rozdělíte uživatele.

Uživatelé spadající do jedné role mají stejná přístupová práva, různé role budou zřejmě mít různá přístupová práva.

Novou roli založíte následovně: označte (klikněte) název ''Role'', klikněte pravým tlačítkem myši a zvolte ''nová role''. A zadejte název nové role. Často je vhodné volit název bez diakritiky.

'''2. Uživatelé'''

Objeví se seznam uživatelů aplikace, pomoci tlačítka '''Filtr uživatelů''' definujete množinu zobrazovaných uživatelů. Založení nového uživatele není věcí tohoto okna, je to záležitostí správce systému, který uživatele zakládá obvykle vně aplikace KS Mzdy a Personalistika, na úrovni databázového serveru.

Zde jen přiřadíte vybraného uživatele k dané roli.

[[Image:Sys-uzivatel-kroli.png]]

''obrázek 2 - zařazení uživatele do role''

Postupovat můžete ale také naopak – vyberete roli, pravým tlačítkem myši zvolíte ''Vlastnosti'' a poté k dané roli definujete uživatele.

[[Image:Sys-role-kuzivateli.png]]

''obrázek 3 - kteří uživatelé patří do dané role''

Uživatel může být přiřazen do více rolí - v tom případě se práva za jednotlivé role "sčítají".

'''3. Akce'''

Zde přiřazujete přístupová práva jednotlivým rolím.

Pokud si vyberete nějakou větev, a stisknete pravé tlačítko myši, dostanete nabídku funkcí:

[[Image:Sys-prava-vetev-funkce.png]]

''obrázek 4 - kontextová nápověda pravým tlačítkem myši''

'''Obnovit''' – provede obnovu poté, co větev byla celá kompletně rozbalena

'''Sbalit''' – provede sbalení celé větve

'''Rozbalit''' – provede rozbalení větve o úroveň níže

'''Rozbalit vše''' – provede kompletní rozbalení větve

'''Vlastnosti''' – zde nastavujete přístupová práva

'''Tisk''' – tisková sestava stromové struktury přístupových práv

[[Image:Sys-prava-stromova-struktura.png]]

''obrázek 5 - tisková sestava stromové struktury přístupových práv''

Nyní si všimneme volby ''Vlastnosti'' - nastavení přístupových práv.

S výhodou lze využít toho, že přístupová práva nemusíte nastavovat pro každou jednotlivou akci, ale pro celé skupiny. Tyto nadřazené skupiny odpovídají členění v menu aplikace.

Tak například chcete přiřadit roli mzd.účetní všechny akce, které jsou v menu Mzdy. Vyberete tedy větev ´Mzdy´, po pravokliku myši zvolíte ''Vlastnosti''. Načtou se všechny akce z menu ''Mzdy'', a vy můžete jedním zatrhávacím tlačítkem dole označit (povolit) všechny akce ve sloupci ''Prohlížení'', stejně pak i pro sloupec ''Editace'' a ''Tisk''.

[[Image:Sys-prava-jedno-tlacitko.png]]

''obrázek 6 – hromadné povolení nebo zakázání všech akcí ve vybrané větvi''

Jiný příklad - chcete roli ´personalista´ některé akce v menu ´Evidence zaměstnanců´ povolit a jiné zakázat. Načtěte tedy všechny akce z Evidence zaměstnanců a jednotlivě povolujte či zakazujte přístup.

[[Image:Sys-povolit-pristup.png]]

''obrázek 7 - jednotlivé nastavování přístupů na akce''

Pokud si vyberete nějakou akci, můžete si u ní udělat přehled o tom, které role ji mají a které nemají povolenu. Zároveň také můžete provést editaci. K tomu stiskněte '''tlačítko ´Role´.'''

* '''''Kopírovat''''' - zkopíruje nastavení vybrané části práv vybrané role (do paměti). Pomůcka pro zkopírování do nově vytvořené role (tlačítkem '''''Vložit''''').

[[Image:Sys-akce-role.png]]

''obrázek 8 - které role mohou provádět akci''

'''Tlačítko ´Uživatelé´''' Vám ukáže tentýž přehled, ale z hlediska uživatelů. Zde samozřejmě nelze editovat (přístupová práva se nastavují rolím, ne uživatelům).

[[Image:Sys-akce-uzivatele.png]]

''obrázek 9- kteří uživatelé mohou provádět akci''

'''Tlačítko ´Kopírovat´a tlačítko ´Vložit´''' slouží k zjednodušenému nastavování přístupových práv nějaké roli podle jiné role. Tedy na zdrojové roli (na níž je provedeno požadované nastavení přístupových práv) stiskněte ´Kopírovat´, přejděte na cílovou roli a zde stiskněte ´Vložit´. Takto budou zkopírována práva příslušné větve.

'''Tlačítko ´Uložit´''' nezapomeňte stisknout vždy tehdy, když změněné nastavení přístupových práv chcete uložit.

'''Tlačítko ´Tisk´''' vytvoří přehledovou sestavu nastavení přístupových práv dané větve dané role.

[[Image:Sys-role-prava-tisk.png]]

''obrázek 10 - přehledová sestava práv vybrané role''

'''4. Položky '''

Přepnutím rozšiřujícího parametru '''polozkova_prava '''ze skupiny Systémových parametrů na hodnotu '''„Ano“''' docílíte toho, že je možno nastavovat přístupy i k jednotlivým položkám v oknech: Evidence zaměstnanců (záložka Osobní údaje a Mzdové údaje) a Pracovní poměry. Ovládání je obdobné jako při nastavování „Akcí“ (např. dvojklik myši na vybranou položku nebo skupinu položek).

Pokud uživatel nebude mít nastaven přístup na položku, neuvidí její obsah (hodnotu) v režimu Pohled, Editace ani Sestava (v poli se zobrazí XXXXXXXXX). Z toho vyplývá, že pokud se jedná o povinnou položku, musí ji zadávat jiný uživatel s povoleným přístupem.

Na položku lze přiřadit přístupové právo „'''Prohlížení'''“ nebo „'''Editace'''“ nebo obě dvě.

Pokud je v sestavě byť jen jediná položka nepřístupná pro prohlížení, nemůže uživatel sestavu exportovat ani nad režimem Pohled nebo Editace vytvořit dokument.

Poznámka: funkční jen pro standardní okna, nikoli pro zákaznické výjimky a úpravy oken.

'''Starší verze nastavování přístupových práv'''

Pokud chcete využívat starší verzi nastavování přístupových práv, nastavte parametr '''nova_prava '''na hodnotu''' '''''´Ne´.''

Okno, které se zobrazí, obsahuje 3 kategorie:

'''Role'''

Zde je potřeba definovat seznam rolí, do kterých budou rozděleny přístupy k aplikaci.

'''Role – uživatel'''

Podle zobrazovaného seznamu uživatelů databáze je zde možné provést jejich přiřazení k rolím. V tomto rozhraní je možné se přepínat do inverzního způsobu přiřazení, to znamená, že můžeme k vybrané roli přiřadit uživatele nebo k vybranému uživateli přiřadit role.

'''Role – akce'''

Pro každou definovanou roli se pomocí tohoto rozhraní určí přístupy (akce) k jednotlivým částem aplikace, případně i úrovně přístupů. (Úrovně jsou dány označením '''prohlížení, tisk, opravy''' v názvech akcí.). I zde je možné pracovat inverzně, tzn. pro vybranou akci definovat role.

Příklady akcí:

'''Číselník,Divize;prohlížení'''- umožňuje prohlížet číselník divizí

'''Číselník,Divize;tisk '''- prohlížení a tisk číselníku divizí

'''Číselník,Divize;opravy''' - prohlížení, opravy a tisk číselníku divizí

Před tím, než se mají začít přidělovat přístupy, musí být provedeno delegování oprávnění uživatelů k jednotlivým akcím aplikace v rámci organizace. Seznam všech akcí je dostupný pod záložkou '''Role – akce''', jejich názvy vychází z pojmenování nabídek v menu a z názvů záložek používaných v oknech. Tento seznam je možné vytisknout kliknutím na pravé tlačítko myši na ploše seznamu. Pro každou agendu je třeba rozlišovat přístupy k prohlížení, k tvorbě výstupních sestav a ke změně údajů. Nejvyšší prioritu má přístup na změnu dat. Pokud je uživateli přidělen, automaticky jsou mu dovoleny i zbývající přístupy.

Při definování přístupů postupujeme takto:

definujeme role

k rolím přiřadíme akce

k rolím přiřadíme uživatele

'''Použití nastavení pro uživatele “public“:'''

Je analogické jako nastavení přístupů v klasickém databázovém prostředí. Všichni uživatelé používající aplikaci mají zděděná přístupová práva od uživatele '''public'''. Tomuto uživateli je vhodné přidělit minimální potřebné přístupy k práci s aplikací. Tyto minimální přístupy pak mají přiděleny společně všichni uživatelé.

Pro prvotní rámcové přednastavení přístupových práv můžete použít Jednorázovou funkci č. 61. Spuštěním funkce dojde k vytvoření rolí personalista a mzdová účetní a zároveň se k těmto rolím přiřadí odpovídající akce (přístupová práva). '''Funkce je tedy určena jen k prvotnímu nastavení při implementaci systému!''' Další spouštění představuje vážné riziko – pokud funkce nalezne již nastavená práva, zeptá se, zda je chcete přepsat, a v případě, že odpovíte kladně, dojde k přemazání původních dat.

== Časovost ==
Je podchycena časovost práv (historie).

== Odkazy ==
* [[Přiřazování práv uživatelům z Active Directory]]
* [[Systémová příručka]]
* DB: prv_...]]

DvoufaktorovyLogin

2026-09-03T13:59:28Z

Pavelr:

== Parametr ==
DvoufaktorovyLogin je parametr KS portálu pro funkcionalitu a rozšíření aplikace [[Dvoufaktorové ověření]].

{|border="1" cellpadding="3" cellspacing="0"
|-
! scope="row"| Název
| DvoufaktorovyLogin
|-
! scope="row"| Skupina
| Obecné
|-
! scope="row"| Popis
| Určuje metodu dvoufaktorového ověření. Možné hodnoty: 0 - Vypnuto, 1 - EMAIL, 2 - SMS, 3 - Authenticator, 4 – Vše (Výběr metody uživatelem, SMS se uživateli nenabízí pokud není aktivní rozšíření SMS notifikace)
|-
! scope="row"| Rozsah
| '''0''' / 1 / 2 / 3 / 4
|}

== Odkazy ==
* [[Dvoufaktorové ověření]] - při přihlašování do KS portál
* [[Dvoufaktorové ověřování]] - obecně
* [[Parametry (Obecné)]]

Dvoufaktorové ověření

2026-09-03T13:56:29Z

Pavelr: /* Odkazy */

== Funkcionalita ==
* ''Dvoufaktorové ověření'' - je [[rozšíření aplikace]], které rozšíří přihlášení do KS portálu o dvoufaktorovou autentizaci, tedy o druhou metodu ověření uživatele pomocí autorizačního kódu z E-mailu, SMS či Authenticatoru.
[[Image: Rozsireni aplikace-Dvoufaktorove overeni.png|100px]]
* LZE používat pouze s FORMULÁŘOVÝM PŘIHLAŠOVÁNÍM jménem a heslem,
* NELZE používat současně s typem ověření portálu Windows SSO, Externím přihlašováním či přihlášení čipovou kartou (RFID) (pro tyto způsoby přihlášení může být pro vnitřní síť nainstalovaná samostatná instance portálu (nad stejnou databází), která bude bez 2FA).
* využití především pro KS portál vystavený "ven"
* (dvoufaktorová autentizace, 2FA – two-factor authentication, MFA - multi-factor authentication)

== Nastavení ==
# Aktivujte přes rozšíření aplikace rozšíření '''Dvoufaktorové ověření''' (interní zkratka rozšíření je TOTP_AUTHENTICATOR_PORTAL).
# '''Restartujte KS portál''' nebo dejte vyčistit systémovou cache ([[Systémové informace]]), aby se zobrazil následující parametr .
# V Nastavení/Parametry nastavte parametr portálu '''[[DvoufaktorovyLogin]]''' na jednu z hodnot viz níže (v případě metody SMS nejprve nastavte parametry pro SMS bránu).
# Případně provést nastavení popsaná níže u zvolené metody.

{|border="1" cellpadding="3" cellspacing="0"
|-
! scope="row"| Název
| DvoufaktorovyLogin
|-
! scope="row"| Skupina
| Obecné
|-
! scope="row"| Popis
| Určuje metodu dvoufaktorového ověření. Možné hodnoty: 0 - Vypnuto, 1 - EMAIL, 2 - SMS, 3 - Authenticator, 4 – Vše (Výběr metody uživatelem, SMS se uživateli nenabízí pokud není aktivní rozšíření SMS notifikace)
|-
! scope="row"| Rozsah
| '''0''' / 1 / 2 / 3 / 4
|}

=== Vypnutí dvoufaktorového ověření ===
Pokud se do portálu lze přihlásit, nastavte v Nastavení/Parametry parametr DvoufaktorovyLogin na hodnotu 0.
Pokud se do portálu nelze přihlásit, např. kvůli nefunkční SMS bráně, lze dvoufaktorové ověření vypnout přidáním následujícího řádku do sekce AppSettings v souboru web.config. To lze využít i v případě více instancí portálu (interní a veřejná), kdy chcete u interní instance dvoufaktorové ověření vypnout.
<add key="Dvoufaktor" value="false" />

=== 1 - E-MAIL ===
Tato hodnota zapíná dvoufaktorové ověření pomocí autorizačního kódu zaslaného na E-mail. Email je odesílán na adresu navedenou v agendě [[Kontakty]] - '''E-mail do práce'''.

# Uživatel nejprve zadá své přihlašovací údaje do portálu.
# Následně je přihlašovanému uživateli odeslán email s náhodným 6-místným autorizačním kódem, který je nutné zadat do portálu.
# Uživatel má následně 2:30 min na zadání tohoto kódu. Pokud se kód shoduje, je uživatel přesměrován na úvodní stránku v portálu. V případě, že je platnost kódu ukončena, je nutné se znovu přihlásit.

[[Image: DvoufaktorovePrihlaseni-Na email Vam byl zaslan.PNG|320px]]
[[Image: DvoufaktorovePrihlaseni kod.PNG|400px]]

=== 2 - SMS zpráva ===
Tato hodnota zapíná dvoufaktorové ověření pomocí autorizačního kódu zaslaného přes SMS na kontakt '''Mobilní telefon'''. Pro použivání metody '''SMS''' je nutné zakoupit rozšíření SMS notifikace a nastavit je (viz odkaz níže).

# Uživatel nejprve zadá své přihlašovací údaje do portálu.
# Následně je přihlašovanému uživateli odeslána SMS s náhodným 6-místným autorizačním kódem, který je nutné zadat do portálu.
* [[SMS notifikace]]

=== 3 - Authenticator ===
Ověření pomocí číselného kódu z mobilní aplikace '''Google Authenticator''' či '''Microsoft Authenticator'''.

Tajný klíč pro Authenticator je možno hromadně vygenerovat uživatelům v [[Uživatelé (Nastavení)]], toto ale není nutné, pokud portál po ověření loginu a hesla zjistí, že uživatel ještě nemá klíč vygenerován, tak mu jej automaticky vygeneruje a pošle. Tajný klíč pro Authenticator - prvotní nastavení pro Autenticator - je uživatelům odesílán na e-mail, který je naveden v agendě Kontakty pod druhem '''E-mail do práce'''. Tajný klíč je v e-mailu v textové podobě i ve formě QR kódu. Uživatel si musí nejprve naistalovat do svého mobilního telefonu Google Authenticator nebo Microsoft Authenticator a v něm naskenuje QR kód, nebo zadá klíč ručně. V Autheticatoru se objeví položka KS Portál: Název firmy a 6-ti místný číselný kód vygenerovaný na základě tajného klíče a času, který je platný jen pár sekund a neustále se tedy mění, tento 6-ti místný číselný kód pak zadává do aplikace KS portál.

# Uživatel nejprve zadá své přihlašovací údaje do portálu.
# Ve své mobilní telefonu si otevře aplikaci Authenticator.
# Následně zadá 6-ti místný číselný kód z Authenticatoru do portálu.

Obr. 1 Generování kódu pro Authenticator. OBr. 2 Email, který přijde zaměstnanci. 
[[Image: Uzivatele-Generovat-Authenticator.png|650px]]
[[Image: Authenticator code-Automaticky vygenerovano.png|350px]]

=== 4 - Vše - výběr metody ===
Při nastavení parametru DvoufaktorovyLogin nastaven na hodnotu 4-Vše, je uživateli, po ověření loginu a hesla, zobrazena nabídka 2. metody ověření: E-mail, SMS či Authenticator (SMS se uživateli nenabízí pokud není aktivní rozšíření SMS notifikace).

== Přihlášení ==
Ukázka přihlášení při nastavení parametru DvoufaktorovyLogin na hodnotu 4-Vše a uživatel si zvolil metodu Authenticator:

1. obrázek: ověření – loginem a heslem,

2. obrázek: výběr metody,

3. obrázek: zadání číselného kódu z aplikace Autheticator

[[Image: Prihlaseni 1-2-3.png|550px]]

== Odkazy ==
* [[Dvoufaktorové ověřování]]
* [[SMS notifikace]]
* [[Parametry (Obecné)]]
* [[Portál-ObecnéInformace]]
* DB: prtl_parametry - nazev = 'DvoufaktorovyLogin' (záznam existuje v případě, že hodnota parametru <> 0)

Dvoufaktorové ověření

2026-09-03T13:50:56Z

Pavelr:

== Funkcionalita ==
* ''Dvoufaktorové ověření'' - je [[rozšíření aplikace]], které rozšíří přihlášení do KS portálu o dvoufaktorovou autentizaci, tedy o druhou metodu ověření uživatele pomocí autorizačního kódu z E-mailu, SMS či Authenticatoru.
[[Image: Rozsireni aplikace-Dvoufaktorove overeni.png|100px]]
* LZE používat pouze s FORMULÁŘOVÝM PŘIHLAŠOVÁNÍM jménem a heslem,
* NELZE používat současně s typem ověření portálu Windows SSO, Externím přihlašováním či přihlášení čipovou kartou (RFID) (pro tyto způsoby přihlášení může být pro vnitřní síť nainstalovaná samostatná instance portálu (nad stejnou databází), která bude bez 2FA).
* využití především pro KS portál vystavený "ven"
* (dvoufaktorová autentizace, 2FA – two-factor authentication, MFA - multi-factor authentication)

== Nastavení ==
# Aktivujte přes rozšíření aplikace rozšíření '''Dvoufaktorové ověření''' (interní zkratka rozšíření je TOTP_AUTHENTICATOR_PORTAL).
# '''Restartujte KS portál''' nebo dejte vyčistit systémovou cache ([[Systémové informace]]), aby se zobrazil následující parametr .
# V Nastavení/Parametry nastavte parametr portálu '''[[DvoufaktorovyLogin]]''' na jednu z hodnot viz níže (v případě metody SMS nejprve nastavte parametry pro SMS bránu).
# Případně provést nastavení popsaná níže u zvolené metody.

{|border="1" cellpadding="3" cellspacing="0"
|-
! scope="row"| Název
| DvoufaktorovyLogin
|-
! scope="row"| Skupina
| Obecné
|-
! scope="row"| Popis
| Určuje metodu dvoufaktorového ověření. Možné hodnoty: 0 - Vypnuto, 1 - EMAIL, 2 - SMS, 3 - Authenticator, 4 – Vše (Výběr metody uživatelem, SMS se uživateli nenabízí pokud není aktivní rozšíření SMS notifikace)
|-
! scope="row"| Rozsah
| '''0''' / 1 / 2 / 3 / 4
|}

=== Vypnutí dvoufaktorového ověření ===
Pokud se do portálu lze přihlásit, nastavte v Nastavení/Parametry parametr DvoufaktorovyLogin na hodnotu 0.
Pokud se do portálu nelze přihlásit, např. kvůli nefunkční SMS bráně, lze dvoufaktorové ověření vypnout přidáním následujícího řádku do sekce AppSettings v souboru web.config. To lze využít i v případě více instancí portálu (interní a veřejná), kdy chcete u interní instance dvoufaktorové ověření vypnout.
<add key="Dvoufaktor" value="false" />

=== 1 - E-MAIL ===
Tato hodnota zapíná dvoufaktorové ověření pomocí autorizačního kódu zaslaného na E-mail. Email je odesílán na adresu navedenou v agendě [[Kontakty]] - '''E-mail do práce'''.

# Uživatel nejprve zadá své přihlašovací údaje do portálu.
# Následně je přihlašovanému uživateli odeslán email s náhodným 6-místným autorizačním kódem, který je nutné zadat do portálu.
# Uživatel má následně 2:30 min na zadání tohoto kódu. Pokud se kód shoduje, je uživatel přesměrován na úvodní stránku v portálu. V případě, že je platnost kódu ukončena, je nutné se znovu přihlásit.

[[Image: DvoufaktorovePrihlaseni-Na email Vam byl zaslan.PNG|320px]]
[[Image: DvoufaktorovePrihlaseni kod.PNG|400px]]

=== 2 - SMS zpráva ===
Tato hodnota zapíná dvoufaktorové ověření pomocí autorizačního kódu zaslaného přes SMS na kontakt '''Mobilní telefon'''. Pro použivání metody '''SMS''' je nutné zakoupit rozšíření SMS notifikace a nastavit je (viz odkaz níže).

# Uživatel nejprve zadá své přihlašovací údaje do portálu.
# Následně je přihlašovanému uživateli odeslána SMS s náhodným 6-místným autorizačním kódem, který je nutné zadat do portálu.
* [[SMS notifikace]]

=== 3 - Authenticator ===
Ověření pomocí číselného kódu z mobilní aplikace '''Google Authenticator''' či '''Microsoft Authenticator'''.

Tajný klíč pro Authenticator je možno hromadně vygenerovat uživatelům v [[Uživatelé (Nastavení)]], toto ale není nutné, pokud portál po ověření loginu a hesla zjistí, že uživatel ještě nemá klíč vygenerován, tak mu jej automaticky vygeneruje a pošle. Tajný klíč pro Authenticator - prvotní nastavení pro Autenticator - je uživatelům odesílán na e-mail, který je naveden v agendě Kontakty pod druhem '''E-mail do práce'''. Tajný klíč je v e-mailu v textové podobě i ve formě QR kódu. Uživatel si musí nejprve naistalovat do svého mobilního telefonu Google Authenticator nebo Microsoft Authenticator a v něm naskenuje QR kód, nebo zadá klíč ručně. V Autheticatoru se objeví položka KS Portál: Název firmy a 6-ti místný číselný kód vygenerovaný na základě tajného klíče a času, který je platný jen pár sekund a neustále se tedy mění, tento 6-ti místný číselný kód pak zadává do aplikace KS portál.

# Uživatel nejprve zadá své přihlašovací údaje do portálu.
# Ve své mobilní telefonu si otevře aplikaci Authenticator.
# Následně zadá 6-ti místný číselný kód z Authenticatoru do portálu.

Obr. 1 Generování kódu pro Authenticator. OBr. 2 Email, který přijde zaměstnanci. 
[[Image: Uzivatele-Generovat-Authenticator.png|650px]]
[[Image: Authenticator code-Automaticky vygenerovano.png|350px]]

=== 4 - Vše - výběr metody ===
Při nastavení parametru DvoufaktorovyLogin nastaven na hodnotu 4-Vše, je uživateli, po ověření loginu a hesla, zobrazena nabídka 2. metody ověření: E-mail, SMS či Authenticator (SMS se uživateli nenabízí pokud není aktivní rozšíření SMS notifikace).

== Přihlášení ==
Ukázka přihlášení při nastavení parametru DvoufaktorovyLogin na hodnotu 4-Vše a uživatel si zvolil metodu Authenticator:

1. obrázek: ověření – loginem a heslem,

2. obrázek: výběr metody,

3. obrázek: zadání číselného kódu z aplikace Autheticator

[[Image: Prihlaseni 1-2-3.png|550px]]

== Odkazy ==
* [[Dvoufaktorové ověřování]]
* [[Parametry (Obecné)]]
* DB: prtl_parametry - nazev = 'DvoufaktorovyLogin' (záznam existuje v případě, že hodnota parametru <> 0). Související parametr: CertOtiskSMS
* [[Portál-ObecnéInformace]]

Instalační příručka

2026-09-03T11:04:43Z

Pavelr: /* Přihlašování uživatelů KS Portálu */

{{KS portál}}
Tento dokument je vlastnictvím společnosti KS-program, spol. s r.o., Vsetín. Slouží pro potřeby školení a studia uživatelů systému Mzdy a personalistika. Žádná část dokumentu nesmí být nijak kopírována, zveřejňována nebo jinak poskytnuta třetím osobám bez předchozího písemného souhlasu odpovědných zástupců KS-program, spol. s r.o.

= Podporované prohlížeče =
Podporovanými prohlížeči jsou '''aktuální verze''' následujících produktů:
* '''''Mozilla Firefox'''''
* '''''Google Chrome'''''
* '''''Microsoft Edge'''''

Prohlížeč musí mít '''povolen ''JavaScript'' a ''Cookies''''' (výchozí nastavení).

=== Apple ===
Aplikace KS Portál je kompatibilní se zařízeními značky Apple (iPhone, iPad, Mac, aj.) 
Podporované prohlížeče jsou: Safari, Google Chrome a Mozilla Firefox

=== Historie ===
: [[Podporované prohlížeče (KS portál) (historie)]] 

= Co je potřeba ke zprovoznění KS Portálu =
* '''Windows Server 2008 R2, 2012 a vyšší'''. KS Portál potřebuje cca 100 MB místa na webovém serveru.

* '''Běhové prostředí [[.Net Framework]]. 
.

Vhodné je mít nejprve nainstalovaný webový server IIS a potom teprve nainstalovat .NET Framewok. V tomto pořadí se Framewok sám zaregistruje do IIS. Pokud toto pořadí nemůžete dodržet nebo nevíte v jakém pořadí byly tyto dvě aplikace naistalovány, spusťte registraci Frameworku do IIS ručně pomocí příkazu (jako správce z příkazové řádky) 
%windir%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe -i

* V IIS musí být povolen ASP modul. Je to ISAPI rozšíření webového serveru, které zpracovává požadavky na stránky s příponou ASPX.

= Jak postupovat při instalaci =

===Aplikace nesmí být instalována jako Web Site===

===Pro Windows Server 2008 R2, 2012 (IIS 7) a vyšší===

# Kdekoliv na disku '''vytvořte adresář ''ksprtl''''' (Doporučujeme do adresáře ''C:\Inetpub\wwwroot\'').
# Do adresáře ksprtl '''rozbalte''' obsah souboru '''''PRTXXXXY.zip''''' (XXXXY - odpovídající verze aplikace). Instalační sadu si stáhněte z: ''http://download.ksprogram.cz/download/''
# Skupině uživatelů '''''Authenticated Users'' nastavte práva''': čtení na adresáři ''ksprtl'' včetně jeho obsahu zápisu do podadresářů ''Logs'' a ''Temp''. (Pokud později bude smazán některý z uvedených podadresářů, bude nutné po vytvoření přiřadit práva znovu. hd 80459)
# '''V IIS vytvořte novou webovou aplikaci''' s odkazem na fyzický adresář ''ksprtl'' (vytvořený v bodu 1).
# V základním nastavení vytvořené webové aplikace se ujistěte, že '''aplikace běží ve fondu aplikací''' (aplikačním poolu), který využívá ''.NET Framework''.
# V souboru ''web.config'' (nebo ve vlastnostech webové aplikace) '''upravte ''ConnectionString''''', tak aby odpovídal vašemu DB připojení. (viz. ''Nastavení DB připojení'').

= Nastavení DB připojení =
Připojení na databáze MSSQL a Oracle je již implementován přímo v Net Frameworku, takže se pro tyto databázové platformy nemusí nic instalovat. K ostatním databázovým platformám je možné přistupovat prostřednictvím ODBC. Použité ODBC musí podporovat DotNet. Zákazník by měl získat ODBC od svého dodavatele databáze (my jej nedodáváme).

<nowiki>Databázové připojení v KS Portálu (ASP.NET aplikaci) definuje ConnectionString, který se nachází v sekci <connectionStrings> v souboru web.config v hlavním adresáři aplikace.</nowiki>

== Příklady ConnectionStringu ==

=== Pro MSSQL ===
<nowiki><add name="web_mzdy" connectionString="server=web_pc;database=mzdy;uid=test;pwd=test"</nowiki>

providerName="System.Data.SqlClient"/>

=== Pro Oracle ===
<nowiki><add name="web_mzdy" connectionString="Data Source=KSPROGRA;User Id=test;Password=test"</nowiki>

providerName="System.Data.OracleClient"/>

=== Pro ODBC ===
<nowiki><add name="web_mzdy" connectionString="DSN=i_mzdy" providerName="System.Data.Odbc"/></nowiki>

=== Položky DB připojení ===

{|
|name
| - jméno DB připojení
|-
|server
| - název nebo IP adresa počítače, na kterém běží DB server
|-
|database
| - název databáze, ke které bude chtít být připojeni
|-
|uid
| - login pro přístup do databáze
|-
|pwd
| - heslo pro přístup do databáze
|}

== Doplňující informace ==
=== Oracle ===
Na serveru s IIS je potřeba mít stejnou verzi klienta pro Oracle jako je Oracle databáze. Je vyžadován 32 bit oracle client. Na adresář Oracle_home (adresář oracle clienta), nadřízené a podřízené složky musí mít přístup skupina uživatelů Authenticated Users a to právo Read&Execute. Pokud nejsou práva nastavena správně objeví se chyba: ''System.Data.OracleClient requires Oracle client software version 8.1.7 or greater.''

Pokud to nepomůže nastavte stejná práva uživateli ASPNET, pod kterým běží proces ASP.NET.

=== PostgreSQL ===
* [[PostgreSQL]]

== Ze zkušeností ==
Pokud KS Portál zahlásí databázovou chybu ORA-12638 (jedná se o zdokumentovanou chybu Oracle):

''In fact this kind of error (ORA-12638) has many causes. I had it in 10.2.0.3 due to a bug. And also I had it in 9.2.0.8 because we had some troubles with our Active Directory. When the parameter SQLNET_AUTHENTIFICATION_SERVICES is set to NTS then before the connexion the Oracle server ask for a "ticket" to the Active Directory. And, if it cannot retrieve a valid "ticket" then we have the error ORA-12638.''

''So finally, I set SQLNET_AUTHENTIFICATION_SERVICES = (NTS,NONE) so the OS authentification is not compulsory ant we didn't have the error ORA-12638 anymore.''

Jak je uvedeno výše v anglickém textu, tato chyba může mít více příčin. Problém vzniká tím, že se Oracle snaží uživatele, který přistupuje do DB ověřit proti Active Directory. Do DB přistupujete pod uživatelem, který není naveden v Active Directory. Řešením je vypnout ověření DB uživatele proti Active Directory. Obecně se doporučuje v konfiguračním souboru sqlnet.ora (buď na serveru nebo na klientovi) zaměnit řádek: SQLNET.AUTHENTICATION_SERVICES= (NTS) za SQLNET.AUTHENTICATION_SERVICES= (NONE).

Lepším řešením je upravit soubor sqlnet.ora na straně Oracle klienta (na počítači, kde běží KS Portál).

= Přihlašování uživatelů KS Portálu =
KS portál nabízí tyto způsoby přihlašování uživatelů:

- Přihlášení portálovým účtem

- Dvoufaktorové ověření (přihlášení portálovým účtem + SMS/E-mail/Authenticator)

- Windows - Systém jednotného přihlášení (SSO)

- Přihlášení active directory účtem

- Přihlášení databázovým účtem

- Přihlášení přes externí autentizační službu (OAUTH2, SAML2)

- Přihlášení externího uživatele - nezaměstnance

- Přihlášení čipovou kartou (RFID)

Při volbě způsobu přihlašování je třeba také pamatovat na to, že po ověření uživatele je potřeba nějak svázat přihlášeného uživatele s konkrétním zaměstnancem v databázi, tedy vazba login-osobní číslo, viz ZdrojOsCisla níže.

=== Přihlášení portálovým účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) na přihlašovací stránce. Teprve po vyplnění platných údajů a jejich ověření získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutí na „odhlašovací“ tlačítko. Přihlašovací údaje spravuje pověřená osoba buď na staránce Nastavení/Uživatelé nebo v agendě Uživatelé KS portálu v desktopové aplikaci. Nový zaměstnanci se také mohou registrovat sami, pokud je to povoleno.

V souboru Web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, v levém stromu vyberte nejdříve webovou aplikaci ksportal v IIS/Ověřování (na WIN EN Authentication), kde povolte "Ověřování založené na formulářích" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public).

=== Dvoufaktorové ověření (přihlášení portálovým účtem + SMS/E-mail/Authenticator) ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) a pak dle zvolené metody autorizační kód z SMS, E-mailu nebo Autheticatoru. Stejné nastavení jako u předchozího plus viz [[Dvoufaktorové ověření]].

=== Windows - Systém jednotného přihlášení (SSO) ===
Uživatelé nemusí vyplňovat přihlašovací údaje (login a heslo), do portálu se přihlašují automaticky loginem, pod kterým se přihlásili k doménovému serveru prostřednictvím přihlášení do Windows, z čehož vyplývá, že je tento způsob použitelný jen uvnitř firemní sítě (případně za použití VPN).

V souboru web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Windows">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, jednak metodu nemusíte mít nainstalovánu, jednak IIS nezmění jen web.config, ale zapíše povolené autentizační metody pro jednotlivé aplikace do applicationHost.config (v c:\Windows\System32\inetsrv\config). V levém stromu vyberte nejdříve webovou aplikaci ksportal, pak v IIS/Ověřování (na WIN EN Authentication), zakažte "Ověřování založené na formulářích", povolte "Ověřování systému Windows" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public). Pokud autentizace nefunguje, zakažte i metodu "Anonymní přístup".

<nowiki>
Po přidání parametru <add key="SkipLoginPage" value="true"/> se přeskočí přihlašovací stránka.
</nowiki>

Do databáze přistupuje portál buď pod DB účtem zadaným v connectionstringu, nebo pod windows účtem uživatele pokud je v connectstringu nastaveno Integrated Security=true a identita fondu aplikace je ponechána na hodnotě ApplicationPoolIdentity (tj. není nastaven specifický účet zosobnění).

=== Přihlášení active directory účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) k active directory účtu. Teprve po vyplnění platných údajů na přihlašovací stránce získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutím na tlačítko „Odhlásit“. Tento způsob přihlášení, narozdíl od windows SSO, je možno použít i pro uživatele hlásící se zvenku, mimo firemní síť (samozřejmě jen pokud je portál vystaven veřejně).

Vzhledem k tomu, že při AD autentizaci nezáleží na velikosti písmen a umožňuje použít různé formáty loginů a různé tvary domény (a při některých konfiguracích i bez domény) a při definici práv v KS je rovněž možno používat různé formáty loginů, je nutné nastavit parametr SparovaniUziv na CI-BezDomeny, aby systém při načítání práv z KS databáze pro autentizovaného uživatele ignoroval velikost písmen i doménu, jinak se práva nebudou načítat jednotně a budou záviset na tom, v jakém tvaru uživatel zadá svůj login!

Lze se přihlašovat i tvarem loginu bez domény pokud je parametr SparovaniUzivAD (jiný parametr než výše) nastaven na hodnotu true.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="ad"/>
</nowiki>

<nowiki>
<add key="SparovaniUziv" value="CI-BezDomeny"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
a dále nastavit parametry s prefixem "ad_", viz Sekce <appSettings> - skupina Active Directory (příklady vyplnění naleznete v souboru web.config.default)
</nowiki>

=== Přihlášení databázovým účtem ===

Uživatel zadává databázový login a heslo, ověření probíhá prostřednictvím připojení k databázi se zadanými přihlašovacími údaji. Portál přístupuje do databáze pod jménem uživatele, v connectionstringu musí být zadány místo jména uživatele a hesla masky %user% a %password%, které jsou při vytváření připojení nahrazeny přihlašovacími údaji, které zadal uživatel. Od verze 7641A je nutno nastavit i parametr TypOvereni na hodnotu sql.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="sql"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
<add name="web_mzdy" connectionString="server=absint_pc;database=web_mzdy;uid=%user%;pwd=%password%" providerName="System.Data.SqlClient"/>
</nowiki>

=== Přihlášení přes externí autentizační službu (OAUTH2, SAML2) ===

Je možno využít přihlašování přes externí autentizační službu podporující protokol OAuth 2.0, případně SAML 2.0. Více informací je k dispozici na stránce rozšíření aplikace '''[[Externí přihlašování | Externí přihlašování]]'''

=== Přihlášení externího uživatele - nezaměstnance ===

Tento způsob přihlášení je určen pro externí uživatele (nezaměstnance), např. správce. Bez ohledu na nastavený způsob přihlašování nakonfigurovaný pro zaměstnance, se externí uživatel může přihlásit přes stránku "/Public/ExternalUserLogin.aspx", na kterou se dostane např. odkazem „Externí uživatel“ ze standardní přihlašovací stránky. Pokud je nastaven 1. způsob přihlašování, může se přihlásit i přes standardní stránku určenou pro zaměstnance. Externího zaměstnance musí pověřená osoba navést v agendě Uživatelé KS portálu/Externí uživatelé.

=== Přihlášení čipovou kartou (RFID) ===
Pro kiosky je možno zakoupit rozšíření přihlášení čipovou kartou - pro přihlášení stačí přiložit kartu k RFID čtečce karet. Více zde
[[Přihlášení pomocí čipové karty do KS portálu]]

= Zdroj informace pro vazbu login - osobní číslo =
Při přihlášení uživatele je potřeba získat i jeho osobní číslo, které jej identifikuje jako konkretního zaměstnance.
Osobní číslo se většinou získává ze stejného místa, proti kterému se uživatel ověřuje. Pokud vyvstane potřeba získat osobní číslo z jiného zdroje, je to možné nastavit parametrem
<add key="ZdrojOsCisla" value=""/>
v souboru web.config v sekci <appSettings> (viz. následující tabulka).

'''ZdrojOsCisla'''

{|<table align="center" border="2" width="100%" cellspacing="4" cellpadding="3" rules="all" style="margin:1em 1em 1em 0; border:solid 1px #AAAAAA; border-collapse:collapse;empty-cells:show;">
<tr>
<td bgcolor="#A7C1F2">'''Hodnota'''</td>
<td bgcolor="#A7C1F2">'''Význam'''</td>
<tr>
|-
| kspu (případně ks)
| osobní číslo se zjistí z agendy [[Uživatelé KS portálu]].
|-
| ad
| Osobní číslo se zjistí z Active Directory (musí být nastaveny ad_* parametry).
|-
| ez
| Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Login
|-
| ezsap
| zákaznická specialita - Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Logine nebo z tabulky sap,
|-
| eos
| Osobní číslo se zjistí ze systému EOSu verze 3.
|-
| eos4
| Osobní číslo se zjistí ze systému EOSu verze 4.
|-
| az
| Osobní číslo je stejné jako login.
|}
''Tabulka 1: Zdroj informace pro vazbu login-OČ''

= Přístupová práva uživatelů =

Řízení přístupu k údajům a operacím

Přístup uživatelů je definován prostřednictvím uživatelských rolí. Odkud se mají načítat role uživatelů určuje RoleProvider:
* KSRoleProvider – načítá aplikační role z databáze aplikace
* ADRoleProvider – načítá aplikační role z Active Directory (AD skupina je považována za KS roli pouze pokud je uvedena v parametru ad_groups, pokud ad_groups není vyplněn, tak skupina musí být v číselníku rolí)
* EosRoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 3,
* Eos4RoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 4,

Nastavení, který provider se má použít, se provádí v konfiguračním souboru aplikace.

Nastavení přístupových práv uživatelským rolím může provádět pouze administrátor KS Portálu. A to přímo v KS Portálu v menu Nastavení / Práva.

Login každého uživatele musí být přiřazen k nějaké roli, jinak nebude mít uživatel přístup k žádné části portálu. Login lze ke konkrétní roli přiřadit v agendě přístupových práv v naší aplikaci KS Mzdy (se kterou je KS Portál svázán). V agendě přístupových práv v aplikaci KS Mzdy lze přiřazovat k rolím loginy, které jsou buď v databázi (jako uživatalé DB) nebo v agendě Uživatelé KS Portálu. 
V konfiguračním souboru web.config je možno definovat výchozí roli parametrem 
<add key="VychoziRole" value=""/>, která se přiřadí všem uživatelům, kteří nebudou mít explicitně přiřazenou žádnou roli.

= Řízení přístupu na data jiných uživatelů (tzv. řádková práva) =

Nastavení provádí pouze administrátor KS Portálu. Typ řádkových práv může správce nastavit v parametrech KS Portálu (Nastavení / Parametry).
# Standardní (výchozí nastavení) – přihlášený uživatel má povolen přístup jen na pevně daný výčet osobních čísel a středisek Výčet povolených osobních čísel a středisek se nastavuje v aplikaci KS Mzdy a KS Portál toto nastavení přebírá.
# Dle systemizace – přihlášený uživatel má povolen přístup na sebe a své podřízené dle systemizace pracovních míst z aplikace KS Mzdy. V popisech pracovních míst u každého pracovního místa musí být vyplněno příslušné pracovní středisko.
# Dle AD – přihlášený uživatel má povolen přístup na sebe a své podřízené dle hierarchie v Active Directory.

* [[TypRadPrav]]

= Registrace nových uživatelů v KS Portálu =

Aby uživatel získal přístup do KS Portálu, musí mít vytvořen účet v agendě Uživatelé KS Portálu. Účet mu může ručně vytvořit (nebo upravit) správce aplikace KS Mzdy.

=== Uživatelé se mohou registrovat sami ===
Nebo je možné povolit novým zaměstnancům, aby se mohli do KS Portálu zaregistrovat sami, tedy zvolit si login a heslo bez nutnosti kontaktovat správce aplikace. Toto lze pouze za splnění 3 podmínek: ověřování uživatelů probíhá vůči údajům z agendy [[Uživatelé KS portálu]] (typ_overeni=ks nebo nevyplněn což je výchozí nastavení), zaměstnanci musí mít v agendě [[Kontakty]] naveden E-mail do práce (který zaměstnanci znají a na kterým jim přijde odkaz pro aktivaci účtu) a existuje aplikační role (např. ks_portal_zamestnanec), která se nastaví jako výchozí role (jinak by správce stejně musel uživateli přiřadit nějakou roli, aby se zaměstnanec do portálu dostal). Pro povolení samoregistrace zadejte do souboru web.config do sekce appSettings následující řádky:

<nowiki><add key="Registrace" value="user"/></nowiki>

<nowiki><add key="VychoziRole" value="ks_portal_zamestnanec"/></nowiki>

První řádek povoluje uživatelům KS Portálu registraci. Druhý musí mít ve své hodnotě zadán název výchozí uživatelské role, kterou systém uživateli bez role automaticky přiřadí.

* [[Registrace nového uživatele]]

= Další možnosti nastavení =
Základní nastavení aplikace KS Portál se provádí v souboru web.config, který se nachází v adresáři ksprtl (kořenovém adresáři aplikace).

== Sekce <appSettings> ==
V této sekci se nacházejí parametry aplikace. Jejich pořadí není důležité. Zapisují se ve tvaru <nowiki><add key="název" value="hodnota"/></nowiki>.

{|class="wikitable " border="1" cellpadding="3" cellspacing="0"
|+ Seznam parametrů sekce <appSettings> 
|- style="background-color: #A7C1F2"
| <center>'''Skupina'''</center> 
| <center>'''Název'''</center> 
| <center>'''Popis'''</center> 
| <center>'''Možné hodnoty (nebo příklad hodnoty)'''</center> 
|-
| rowspan = 26|Přihlášení || ''' PasswordExpiration '''|| Počet dnů do expirace hesla uživatele. || číslo
|-
| ''' WarningBeforePasswordExpiration '''|| Kolik dnů před expirací hesla zobrazit upozornění. || číslo
|-
| ''' LockAfterWrongPasswords '''|| Počet neplatných pokusů o zadání hesla, po kterém se uzamkne účet uživatele. || číslo
|-
| ''' MinPasswordLength '''|| Minimální požadovaná délka hesla uživatele. || číslo
|-
| ''' LastPasswordsCheck '''|| Počet minulých hesel kontrolovaných na odlišnost. || číslo
|-
| '''[[CheckPasswordComplexity]]'''|| Kontrolovat složitost hesla. Pravidlo 3/4. Pokud nastavena hodnota ''true'', pak je vyžadováno následující: Heslo musí obsahovat minimálně 3 typy následujících znaků: číslice, malá písmena, velká písmena, speciální znaky. || true / false
|-
| ''' PasswordReset '''|| Obnova zapomenutého hesla. Bez odblokování účtu, s odblokováním účtu. [[Zapomenuté heslo (správa)]] || 0 - obnova hesla je zakázána (výchozí hodnota)
1 - obnova hesla je povolena, zamknuté účty zůstanou zamknuty 
2 - obnova hesla je povolena, zamknuté účty budou odemknuty
|-
| '''PasswordResetAuth''' || Způsob obnovy zapomenutého hesla (hd 53919) || 1 - pomocí zadání pracovního e-mailu namísto loginu
|-
| ''' TypOvereni '''|| Typ ověření uživatele pro formulářové přihlášení. || kspu (ks nebo nevyplněno)=ověření účtem z agendy Uživatelé KS portálu, ad=Active Directory, sql=ověření databázovým účtem
|-
| ''' ZdrojOsCisla '''|| Udává odkud se zjišťuje osobní číslo pro login. Parametr je povinný pokud je TypOvereni nastaven na jinou hodnotu než kspu. || ks nebo kspu =Uživatelé KS portálu, ad=Active Directory, ez=evidence zaměstnanců/osobní údaje, az - osobní číslo je stejné jako login
|-
| ''' SkipLoginPage '''|| Pokud se využívá SSO (Systém jednotného přihlášení) a má se přeskočit LoginPage, provede se automaticky přihlášení. || hodnota true / false
|-
| ''' NabizeniHeslaZakazat '''|| Vypnout nabízení dříve použitého hesla na přihlašovací stránce pro uživatele a na přihlašovací stránce pro externí uživatele (hd 44956). || true
|-
| ''' SparovaniUziv '''|| Povolí volnější kontrolu loginu, bez kontroly domény a velikosti písmen. Při formulářovém přihlášení a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. Domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB. || BezDomeny, CI, CI-BezDomeny
|-
| ''' SparovaniUzivAD '''|| Hodnota true umožní přihlášení loginem bez domény i pro ad_auth_type=basic. Uplatňuje se jen u formulářového přihlášení a TypOvereni=ad. || true
|-
| ''' Admins '''|| Výčet loginů, které patří administrátorům aplikace. Jeden nebo více loginů oddělených středníkem. || admin;admin2;ksadmin
|-
| ''' ExterniUziv '''|| Zda se do aplikace mohou přihlašovat externí uživatelé (tací, kteří nejsou v cílové databázi mezi zaměstnanci). || nevyplněno – přihlásit se mohou jen zaměstnanci
True – přihlásit se mohou i externí uživatelé z agendy Uživatelé KS Portálu
|-
| ''' VychoziRole '''|| Výchozí uživatelská role, pokud nemá uživatel explicitně definovanou žádnou roli. || portal
|-
| '''VychoziRoleVedouci''' || Výchozí uživatelská role pro vedoucího pracovníka, pokud nemá explicitně definovanou (žádnou) roli. Je možné zadat více hodnot oddělených středníkem. Za vedoucího pracovníka je považován každý, kdo má nastaveno právo vidět i někoho jiného než sám sebe (neřídí se jen systemizací; pokud např. uživatel má výjimku z řádkových práv a má právo vidět někoho (kohokoliv) jiného, obdrží rovně roli pro vedoucího). ||
|-
| '''VychoziRoleVzdy''' || Zda se má výchozí uživatelská role přiřadit i v případě, že má uživatel explicitně definovanou roli. || a / '''n''' (výchozí hodnota je ''n'')
|-
| '''VychoziProfil''' || Výchozí [[Přístupové profily (portál)|profil]] ||
|-
| '''VychoziProfilVedouci''' || Výchozí [[Přístupové profily (portál)|profil]] pro vedoucího ||
|-
| ''' Registrace '''|| Způsob registrace nových uživatelů. Pokud není vyplněn ''user'', musí mít ve své hodnotě zadán název výchozí uživatelské role, do které se takto registrovaní uživatelé přiřadí. || user
|-
| ''' RegistraceRodneCislo '''|| Hodnota true při registraci zapne kontrolu shody rodného čísla v evidenci zaměstnanců pro zadané osobní číslo. || true
|-
| ''' PocetMesicuRolePoVystupu '''|| Počet měsíců platnosti role po ukončení pracovního poměru. || číslo
|-
| ''' RolePoVystupu '''|| Role po ukončení pracovního poměru. || poVystupu
|-
| ''' PristupNaVsechnyPodniky '''|| Zda má mít přihlášený uživatel přístup i na data zaměstnanců z jiných podniků v databázi (více IČ). || true - uživatel má přístup na zaměstnance ze všech podniků
nevyplněno/false – uživatel má přístup pouze na zaměstnance ze stejného podniku
|-
| rowspan = 2|Prostředí || ''' OptimalizaceMenu '''|| Zda zobrazovat celé menu aplikace nebo jen přístupné položky. || nevyplněno – zobrazí se celé menu
True / ano – zobrazí se jen přístupné položky menu
|-
| ''' ShowEmployeePhoto '''|| Zobrazování fotek zaměstnanců. || true / false
|-
| rowspan = 5|Logování || ''' ShowExceptionDetail '''|| Zda se má zobrazit detailní výpis chyb. || true / false
|-
| ''' EmailChybyZobrazovat '''|| Zda zobrazovat chyby vzniklé při pokusu odeslat email. || true
|-
| ''' AppAudit '''|| Zapnutí logování činností uživatelů na KS portále. || true
|-
| ''' LogType '''|| Způsob logování výjimek (chyb). Určuje, zda se mají zaznamenávat chyby vzniklé při běhu aplikace. Při hodnotě ""xml"" se chyby logují do Logs/Exceptions.xml, jinak do EventLogu. || nevyplněno – záznam se neprovádí 
Xml – provádí se záznam do souboru ksprtl/Logs/exceptions.xml
|-
| '''SecurityQRKod''' || [[Chybové hlášení (portál)|Chybové hlášení]] zobrazováno formou QR kódu. || '''a''' / n
|-
| rowspan = 6|Různé || ''' portal_url '''|| Řeší případy kdy např. kvůli přesměrovávání adresy KS portálu se ztratí skutečné jméno hosta, na kterého má být požadavek přesměrován a z toho důvodu se v odkazech generovaných v notifikačních emailech zobrazuje chybná adresa url. též hd 51506|| Do hodnoty se zadává celá adresa url KS portálu např. <nowiki>https://www.domena.cz/ksportal</nowiki>.
(pro desktopovou aplikaci KS mzdy existuje stejnojmenný rozšiřující parametr ve skupině 13)
|-
| ''' CachedTables '''|| Použito při optimalizacích načítání (hd 47235). [[Řešení některých problémů (KS portál)]] || názvy db tabulek
|-
| ''' Cache '''|| Způsobí potlačení ukládání stránek („kešování“) na straně prohlížeče do temporary internet files. || nopage
|-
| ''' FormatDatumu '''|| Datový typ pro datum v MSSQL DB. || nevyplněno – datum je char(10) yyyy-mm-dd
datetime – datum je typu DateTime
|-
| ''' DbCmdTimeout '''|| Maximální povolená doba pro vykonání jednoho Db příkazu, pokud překročena, objeví se hláška || Číslo znamenající délku timeoutu v sekundách
|-
| '''NotSupBrowser'''|| Blokování nepodporovaného prohlížeče || 1 - výchozí hodnota (blokace), 2 - pouze upozornění
|-
| rowspan = 10|[[Active Directory]] || ''' ad_connect_string '''|| AD LDAP cesta ke kontejneru, ve kterém jsou hledány uživatelské účty. || LDAP://server/OU=Lokality,DC=ksprogram,DC=cz
|-
| ''' ad_user '''|| AD přihlašovací jméno uživatele (včetně domény) mající právo číst informace z AD. || domena\user
|-
| ''' ad_password '''|| Heslo uživatelského účtu zadaného v ad_user. ||
|-
| ''' ad_auth_type '''|| (nepovinné) Možnost nastavení typu ověřování pro Active Directory , hodnoty=basic nebo secure (pokud secure nefunguje, může zpomalit přihlášení o 20 sekund). || basic / secure
|-
| ''' ad_search_in '''|| (nepovinné) AD podkontejnery pro prohledávání , seznam cest oddělených středníkem (relativně k ad_connect_string). Použít v případě, kdy je zapotřebí prohledávání omezit na 2 a více kontejnerů. V opačném případě, kdy se má omezit vyhledávání na jeden kontejner, lze použít přímo parametr ad_connect_string. || OU=Aktivní,OU=CZ Pobocka;OU=Aktivní,OU=SK Pobocka
|-
| ''' ad_user_filter '''|| AD Filtrovací výraz, omezující vyhledávání uživatelů v AD. || countryCode=203
|-
| ''' ad_atr_login '''|| (nepovinné) AD název atributu, ve kterém jsou uloženy přihlašovací jména uživatelů pro Microsoft AD vždy "samAccountName". ||
|-
| ''' ad_atr_os_cislo_user '''|| (povinný při ZdrojOsCisla=ad) AD název atributu, ve kterém jsou uloženy osobní čísla uživatelů. || employeeNumber, employeeId
|-
| ''' ad_atr_os_cislo_zastupce '''|| (nepovinné) AD název atributu, ve kterém je uloženo DN zástupce. ||
|-
| ''' ad_groups '''|| (nepovinné) AD role určené pro KS Portál (oddělené středníkem) - používá se jen v případě že je nastaven RoleProvider na ADRoleProvider. Pokud není vyplněno vezmou se všechny role, které existuji v KS. ||
|-
| rowspan = 5|Web proxy ||''' proxyUrl '''|| Název nebo IP adresa proxy serveru. || 127.0.0.1
|-
| ''' proxyPort '''|| Port proxy serveru. || 8888
|-
| ''' proxyUsername '''|| Login pro přístup k proxy. ||
|-
| ''' proxyPassword '''|| Heslo pro přístup k proxy. ||
|}

== Zašifrování vybraných sekcí web.config ==
Zašifrování sekce appSettings pro virtuální adresář ksprtl. Provádí se přes příkazovou řádku pod účtem administrátora následujícím příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pe "appSettings" -app "/ksprtl"

Dešifrování stejné sekce se pak provede příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pd "appSettings" -app "/ksprtl"

Následující příkaz přidělí účtu pod kterým běží asp.net právo dešifrovat zašifrované sekce web.config. V defaultním nastavením je tímto účtem "NETWORKSERVICE"

C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pa "NetFrameworkConfigurationKey" "NETWORKSERVICE"

== Odkazy ==
* [[Příručka KS Portál]]
* [[Přístup i po ukončení pracovního poměru (KS portál)]]

Instalační příručka

2026-09-03T10:48:21Z

Pavelr: /* Sekce */

{{KS portál}}
Tento dokument je vlastnictvím společnosti KS-program, spol. s r.o., Vsetín. Slouží pro potřeby školení a studia uživatelů systému Mzdy a personalistika. Žádná část dokumentu nesmí být nijak kopírována, zveřejňována nebo jinak poskytnuta třetím osobám bez předchozího písemného souhlasu odpovědných zástupců KS-program, spol. s r.o.

= Podporované prohlížeče =
Podporovanými prohlížeči jsou '''aktuální verze''' následujících produktů:
* '''''Mozilla Firefox'''''
* '''''Google Chrome'''''
* '''''Microsoft Edge'''''

Prohlížeč musí mít '''povolen ''JavaScript'' a ''Cookies''''' (výchozí nastavení).

=== Apple ===
Aplikace KS Portál je kompatibilní se zařízeními značky Apple (iPhone, iPad, Mac, aj.) 
Podporované prohlížeče jsou: Safari, Google Chrome a Mozilla Firefox

=== Historie ===
: [[Podporované prohlížeče (KS portál) (historie)]] 

= Co je potřeba ke zprovoznění KS Portálu =
* '''Windows Server 2008 R2, 2012 a vyšší'''. KS Portál potřebuje cca 100 MB místa na webovém serveru.

* '''Běhové prostředí [[.Net Framework]]. 
.

Vhodné je mít nejprve nainstalovaný webový server IIS a potom teprve nainstalovat .NET Framewok. V tomto pořadí se Framewok sám zaregistruje do IIS. Pokud toto pořadí nemůžete dodržet nebo nevíte v jakém pořadí byly tyto dvě aplikace naistalovány, spusťte registraci Frameworku do IIS ručně pomocí příkazu (jako správce z příkazové řádky) 
%windir%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe -i

* V IIS musí být povolen ASP modul. Je to ISAPI rozšíření webového serveru, které zpracovává požadavky na stránky s příponou ASPX.

= Jak postupovat při instalaci =

===Aplikace nesmí být instalována jako Web Site===

===Pro Windows Server 2008 R2, 2012 (IIS 7) a vyšší===

# Kdekoliv na disku '''vytvořte adresář ''ksprtl''''' (Doporučujeme do adresáře ''C:\Inetpub\wwwroot\'').
# Do adresáře ksprtl '''rozbalte''' obsah souboru '''''PRTXXXXY.zip''''' (XXXXY - odpovídající verze aplikace). Instalační sadu si stáhněte z: ''http://download.ksprogram.cz/download/''
# Skupině uživatelů '''''Authenticated Users'' nastavte práva''': čtení na adresáři ''ksprtl'' včetně jeho obsahu zápisu do podadresářů ''Logs'' a ''Temp''. (Pokud později bude smazán některý z uvedených podadresářů, bude nutné po vytvoření přiřadit práva znovu. hd 80459)
# '''V IIS vytvořte novou webovou aplikaci''' s odkazem na fyzický adresář ''ksprtl'' (vytvořený v bodu 1).
# V základním nastavení vytvořené webové aplikace se ujistěte, že '''aplikace běží ve fondu aplikací''' (aplikačním poolu), který využívá ''.NET Framework''.
# V souboru ''web.config'' (nebo ve vlastnostech webové aplikace) '''upravte ''ConnectionString''''', tak aby odpovídal vašemu DB připojení. (viz. ''Nastavení DB připojení'').

= Nastavení DB připojení =
Připojení na databáze MSSQL a Oracle je již implementován přímo v Net Frameworku, takže se pro tyto databázové platformy nemusí nic instalovat. K ostatním databázovým platformám je možné přistupovat prostřednictvím ODBC. Použité ODBC musí podporovat DotNet. Zákazník by měl získat ODBC od svého dodavatele databáze (my jej nedodáváme).

<nowiki>Databázové připojení v KS Portálu (ASP.NET aplikaci) definuje ConnectionString, který se nachází v sekci <connectionStrings> v souboru web.config v hlavním adresáři aplikace.</nowiki>

== Příklady ConnectionStringu ==

=== Pro MSSQL ===
<nowiki><add name="web_mzdy" connectionString="server=web_pc;database=mzdy;uid=test;pwd=test"</nowiki>

providerName="System.Data.SqlClient"/>

=== Pro Oracle ===
<nowiki><add name="web_mzdy" connectionString="Data Source=KSPROGRA;User Id=test;Password=test"</nowiki>

providerName="System.Data.OracleClient"/>

=== Pro ODBC ===
<nowiki><add name="web_mzdy" connectionString="DSN=i_mzdy" providerName="System.Data.Odbc"/></nowiki>

=== Položky DB připojení ===

{|
|name
| - jméno DB připojení
|-
|server
| - název nebo IP adresa počítače, na kterém běží DB server
|-
|database
| - název databáze, ke které bude chtít být připojeni
|-
|uid
| - login pro přístup do databáze
|-
|pwd
| - heslo pro přístup do databáze
|}

== Doplňující informace ==
=== Oracle ===
Na serveru s IIS je potřeba mít stejnou verzi klienta pro Oracle jako je Oracle databáze. Je vyžadován 32 bit oracle client. Na adresář Oracle_home (adresář oracle clienta), nadřízené a podřízené složky musí mít přístup skupina uživatelů Authenticated Users a to právo Read&Execute. Pokud nejsou práva nastavena správně objeví se chyba: ''System.Data.OracleClient requires Oracle client software version 8.1.7 or greater.''

Pokud to nepomůže nastavte stejná práva uživateli ASPNET, pod kterým běží proces ASP.NET.

=== PostgreSQL ===
* [[PostgreSQL]]

== Ze zkušeností ==
Pokud KS Portál zahlásí databázovou chybu ORA-12638 (jedná se o zdokumentovanou chybu Oracle):

''In fact this kind of error (ORA-12638) has many causes. I had it in 10.2.0.3 due to a bug. And also I had it in 9.2.0.8 because we had some troubles with our Active Directory. When the parameter SQLNET_AUTHENTIFICATION_SERVICES is set to NTS then before the connexion the Oracle server ask for a "ticket" to the Active Directory. And, if it cannot retrieve a valid "ticket" then we have the error ORA-12638.''

''So finally, I set SQLNET_AUTHENTIFICATION_SERVICES = (NTS,NONE) so the OS authentification is not compulsory ant we didn't have the error ORA-12638 anymore.''

Jak je uvedeno výše v anglickém textu, tato chyba může mít více příčin. Problém vzniká tím, že se Oracle snaží uživatele, který přistupuje do DB ověřit proti Active Directory. Do DB přistupujete pod uživatelem, který není naveden v Active Directory. Řešením je vypnout ověření DB uživatele proti Active Directory. Obecně se doporučuje v konfiguračním souboru sqlnet.ora (buď na serveru nebo na klientovi) zaměnit řádek: SQLNET.AUTHENTICATION_SERVICES= (NTS) za SQLNET.AUTHENTICATION_SERVICES= (NONE).

Lepším řešením je upravit soubor sqlnet.ora na straně Oracle klienta (na počítači, kde běží KS Portál).

= Přihlašování uživatelů KS Portálu =
KS portál nabízí tyto způsoby přihlašování uživatelů:

- Přihlášení portálovým účtem

- Windows - Systém jednotného přihlášení (SSO)

- Přihlášení active directory účtem

- Přihlášení databázovým účtem

- Přihlášení přes externí autentizační službu (OAUTH2, SAML2)

- Přihlášení externího uživatele - nezaměstnance

- Přihlášení čipovou kartou (RFID)

Při volbě způsobu přihlašování je třeba také pamatovat na to, že po ověření uživatele je potřeba nějak svázat přihlášeného uživatele s konkrétním zaměstnancem v databázi, tedy vazba login-osobní číslo, viz ZdrojOsCisla níže.

=== Přihlášení portálovým účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) na přihlašovací stránce. Teprve po vyplnění platných údajů a jejich ověření získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutí na „odhlašovací“ tlačítko. Přihlašovací údaje spravuje pověřená osoba buď na staránce Nastavení/Uživatelé nebo v agendě Uživatelé KS portálu v desktopové aplikaci. Nový zaměstnanci se také mohou registrovat sami, pokud je to povoleno.

V souboru Web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, v levém stromu vyberte nejdříve webovou aplikaci ksportal v IIS/Ověřování (na WIN EN Authentication), kde povolte "Ověřování založené na formulářích" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public).

=== Windows - Systém jednotného přihlášení (SSO) ===
Uživatelé nemusí vyplňovat přihlašovací údaje (login a heslo), do portálu se přihlašují automaticky loginem, pod kterým se přihlásili k doménovému serveru prostřednictvím přihlášení do Windows, z čehož vyplývá, že je tento způsob použitelný jen uvnitř firemní sítě (případně za použití VPN).

V souboru web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Windows">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, jednak metodu nemusíte mít nainstalovánu, jednak IIS nezmění jen web.config, ale zapíše povolené autentizační metody pro jednotlivé aplikace do applicationHost.config (v c:\Windows\System32\inetsrv\config). V levém stromu vyberte nejdříve webovou aplikaci ksportal, pak v IIS/Ověřování (na WIN EN Authentication), zakažte "Ověřování založené na formulářích", povolte "Ověřování systému Windows" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public). Pokud autentizace nefunguje, zakažte i metodu "Anonymní přístup".

<nowiki>
Po přidání parametru <add key="SkipLoginPage" value="true"/> se přeskočí přihlašovací stránka.
</nowiki>

Do databáze přistupuje portál buď pod DB účtem zadaným v connectionstringu, nebo pod windows účtem uživatele pokud je v connectstringu nastaveno Integrated Security=true a identita fondu aplikace je ponechána na hodnotě ApplicationPoolIdentity (tj. není nastaven specifický účet zosobnění).

=== Přihlášení active directory účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) k active directory účtu. Teprve po vyplnění platných údajů na přihlašovací stránce získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutím na tlačítko „Odhlásit“. Tento způsob přihlášení, narozdíl od windows SSO, je možno použít i pro uživatele hlásící se zvenku, mimo firemní síť (samozřejmě jen pokud je portál vystaven veřejně).

Vzhledem k tomu, že při AD autentizaci nezáleží na velikosti písmen a umožňuje použít různé formáty loginů a různé tvary domény (a při některých konfiguracích i bez domény) a při definici práv v KS je rovněž možno používat různé formáty loginů, je nutné nastavit parametr SparovaniUziv na CI-BezDomeny, aby systém při načítání práv z KS databáze pro autentizovaného uživatele ignoroval velikost písmen i doménu, jinak se práva nebudou načítat jednotně a budou záviset na tom, v jakém tvaru uživatel zadá svůj login!

Lze se přihlašovat i tvarem loginu bez domény pokud je parametr SparovaniUzivAD (jiný parametr než výše) nastaven na hodnotu true.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="ad"/>
</nowiki>

<nowiki>
<add key="SparovaniUziv" value="CI-BezDomeny"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
a dále nastavit parametry s prefixem "ad_", viz Sekce <appSettings> - skupina Active Directory (příklady vyplnění naleznete v souboru web.config.default)
</nowiki>

=== Přihlášení databázovým účtem ===

Uživatel zadává databázový login a heslo, ověření probíhá prostřednictvím připojení k databázi se zadanými přihlašovacími údaji. Portál přístupuje do databáze pod jménem uživatele, v connectionstringu musí být zadány místo jména uživatele a hesla masky %user% a %password%, které jsou při vytváření připojení nahrazeny přihlašovacími údaji, které zadal uživatel. Od verze 7641A je nutno nastavit i parametr TypOvereni na hodnotu sql.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="sql"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
<add name="web_mzdy" connectionString="server=absint_pc;database=web_mzdy;uid=%user%;pwd=%password%" providerName="System.Data.SqlClient"/>
</nowiki>

=== Přihlášení přes externí autentizační službu (OAUTH2, SAML2) ===

Je možno využít přihlašování přes externí autentizační službu podporující protokol OAuth 2.0, případně SAML 2.0. Více informací je k dispozici na stránce rozšíření aplikace '''[[Externí přihlašování | Externí přihlašování]]'''

=== Přihlášení externího uživatele - nezaměstnance ===

Tento způsob přihlášení je určen pro externí uživatele (nezaměstnance), např. správce. Bez ohledu na nastavený způsob přihlašování nakonfigurovaný pro zaměstnance, se externí uživatel může přihlásit přes stránku "/Public/ExternalUserLogin.aspx", na kterou se dostane např. odkazem „Externí uživatel“ ze standardní přihlašovací stránky. Pokud je nastaven 1. způsob přihlašování, může se přihlásit i přes standardní stránku určenou pro zaměstnance. Externího zaměstnance musí pověřená osoba navést v agendě Uživatelé KS portálu/Externí uživatelé.

=== Přihlášení čipovou kartou (RFID) ===
Pro kiosky je možno zakoupit rozšíření přihlášení čipovou kartou - pro přihlášení stačí přiložit kartu k RFID čtečce karet. Více zde
[[Přihlášení pomocí čipové karty do KS portálu]]

= Zdroj informace pro vazbu login - osobní číslo =
Při přihlášení uživatele je potřeba získat i jeho osobní číslo, které jej identifikuje jako konkretního zaměstnance.
Osobní číslo se většinou získává ze stejného místa, proti kterému se uživatel ověřuje. Pokud vyvstane potřeba získat osobní číslo z jiného zdroje, je to možné nastavit parametrem
<add key="ZdrojOsCisla" value=""/>
v souboru web.config v sekci <appSettings> (viz. následující tabulka).

'''ZdrojOsCisla'''

{|<table align="center" border="2" width="100%" cellspacing="4" cellpadding="3" rules="all" style="margin:1em 1em 1em 0; border:solid 1px #AAAAAA; border-collapse:collapse;empty-cells:show;">
<tr>
<td bgcolor="#A7C1F2">'''Hodnota'''</td>
<td bgcolor="#A7C1F2">'''Význam'''</td>
<tr>
|-
| kspu (případně ks)
| osobní číslo se zjistí z agendy [[Uživatelé KS portálu]].
|-
| ad
| Osobní číslo se zjistí z Active Directory (musí být nastaveny ad_* parametry).
|-
| ez
| Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Login
|-
| ezsap
| zákaznická specialita - Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Logine nebo z tabulky sap,
|-
| eos
| Osobní číslo se zjistí ze systému EOSu verze 3.
|-
| eos4
| Osobní číslo se zjistí ze systému EOSu verze 4.
|-
| az
| Osobní číslo je stejné jako login.
|}
''Tabulka 1: Zdroj informace pro vazbu login-OČ''

= Přístupová práva uživatelů =

Řízení přístupu k údajům a operacím

Přístup uživatelů je definován prostřednictvím uživatelských rolí. Odkud se mají načítat role uživatelů určuje RoleProvider:
* KSRoleProvider – načítá aplikační role z databáze aplikace
* ADRoleProvider – načítá aplikační role z Active Directory (AD skupina je považována za KS roli pouze pokud je uvedena v parametru ad_groups, pokud ad_groups není vyplněn, tak skupina musí být v číselníku rolí)
* EosRoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 3,
* Eos4RoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 4,

Nastavení, který provider se má použít, se provádí v konfiguračním souboru aplikace.

Nastavení přístupových práv uživatelským rolím může provádět pouze administrátor KS Portálu. A to přímo v KS Portálu v menu Nastavení / Práva.

Login každého uživatele musí být přiřazen k nějaké roli, jinak nebude mít uživatel přístup k žádné části portálu. Login lze ke konkrétní roli přiřadit v agendě přístupových práv v naší aplikaci KS Mzdy (se kterou je KS Portál svázán). V agendě přístupových práv v aplikaci KS Mzdy lze přiřazovat k rolím loginy, které jsou buď v databázi (jako uživatalé DB) nebo v agendě Uživatelé KS Portálu. 
V konfiguračním souboru web.config je možno definovat výchozí roli parametrem 
<add key="VychoziRole" value=""/>, která se přiřadí všem uživatelům, kteří nebudou mít explicitně přiřazenou žádnou roli.

= Řízení přístupu na data jiných uživatelů (tzv. řádková práva) =

Nastavení provádí pouze administrátor KS Portálu. Typ řádkových práv může správce nastavit v parametrech KS Portálu (Nastavení / Parametry).
# Standardní (výchozí nastavení) – přihlášený uživatel má povolen přístup jen na pevně daný výčet osobních čísel a středisek Výčet povolených osobních čísel a středisek se nastavuje v aplikaci KS Mzdy a KS Portál toto nastavení přebírá.
# Dle systemizace – přihlášený uživatel má povolen přístup na sebe a své podřízené dle systemizace pracovních míst z aplikace KS Mzdy. V popisech pracovních míst u každého pracovního místa musí být vyplněno příslušné pracovní středisko.
# Dle AD – přihlášený uživatel má povolen přístup na sebe a své podřízené dle hierarchie v Active Directory.

* [[TypRadPrav]]

= Registrace nových uživatelů v KS Portálu =

Aby uživatel získal přístup do KS Portálu, musí mít vytvořen účet v agendě Uživatelé KS Portálu. Účet mu může ručně vytvořit (nebo upravit) správce aplikace KS Mzdy.

=== Uživatelé se mohou registrovat sami ===
Nebo je možné povolit novým zaměstnancům, aby se mohli do KS Portálu zaregistrovat sami, tedy zvolit si login a heslo bez nutnosti kontaktovat správce aplikace. Toto lze pouze za splnění 3 podmínek: ověřování uživatelů probíhá vůči údajům z agendy [[Uživatelé KS portálu]] (typ_overeni=ks nebo nevyplněn což je výchozí nastavení), zaměstnanci musí mít v agendě [[Kontakty]] naveden E-mail do práce (který zaměstnanci znají a na kterým jim přijde odkaz pro aktivaci účtu) a existuje aplikační role (např. ks_portal_zamestnanec), která se nastaví jako výchozí role (jinak by správce stejně musel uživateli přiřadit nějakou roli, aby se zaměstnanec do portálu dostal). Pro povolení samoregistrace zadejte do souboru web.config do sekce appSettings následující řádky:

<nowiki><add key="Registrace" value="user"/></nowiki>

<nowiki><add key="VychoziRole" value="ks_portal_zamestnanec"/></nowiki>

První řádek povoluje uživatelům KS Portálu registraci. Druhý musí mít ve své hodnotě zadán název výchozí uživatelské role, kterou systém uživateli bez role automaticky přiřadí.

* [[Registrace nového uživatele]]

= Další možnosti nastavení =
Základní nastavení aplikace KS Portál se provádí v souboru web.config, který se nachází v adresáři ksprtl (kořenovém adresáři aplikace).

== Sekce <appSettings> ==
V této sekci se nacházejí parametry aplikace. Jejich pořadí není důležité. Zapisují se ve tvaru <nowiki><add key="název" value="hodnota"/></nowiki>.

{|class="wikitable " border="1" cellpadding="3" cellspacing="0"
|+ Seznam parametrů sekce <appSettings> 
|- style="background-color: #A7C1F2"
| <center>'''Skupina'''</center> 
| <center>'''Název'''</center> 
| <center>'''Popis'''</center> 
| <center>'''Možné hodnoty (nebo příklad hodnoty)'''</center> 
|-
| rowspan = 26|Přihlášení || ''' PasswordExpiration '''|| Počet dnů do expirace hesla uživatele. || číslo
|-
| ''' WarningBeforePasswordExpiration '''|| Kolik dnů před expirací hesla zobrazit upozornění. || číslo
|-
| ''' LockAfterWrongPasswords '''|| Počet neplatných pokusů o zadání hesla, po kterém se uzamkne účet uživatele. || číslo
|-
| ''' MinPasswordLength '''|| Minimální požadovaná délka hesla uživatele. || číslo
|-
| ''' LastPasswordsCheck '''|| Počet minulých hesel kontrolovaných na odlišnost. || číslo
|-
| '''[[CheckPasswordComplexity]]'''|| Kontrolovat složitost hesla. Pravidlo 3/4. Pokud nastavena hodnota ''true'', pak je vyžadováno následující: Heslo musí obsahovat minimálně 3 typy následujících znaků: číslice, malá písmena, velká písmena, speciální znaky. || true / false
|-
| ''' PasswordReset '''|| Obnova zapomenutého hesla. Bez odblokování účtu, s odblokováním účtu. [[Zapomenuté heslo (správa)]] || 0 - obnova hesla je zakázána (výchozí hodnota)
1 - obnova hesla je povolena, zamknuté účty zůstanou zamknuty 
2 - obnova hesla je povolena, zamknuté účty budou odemknuty
|-
| '''PasswordResetAuth''' || Způsob obnovy zapomenutého hesla (hd 53919) || 1 - pomocí zadání pracovního e-mailu namísto loginu
|-
| ''' TypOvereni '''|| Typ ověření uživatele pro formulářové přihlášení. || kspu (ks nebo nevyplněno)=ověření účtem z agendy Uživatelé KS portálu, ad=Active Directory, sql=ověření databázovým účtem
|-
| ''' ZdrojOsCisla '''|| Udává odkud se zjišťuje osobní číslo pro login. Parametr je povinný pokud je TypOvereni nastaven na jinou hodnotu než kspu. || ks nebo kspu =Uživatelé KS portálu, ad=Active Directory, ez=evidence zaměstnanců/osobní údaje, az - osobní číslo je stejné jako login
|-
| ''' SkipLoginPage '''|| Pokud se využívá SSO (Systém jednotného přihlášení) a má se přeskočit LoginPage, provede se automaticky přihlášení. || hodnota true / false
|-
| ''' NabizeniHeslaZakazat '''|| Vypnout nabízení dříve použitého hesla na přihlašovací stránce pro uživatele a na přihlašovací stránce pro externí uživatele (hd 44956). || true
|-
| ''' SparovaniUziv '''|| Povolí volnější kontrolu loginu, bez kontroly domény a velikosti písmen. Při formulářovém přihlášení a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. Domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB. || BezDomeny, CI, CI-BezDomeny
|-
| ''' SparovaniUzivAD '''|| Hodnota true umožní přihlášení loginem bez domény i pro ad_auth_type=basic. Uplatňuje se jen u formulářového přihlášení a TypOvereni=ad. || true
|-
| ''' Admins '''|| Výčet loginů, které patří administrátorům aplikace. Jeden nebo více loginů oddělených středníkem. || admin;admin2;ksadmin
|-
| ''' ExterniUziv '''|| Zda se do aplikace mohou přihlašovat externí uživatelé (tací, kteří nejsou v cílové databázi mezi zaměstnanci). || nevyplněno – přihlásit se mohou jen zaměstnanci
True – přihlásit se mohou i externí uživatelé z agendy Uživatelé KS Portálu
|-
| ''' VychoziRole '''|| Výchozí uživatelská role, pokud nemá uživatel explicitně definovanou žádnou roli. || portal
|-
| '''VychoziRoleVedouci''' || Výchozí uživatelská role pro vedoucího pracovníka, pokud nemá explicitně definovanou (žádnou) roli. Je možné zadat více hodnot oddělených středníkem. Za vedoucího pracovníka je považován každý, kdo má nastaveno právo vidět i někoho jiného než sám sebe (neřídí se jen systemizací; pokud např. uživatel má výjimku z řádkových práv a má právo vidět někoho (kohokoliv) jiného, obdrží rovně roli pro vedoucího). ||
|-
| '''VychoziRoleVzdy''' || Zda se má výchozí uživatelská role přiřadit i v případě, že má uživatel explicitně definovanou roli. || a / '''n''' (výchozí hodnota je ''n'')
|-
| '''VychoziProfil''' || Výchozí [[Přístupové profily (portál)|profil]] ||
|-
| '''VychoziProfilVedouci''' || Výchozí [[Přístupové profily (portál)|profil]] pro vedoucího ||
|-
| ''' Registrace '''|| Způsob registrace nových uživatelů. Pokud není vyplněn ''user'', musí mít ve své hodnotě zadán název výchozí uživatelské role, do které se takto registrovaní uživatelé přiřadí. || user
|-
| ''' RegistraceRodneCislo '''|| Hodnota true při registraci zapne kontrolu shody rodného čísla v evidenci zaměstnanců pro zadané osobní číslo. || true
|-
| ''' PocetMesicuRolePoVystupu '''|| Počet měsíců platnosti role po ukončení pracovního poměru. || číslo
|-
| ''' RolePoVystupu '''|| Role po ukončení pracovního poměru. || poVystupu
|-
| ''' PristupNaVsechnyPodniky '''|| Zda má mít přihlášený uživatel přístup i na data zaměstnanců z jiných podniků v databázi (více IČ). || true - uživatel má přístup na zaměstnance ze všech podniků
nevyplněno/false – uživatel má přístup pouze na zaměstnance ze stejného podniku
|-
| rowspan = 2|Prostředí || ''' OptimalizaceMenu '''|| Zda zobrazovat celé menu aplikace nebo jen přístupné položky. || nevyplněno – zobrazí se celé menu
True / ano – zobrazí se jen přístupné položky menu
|-
| ''' ShowEmployeePhoto '''|| Zobrazování fotek zaměstnanců. || true / false
|-
| rowspan = 5|Logování || ''' ShowExceptionDetail '''|| Zda se má zobrazit detailní výpis chyb. || true / false
|-
| ''' EmailChybyZobrazovat '''|| Zda zobrazovat chyby vzniklé při pokusu odeslat email. || true
|-
| ''' AppAudit '''|| Zapnutí logování činností uživatelů na KS portále. || true
|-
| ''' LogType '''|| Způsob logování výjimek (chyb). Určuje, zda se mají zaznamenávat chyby vzniklé při běhu aplikace. Při hodnotě ""xml"" se chyby logují do Logs/Exceptions.xml, jinak do EventLogu. || nevyplněno – záznam se neprovádí 
Xml – provádí se záznam do souboru ksprtl/Logs/exceptions.xml
|-
| '''SecurityQRKod''' || [[Chybové hlášení (portál)|Chybové hlášení]] zobrazováno formou QR kódu. || '''a''' / n
|-
| rowspan = 6|Různé || ''' portal_url '''|| Řeší případy kdy např. kvůli přesměrovávání adresy KS portálu se ztratí skutečné jméno hosta, na kterého má být požadavek přesměrován a z toho důvodu se v odkazech generovaných v notifikačních emailech zobrazuje chybná adresa url. též hd 51506|| Do hodnoty se zadává celá adresa url KS portálu např. <nowiki>https://www.domena.cz/ksportal</nowiki>.
(pro desktopovou aplikaci KS mzdy existuje stejnojmenný rozšiřující parametr ve skupině 13)
|-
| ''' CachedTables '''|| Použito při optimalizacích načítání (hd 47235). [[Řešení některých problémů (KS portál)]] || názvy db tabulek
|-
| ''' Cache '''|| Způsobí potlačení ukládání stránek („kešování“) na straně prohlížeče do temporary internet files. || nopage
|-
| ''' FormatDatumu '''|| Datový typ pro datum v MSSQL DB. || nevyplněno – datum je char(10) yyyy-mm-dd
datetime – datum je typu DateTime
|-
| ''' DbCmdTimeout '''|| Maximální povolená doba pro vykonání jednoho Db příkazu, pokud překročena, objeví se hláška || Číslo znamenající délku timeoutu v sekundách
|-
| '''NotSupBrowser'''|| Blokování nepodporovaného prohlížeče || 1 - výchozí hodnota (blokace), 2 - pouze upozornění
|-
| rowspan = 10|[[Active Directory]] || ''' ad_connect_string '''|| AD LDAP cesta ke kontejneru, ve kterém jsou hledány uživatelské účty. || LDAP://server/OU=Lokality,DC=ksprogram,DC=cz
|-
| ''' ad_user '''|| AD přihlašovací jméno uživatele (včetně domény) mající právo číst informace z AD. || domena\user
|-
| ''' ad_password '''|| Heslo uživatelského účtu zadaného v ad_user. ||
|-
| ''' ad_auth_type '''|| (nepovinné) Možnost nastavení typu ověřování pro Active Directory , hodnoty=basic nebo secure (pokud secure nefunguje, může zpomalit přihlášení o 20 sekund). || basic / secure
|-
| ''' ad_search_in '''|| (nepovinné) AD podkontejnery pro prohledávání , seznam cest oddělených středníkem (relativně k ad_connect_string). Použít v případě, kdy je zapotřebí prohledávání omezit na 2 a více kontejnerů. V opačném případě, kdy se má omezit vyhledávání na jeden kontejner, lze použít přímo parametr ad_connect_string. || OU=Aktivní,OU=CZ Pobocka;OU=Aktivní,OU=SK Pobocka
|-
| ''' ad_user_filter '''|| AD Filtrovací výraz, omezující vyhledávání uživatelů v AD. || countryCode=203
|-
| ''' ad_atr_login '''|| (nepovinné) AD název atributu, ve kterém jsou uloženy přihlašovací jména uživatelů pro Microsoft AD vždy "samAccountName". ||
|-
| ''' ad_atr_os_cislo_user '''|| (povinný při ZdrojOsCisla=ad) AD název atributu, ve kterém jsou uloženy osobní čísla uživatelů. || employeeNumber, employeeId
|-
| ''' ad_atr_os_cislo_zastupce '''|| (nepovinné) AD název atributu, ve kterém je uloženo DN zástupce. ||
|-
| ''' ad_groups '''|| (nepovinné) AD role určené pro KS Portál (oddělené středníkem) - používá se jen v případě že je nastaven RoleProvider na ADRoleProvider. Pokud není vyplněno vezmou se všechny role, které existuji v KS. ||
|-
| rowspan = 5|Web proxy ||''' proxyUrl '''|| Název nebo IP adresa proxy serveru. || 127.0.0.1
|-
| ''' proxyPort '''|| Port proxy serveru. || 8888
|-
| ''' proxyUsername '''|| Login pro přístup k proxy. ||
|-
| ''' proxyPassword '''|| Heslo pro přístup k proxy. ||
|}

== Zašifrování vybraných sekcí web.config ==
Zašifrování sekce appSettings pro virtuální adresář ksprtl. Provádí se přes příkazovou řádku pod účtem administrátora následujícím příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pe "appSettings" -app "/ksprtl"

Dešifrování stejné sekce se pak provede příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pd "appSettings" -app "/ksprtl"

Následující příkaz přidělí účtu pod kterým běží asp.net právo dešifrovat zašifrované sekce web.config. V defaultním nastavením je tímto účtem "NETWORKSERVICE"

C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pa "NetFrameworkConfigurationKey" "NETWORKSERVICE"

== Odkazy ==
* [[Příručka KS Portál]]
* [[Přístup i po ukončení pracovního poměru (KS portál)]]

Přihlášení k Active Directory

2026-08-31T08:50:17Z

Pavelr:

Dialogové okno '''Přihlášení k Active Directory''' slouží pro zadání nezbytných údajů pro připojení k Active Directory.

Dialog se může zobrazit při načítání seznamu uživatelů z AD, např. v okně [[Přístupy k objektům aplikace|Přístupová práva]], nebo v modulu [[Synchronizace údajů s Active Directory]].

Údaje:

* Doména - je předvyplněna rozšiřujícím parametrem [[AD_DOMAIN (sk.13)]],
* Uživatelské jméno - je předvyplněno rozšiřujícím parametrem [[AD_USER (sk.13)]],
* Heslo - je předvyplněno skrytým rozšiřujícím parametrem [[*AD_PASS (sk.13)]] (parametr lze vyplnit pouze prostřednictvím tohoto dialogu),
* Kontejner(y) s uživateli - je předvyplněn rozšiřujícím parametrem [[AD_TopOU (sk.13)]].

Uživatel může předvyplněné údaje změnit. '''Jak uvedené údaje vyplnit naleznete v popisu příslušného rozšiřujícího parametru.'''

Pokud je uživatel správce aplikace, tak se zadané údaje uloží do rozšiřujících parametrů, ale heslo pouze v případě, že zatrhne volbu "uložit heslo (šifr. v db)". Pokud uživatel není správce, údaje se do parametrů neuloží a pouze se použijí pro připojení.

Pokud jsou všechny údaje vyplněny v rozšiřujících parametrech, tak se dialog většinou nezobrazuje, pokud potřebujete dialog znovu zobrazit kvůli změně hesla, smažte v rozšiřujích parametrech jeden z parametrů AD_DOMAIN nebo AD_USER.

== Odkazy ==
* [[Active Directory]]
* [[AD_READ_USERS (sk.13)]]

Přihlášení k Active Directory

2026-08-26T13:35:03Z

Pavelr:

Dialogové okno '''Přihlášení k Active Directory''' slouží pro zadání nezbytných údajů pro připojení k Active Directory.

Dialog se může zobrazit při načítání seznamu uživatelů z AD, např. v okně [[Přístupy k objektům aplikace|Přístupová práva]], nebo v modulu [[Synchronizace údajů s Active Directory]].

Údaje:

* Doména - je předvyplněna rozšiřujícím parametrem [[AD_DOMAIN_(sk.13)]],
* Uživatelské jméno - je předvyplněno rozšiřujícím parametrem [[AD_USER_(sk.13)]],
* Heslo - je předvyplněno skrytým rozšiřujícím parametrem [[*AD_PASS_(sk.13)]] (parametr lze vyplnit pouze prostřednictvím tohoto dialogu),
* Kontejner(y) s uživateli - je předvyplněn rozšiřujícím parametrem [[AD_TopOU_(sk.13)]].

Uživatel může předvyplněné údaje změnit. '''Jak uvedené údaje vyplnit naleznete v popisu příslušného rozšiřujícího parametru.'''

Pokud je uživatel správce aplikace, tak se zadané údaje uloží do rozšiřujících parametrů, ale heslo pouze v případě, že zatrhne volbu "uložit heslo (šifr. v db)". Pokud uživatel není správce, údaje se do parametrů neuloží a pouze se použijí pro připojení.

Pokud jsou všechny údaje vyplněny v rozšiřujících parametrech, tak se dialog většinou nezobrazuje, pokud potřebujete dialog znovu zobrazit kvůli změně hesla, smažte v rozšiřujích parametrech jeden z parametrů AD_DOMAIN nebo AD_USER.

== Odkazy ==
* [[Active Directory]]
* [[AD_READ_USERS (sk.13)]]

Přihlášení k Active Directory

2026-08-26T13:29:50Z

Pavelr:

Dialogové okno '''Přihlášení k Active Directory''' slouží pro zadání nezbytných údajů pro připojení k Active Directory.

Dialog se může zobrazit při načítání seznamu uživatelů z AD, např. v okně [[Přístupy k objektům aplikace|Přístupová práva]], nebo v modulu [[Synchronizace údajů s Active Directory]].

Údaje:

* Doména - je předvyplněna rozšiřujícím parametrem [[AD_DOMAIN_(sk.13)]],
* Uživatelské jméno - je předvyplněno rozšiřujícím parametrem [[AD_USER_(sk.13)]],
* Heslo - je předvyplněno skrytým rozšiřujícím parametrem [[*AD_PASS_(sk.13)]] (parametr lze vyplnit pouze prostřednictvím tohoto dialogu),
* Kontejner(y) s uživateli - je předvyplněn rozšiřujícím parametrem [[AD_TopOU_(sk.13)]].

Uživatel může předvyplněné údaje změnit. Pro popis, jak uvedené údaje vyplnit, použijte popis u příslušného rozšiřujícího parametru.

Pokud je uživatel správce aplikace, tak se zadané údaje uloží do rozšiřujících parametrů, ale heslo pouze v případě, že zatrhne volbu "uložit heslo (šifr. v db)". Pokud uživatel není správce, údaje se do parametrů neuloží a pouze se použijí pro připojení.

Pokud jsou všechny údaje vyplněny v rozšiřujících parametrech, tak se dialog většinou nezobrazuje, pokud potřebujete dialog znovu zobrazit kvůli změně hesla, smažte v rozšiřujích parametrech jeden z parametrů AD_DOMAIN nebo AD_USER.

== Odkazy ==
* [[Active Directory]]
* [[AD_READ_USERS (sk.13)]]

AD USER (sk.13)

2026-08-26T13:13:08Z

Pavelr: založena nová stránka s textem „Rozšiřující parametr '''AD_USER''' obsahuje login pro přístup k AD, login zadávejte včetně domény ve tvaru doména\login. Parametr je možno vyplnit v agendě rozšiřujících parametrů ve skupině 13 - Správa systému, lze jej vyplnit i prostřednictvím dialogu Přihlášení k Active Directory. ===Odkazy:=== * Active Directory * *AD_PASS (sk.13) * AD_DOMAIN (sk.13) * AD_TopOU (sk.13)“

Rozšiřující parametr '''AD_USER''' obsahuje login pro přístup k AD, login zadávejte včetně domény ve tvaru doména\login. Parametr je možno vyplnit v agendě rozšiřujících parametrů ve skupině 13 - Správa systému, lze jej vyplnit i prostřednictvím dialogu [[Přihlášení k Active Directory]].

===Odkazy:===
* [[Active Directory]]
* [[*AD_PASS (sk.13)]]
* [[AD_DOMAIN (sk.13)]]
* [[AD_TopOU (sk.13)]]

*AD PASS (sk.13)

2026-08-26T13:08:28Z

Pavelr: založena nová stránka s textem „Rozšiřující parametr *AD_PASS obsahuje zašifrované heslo pro přístup k AD. Parametr je v agendě rozšiřujících parametrů skrytý a lze jej vyplnit pouze prostřednictvím dialogu Přihlášení k Active Directory. ===Odkazy:=== * Active Directory * AD_USER (sk.13) * AD_DOMAIN (sk.13)“

Rozšiřující parametr *AD_PASS obsahuje zašifrované heslo pro přístup k AD. Parametr je v agendě rozšiřujících parametrů skrytý a lze jej vyplnit pouze prostřednictvím dialogu [[Přihlášení k Active Directory]].

===Odkazy:===
* [[Active Directory]]
* [[AD_USER (sk.13)]]
* [[AD_DOMAIN (sk.13)]]

AD TopOU (sk.13)

2026-08-26T12:56:46Z

Pavelr:

Rozšiřující parametr '''AD_TopOU''' ve skupině 13 - Správa systému slouží pro omezení vyhledávání účtů v Ative Directory doméně na 1 podkontejner (či více podkontejnerů).

Zadává se '''relativní cesta''' od domény ke kontejneru, ve kterém jsou účty uživatelů, ne skupiny! Zadává se ve tvaru s lomítky (bez "CN=" či "OU=").

Pokud jsou účty uživatelů přímo v systémovém kontejneru Users, uveďte Users.

Pokud jsou účty uživatelů např. v domena.cz/Morava/Brno (LDAP://OU=Brno,OU=Morava,DC=domena,DC=cz), uveďte '''"Morava/Brno"'''.

Pokud ponecháte parametr nevyplněn, bude prohledávána celá doména!

V případě potřeby je možno zadat i '''více kontejnerů''', v tom případě je oddělovačem '''středník'''(;), příklad "Cechy/Beroun;Morava/Brno"

===Odkazy:===

[[Active Directory]]

AD GroupsFrom (sk.13)

2026-08-26T12:46:16Z

Pavelr:

Rozšiřující parametr '''AD_GroupsFrom''' ze skupiny 13 je nepovinný parametr a aktivuje přebírání rolí z Active Directory.

'''Vyplněním parametru se aktivují tyto 2 funkcionality:'''

1. Import seznamu rolí z Active Directory do číselníku rolí.

2. Zjištění role uživatele z Active Directory při jeho přihlášení do aplikace.

Do parametru se zadává relativní cesta ke kontejneru obsahující skupiny uživatelů (groups), příklad '''Morava/Groups'''.

Nastavením parametru se zároveň zakáže přiřazovat role uživatelům v KS. Pokud uživatelé již nějaké role v KS mají, je potřeba je před zapnutím parametru uživatelům odebrat, protože se sčítají role dříve ručně přiřazené (z tabulky prv_user_role) a ty z AD.

Parametr má vliv pouze na desktopovou aplikaci (ne KS portál).

'''Import seznamu rolí'''

Import seznamu rolí z Active Directory do seznamu rolí probíhá při otevření okna Systém/[[Přístupy k objektům aplikace|Přístupová práva]])
Názvy skupin, které se nachází v uvedeném kontejneru, se automaticky naimportují do seznamu rolí (tabulka prv_role_cisel), aby bylo možno k těmto rolím přiřazovat práva na jednotlivé části aplikace.

'''Zjištění role uživatele'''

Při přihlášení uživatele do aplikace se zjistí všechny jeho role přidělené v AD, tj. nejsou omezeny jen na role, které jsou v kontejneru AD_GroupsFrom. Role uživatele z AD se omezí na ty, které existují v seznamu rolí v KS (tj. může obsahovat navíc role vytvořené před aktivací parametru). (Role, které nejsou v KS, nemají ID a nemají tedy přidělené práva na žádné části aplikace.)

== Odkazy ==
* [[Active Directory]]

Přiřazování práv uživatelům z Active Directory

2026-08-26T11:52:07Z

Pavelr:

{{Navigace konfigurace aplikace}}
'''Menu:''' Systém – Přístupová práva

'''Automatické načítání uživatelů z AD'''

Při standardním nastavení se seznam uživatelů aplikace načítá z DB serveru, náhradních přihlášení a agendy Uživatelé KS portálu.

Nastavením rozšiřujícího parametru [[AD_READ_USERS (sk.13)]] na hodnotu "1x" nebo "vždy" lze aktivovat načítání seznamu uživatelů z Active Directory a poté jim standardním způsobem přidělit práva (roli). Více viz příslušný parametr.

'''Automatické načítání rolí z AD'''

Nastavením rozšiřujícího parametru [[AD_GroupsFrom (sk.13)]], lze aktivovat načítání seznamu rolí a také rolí uživatelů z AD. Aktivací se zároveň zakáže přiřazovat role uživatelům v KS mzdy. Více viz příslušný parametr.

== Odkazy ==
* [[Active Directory]]
* [[Systémová příručka]]

Active Directory

2026-08-26T09:40:56Z

Pavelr: /* Vazba na AD - Desktopová aplikace */

'''Active Directory (AD)'''

== Vazba na AD - Desktopová aplikace ==

Desktopová aplikace využívá Active Directory pro následující účely:

* '''ověření uživatele při přihlášení do aplikace''' (při spuštění aplikace s parametrem /T nebo /TD, ověření nepřímo - tzv. trusted connection, ověření ve skutečnosti provádí SQL server)

* '''načítání uživatelských účtů z AD''' pro účely přiřazení aplikační role, nebo '''Načítání rolí uživatelů z AD''' viz [[Přiřazování práv uživatelům z Active Directory]]

* '''synchronizace základních údajů zaměstnanců''' povětšinou směrem KS->AD. Tato funkcionalita vyžaduje programové úpravy, neboť každý zákazník má jiné požadavky na přenos údajů.
: [[Synchronizace údajů KS-AD]]
: [[Synchronizace údajů KS-AD (příklad)]]

== Parametry ==
* [[Rozšiřující parametry (skupina 13)]] - parametry začínající "AD_..."

== Vazba na AD - Portál ==
1) '''Autentizace''': Pokud chcete jen ověřovat uživatele AD účtem, tak stačí mít ve web.config nastaveno buď

a) windows SSO přihlašování: authentication mode="Windows" (přebírá se přihlášení uživatele do windows, použitelné pouze uvnitř firmy nebo přes VPN),

b) nebo formulářové přihlašování s ověřováním v AD: authentication mode="Forms", parametr TypOvereni=ad a nastavit parametry s prefixem "ad_" (příklady vyplnění naleznete v souboru web.config.default)

2) '''Vazba Osobní číslo - Login''': Pokud má být z AD zjišťováno i osobní číslo přihlášeného uživatele, pomocí kterého se účet sváže s konkrétním zaměstnancem, je třeba ve web.configu nastavit parametr ZdrojOsCisla na hodnotu "ad" a nastavit parametry s prefixem "ad_", především ad_atr_os_cislo_user, ve kterém je uveden název atributu, ve kterém se nachází osobní číslo (employeeNumber nebo employeeId)

3) '''Role''': Pokud se mají z AD přebírat i role uživatele (group) je třeba ve web.config změnit defaultProvider z KSRoleProvider na ADRoleProvider. Role s odpovídajícím názvem musí existovat i v KS. Role přebírané z AD lze omezit pomocí parametru ad_groups.

Více viz [[Instalační příručka]].

'''Dotaz: Může se správce, který není zaměstnancem, přihlásit do portálu AD účtem? '''

Ano, a to přes standardní přihlašovací stránku, ale pouze za předpokladu, že AD login je naveden v agendě "Uživatelé KS portálu" na záložce "Externí uživatelé". Pokud externí uživatel nemá AD účet, může se přihlásit přes stránku "Externí přihlášení" a to KS loginem a heslem navedeným v agendě "Uživatelé KS portálu" na záložce "Externí uživatelé" (na této stránce se ignoruje nastavení parametru TypOvereni a používá se KS ověření).

== Odkazy ==
* [[Přenosy dat]]
* [[Systémová příručka]]

AD GroupsFrom (sk.13)

2026-08-26T09:28:47Z

Pavelr: založena nová stránka s textem „Rozšiřující parametr AD_GroupsFrom ze skupiny 13 zapíná přebírání rolí uživatelů z Active Directory. Do parametru se zadává relativní cesta ke kontejneru obsahující skupiny uživatelů (groups), příklad '''Morava/Groups'''. Názvy skupin, které okno přiřazování práv, zjistí v uvedeném kontejneru se automaticky naimportují do číselníku rolí (aby bylo možno k těmto rolím přiřazovat povolené akce). Nastavením par…“

Rozšiřující parametr AD_GroupsFrom ze skupiny 13 zapíná přebírání rolí uživatelů z Active Directory.

Do parametru se zadává relativní cesta ke kontejneru obsahující skupiny uživatelů (groups), příklad '''Morava/Groups'''.
Názvy skupin, které okno přiřazování práv, zjistí v uvedeném kontejneru se automaticky naimportují do číselníku rolí (aby bylo možno k těmto rolím přiřazovat povolené akce).

Nastavením parametru se zároveň zakáže přiřazovat role uživatelům v KS. Pokud uživatelé již nějaké role v KS mají, je potřeba je před zapnutím parametru uživatelům odebrat, protože se sčítají role dříve ručně přiřazené (z tabulky prv_user_role) a ty z AD.

Role uživatele načtené z AD nejsou omezeny na role, které jsou v kontejneru v AD_GroupsFrom, ale načtou se všechny role uživatele, které se vyskytují v číselníku rolí v KS (tabulka prv_role_cisel).

== Odkazy ==
* [[Active Directory]]

Přiřazování práv uživatelům z Active Directory

2026-08-26T08:49:52Z

Pavelr:

{{Navigace konfigurace aplikace}}
'''Menu:''' Systém – Přístupová práva

'''Automatické načítání uživatelů z AD'''

Při standardním nastavení se seznam uživatelů aplikace načítá z DB serveru, náhradních přihlášení a agendy Uživatelé KS portálu.

Nastavením rozšiřujícího parametru [[AD READ USERS (sk.13)]] na hodnotu "1x" nebo "vždy" je možné načítat seznam uživatelů z Active Directory a poté jim standardním způsobem přidělit práva (roli). Více viz příslušný parametr.

'''Automatické načítání rolí z AD'''

Pokud se role nemají přiřazovat v KS, ale mají se přebírat z AD, je třeba nastavit rozšiřující parametr AD_GroupsFrom, tím se zároveň zakáže přiřazovat role v KS. Pokud účty již nějaké role v KS mají je třeba je před zapnutím parametru uživatelům odebrat, protože se sčítají role z prv_user_role a AD.

== Odkazy ==
* [[Active Directory]]
* [[Systémová příručka]]

AD READ USERS (sk.13)

2026-08-26T08:40:13Z

Pavelr: založena nová stránka s textem „Nastavením rozšiřujícího parametru '''AD_READ_USERS''' (ze skupiny 13) na hodnotu "1x" nebo "vždy" se povoluje načítání seznamu uživatelů z Active Directory. '''Parametr může nabývat hodnot:''' * "Ne" - znamená nenačítat seznam uživatelů z AD * "1x" - znamená načíst poprvé a pak již neobnovovat (v rámci jednoho spuštění aplikace) * "Vždy" - znamená načítat uživatele z AD při každém pokusu o zjištění seznamu…“

Nastavením rozšiřujícího parametru '''AD_READ_USERS''' (ze skupiny 13) na hodnotu "1x" nebo "vždy" se povoluje načítání seznamu uživatelů z Active Directory.

'''Parametr může nabývat hodnot:'''

* "Ne" - znamená nenačítat seznam uživatelů z AD

* "1x" - znamená načíst poprvé a pak již neobnovovat (v rámci jednoho spuštění aplikace)

* "Vždy" - znamená načítat uživatele z AD při každém pokusu o zjištění seznamu uživatelů

Seznam uživatelů je např. v okně přidělování práv (rolí), to má ale vlastní filtr, kde lze AD účty potlačit, i když je nastaven tento parametr!

Pokud je parametr zapnut a nejsou vyplněny rozšiřující parametry AD_DOMAIN, AD_USER, *AD_PASS, tak se při načtení uživatelů zobrazí dialog [[Přihlášení k Active Directory]].

== Odkazy ==
* [[Active Directory]]

Přihlášení k Active Directory

2026-08-26T08:32:20Z

Pavelr: založena nová stránka s textem „Dialogové okno '''Přihlášení k Active Directory''' slouží pro zadání nezbytných údajů pro připojení k Active Directoy. Údaje: * Doména - je předvyplněna rozšiřujícím parametrem AD_DOMAIN_(sk.13), * Uživatelské jméno - je předvyplněno rozšiřujícím parametrem AD_USER_(sk.13), * Heslo - je předvyplněno skrytým rozšiřujícím parametrem *AD_PASS_(sk.13) (parametr lze vyplnit pouze prostřednictvím tohot…“

Dialogové okno '''Přihlášení k Active Directory''' slouží pro zadání nezbytných údajů pro připojení k Active Directoy.

Údaje:

* Doména - je předvyplněna rozšiřujícím parametrem [[AD_DOMAIN_(sk.13)]],
* Uživatelské jméno - je předvyplněno rozšiřujícím parametrem [[AD_USER_(sk.13)]],
* Heslo - je předvyplněno skrytým rozšiřujícím parametrem [[*AD_PASS_(sk.13)]] (parametr lze vyplnit pouze prostřednictvím tohoto dialogu),
* Kontejner(y) s uživateli - je předvyplněn rozšiřujícím parametrem [[AD_TopOU_(sk.13)]].

Uživatel může předvyplněné údaje změnit. Pro popis, jak uvedené údaje vyplnit, použijte popis u příslušného rozšiřujícího parametru.

Pokud je uživatel správce aplikace, tak se zadané údaje uloží do rozšiřujících parametrů, ale heslo pouze v případě, že zatrhne volbu "uložit heslo (šifr. v db)". Pokud uživatel není správce, údaje se do parametrů neuloží a pouze se použijí pro připojení.

== Odkazy ==
* [[Active Directory]]

AD DOMAIN (sk.13)

2026-08-26T07:38:49Z

Pavelr: založena nová stránka s textem „Rozšiřující parametr '''AD_DOMAIN''' ve skupině 13 - Správa systému slouží pro zadání názvu domény Active Directory. '''Příklad''': ksprogram.int Případně IP nebo DNS název doménového serveru / doména: '''Příklad''': 192.168.0.20/ksprogram.int Odkazy: Active Directory“

Rozšiřující parametr '''AD_DOMAIN''' ve skupině 13 - Správa systému slouží pro zadání názvu domény Active Directory.

'''Příklad''': ksprogram.int

Případně IP nebo DNS název doménového serveru / doména:

'''Příklad''': 192.168.0.20/ksprogram.int

Odkazy:

[[Active Directory]]

AD TopOU (sk.13)

2026-08-26T07:28:02Z

Pavelr: založena nová stránka s textem „Rozšiřující parametr '''AD_TopOU''' ve skupině 13 - Správa systému slouží pro omezení vyhledávání účtů v doméně na 1 či více podkontejnerů. Zadává se relativní cesta od domény ke kontejneru, ve kterém jsou účty uživatelů, ne skupiny! Zadává se ve tvaru s lomítky (bez "CN=" či "OU="). Pokud jsou uživatelé přímo v systémovém kontejneru Users, uveďte Users. Pokud jsou uživatelé např v OU=Brno,OU=Morava,DC=…“

Rozšiřující parametr '''AD_TopOU''' ve skupině 13 - Správa systému slouží pro omezení vyhledávání účtů v doméně na 1 či více podkontejnerů.

Zadává se relativní cesta od domény ke kontejneru, ve kterém jsou účty uživatelů, ne skupiny! Zadává se ve tvaru s lomítky (bez "CN=" či "OU=").

Pokud jsou uživatelé přímo v systémovém kontejneru Users, uveďte Users.

Pokud jsou uživatelé např v OU=Brno,OU=Morava,DC=domena,DC=cz, uveďte "Morava/Brno".

Pokud ponecháte parametr nevyplněn, bude prohledávána celá doména!

V případě potřeby je možno zadat i více kontejnerů, v tom případě je oddělovačem středník(;), příklad "Cechy/Beroun;Morava/Brno"

Odkazy:

[[Active Directory]]

Dočasné heslo

2026-08-06T11:34:28Z

Pavelr:

Pokud je v agendě '''Uživatelé KS portálu''' u účtu zatrhnuta volba '''Dočasné heslo''', je po přihlášení uživatel přesměrován na stránku '''Nastavení - Změna hesla''' a je tedy donucen ke změně hesla (*). Funkcionalitu lze použít pouze pro přihlašování KS účtem (nikoliv AD, či Windows SSO).

* - Pro tutu funkcionalitu je nutné mít vytvořenu aplikační roli s názvem '''PortalDocasneHeslo''', která má přístup pouze na stránku '''Nastavení - Změna hesla''', aby uživatel nemohl přejít na jinou stránku.

Po změně hesla je účtu zrušen příznak dočasné heslo, následně se uživatel musí odhlásit a přihlásit novým heslem (aby se mu načetly jeho původní role).

Pokud chcete všechny uživatele donutit ke změně hesla, můžete hromadně označit jejich heslo za dočasné přes SQL příkaz:

UPDATE prtl_users SET generovane_heslo='a';

Chyba 413 - Request Entity Too Large

2026-08-04T09:10:56Z

Pavelr:

Chyba '''413 - Request Entity Too Large''' je způsobena tím, že. velikost HTTP požadavku přesáhne velikost nastavenou v parametru maxRequestLength nebo maxAllowedContentLength ve web.config (nebo applicationHost.config).

Tato chyba nastává nejčastěji při změně nastavení workflow (Pozadavky/Workflow.aspx), tato stránka potřebuje minimálně 30 MB, u složitých workflow ještě více.

==Jak to opravit==

V souboru web.config, který je umístěn na webovém serveru ve složce KS portálu (např. c:\inetpub\wwwroot\ksportal), upravte hodnoty následujících parametrů:
* '''maxRequestLength''' se udává v '''KB'''.

* '''maxAllowedContentLength''' se zadává v '''bytech'''.

<PRE>
<configuration>
...
<system.webServer>
<security>
<requestFiltering>

<requestLimits maxAllowedContentLength="83886080" />
</requestFiltering>
</security>
</system.webServer>
...
<system.web>

<httpRuntime maxRequestLength="81920" ... />
</system.web>
...
</configuration>
</PRE>

'''Chyba nejčastěji začíná takto:'''

Exception

fromJS = 1, httpStatusCode = 413 - Request Entity Too Large, errName = Sys.WebForms.PageRequestManagerServerErrorException, errMsg = An unknown error occurred while processing the request on the server. The status code returned from the server was: 413,...

ASP.NET má implicitně nastavené limity na velikost HTTP požadavků velmi nízko, jako ochranu proti DoS útokům nebo nechtěným obrovským uploadům.

Chyba 413 - Request Entity Too Large

2026-08-04T09:00:27Z

Pavelr: založena nová stránka s textem „Chyba '''413 - Request Entity Too Large''' je způsobena tím, že. velikost HTTP požadavku přesáhne velikost nastavenou v parametru maxRequestLength nebo maxAllowedContentLength ve web.config (nebo applicationHost.config). ASP.NET má implicitně nastavené limity na velikost HTTP požadavků, aby se zabránilo DoS útokům nebo nechtěným obrovským uploadům, přes parametry ve web.config lze tyto limity navýšit. Tato chyba nastává nejč…“

Chyba '''413 - Request Entity Too Large''' je způsobena tím, že. velikost HTTP požadavku přesáhne velikost nastavenou v parametru maxRequestLength nebo maxAllowedContentLength ve web.config (nebo applicationHost.config).

ASP.NET má implicitně nastavené limity na velikost HTTP požadavků, aby se zabránilo DoS útokům nebo nechtěným obrovským uploadům, přes parametry ve web.config lze tyto limity navýšit.

Tato chyba nastává nejčastěji při změně nastavení workflow (Pozadavky/Workflow.aspx), tato stránka potřebuje minimálně 30 MB, u složitých workflow ještě více.

==Jak to opravit==

Ve web.config upravte hodnoty následujících parametrů:
* '''maxRequestLength''' se udává v '''KB'''.

* '''maxAllowedContentLength''' se zadává v '''bytech'''.

<PRE>
<configuration>
<system.web>

<httpRuntime maxRequestLength="81920" ... />
</system.web>

<system.webServer>
<security>
<requestFiltering>

<requestLimits maxAllowedContentLength="83886080" />
</requestFiltering>
</security>
</system.webServer>
</configuration>
</PRE>

'''Chyba nejčastěji začíná takto:'''

Exception

fromJS = 1, httpStatusCode = 413 - Request Entity Too Large, errName = Sys.WebForms.PageRequestManagerServerErrorException, errMsg = An unknown error occurred while processing the request on the server. The status code returned from the server was: 413,...

Instalační příručka

2026-06-29T13:27:17Z

Pavelr: /* Uživatelé se mohou registrovat sami */

{{KS portál}}
Tento dokument je vlastnictvím společnosti KS-program, spol. s r.o., Vsetín. Slouží pro potřeby školení a studia uživatelů systému Mzdy a personalistika. Žádná část dokumentu nesmí být nijak kopírována, zveřejňována nebo jinak poskytnuta třetím osobám bez předchozího písemného souhlasu odpovědných zástupců KS-program, spol. s r.o.

= Podporované prohlížeče =
Podporovanými prohlížeči jsou '''aktuální verze''' následujících produktů:
* '''''Mozilla Firefox'''''
* '''''Google Chrome'''''
* '''''Microsoft Edge'''''

Prohlížeč musí mít '''povolen ''JavaScript'' a ''Cookies''''' (výchozí nastavení).

=== Apple ===
Aplikace KS Portál je kompatibilní se zařízeními značky Apple (iPhone, iPad, Mac, aj.) 
Podporované prohlížeče jsou: Safari, Google Chrome a Mozilla Firefox

=== Historie ===
: [[Podporované prohlížeče (KS portál) (historie)]] 

= Co je potřeba ke zprovoznění KS Portálu =
* '''Windows Server 2008 R2, 2012 a vyšší'''. KS Portál potřebuje cca 100 MB místa na webovém serveru.

* '''Běhové prostředí [[.Net Framework]]. 
.

Vhodné je mít nejprve nainstalovaný webový server IIS a potom teprve nainstalovat .NET Framewok. V tomto pořadí se Framewok sám zaregistruje do IIS. Pokud toto pořadí nemůžete dodržet nebo nevíte v jakém pořadí byly tyto dvě aplikace naistalovány, spusťte registraci Frameworku do IIS ručně pomocí příkazu (jako správce z příkazové řádky) 
%windir%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe -i

* V IIS musí být povolen ASP modul. Je to ISAPI rozšíření webového serveru, které zpracovává požadavky na stránky s příponou ASPX.

= Jak postupovat při instalaci =

===Aplikace nesmí být instalována jako Web Site===

===Pro Windows Server 2008 R2, 2012 (IIS 7) a vyšší===

# Kdekoliv na disku '''vytvořte adresář ''ksprtl''''' (Doporučujeme do adresáře ''C:\Inetpub\wwwroot\'').
# Do adresáře ksprtl '''rozbalte''' obsah souboru '''''PRTXXXXY.zip''''' (XXXXY - odpovídající verze aplikace). Instalační sadu si stáhněte z: ''http://download.ksprogram.cz/download/''
# Skupině uživatelů '''''Authenticated Users'' nastavte práva''': čtení na adresáři ''ksprtl'' včetně jeho obsahu zápisu do podadresářů ''Logs'' a ''Temp''. (Pokud později bude smazán některý z uvedených podadresářů, bude nutné po vytvoření přiřadit práva znovu. hd 80459)
# '''V IIS vytvořte novou webovou aplikaci''' s odkazem na fyzický adresář ''ksprtl'' (vytvořený v bodu 1).
# V základním nastavení vytvořené webové aplikace se ujistěte, že '''aplikace běží ve fondu aplikací''' (aplikačním poolu), který využívá ''.NET Framework''.
# V souboru ''web.config'' (nebo ve vlastnostech webové aplikace) '''upravte ''ConnectionString''''', tak aby odpovídal vašemu DB připojení. (viz. ''Nastavení DB připojení'').

= Nastavení DB připojení =
Připojení na databáze MSSQL a Oracle je již implementován přímo v Net Frameworku, takže se pro tyto databázové platformy nemusí nic instalovat. K ostatním databázovým platformám je možné přistupovat prostřednictvím ODBC. Použité ODBC musí podporovat DotNet. Zákazník by měl získat ODBC od svého dodavatele databáze (my jej nedodáváme).

<nowiki>Databázové připojení v KS Portálu (ASP.NET aplikaci) definuje ConnectionString, který se nachází v sekci <connectionStrings> v souboru web.config v hlavním adresáři aplikace.</nowiki>

== Příklady ConnectionStringu ==

=== Pro MSSQL ===
<nowiki><add name="web_mzdy" connectionString="server=web_pc;database=mzdy;uid=test;pwd=test"</nowiki>

providerName="System.Data.SqlClient"/>

=== Pro Oracle ===
<nowiki><add name="web_mzdy" connectionString="Data Source=KSPROGRA;User Id=test;Password=test"</nowiki>

providerName="System.Data.OracleClient"/>

=== Pro ODBC ===
<nowiki><add name="web_mzdy" connectionString="DSN=i_mzdy" providerName="System.Data.Odbc"/></nowiki>

=== Položky DB připojení ===

{|
|name
| - jméno DB připojení
|-
|server
| - název nebo IP adresa počítače, na kterém běží DB server
|-
|database
| - název databáze, ke které bude chtít být připojeni
|-
|uid
| - login pro přístup do databáze
|-
|pwd
| - heslo pro přístup do databáze
|}

== Doplňující informace ==
=== Oracle ===
Na serveru s IIS je potřeba mít stejnou verzi klienta pro Oracle jako je Oracle databáze. Je vyžadován 32 bit oracle client. Na adresář Oracle_home (adresář oracle clienta), nadřízené a podřízené složky musí mít přístup skupina uživatelů Authenticated Users a to právo Read&Execute. Pokud nejsou práva nastavena správně objeví se chyba: ''System.Data.OracleClient requires Oracle client software version 8.1.7 or greater.''

Pokud to nepomůže nastavte stejná práva uživateli ASPNET, pod kterým běží proces ASP.NET.

=== PostgreSQL ===
* [[PostgreSQL]]

== Ze zkušeností ==
Pokud KS Portál zahlásí databázovou chybu ORA-12638 (jedná se o zdokumentovanou chybu Oracle):

''In fact this kind of error (ORA-12638) has many causes. I had it in 10.2.0.3 due to a bug. And also I had it in 9.2.0.8 because we had some troubles with our Active Directory. When the parameter SQLNET_AUTHENTIFICATION_SERVICES is set to NTS then before the connexion the Oracle server ask for a "ticket" to the Active Directory. And, if it cannot retrieve a valid "ticket" then we have the error ORA-12638.''

''So finally, I set SQLNET_AUTHENTIFICATION_SERVICES = (NTS,NONE) so the OS authentification is not compulsory ant we didn't have the error ORA-12638 anymore.''

Jak je uvedeno výše v anglickém textu, tato chyba může mít více příčin. Problém vzniká tím, že se Oracle snaží uživatele, který přistupuje do DB ověřit proti Active Directory. Do DB přistupujete pod uživatelem, který není naveden v Active Directory. Řešením je vypnout ověření DB uživatele proti Active Directory. Obecně se doporučuje v konfiguračním souboru sqlnet.ora (buď na serveru nebo na klientovi) zaměnit řádek: SQLNET.AUTHENTICATION_SERVICES= (NTS) za SQLNET.AUTHENTICATION_SERVICES= (NONE).

Lepším řešením je upravit soubor sqlnet.ora na straně Oracle klienta (na počítači, kde běží KS Portál).

= Přihlašování uživatelů KS Portálu =
KS portál nabízí tyto způsoby přihlašování uživatelů:

- Přihlášení portálovým účtem

- Windows - Systém jednotného přihlášení (SSO)

- Přihlášení active directory účtem

- Přihlášení databázovým účtem

- Přihlášení přes externí autentizační službu (OAUTH2, SAML2)

- Přihlášení externího uživatele - nezaměstnance

- Přihlášení čipovou kartou (RFID)

Při volbě způsobu přihlašování je třeba také pamatovat na to, že po ověření uživatele je potřeba nějak svázat přihlášeného uživatele s konkrétním zaměstnancem v databázi, tedy vazba login-osobní číslo, viz ZdrojOsCisla níže.

=== Přihlášení portálovým účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) na přihlašovací stránce. Teprve po vyplnění platných údajů a jejich ověření získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutí na „odhlašovací“ tlačítko. Přihlašovací údaje spravuje pověřená osoba buď na staránce Nastavení/Uživatelé nebo v agendě Uživatelé KS portálu v desktopové aplikaci. Nový zaměstnanci se také mohou registrovat sami, pokud je to povoleno.

V souboru Web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, v levém stromu vyberte nejdříve webovou aplikaci ksportal v IIS/Ověřování (na WIN EN Authentication), kde povolte "Ověřování založené na formulářích" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public).

=== Windows - Systém jednotného přihlášení (SSO) ===
Uživatelé nemusí vyplňovat přihlašovací údaje (login a heslo), do portálu se přihlašují automaticky loginem, pod kterým se přihlásili k doménovému serveru prostřednictvím přihlášení do Windows, z čehož vyplývá, že je tento způsob použitelný jen uvnitř firemní sítě (případně za použití VPN).

V souboru web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Windows">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, jednak metodu nemusíte mít nainstalovánu, jednak IIS nezmění jen web.config, ale zapíše povolené autentizační metody pro jednotlivé aplikace do applicationHost.config (v c:\Windows\System32\inetsrv\config). V levém stromu vyberte nejdříve webovou aplikaci ksportal, pak v IIS/Ověřování (na WIN EN Authentication), zakažte "Ověřování založené na formulářích", povolte "Ověřování systému Windows" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public). Pokud autentizace nefunguje, zakažte i metodu "Anonymní přístup".

<nowiki>
Po přidání parametru <add key="SkipLoginPage" value="true"/> se přeskočí přihlašovací stránka.
</nowiki>

Do databáze přistupuje portál buď pod DB účtem zadaným v connectionstringu, nebo pod windows účtem uživatele pokud je v connectstringu nastaveno Integrated Security=true a identita fondu aplikace je ponechána na hodnotě ApplicationPoolIdentity (tj. není nastaven specifický účet zosobnění).

=== Přihlášení active directory účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) k active directory účtu. Teprve po vyplnění platných údajů na přihlašovací stránce získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutím na tlačítko „Odhlásit“. Tento způsob přihlášení, narozdíl od windows SSO, je možno použít i pro uživatele hlásící se zvenku, mimo firemní síť (samozřejmě jen pokud je portál vystaven veřejně).

Vzhledem k tomu, že při AD autentizaci nezáleží na velikosti písmen a umožňuje použít různé formáty loginů a různé tvary domény (a při některých konfiguracích i bez domény) a při definici práv v KS je rovněž možno používat různé formáty loginů, je nutné nastavit parametr SparovaniUziv na CI-BezDomeny, aby systém při načítání práv z KS databáze pro autentizovaného uživatele ignoroval velikost písmen i doménu, jinak se práva nebudou načítat jednotně a budou záviset na tom, v jakém tvaru uživatel zadá svůj login!

Lze se přihlašovat i tvarem loginu bez domény pokud je parametr SparovaniUzivAD (jiný parametr než výše) nastaven na hodnotu true.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="ad"/>
</nowiki>

<nowiki>
<add key="SparovaniUziv" value="CI-BezDomeny"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
a dále nastavit parametry s prefixem "ad_", viz Sekce <appSettings> - skupina Active Directory (příklady vyplnění naleznete v souboru web.config.default)
</nowiki>

=== Přihlášení databázovým účtem ===

Uživatel zadává databázový login a heslo, ověření probíhá prostřednictvím připojení k databázi se zadanými přihlašovacími údaji. Portál přístupuje do databáze pod jménem uživatele, v connectionstringu musí být zadány místo jména uživatele a hesla masky %user% a %password%, které jsou při vytváření připojení nahrazeny přihlašovacími údaji, které zadal uživatel. Od verze 7641A je nutno nastavit i parametr TypOvereni na hodnotu sql.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="sql"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
<add name="web_mzdy" connectionString="server=absint_pc;database=web_mzdy;uid=%user%;pwd=%password%" providerName="System.Data.SqlClient"/>
</nowiki>

=== Přihlášení přes externí autentizační službu (OAUTH2, SAML2) ===

Je možno využít přihlašování přes externí autentizační službu podporující protokol OAuth 2.0, případně SAML 2.0. Více informací je k dispozici na stránce rozšíření aplikace '''[[Externí přihlašování | Externí přihlašování]]'''

=== Přihlášení externího uživatele - nezaměstnance ===

Tento způsob přihlášení je určen pro externí uživatele (nezaměstnance), např. správce. Bez ohledu na nastavený způsob přihlašování nakonfigurovaný pro zaměstnance, se externí uživatel může přihlásit přes stránku "/Public/ExternalUserLogin.aspx", na kterou se dostane např. odkazem „Externí uživatel“ ze standardní přihlašovací stránky. Pokud je nastaven 1. způsob přihlašování, může se přihlásit i přes standardní stránku určenou pro zaměstnance. Externího zaměstnance musí pověřená osoba navést v agendě Uživatelé KS portálu/Externí uživatelé.

=== Přihlášení čipovou kartou (RFID) ===
Pro kiosky je možno zakoupit rozšíření přihlášení čipovou kartou - pro přihlášení stačí přiložit kartu k RFID čtečce karet. Více zde
[[Přihlášení pomocí čipové karty do KS portálu]]

= Zdroj informace pro vazbu login - osobní číslo =
Při přihlášení uživatele je potřeba získat i jeho osobní číslo, které jej identifikuje jako konkretního zaměstnance.
Osobní číslo se většinou získává ze stejného místa, proti kterému se uživatel ověřuje. Pokud vyvstane potřeba získat osobní číslo z jiného zdroje, je to možné nastavit parametrem
<add key="ZdrojOsCisla" value=""/>
v souboru web.config v sekci <appSettings> (viz. následující tabulka).

'''ZdrojOsCisla'''

{|<table align="center" border="2" width="100%" cellspacing="4" cellpadding="3" rules="all" style="margin:1em 1em 1em 0; border:solid 1px #AAAAAA; border-collapse:collapse;empty-cells:show;">
<tr>
<td bgcolor="#A7C1F2">'''Hodnota'''</td>
<td bgcolor="#A7C1F2">'''Význam'''</td>
<tr>
|-
| kspu (případně ks)
| osobní číslo se zjistí z agendy [[Uživatelé KS portálu]].
|-
| ad
| Osobní číslo se zjistí z Active Directory (musí být nastaveny ad_* parametry).
|-
| ez
| Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Login
|-
| ezsap
| zákaznická specialita - Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Logine nebo z tabulky sap,
|-
| eos
| Osobní číslo se zjistí ze systému EOSu verze 3.
|-
| eos4
| Osobní číslo se zjistí ze systému EOSu verze 4.
|-
| az
| Osobní číslo je stejné jako login.
|}
''Tabulka 1: Zdroj informace pro vazbu login-OČ''

= Přístupová práva uživatelů =

Řízení přístupu k údajům a operacím

Přístup uživatelů je definován prostřednictvím uživatelských rolí. Odkud se mají načítat role uživatelů určuje RoleProvider:
* KSRoleProvider – načítá aplikační role z databáze aplikace
* ADRoleProvider – načítá aplikační role z Active Directory (AD skupina je považována za KS roli pouze pokud je uvedena v parametru ad_groups, pokud ad_groups není vyplněn, tak skupina musí být v číselníku rolí)
* EosRoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 3,
* Eos4RoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 4,

Nastavení, který provider se má použít, se provádí v konfiguračním souboru aplikace.

Nastavení přístupových práv uživatelským rolím může provádět pouze administrátor KS Portálu. A to přímo v KS Portálu v menu Nastavení / Práva.

Login každého uživatele musí být přiřazen k nějaké roli, jinak nebude mít uživatel přístup k žádné části portálu. Login lze ke konkrétní roli přiřadit v agendě přístupových práv v naší aplikaci KS Mzdy (se kterou je KS Portál svázán). V agendě přístupových práv v aplikaci KS Mzdy lze přiřazovat k rolím loginy, které jsou buď v databázi (jako uživatalé DB) nebo v agendě Uživatelé KS Portálu. 
V konfiguračním souboru web.config je možno definovat výchozí roli parametrem 
<add key="VychoziRole" value=""/>, která se přiřadí všem uživatelům, kteří nebudou mít explicitně přiřazenou žádnou roli.

= Řízení přístupu na data jiných uživatelů (tzv. řádková práva) =

Nastavení provádí pouze administrátor KS Portálu. Typ řádkových práv může správce nastavit v parametrech KS Portálu (Nastavení / Parametry).
# Standardní (výchozí nastavení) – přihlášený uživatel má povolen přístup jen na pevně daný výčet osobních čísel a středisek Výčet povolených osobních čísel a středisek se nastavuje v aplikaci KS Mzdy a KS Portál toto nastavení přebírá.
# Dle systemizace – přihlášený uživatel má povolen přístup na sebe a své podřízené dle systemizace pracovních míst z aplikace KS Mzdy. V popisech pracovních míst u každého pracovního místa musí být vyplněno příslušné pracovní středisko.
# Dle AD – přihlášený uživatel má povolen přístup na sebe a své podřízené dle hierarchie v Active Directory.

* [[TypRadPrav]]

= Registrace nových uživatelů v KS Portálu =

Aby uživatel získal přístup do KS Portálu, musí mít vytvořen účet v agendě Uživatelé KS Portálu. Účet mu může ručně vytvořit (nebo upravit) správce aplikace KS Mzdy.

=== Uživatelé se mohou registrovat sami ===
Nebo je možné povolit novým zaměstnancům, aby se mohli do KS Portálu zaregistrovat sami, tedy zvolit si login a heslo bez nutnosti kontaktovat správce aplikace. Toto lze pouze za splnění 3 podmínek: ověřování uživatelů probíhá vůči údajům z agendy [[Uživatelé KS portálu]] (typ_overeni=ks nebo nevyplněn což je výchozí nastavení), zaměstnanci musí mít v agendě [[Kontakty]] naveden E-mail do práce (který zaměstnanci znají a na kterým jim přijde odkaz pro aktivaci účtu) a existuje aplikační role (např. ks_portal_zamestnanec), která se nastaví jako výchozí role (jinak by správce stejně musel uživateli přiřadit nějakou roli, aby se zaměstnanec do portálu dostal). Pro povolení samoregistrace zadejte do souboru web.config do sekce appSettings následující řádky:

<nowiki><add key="Registrace" value="user"/></nowiki>

<nowiki><add key="VychoziRole" value="ks_portal_zamestnanec"/></nowiki>

První řádek povoluje uživatelům KS Portálu registraci. Druhý musí mít ve své hodnotě zadán název výchozí uživatelské role, kterou systém uživateli bez role automaticky přiřadí.

* [[Registrace nového uživatele]]

= Další možnosti nastavení =
Základní nastavení aplikace KS Portál se provádí v souboru web.config, který se nachází v adresáři ksprtl (kořenovém adresáři aplikace).

== Sekce <appSettings> ==
V této sekci se nacházejí parametry aplikace. Jejich pořadí není důležité. Zapisují se ve tvaru <nowiki><add key="název" value="hodnota"/></nowiki>.

{|class="wikitable " border="1" cellpadding="3" cellspacing="0"
|+ Seznam parametrů sekce <appSettings> 
|- style="background-color: #A7C1F2"
| <center>'''Skupina'''</center> 
| <center>'''Název'''</center> 
| <center>'''Popis'''</center> 
| <center>'''Možné hodnoty (nebo příklad hodnoty)'''</center> 
|-
| rowspan = 24|Přihlášení || ''' PasswordExpiration '''|| Počet dnů do expirace hesla uživatele. || číslo
|-
| ''' WarningBeforePasswordExpiration '''|| Kolik dnů před expirací hesla zobrazit upozornění. || číslo
|-
| ''' LockAfterWrongPasswords '''|| Počet neplatných pokusů o zadání hesla, po kterém se uzamkne účet uživatele. || číslo
|-
| ''' MinPasswordLength '''|| Minimální požadovaná délka hesla uživatele. || číslo
|-
| ''' LastPasswordsCheck '''|| Počet minulých hesel kontrolovaných na odlišnost. || číslo
|-
| '''[[CheckPasswordComplexity]]'''|| Kontrolovat složitost hesla. Pravidlo 3/4. Pokud nastavena hodnota ''true'', pak je vyžadováno následující: Heslo musí obsahovat minimálně 3 typy následujících znaků: číslice, malá písmena, velká písmena, speciální znaky. || true / false
|-
| ''' PasswordReset '''|| Obnova zapomenutého hesla. Bez odblokování účtu, s odblokováním účtu. [[Zapomenuté heslo (správa)]] || 0 - obnova hesla je zakázána (výchozí hodnota)
1 - obnova hesla je povolena, zamknuté účty zůstanou zamknuty 
2 - obnova hesla je povolena, zamknuté účty budou odemknuty
|-
| '''PasswordResetAuth''' || Způsob obnovy zapomenutého hesla (hd 53919) || 1 - pomocí zadání pracovního e-mailu namísto loginu
|-
| ''' TypOvereni '''|| Typ ověření uživatele pro formulářové přihlášení. || kspu (ks nebo nevyplněno)=ověření účtem z agendy Uživatelé KS portálu, ad=Active Directory, sql=ověření databázovým účtem
|-
| ''' ZdrojOsCisla '''|| Udává odkud se zjišťuje osobní číslo pro login. Parametr je povinný pokud je TypOvereni nastaven na jinou hodnotu než kspu. || ks nebo kspu =Uživatelé KS portálu, ad=Active Directory, ez=evidence zaměstnanců/osobní údaje, az - osobní číslo je stejné jako login
|-
| ''' SkipLoginPage '''|| Pokud se využívá SSO (Systém jednotného přihlášení) a má se přeskočit LoginPage, provede se automaticky přihlášení. || hodnota true / false
|-
| ''' NabizeniHeslaZakazat '''|| Vypnout nabízení dříve použitého hesla na přihlašovací stránce pro uživatele a na přihlašovací stránce pro externí uživatele (hd 44956). || true
|-
| ''' SparovaniUziv '''|| Povolí volnější kontrolu loginu, bez kontroly domény a velikosti písmen. Při formulářovém přihlášení a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. Domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB. || BezDomeny, CI, CI-BezDomeny
|-
| ''' SparovaniUzivAD '''|| Hodnota true umožní přihlášení loginem bez domény i pro ad_auth_type=basic. Uplatňuje se jen u formulářového přihlášení a TypOvereni=ad. || true
|-
| ''' Admins '''|| Výčet loginů, které patří administrátorům aplikace. Jeden nebo více loginů oddělených středníkem. || admin;admin2;ksadmin
|-
| ''' ExterniUziv '''|| Zda se do aplikace mohou přihlašovat externí uživatelé (tací, kteří nejsou v cílové databázi mezi zaměstnanci). || nevyplněno – přihlásit se mohou jen zaměstnanci
True – přihlásit se mohou i externí uživatelé z agendy Uživatelé KS Portálu
|-
| ''' VychoziRole '''|| Výchozí uživatelská role, pokud nemá uživatel explicitně definovanou žádnou roli. || portal
|-
| '''VychoziRoleVedouci''' || Výchozí uživatelská role pro vedoucího pracovníka, pokud nemá explicitně definovanou (žádnou) roli. Je možné zadat více hodnot oddělených středníkem. Za vedoucího pracovníka je považován každý, kdo má nastaveno právo vidět i někoho jiného než sám sebe (neřídí se jen systemizací; pokud např. uživatel má výjimku z řádkových práv a má právo vidět někoho (kohokoliv) jiného, obdrží rovně roli pro vedoucího). ||
|-
| '''VychoziRoleVzdy''' || Zda se má výchozí uživatelská role přiřadit i v případě, že má uživatel explicitně definovanou roli. || a / '''n''' (výchozí hodnota je ''n'')
|-
| '''VychoziProfil''' || Výchozí [[Přístupové profily (portál)|profil]] ||
|-
| '''VychoziProfilVedouci''' || Výchozí [[Přístupové profily (portál)|profil]] pro vedoucího ||
|-
| ''' Registrace '''|| Způsob registrace nových uživatelů. Pokud není vyplněn ''user'', musí mít ve své hodnotě zadán název výchozí uživatelské role, do které se takto registrovaní uživatelé přiřadí. || user
|-
| ''' RegistraceRodneCislo '''|| Hodnota true při registraci zapne kontrolu shody rodného čísla v evidenci zaměstnanců pro zadané osobní číslo. || true
|-
| ''' PocetMesicuRolePoVystupu '''|| Počet měsíců platnosti role po ukončení pracovního poměru. || číslo
|-
| ''' RolePoVystupu '''|| Role po ukončení pracovního poměru. || poVystupu
|-
| ''' PristupNaVsechnyPodniky '''|| Zda má mít přihlášený uživatel přístup i na data zaměstnanců z jiných podniků v databázi (více IČ). || true - uživatel má přístup na zaměstnance ze všech podniků
nevyplněno/false – uživatel má přístup pouze na zaměstnance ze stejného podniku
|-
| rowspan = 2|Prostředí || ''' OptimalizaceMenu '''|| Zda zobrazovat celé menu aplikace nebo jen přístupné položky. || nevyplněno – zobrazí se celé menu
True / ano – zobrazí se jen přístupné položky menu
|-
| ''' ShowEmployeePhoto '''|| Zobrazování fotek zaměstnanců. || true / false
|-
| rowspan = 5|Logování || ''' ShowExceptionDetail '''|| Zda se má zobrazit detailní výpis chyb. || true / false
|-
| ''' EmailChybyZobrazovat '''|| Zda zobrazovat chyby vzniklé při pokusu odeslat email. || true
|-
| ''' AppAudit '''|| Zapnutí logování činností uživatelů na KS portále. || true
|-
| ''' LogType '''|| Způsob logování výjimek (chyb). Určuje, zda se mají zaznamenávat chyby vzniklé při běhu aplikace. Při hodnotě ""xml"" se chyby logují do Logs/Exceptions.xml, jinak do EventLogu. || nevyplněno – záznam se neprovádí 
Xml – provádí se záznam do souboru ksprtl/Logs/exceptions.xml
|-
| '''SecurityQRKod''' || [[Chybové hlášení (portál)|Chybové hlášení]] zobrazováno formou QR kódu. || '''a''' / n
|-
| rowspan = 5|Různé || ''' CachedTables '''|| Použito při optimalizacích načítání (hd 47235). [[Řešení některých problémů (KS portál)]] || názvy db tabulek
|-
| ''' Cache '''|| Způsobí potlačení ukládání stránek („kešování“) na straně prohlížeče do temporary internet files. || nopage
|-
| ''' FormatDatumu '''|| Datový typ pro datum v MSSQL DB. || nevyplněno – datum je char(10) yyyy-mm-dd
datetime – datum je typu DateTime
|-
| ''' DbCmdTimeout '''|| Maximální povolená doba pro vykonání jednoho Db příkazu, pokud překročena, objeví se hláška || Číslo znamenající délku timeoutu v sekundách
|-
| '''NotSupBrowser'''|| Blokování nepodporovaného prohlížeče || 1 - výchozí hodnota (blokace), 2 - pouze upozornění
|-
| rowspan = 10|[[Active Directory]] || ''' ad_connect_string '''|| AD LDAP cesta ke kontejneru, ve kterém jsou hledány uživatelské účty. || LDAP://server/OU=Lokality,DC=ksprogram,DC=cz
|-
| ''' ad_user '''|| AD přihlašovací jméno uživatele (včetně domény) mající právo číst informace z AD. || domena\user
|-
| ''' ad_password '''|| Heslo uživatelského účtu zadaného v ad_user. ||
|-
| ''' ad_auth_type '''|| (nepovinné) Možnost nastavení typu ověřování pro Active Directory , hodnoty=basic nebo secure (pokud secure nefunguje, může zpomalit přihlášení o 20 sekund). || basic / secure
|-
| ''' ad_search_in '''|| (nepovinné) AD podkontejnery pro prohledávání , seznam cest oddělených středníkem (relativně k ad_connect_string). Použít v případě, kdy je zapotřebí prohledávání omezit na 2 a více kontejnerů. V opačném případě, kdy se má omezit vyhledávání na jeden kontejner, lze použít přímo parametr ad_connect_string. || OU=Aktivní,OU=CZ Pobocka;OU=Aktivní,OU=SK Pobocka
|-
| ''' ad_user_filter '''|| AD Filtrovací výraz, omezující vyhledávání uživatelů v AD. || countryCode=203
|-
| ''' ad_atr_login '''|| (nepovinné) AD název atributu, ve kterém jsou uloženy přihlašovací jména uživatelů pro Microsoft AD vždy "samAccountName". ||
|-
| ''' ad_atr_os_cislo_user '''|| (povinný při ZdrojOsCisla=ad) AD název atributu, ve kterém jsou uloženy osobní čísla uživatelů. || employeeNumber, employeeId
|-
| ''' ad_atr_os_cislo_zastupce '''|| (nepovinné) AD název atributu, ve kterém je uloženo DN zástupce. ||
|-
| ''' ad_groups '''|| (nepovinné) AD role určené pro KS Portál (oddělené středníkem) - používá se jen v případě že je nastaven RoleProvider na ADRoleProvider. Pokud není vyplněno vezmou se všechny role, které existuji v KS. ||
|-
| rowspan = 5|Web proxy ||''' proxyUrl '''|| Název nebo IP adresa proxy serveru. || 127.0.0.1
|-
| ''' proxyPort '''|| Port proxy serveru. || 8888
|-
| ''' proxyUsername '''|| Login pro přístup k proxy. ||
|-
| ''' proxyPassword '''|| Heslo pro přístup k proxy. ||
|-
| ''' portal_url '''|| Řeší případy kdy např. kvůli přesměrovávání adresy KS portálu se ztratí skutečné jméno hosta, na kterého má být požadavek přesměrován a z toho důvodu se v odkazech generovaných v notifikačních emailech zobrazuje chybná adresa url. též hd 51506|| Do hodnoty se zadává celá adresa url KS portálu.
|}

== Zašifrování vybraných sekcí web.config ==
Zašifrování sekce appSettings pro virtuální adresář ksprtl. Provádí se přes příkazovou řádku pod účtem administrátora následujícím příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pe "appSettings" -app "/ksprtl"

Dešifrování stejné sekce se pak provede příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pd "appSettings" -app "/ksprtl"

Následující příkaz přidělí účtu pod kterým běží asp.net právo dešifrovat zašifrované sekce web.config. V defaultním nastavením je tímto účtem "NETWORKSERVICE"

C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pa "NetFrameworkConfigurationKey" "NETWORKSERVICE"

== Odkazy ==
* [[Příručka KS Portál]]
* [[Přístup i po ukončení pracovního poměru (KS portál)]]

Instalační příručka

2026-06-29T13:19:10Z

Pavelr: /* Uživatelé se mohou registrovat sami */

{{KS portál}}
Tento dokument je vlastnictvím společnosti KS-program, spol. s r.o., Vsetín. Slouží pro potřeby školení a studia uživatelů systému Mzdy a personalistika. Žádná část dokumentu nesmí být nijak kopírována, zveřejňována nebo jinak poskytnuta třetím osobám bez předchozího písemného souhlasu odpovědných zástupců KS-program, spol. s r.o.

= Podporované prohlížeče =
Podporovanými prohlížeči jsou '''aktuální verze''' následujících produktů:
* '''''Mozilla Firefox'''''
* '''''Google Chrome'''''
* '''''Microsoft Edge'''''

Prohlížeč musí mít '''povolen ''JavaScript'' a ''Cookies''''' (výchozí nastavení).

=== Apple ===
Aplikace KS Portál je kompatibilní se zařízeními značky Apple (iPhone, iPad, Mac, aj.) 
Podporované prohlížeče jsou: Safari, Google Chrome a Mozilla Firefox

=== Historie ===
: [[Podporované prohlížeče (KS portál) (historie)]] 

= Co je potřeba ke zprovoznění KS Portálu =
* '''Windows Server 2008 R2, 2012 a vyšší'''. KS Portál potřebuje cca 100 MB místa na webovém serveru.

* '''Běhové prostředí [[.Net Framework]]. 
.

Vhodné je mít nejprve nainstalovaný webový server IIS a potom teprve nainstalovat .NET Framewok. V tomto pořadí se Framewok sám zaregistruje do IIS. Pokud toto pořadí nemůžete dodržet nebo nevíte v jakém pořadí byly tyto dvě aplikace naistalovány, spusťte registraci Frameworku do IIS ručně pomocí příkazu (jako správce z příkazové řádky) 
%windir%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe -i

* V IIS musí být povolen ASP modul. Je to ISAPI rozšíření webového serveru, které zpracovává požadavky na stránky s příponou ASPX.

= Jak postupovat při instalaci =

===Aplikace nesmí být instalována jako Web Site===

===Pro Windows Server 2008 R2, 2012 (IIS 7) a vyšší===

# Kdekoliv na disku '''vytvořte adresář ''ksprtl''''' (Doporučujeme do adresáře ''C:\Inetpub\wwwroot\'').
# Do adresáře ksprtl '''rozbalte''' obsah souboru '''''PRTXXXXY.zip''''' (XXXXY - odpovídající verze aplikace). Instalační sadu si stáhněte z: ''http://download.ksprogram.cz/download/''
# Skupině uživatelů '''''Authenticated Users'' nastavte práva''': čtení na adresáři ''ksprtl'' včetně jeho obsahu zápisu do podadresářů ''Logs'' a ''Temp''. (Pokud později bude smazán některý z uvedených podadresářů, bude nutné po vytvoření přiřadit práva znovu. hd 80459)
# '''V IIS vytvořte novou webovou aplikaci''' s odkazem na fyzický adresář ''ksprtl'' (vytvořený v bodu 1).
# V základním nastavení vytvořené webové aplikace se ujistěte, že '''aplikace běží ve fondu aplikací''' (aplikačním poolu), který využívá ''.NET Framework''.
# V souboru ''web.config'' (nebo ve vlastnostech webové aplikace) '''upravte ''ConnectionString''''', tak aby odpovídal vašemu DB připojení. (viz. ''Nastavení DB připojení'').

= Nastavení DB připojení =
Připojení na databáze MSSQL a Oracle je již implementován přímo v Net Frameworku, takže se pro tyto databázové platformy nemusí nic instalovat. K ostatním databázovým platformám je možné přistupovat prostřednictvím ODBC. Použité ODBC musí podporovat DotNet. Zákazník by měl získat ODBC od svého dodavatele databáze (my jej nedodáváme).

<nowiki>Databázové připojení v KS Portálu (ASP.NET aplikaci) definuje ConnectionString, který se nachází v sekci <connectionStrings> v souboru web.config v hlavním adresáři aplikace.</nowiki>

== Příklady ConnectionStringu ==

=== Pro MSSQL ===
<nowiki><add name="web_mzdy" connectionString="server=web_pc;database=mzdy;uid=test;pwd=test"</nowiki>

providerName="System.Data.SqlClient"/>

=== Pro Oracle ===
<nowiki><add name="web_mzdy" connectionString="Data Source=KSPROGRA;User Id=test;Password=test"</nowiki>

providerName="System.Data.OracleClient"/>

=== Pro ODBC ===
<nowiki><add name="web_mzdy" connectionString="DSN=i_mzdy" providerName="System.Data.Odbc"/></nowiki>

=== Položky DB připojení ===

{|
|name
| - jméno DB připojení
|-
|server
| - název nebo IP adresa počítače, na kterém běží DB server
|-
|database
| - název databáze, ke které bude chtít být připojeni
|-
|uid
| - login pro přístup do databáze
|-
|pwd
| - heslo pro přístup do databáze
|}

== Doplňující informace ==
=== Oracle ===
Na serveru s IIS je potřeba mít stejnou verzi klienta pro Oracle jako je Oracle databáze. Je vyžadován 32 bit oracle client. Na adresář Oracle_home (adresář oracle clienta), nadřízené a podřízené složky musí mít přístup skupina uživatelů Authenticated Users a to právo Read&Execute. Pokud nejsou práva nastavena správně objeví se chyba: ''System.Data.OracleClient requires Oracle client software version 8.1.7 or greater.''

Pokud to nepomůže nastavte stejná práva uživateli ASPNET, pod kterým běží proces ASP.NET.

=== PostgreSQL ===
* [[PostgreSQL]]

== Ze zkušeností ==
Pokud KS Portál zahlásí databázovou chybu ORA-12638 (jedná se o zdokumentovanou chybu Oracle):

''In fact this kind of error (ORA-12638) has many causes. I had it in 10.2.0.3 due to a bug. And also I had it in 9.2.0.8 because we had some troubles with our Active Directory. When the parameter SQLNET_AUTHENTIFICATION_SERVICES is set to NTS then before the connexion the Oracle server ask for a "ticket" to the Active Directory. And, if it cannot retrieve a valid "ticket" then we have the error ORA-12638.''

''So finally, I set SQLNET_AUTHENTIFICATION_SERVICES = (NTS,NONE) so the OS authentification is not compulsory ant we didn't have the error ORA-12638 anymore.''

Jak je uvedeno výše v anglickém textu, tato chyba může mít více příčin. Problém vzniká tím, že se Oracle snaží uživatele, který přistupuje do DB ověřit proti Active Directory. Do DB přistupujete pod uživatelem, který není naveden v Active Directory. Řešením je vypnout ověření DB uživatele proti Active Directory. Obecně se doporučuje v konfiguračním souboru sqlnet.ora (buď na serveru nebo na klientovi) zaměnit řádek: SQLNET.AUTHENTICATION_SERVICES= (NTS) za SQLNET.AUTHENTICATION_SERVICES= (NONE).

Lepším řešením je upravit soubor sqlnet.ora na straně Oracle klienta (na počítači, kde běží KS Portál).

= Přihlašování uživatelů KS Portálu =
KS portál nabízí tyto způsoby přihlašování uživatelů:

- Přihlášení portálovým účtem

- Windows - Systém jednotného přihlášení (SSO)

- Přihlášení active directory účtem

- Přihlášení databázovým účtem

- Přihlášení přes externí autentizační službu (OAUTH2, SAML2)

- Přihlášení externího uživatele - nezaměstnance

- Přihlášení čipovou kartou (RFID)

Při volbě způsobu přihlašování je třeba také pamatovat na to, že po ověření uživatele je potřeba nějak svázat přihlášeného uživatele s konkrétním zaměstnancem v databázi, tedy vazba login-osobní číslo, viz ZdrojOsCisla níže.

=== Přihlášení portálovým účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) na přihlašovací stránce. Teprve po vyplnění platných údajů a jejich ověření získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutí na „odhlašovací“ tlačítko. Přihlašovací údaje spravuje pověřená osoba buď na staránce Nastavení/Uživatelé nebo v agendě Uživatelé KS portálu v desktopové aplikaci. Nový zaměstnanci se také mohou registrovat sami, pokud je to povoleno.

V souboru Web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, v levém stromu vyberte nejdříve webovou aplikaci ksportal v IIS/Ověřování (na WIN EN Authentication), kde povolte "Ověřování založené na formulářích" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public).

=== Windows - Systém jednotného přihlášení (SSO) ===
Uživatelé nemusí vyplňovat přihlašovací údaje (login a heslo), do portálu se přihlašují automaticky loginem, pod kterým se přihlásili k doménovému serveru prostřednictvím přihlášení do Windows, z čehož vyplývá, že je tento způsob použitelný jen uvnitř firemní sítě (případně za použití VPN).

V souboru web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Windows">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, jednak metodu nemusíte mít nainstalovánu, jednak IIS nezmění jen web.config, ale zapíše povolené autentizační metody pro jednotlivé aplikace do applicationHost.config (v c:\Windows\System32\inetsrv\config). V levém stromu vyberte nejdříve webovou aplikaci ksportal, pak v IIS/Ověřování (na WIN EN Authentication), zakažte "Ověřování založené na formulářích", povolte "Ověřování systému Windows" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public). Pokud autentizace nefunguje, zakažte i metodu "Anonymní přístup".

<nowiki>
Po přidání parametru <add key="SkipLoginPage" value="true"/> se přeskočí přihlašovací stránka.
</nowiki>

Do databáze přistupuje portál buď pod DB účtem zadaným v connectionstringu, nebo pod windows účtem uživatele pokud je v connectstringu nastaveno Integrated Security=true a identita fondu aplikace je ponechána na hodnotě ApplicationPoolIdentity (tj. není nastaven specifický účet zosobnění).

=== Přihlášení active directory účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) k active directory účtu. Teprve po vyplnění platných údajů na přihlašovací stránce získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutím na tlačítko „Odhlásit“. Tento způsob přihlášení, narozdíl od windows SSO, je možno použít i pro uživatele hlásící se zvenku, mimo firemní síť (samozřejmě jen pokud je portál vystaven veřejně).

Vzhledem k tomu, že při AD autentizaci nezáleží na velikosti písmen a umožňuje použít různé formáty loginů a různé tvary domény (a při některých konfiguracích i bez domény) a při definici práv v KS je rovněž možno používat různé formáty loginů, je nutné nastavit parametr SparovaniUziv na CI-BezDomeny, aby systém při načítání práv z KS databáze pro autentizovaného uživatele ignoroval velikost písmen i doménu, jinak se práva nebudou načítat jednotně a budou záviset na tom, v jakém tvaru uživatel zadá svůj login!

Lze se přihlašovat i tvarem loginu bez domény pokud je parametr SparovaniUzivAD (jiný parametr než výše) nastaven na hodnotu true.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="ad"/>
</nowiki>

<nowiki>
<add key="SparovaniUziv" value="CI-BezDomeny"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
a dále nastavit parametry s prefixem "ad_", viz Sekce <appSettings> - skupina Active Directory (příklady vyplnění naleznete v souboru web.config.default)
</nowiki>

=== Přihlášení databázovým účtem ===

Uživatel zadává databázový login a heslo, ověření probíhá prostřednictvím připojení k databázi se zadanými přihlašovacími údaji. Portál přístupuje do databáze pod jménem uživatele, v connectionstringu musí být zadány místo jména uživatele a hesla masky %user% a %password%, které jsou při vytváření připojení nahrazeny přihlašovacími údaji, které zadal uživatel. Od verze 7641A je nutno nastavit i parametr TypOvereni na hodnotu sql.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="sql"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
<add name="web_mzdy" connectionString="server=absint_pc;database=web_mzdy;uid=%user%;pwd=%password%" providerName="System.Data.SqlClient"/>
</nowiki>

=== Přihlášení přes externí autentizační službu (OAUTH2, SAML2) ===

Je možno využít přihlašování přes externí autentizační službu podporující protokol OAuth 2.0, případně SAML 2.0. Více informací je k dispozici na stránce rozšíření aplikace '''[[Externí přihlašování | Externí přihlašování]]'''

=== Přihlášení externího uživatele - nezaměstnance ===

Tento způsob přihlášení je určen pro externí uživatele (nezaměstnance), např. správce. Bez ohledu na nastavený způsob přihlašování nakonfigurovaný pro zaměstnance, se externí uživatel může přihlásit přes stránku "/Public/ExternalUserLogin.aspx", na kterou se dostane např. odkazem „Externí uživatel“ ze standardní přihlašovací stránky. Pokud je nastaven 1. způsob přihlašování, může se přihlásit i přes standardní stránku určenou pro zaměstnance. Externího zaměstnance musí pověřená osoba navést v agendě Uživatelé KS portálu/Externí uživatelé.

=== Přihlášení čipovou kartou (RFID) ===
Pro kiosky je možno zakoupit rozšíření přihlášení čipovou kartou - pro přihlášení stačí přiložit kartu k RFID čtečce karet. Více zde
[[Přihlášení pomocí čipové karty do KS portálu]]

= Zdroj informace pro vazbu login - osobní číslo =
Při přihlášení uživatele je potřeba získat i jeho osobní číslo, které jej identifikuje jako konkretního zaměstnance.
Osobní číslo se většinou získává ze stejného místa, proti kterému se uživatel ověřuje. Pokud vyvstane potřeba získat osobní číslo z jiného zdroje, je to možné nastavit parametrem
<add key="ZdrojOsCisla" value=""/>
v souboru web.config v sekci <appSettings> (viz. následující tabulka).

'''ZdrojOsCisla'''

{|<table align="center" border="2" width="100%" cellspacing="4" cellpadding="3" rules="all" style="margin:1em 1em 1em 0; border:solid 1px #AAAAAA; border-collapse:collapse;empty-cells:show;">
<tr>
<td bgcolor="#A7C1F2">'''Hodnota'''</td>
<td bgcolor="#A7C1F2">'''Význam'''</td>
<tr>
|-
| kspu (případně ks)
| osobní číslo se zjistí z agendy [[Uživatelé KS portálu]].
|-
| ad
| Osobní číslo se zjistí z Active Directory (musí být nastaveny ad_* parametry).
|-
| ez
| Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Login
|-
| ezsap
| zákaznická specialita - Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Logine nebo z tabulky sap,
|-
| eos
| Osobní číslo se zjistí ze systému EOSu verze 3.
|-
| eos4
| Osobní číslo se zjistí ze systému EOSu verze 4.
|-
| az
| Osobní číslo je stejné jako login.
|}
''Tabulka 1: Zdroj informace pro vazbu login-OČ''

= Přístupová práva uživatelů =

Řízení přístupu k údajům a operacím

Přístup uživatelů je definován prostřednictvím uživatelských rolí. Odkud se mají načítat role uživatelů určuje RoleProvider:
* KSRoleProvider – načítá aplikační role z databáze aplikace
* ADRoleProvider – načítá aplikační role z Active Directory (AD skupina je považována za KS roli pouze pokud je uvedena v parametru ad_groups, pokud ad_groups není vyplněn, tak skupina musí být v číselníku rolí)
* EosRoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 3,
* Eos4RoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 4,

Nastavení, který provider se má použít, se provádí v konfiguračním souboru aplikace.

Nastavení přístupových práv uživatelským rolím může provádět pouze administrátor KS Portálu. A to přímo v KS Portálu v menu Nastavení / Práva.

Login každého uživatele musí být přiřazen k nějaké roli, jinak nebude mít uživatel přístup k žádné části portálu. Login lze ke konkrétní roli přiřadit v agendě přístupových práv v naší aplikaci KS Mzdy (se kterou je KS Portál svázán). V agendě přístupových práv v aplikaci KS Mzdy lze přiřazovat k rolím loginy, které jsou buď v databázi (jako uživatalé DB) nebo v agendě Uživatelé KS Portálu. 
V konfiguračním souboru web.config je možno definovat výchozí roli parametrem 
<add key="VychoziRole" value=""/>, která se přiřadí všem uživatelům, kteří nebudou mít explicitně přiřazenou žádnou roli.

= Řízení přístupu na data jiných uživatelů (tzv. řádková práva) =

Nastavení provádí pouze administrátor KS Portálu. Typ řádkových práv může správce nastavit v parametrech KS Portálu (Nastavení / Parametry).
# Standardní (výchozí nastavení) – přihlášený uživatel má povolen přístup jen na pevně daný výčet osobních čísel a středisek Výčet povolených osobních čísel a středisek se nastavuje v aplikaci KS Mzdy a KS Portál toto nastavení přebírá.
# Dle systemizace – přihlášený uživatel má povolen přístup na sebe a své podřízené dle systemizace pracovních míst z aplikace KS Mzdy. V popisech pracovních míst u každého pracovního místa musí být vyplněno příslušné pracovní středisko.
# Dle AD – přihlášený uživatel má povolen přístup na sebe a své podřízené dle hierarchie v Active Directory.

* [[TypRadPrav]]

= Registrace nových uživatelů v KS Portálu =

Aby uživatel získal přístup do KS Portálu, musí mít vytvořen účet v agendě Uživatelé KS Portálu. Účet mu může ručně vytvořit (nebo upravit) správce aplikace KS Mzdy.

=== Uživatelé se mohou registrovat sami ===
Je také možné povolit neregistrovaným uživatelům KS Portálu, aby se mohli sami zaregistrovat. Toto lze pouze za splnění 3 podmínek: ověřování uživatelů probíhá vůči údajům z agendy [[Uživatelé KS portálu]] (typ_overeni=ks nebo nevyplněn což je výchozí nastavení), zaměstnanci musí mít v agendě [[Kontakty]] naveden E-mail do práce (který zaměstnanci znají) a existuje aplikační role (např. ks_portal_zamestnanec), která se nastaví jako výchozí role (jinak by správce stejně musel uživateli přiřadit nějakou roli, aby se zaměstnanec do portálu dostal). Pro povolení samoregistrace zadejte do souboru web.config do sekce appSettings následující řádky:

<nowiki><add key="Registrace" value="user"/></nowiki>

<nowiki><add key="VychoziRole" value="ks_portal_zamestnanec"/></nowiki>

První řádek povoluje uživatelům KS Portálu registraci. Druhý musí mít ve své hodnotě zadán název výchozí uživatelské role, kterou systém uživateli bez role automaticky přiřadí.

* [[Registrace nového uživatele]]

= Další možnosti nastavení =
Základní nastavení aplikace KS Portál se provádí v souboru web.config, který se nachází v adresáři ksprtl (kořenovém adresáři aplikace).

== Sekce <appSettings> ==
V této sekci se nacházejí parametry aplikace. Jejich pořadí není důležité. Zapisují se ve tvaru <nowiki><add key="název" value="hodnota"/></nowiki>.

{|class="wikitable " border="1" cellpadding="3" cellspacing="0"
|+ Seznam parametrů sekce <appSettings> 
|- style="background-color: #A7C1F2"
| <center>'''Skupina'''</center> 
| <center>'''Název'''</center> 
| <center>'''Popis'''</center> 
| <center>'''Možné hodnoty (nebo příklad hodnoty)'''</center> 
|-
| rowspan = 24|Přihlášení || ''' PasswordExpiration '''|| Počet dnů do expirace hesla uživatele. || číslo
|-
| ''' WarningBeforePasswordExpiration '''|| Kolik dnů před expirací hesla zobrazit upozornění. || číslo
|-
| ''' LockAfterWrongPasswords '''|| Počet neplatných pokusů o zadání hesla, po kterém se uzamkne účet uživatele. || číslo
|-
| ''' MinPasswordLength '''|| Minimální požadovaná délka hesla uživatele. || číslo
|-
| ''' LastPasswordsCheck '''|| Počet minulých hesel kontrolovaných na odlišnost. || číslo
|-
| '''[[CheckPasswordComplexity]]'''|| Kontrolovat složitost hesla. Pravidlo 3/4. Pokud nastavena hodnota ''true'', pak je vyžadováno následující: Heslo musí obsahovat minimálně 3 typy následujících znaků: číslice, malá písmena, velká písmena, speciální znaky. || true / false
|-
| ''' PasswordReset '''|| Obnova zapomenutého hesla. Bez odblokování účtu, s odblokováním účtu. [[Zapomenuté heslo (správa)]] || 0 - obnova hesla je zakázána (výchozí hodnota)
1 - obnova hesla je povolena, zamknuté účty zůstanou zamknuty 
2 - obnova hesla je povolena, zamknuté účty budou odemknuty
|-
| '''PasswordResetAuth''' || Způsob obnovy zapomenutého hesla (hd 53919) || 1 - pomocí zadání pracovního e-mailu namísto loginu
|-
| ''' TypOvereni '''|| Typ ověření uživatele pro formulářové přihlášení. || kspu (ks nebo nevyplněno)=ověření účtem z agendy Uživatelé KS portálu, ad=Active Directory, sql=ověření databázovým účtem
|-
| ''' ZdrojOsCisla '''|| Udává odkud se zjišťuje osobní číslo pro login. Parametr je povinný pokud je TypOvereni nastaven na jinou hodnotu než kspu. || ks nebo kspu =Uživatelé KS portálu, ad=Active Directory, ez=evidence zaměstnanců/osobní údaje, az - osobní číslo je stejné jako login
|-
| ''' SkipLoginPage '''|| Pokud se využívá SSO (Systém jednotného přihlášení) a má se přeskočit LoginPage, provede se automaticky přihlášení. || hodnota true / false
|-
| ''' NabizeniHeslaZakazat '''|| Vypnout nabízení dříve použitého hesla na přihlašovací stránce pro uživatele a na přihlašovací stránce pro externí uživatele (hd 44956). || true
|-
| ''' SparovaniUziv '''|| Povolí volnější kontrolu loginu, bez kontroly domény a velikosti písmen. Při formulářovém přihlášení a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. Domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB. || BezDomeny, CI, CI-BezDomeny
|-
| ''' SparovaniUzivAD '''|| Hodnota true umožní přihlášení loginem bez domény i pro ad_auth_type=basic. Uplatňuje se jen u formulářového přihlášení a TypOvereni=ad. || true
|-
| ''' Admins '''|| Výčet loginů, které patří administrátorům aplikace. Jeden nebo více loginů oddělených středníkem. || admin;admin2;ksadmin
|-
| ''' ExterniUziv '''|| Zda se do aplikace mohou přihlašovat externí uživatelé (tací, kteří nejsou v cílové databázi mezi zaměstnanci). || nevyplněno – přihlásit se mohou jen zaměstnanci
True – přihlásit se mohou i externí uživatelé z agendy Uživatelé KS Portálu
|-
| ''' VychoziRole '''|| Výchozí uživatelská role, pokud nemá uživatel explicitně definovanou žádnou roli. || portal
|-
| '''VychoziRoleVedouci''' || Výchozí uživatelská role pro vedoucího pracovníka, pokud nemá explicitně definovanou (žádnou) roli. Je možné zadat více hodnot oddělených středníkem. Za vedoucího pracovníka je považován každý, kdo má nastaveno právo vidět i někoho jiného než sám sebe (neřídí se jen systemizací; pokud např. uživatel má výjimku z řádkových práv a má právo vidět někoho (kohokoliv) jiného, obdrží rovně roli pro vedoucího). ||
|-
| '''VychoziRoleVzdy''' || Zda se má výchozí uživatelská role přiřadit i v případě, že má uživatel explicitně definovanou roli. || a / '''n''' (výchozí hodnota je ''n'')
|-
| '''VychoziProfil''' || Výchozí [[Přístupové profily (portál)|profil]] ||
|-
| '''VychoziProfilVedouci''' || Výchozí [[Přístupové profily (portál)|profil]] pro vedoucího ||
|-
| ''' Registrace '''|| Způsob registrace nových uživatelů. Pokud není vyplněn ''user'', musí mít ve své hodnotě zadán název výchozí uživatelské role, do které se takto registrovaní uživatelé přiřadí. || user
|-
| ''' RegistraceRodneCislo '''|| Hodnota true při registraci zapne kontrolu shody rodného čísla v evidenci zaměstnanců pro zadané osobní číslo. || true
|-
| ''' PocetMesicuRolePoVystupu '''|| Počet měsíců platnosti role po ukončení pracovního poměru. || číslo
|-
| ''' RolePoVystupu '''|| Role po ukončení pracovního poměru. || poVystupu
|-
| ''' PristupNaVsechnyPodniky '''|| Zda má mít přihlášený uživatel přístup i na data zaměstnanců z jiných podniků v databázi (více IČ). || true - uživatel má přístup na zaměstnance ze všech podniků
nevyplněno/false – uživatel má přístup pouze na zaměstnance ze stejného podniku
|-
| rowspan = 2|Prostředí || ''' OptimalizaceMenu '''|| Zda zobrazovat celé menu aplikace nebo jen přístupné položky. || nevyplněno – zobrazí se celé menu
True / ano – zobrazí se jen přístupné položky menu
|-
| ''' ShowEmployeePhoto '''|| Zobrazování fotek zaměstnanců. || true / false
|-
| rowspan = 5|Logování || ''' ShowExceptionDetail '''|| Zda se má zobrazit detailní výpis chyb. || true / false
|-
| ''' EmailChybyZobrazovat '''|| Zda zobrazovat chyby vzniklé při pokusu odeslat email. || true
|-
| ''' AppAudit '''|| Zapnutí logování činností uživatelů na KS portále. || true
|-
| ''' LogType '''|| Způsob logování výjimek (chyb). Určuje, zda se mají zaznamenávat chyby vzniklé při běhu aplikace. Při hodnotě ""xml"" se chyby logují do Logs/Exceptions.xml, jinak do EventLogu. || nevyplněno – záznam se neprovádí 
Xml – provádí se záznam do souboru ksprtl/Logs/exceptions.xml
|-
| '''SecurityQRKod''' || [[Chybové hlášení (portál)|Chybové hlášení]] zobrazováno formou QR kódu. || '''a''' / n
|-
| rowspan = 5|Různé || ''' CachedTables '''|| Použito při optimalizacích načítání (hd 47235). [[Řešení některých problémů (KS portál)]] || názvy db tabulek
|-
| ''' Cache '''|| Způsobí potlačení ukládání stránek („kešování“) na straně prohlížeče do temporary internet files. || nopage
|-
| ''' FormatDatumu '''|| Datový typ pro datum v MSSQL DB. || nevyplněno – datum je char(10) yyyy-mm-dd
datetime – datum je typu DateTime
|-
| ''' DbCmdTimeout '''|| Maximální povolená doba pro vykonání jednoho Db příkazu, pokud překročena, objeví se hláška || Číslo znamenající délku timeoutu v sekundách
|-
| '''NotSupBrowser'''|| Blokování nepodporovaného prohlížeče || 1 - výchozí hodnota (blokace), 2 - pouze upozornění
|-
| rowspan = 10|[[Active Directory]] || ''' ad_connect_string '''|| AD LDAP cesta ke kontejneru, ve kterém jsou hledány uživatelské účty. || LDAP://server/OU=Lokality,DC=ksprogram,DC=cz
|-
| ''' ad_user '''|| AD přihlašovací jméno uživatele (včetně domény) mající právo číst informace z AD. || domena\user
|-
| ''' ad_password '''|| Heslo uživatelského účtu zadaného v ad_user. ||
|-
| ''' ad_auth_type '''|| (nepovinné) Možnost nastavení typu ověřování pro Active Directory , hodnoty=basic nebo secure (pokud secure nefunguje, může zpomalit přihlášení o 20 sekund). || basic / secure
|-
| ''' ad_search_in '''|| (nepovinné) AD podkontejnery pro prohledávání , seznam cest oddělených středníkem (relativně k ad_connect_string). Použít v případě, kdy je zapotřebí prohledávání omezit na 2 a více kontejnerů. V opačném případě, kdy se má omezit vyhledávání na jeden kontejner, lze použít přímo parametr ad_connect_string. || OU=Aktivní,OU=CZ Pobocka;OU=Aktivní,OU=SK Pobocka
|-
| ''' ad_user_filter '''|| AD Filtrovací výraz, omezující vyhledávání uživatelů v AD. || countryCode=203
|-
| ''' ad_atr_login '''|| (nepovinné) AD název atributu, ve kterém jsou uloženy přihlašovací jména uživatelů pro Microsoft AD vždy "samAccountName". ||
|-
| ''' ad_atr_os_cislo_user '''|| (povinný při ZdrojOsCisla=ad) AD název atributu, ve kterém jsou uloženy osobní čísla uživatelů. || employeeNumber, employeeId
|-
| ''' ad_atr_os_cislo_zastupce '''|| (nepovinné) AD název atributu, ve kterém je uloženo DN zástupce. ||
|-
| ''' ad_groups '''|| (nepovinné) AD role určené pro KS Portál (oddělené středníkem) - používá se jen v případě že je nastaven RoleProvider na ADRoleProvider. Pokud není vyplněno vezmou se všechny role, které existuji v KS. ||
|-
| rowspan = 5|Web proxy ||''' proxyUrl '''|| Název nebo IP adresa proxy serveru. || 127.0.0.1
|-
| ''' proxyPort '''|| Port proxy serveru. || 8888
|-
| ''' proxyUsername '''|| Login pro přístup k proxy. ||
|-
| ''' proxyPassword '''|| Heslo pro přístup k proxy. ||
|-
| ''' portal_url '''|| Řeší případy kdy např. kvůli přesměrovávání adresy KS portálu se ztratí skutečné jméno hosta, na kterého má být požadavek přesměrován a z toho důvodu se v odkazech generovaných v notifikačních emailech zobrazuje chybná adresa url. též hd 51506|| Do hodnoty se zadává celá adresa url KS portálu.
|}

== Zašifrování vybraných sekcí web.config ==
Zašifrování sekce appSettings pro virtuální adresář ksprtl. Provádí se přes příkazovou řádku pod účtem administrátora následujícím příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pe "appSettings" -app "/ksprtl"

Dešifrování stejné sekce se pak provede příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pd "appSettings" -app "/ksprtl"

Následující příkaz přidělí účtu pod kterým běží asp.net právo dešifrovat zašifrované sekce web.config. V defaultním nastavením je tímto účtem "NETWORKSERVICE"

C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pa "NetFrameworkConfigurationKey" "NETWORKSERVICE"

== Odkazy ==
* [[Příručka KS Portál]]
* [[Přístup i po ukončení pracovního poměru (KS portál)]]

Instalační příručka

2026-06-29T08:59:39Z

Pavelr: /* Registrace nových uživatelů v KS Portálu */

{{KS portál}}
Tento dokument je vlastnictvím společnosti KS-program, spol. s r.o., Vsetín. Slouží pro potřeby školení a studia uživatelů systému Mzdy a personalistika. Žádná část dokumentu nesmí být nijak kopírována, zveřejňována nebo jinak poskytnuta třetím osobám bez předchozího písemného souhlasu odpovědných zástupců KS-program, spol. s r.o.

= Podporované prohlížeče =
Podporovanými prohlížeči jsou '''aktuální verze''' následujících produktů:
* '''''Mozilla Firefox'''''
* '''''Google Chrome'''''
* '''''Microsoft Edge'''''

Prohlížeč musí mít '''povolen ''JavaScript'' a ''Cookies''''' (výchozí nastavení).

=== Apple ===
Aplikace KS Portál je kompatibilní se zařízeními značky Apple (iPhone, iPad, Mac, aj.) 
Podporované prohlížeče jsou: Safari, Google Chrome a Mozilla Firefox

=== Historie ===
: [[Podporované prohlížeče (KS portál) (historie)]] 

= Co je potřeba ke zprovoznění KS Portálu =
* '''Windows Server 2008 R2, 2012 a vyšší'''. KS Portál potřebuje cca 100 MB místa na webovém serveru.

* '''Běhové prostředí [[.Net Framework]]. 
.

Vhodné je mít nejprve nainstalovaný webový server IIS a potom teprve nainstalovat .NET Framewok. V tomto pořadí se Framewok sám zaregistruje do IIS. Pokud toto pořadí nemůžete dodržet nebo nevíte v jakém pořadí byly tyto dvě aplikace naistalovány, spusťte registraci Frameworku do IIS ručně pomocí příkazu (jako správce z příkazové řádky) 
%windir%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe -i

* V IIS musí být povolen ASP modul. Je to ISAPI rozšíření webového serveru, které zpracovává požadavky na stránky s příponou ASPX.

= Jak postupovat při instalaci =

===Aplikace nesmí být instalována jako Web Site===

===Pro Windows Server 2008 R2, 2012 (IIS 7) a vyšší===

# Kdekoliv na disku '''vytvořte adresář ''ksprtl''''' (Doporučujeme do adresáře ''C:\Inetpub\wwwroot\'').
# Do adresáře ksprtl '''rozbalte''' obsah souboru '''''PRTXXXXY.zip''''' (XXXXY - odpovídající verze aplikace). Instalační sadu si stáhněte z: ''http://download.ksprogram.cz/download/''
# Skupině uživatelů '''''Authenticated Users'' nastavte práva''': čtení na adresáři ''ksprtl'' včetně jeho obsahu zápisu do podadresářů ''Logs'' a ''Temp''. (Pokud později bude smazán některý z uvedených podadresářů, bude nutné po vytvoření přiřadit práva znovu. hd 80459)
# '''V IIS vytvořte novou webovou aplikaci''' s odkazem na fyzický adresář ''ksprtl'' (vytvořený v bodu 1).
# V základním nastavení vytvořené webové aplikace se ujistěte, že '''aplikace běží ve fondu aplikací''' (aplikačním poolu), který využívá ''.NET Framework''.
# V souboru ''web.config'' (nebo ve vlastnostech webové aplikace) '''upravte ''ConnectionString''''', tak aby odpovídal vašemu DB připojení. (viz. ''Nastavení DB připojení'').

= Nastavení DB připojení =
Připojení na databáze MSSQL a Oracle je již implementován přímo v Net Frameworku, takže se pro tyto databázové platformy nemusí nic instalovat. K ostatním databázovým platformám je možné přistupovat prostřednictvím ODBC. Použité ODBC musí podporovat DotNet. Zákazník by měl získat ODBC od svého dodavatele databáze (my jej nedodáváme).

<nowiki>Databázové připojení v KS Portálu (ASP.NET aplikaci) definuje ConnectionString, který se nachází v sekci <connectionStrings> v souboru web.config v hlavním adresáři aplikace.</nowiki>

== Příklady ConnectionStringu ==

=== Pro MSSQL ===
<nowiki><add name="web_mzdy" connectionString="server=web_pc;database=mzdy;uid=test;pwd=test"</nowiki>

providerName="System.Data.SqlClient"/>

=== Pro Oracle ===
<nowiki><add name="web_mzdy" connectionString="Data Source=KSPROGRA;User Id=test;Password=test"</nowiki>

providerName="System.Data.OracleClient"/>

=== Pro ODBC ===
<nowiki><add name="web_mzdy" connectionString="DSN=i_mzdy" providerName="System.Data.Odbc"/></nowiki>

=== Položky DB připojení ===

{|
|name
| - jméno DB připojení
|-
|server
| - název nebo IP adresa počítače, na kterém běží DB server
|-
|database
| - název databáze, ke které bude chtít být připojeni
|-
|uid
| - login pro přístup do databáze
|-
|pwd
| - heslo pro přístup do databáze
|}

== Doplňující informace ==
=== Oracle ===
Na serveru s IIS je potřeba mít stejnou verzi klienta pro Oracle jako je Oracle databáze. Je vyžadován 32 bit oracle client. Na adresář Oracle_home (adresář oracle clienta), nadřízené a podřízené složky musí mít přístup skupina uživatelů Authenticated Users a to právo Read&Execute. Pokud nejsou práva nastavena správně objeví se chyba: ''System.Data.OracleClient requires Oracle client software version 8.1.7 or greater.''

Pokud to nepomůže nastavte stejná práva uživateli ASPNET, pod kterým běží proces ASP.NET.

=== PostgreSQL ===
* [[PostgreSQL]]

== Ze zkušeností ==
Pokud KS Portál zahlásí databázovou chybu ORA-12638 (jedná se o zdokumentovanou chybu Oracle):

''In fact this kind of error (ORA-12638) has many causes. I had it in 10.2.0.3 due to a bug. And also I had it in 9.2.0.8 because we had some troubles with our Active Directory. When the parameter SQLNET_AUTHENTIFICATION_SERVICES is set to NTS then before the connexion the Oracle server ask for a "ticket" to the Active Directory. And, if it cannot retrieve a valid "ticket" then we have the error ORA-12638.''

''So finally, I set SQLNET_AUTHENTIFICATION_SERVICES = (NTS,NONE) so the OS authentification is not compulsory ant we didn't have the error ORA-12638 anymore.''

Jak je uvedeno výše v anglickém textu, tato chyba může mít více příčin. Problém vzniká tím, že se Oracle snaží uživatele, který přistupuje do DB ověřit proti Active Directory. Do DB přistupujete pod uživatelem, který není naveden v Active Directory. Řešením je vypnout ověření DB uživatele proti Active Directory. Obecně se doporučuje v konfiguračním souboru sqlnet.ora (buď na serveru nebo na klientovi) zaměnit řádek: SQLNET.AUTHENTICATION_SERVICES= (NTS) za SQLNET.AUTHENTICATION_SERVICES= (NONE).

Lepším řešením je upravit soubor sqlnet.ora na straně Oracle klienta (na počítači, kde běží KS Portál).

= Přihlašování uživatelů KS Portálu =
KS portál nabízí tyto způsoby přihlašování uživatelů:

- Přihlášení portálovým účtem

- Windows - Systém jednotného přihlášení (SSO)

- Přihlášení active directory účtem

- Přihlášení databázovým účtem

- Přihlášení přes externí autentizační službu (OAUTH2, SAML2)

- Přihlášení externího uživatele - nezaměstnance

- Přihlášení čipovou kartou (RFID)

Při volbě způsobu přihlašování je třeba také pamatovat na to, že po ověření uživatele je potřeba nějak svázat přihlášeného uživatele s konkrétním zaměstnancem v databázi, tedy vazba login-osobní číslo, viz ZdrojOsCisla níže.

=== Přihlášení portálovým účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) na přihlašovací stránce. Teprve po vyplnění platných údajů a jejich ověření získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutí na „odhlašovací“ tlačítko. Přihlašovací údaje spravuje pověřená osoba buď na staránce Nastavení/Uživatelé nebo v agendě Uživatelé KS portálu v desktopové aplikaci. Nový zaměstnanci se také mohou registrovat sami, pokud je to povoleno.

V souboru Web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, v levém stromu vyberte nejdříve webovou aplikaci ksportal v IIS/Ověřování (na WIN EN Authentication), kde povolte "Ověřování založené na formulářích" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public).

=== Windows - Systém jednotného přihlášení (SSO) ===
Uživatelé nemusí vyplňovat přihlašovací údaje (login a heslo), do portálu se přihlašují automaticky loginem, pod kterým se přihlásili k doménovému serveru prostřednictvím přihlášení do Windows, z čehož vyplývá, že je tento způsob použitelný jen uvnitř firemní sítě (případně za použití VPN).

V souboru web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Windows">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, jednak metodu nemusíte mít nainstalovánu, jednak IIS nezmění jen web.config, ale zapíše povolené autentizační metody pro jednotlivé aplikace do applicationHost.config (v c:\Windows\System32\inetsrv\config). V levém stromu vyberte nejdříve webovou aplikaci ksportal, pak v IIS/Ověřování (na WIN EN Authentication), zakažte "Ověřování založené na formulářích", povolte "Ověřování systému Windows" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public). Pokud autentizace nefunguje, zakažte i metodu "Anonymní přístup".

<nowiki>
Po přidání parametru <add key="SkipLoginPage" value="true"/> se přeskočí přihlašovací stránka.
</nowiki>

Do databáze přistupuje portál buď pod DB účtem zadaným v connectionstringu, nebo pod windows účtem uživatele pokud je v connectstringu nastaveno Integrated Security=true a identita fondu aplikace je ponechána na hodnotě ApplicationPoolIdentity (tj. není nastaven specifický účet zosobnění).

=== Přihlášení active directory účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) k active directory účtu. Teprve po vyplnění platných údajů na přihlašovací stránce získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutím na tlačítko „Odhlásit“. Tento způsob přihlášení, narozdíl od windows SSO, je možno použít i pro uživatele hlásící se zvenku, mimo firemní síť (samozřejmě jen pokud je portál vystaven veřejně).

Vzhledem k tomu, že při AD autentizaci nezáleží na velikosti písmen a umožňuje použít různé formáty loginů a různé tvary domény (a při některých konfiguracích i bez domény) a při definici práv v KS je rovněž možno používat různé formáty loginů, je nutné nastavit parametr SparovaniUziv na CI-BezDomeny, aby systém při načítání práv z KS databáze pro autentizovaného uživatele ignoroval velikost písmen i doménu, jinak se práva nebudou načítat jednotně a budou záviset na tom, v jakém tvaru uživatel zadá svůj login!

Lze se přihlašovat i tvarem loginu bez domény pokud je parametr SparovaniUzivAD (jiný parametr než výše) nastaven na hodnotu true.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="ad"/>
</nowiki>

<nowiki>
<add key="SparovaniUziv" value="CI-BezDomeny"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
a dále nastavit parametry s prefixem "ad_", viz Sekce <appSettings> - skupina Active Directory (příklady vyplnění naleznete v souboru web.config.default)
</nowiki>

=== Přihlášení databázovým účtem ===

Uživatel zadává databázový login a heslo, ověření probíhá prostřednictvím připojení k databázi se zadanými přihlašovacími údaji. Portál přístupuje do databáze pod jménem uživatele, v connectionstringu musí být zadány místo jména uživatele a hesla masky %user% a %password%, které jsou při vytváření připojení nahrazeny přihlašovacími údaji, které zadal uživatel. Od verze 7641A je nutno nastavit i parametr TypOvereni na hodnotu sql.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="sql"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
<add name="web_mzdy" connectionString="server=absint_pc;database=web_mzdy;uid=%user%;pwd=%password%" providerName="System.Data.SqlClient"/>
</nowiki>

=== Přihlášení přes externí autentizační službu (OAUTH2, SAML2) ===

Je možno využít přihlašování přes externí autentizační službu podporující protokol OAuth 2.0, případně SAML 2.0. Více informací je k dispozici na stránce rozšíření aplikace '''[[Externí přihlašování | Externí přihlašování]]'''

=== Přihlášení externího uživatele - nezaměstnance ===

Tento způsob přihlášení je určen pro externí uživatele (nezaměstnance), např. správce. Bez ohledu na nastavený způsob přihlašování nakonfigurovaný pro zaměstnance, se externí uživatel může přihlásit přes stránku "/Public/ExternalUserLogin.aspx", na kterou se dostane např. odkazem „Externí uživatel“ ze standardní přihlašovací stránky. Pokud je nastaven 1. způsob přihlašování, může se přihlásit i přes standardní stránku určenou pro zaměstnance. Externího zaměstnance musí pověřená osoba navést v agendě Uživatelé KS portálu/Externí uživatelé.

=== Přihlášení čipovou kartou (RFID) ===
Pro kiosky je možno zakoupit rozšíření přihlášení čipovou kartou - pro přihlášení stačí přiložit kartu k RFID čtečce karet. Více zde
[[Přihlášení pomocí čipové karty do KS portálu]]

= Zdroj informace pro vazbu login - osobní číslo =
Při přihlášení uživatele je potřeba získat i jeho osobní číslo, které jej identifikuje jako konkretního zaměstnance.
Osobní číslo se většinou získává ze stejného místa, proti kterému se uživatel ověřuje. Pokud vyvstane potřeba získat osobní číslo z jiného zdroje, je to možné nastavit parametrem
<add key="ZdrojOsCisla" value=""/>
v souboru web.config v sekci <appSettings> (viz. následující tabulka).

'''ZdrojOsCisla'''

{|<table align="center" border="2" width="100%" cellspacing="4" cellpadding="3" rules="all" style="margin:1em 1em 1em 0; border:solid 1px #AAAAAA; border-collapse:collapse;empty-cells:show;">
<tr>
<td bgcolor="#A7C1F2">'''Hodnota'''</td>
<td bgcolor="#A7C1F2">'''Význam'''</td>
<tr>
|-
| kspu (případně ks)
| osobní číslo se zjistí z agendy [[Uživatelé KS portálu]].
|-
| ad
| Osobní číslo se zjistí z Active Directory (musí být nastaveny ad_* parametry).
|-
| ez
| Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Login
|-
| ezsap
| zákaznická specialita - Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Logine nebo z tabulky sap,
|-
| eos
| Osobní číslo se zjistí ze systému EOSu verze 3.
|-
| eos4
| Osobní číslo se zjistí ze systému EOSu verze 4.
|-
| az
| Osobní číslo je stejné jako login.
|}
''Tabulka 1: Zdroj informace pro vazbu login-OČ''

= Přístupová práva uživatelů =

Řízení přístupu k údajům a operacím

Přístup uživatelů je definován prostřednictvím uživatelských rolí. Odkud se mají načítat role uživatelů určuje RoleProvider:
* KSRoleProvider – načítá aplikační role z databáze aplikace
* ADRoleProvider – načítá aplikační role z Active Directory (AD skupina je považována za KS roli pouze pokud je uvedena v parametru ad_groups, pokud ad_groups není vyplněn, tak skupina musí být v číselníku rolí)
* EosRoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 3,
* Eos4RoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 4,

Nastavení, který provider se má použít, se provádí v konfiguračním souboru aplikace.

Nastavení přístupových práv uživatelským rolím může provádět pouze administrátor KS Portálu. A to přímo v KS Portálu v menu Nastavení / Práva.

Login každého uživatele musí být přiřazen k nějaké roli, jinak nebude mít uživatel přístup k žádné části portálu. Login lze ke konkrétní roli přiřadit v agendě přístupových práv v naší aplikaci KS Mzdy (se kterou je KS Portál svázán). V agendě přístupových práv v aplikaci KS Mzdy lze přiřazovat k rolím loginy, které jsou buď v databázi (jako uživatalé DB) nebo v agendě Uživatelé KS Portálu. 
V konfiguračním souboru web.config je možno definovat výchozí roli parametrem 
<add key="VychoziRole" value=""/>, která se přiřadí všem uživatelům, kteří nebudou mít explicitně přiřazenou žádnou roli.

= Řízení přístupu na data jiných uživatelů (tzv. řádková práva) =

Nastavení provádí pouze administrátor KS Portálu. Typ řádkových práv může správce nastavit v parametrech KS Portálu (Nastavení / Parametry).
# Standardní (výchozí nastavení) – přihlášený uživatel má povolen přístup jen na pevně daný výčet osobních čísel a středisek Výčet povolených osobních čísel a středisek se nastavuje v aplikaci KS Mzdy a KS Portál toto nastavení přebírá.
# Dle systemizace – přihlášený uživatel má povolen přístup na sebe a své podřízené dle systemizace pracovních míst z aplikace KS Mzdy. V popisech pracovních míst u každého pracovního místa musí být vyplněno příslušné pracovní středisko.
# Dle AD – přihlášený uživatel má povolen přístup na sebe a své podřízené dle hierarchie v Active Directory.

* [[TypRadPrav]]

= Registrace nových uživatelů v KS Portálu =

Aby uživatel získal přístup do KS Portálu, musí mít vytvořen účet v agendě Uživatelé KS Portálu. Účet mu může ručně vytvořit (nebo upravit) správce aplikace KS Mzdy.

=== Uživatelé se mohou registrovat sami ===
Je také možné povolit neregistrovaným uživatelům KS Portálu, aby se mohli sami zaregistrovat. Toto lze pouze za splnění 3 podmínek: ověřování uživatelů probíhá vůči údajům z agendy [[Uživatelé KS portálu]] (typ_overeni=ks nebo nevyplněn což je výchozí nastavení), zaměstnanci musí mít v agendě [[Kontakty]] naveden E-mail do práce (který zaměstnanci znají) a existuje aplikační role (např. ks_portal_zamestnanec), která se nastaví jako výchozí role (jinak by správce stejně musel uživazeli přiřadit nějakou roli, aby se zaměstnanec do portálu dostal). Pro povolení samoregistrace zadejte do souboru web.config do sekce appSettings následující řádky:

<nowiki><add key="Registrace" value="user"/></nowiki>

<nowiki><add key="VychoziRole" value="ks_portal_zamestnanec"/></nowiki>

První řádek povoluje uživatelům KS Portálu registraci. Druhý musí mít ve své hodnotě zadán název výchozí uživatelské role, kterou systém uživateli bez role automaticky přiřadí.

* [[Registrace nového uživatele]]

= Další možnosti nastavení =
Základní nastavení aplikace KS Portál se provádí v souboru web.config, který se nachází v adresáři ksprtl (kořenovém adresáři aplikace).

== Sekce <appSettings> ==
V této sekci se nacházejí parametry aplikace. Jejich pořadí není důležité. Zapisují se ve tvaru <nowiki><add key="název" value="hodnota"/></nowiki>.

{|class="wikitable " border="1" cellpadding="3" cellspacing="0"
|+ Seznam parametrů sekce <appSettings> 
|- style="background-color: #A7C1F2"
| <center>'''Skupina'''</center> 
| <center>'''Název'''</center> 
| <center>'''Popis'''</center> 
| <center>'''Možné hodnoty (nebo příklad hodnoty)'''</center> 
|-
| rowspan = 24|Přihlášení || ''' PasswordExpiration '''|| Počet dnů do expirace hesla uživatele. || číslo
|-
| ''' WarningBeforePasswordExpiration '''|| Kolik dnů před expirací hesla zobrazit upozornění. || číslo
|-
| ''' LockAfterWrongPasswords '''|| Počet neplatných pokusů o zadání hesla, po kterém se uzamkne účet uživatele. || číslo
|-
| ''' MinPasswordLength '''|| Minimální požadovaná délka hesla uživatele. || číslo
|-
| ''' LastPasswordsCheck '''|| Počet minulých hesel kontrolovaných na odlišnost. || číslo
|-
| '''[[CheckPasswordComplexity]]'''|| Kontrolovat složitost hesla. Pravidlo 3/4. Pokud nastavena hodnota ''true'', pak je vyžadováno následující: Heslo musí obsahovat minimálně 3 typy následujících znaků: číslice, malá písmena, velká písmena, speciální znaky. || true / false
|-
| ''' PasswordReset '''|| Obnova zapomenutého hesla. Bez odblokování účtu, s odblokováním účtu. [[Zapomenuté heslo (správa)]] || 0 - obnova hesla je zakázána (výchozí hodnota)
1 - obnova hesla je povolena, zamknuté účty zůstanou zamknuty 
2 - obnova hesla je povolena, zamknuté účty budou odemknuty
|-
| '''PasswordResetAuth''' || Způsob obnovy zapomenutého hesla (hd 53919) || 1 - pomocí zadání pracovního e-mailu namísto loginu
|-
| ''' TypOvereni '''|| Typ ověření uživatele pro formulářové přihlášení. || kspu (ks nebo nevyplněno)=ověření účtem z agendy Uživatelé KS portálu, ad=Active Directory, sql=ověření databázovým účtem
|-
| ''' ZdrojOsCisla '''|| Udává odkud se zjišťuje osobní číslo pro login. Parametr je povinný pokud je TypOvereni nastaven na jinou hodnotu než kspu. || ks nebo kspu =Uživatelé KS portálu, ad=Active Directory, ez=evidence zaměstnanců/osobní údaje, az - osobní číslo je stejné jako login
|-
| ''' SkipLoginPage '''|| Pokud se využívá SSO (Systém jednotného přihlášení) a má se přeskočit LoginPage, provede se automaticky přihlášení. || hodnota true / false
|-
| ''' NabizeniHeslaZakazat '''|| Vypnout nabízení dříve použitého hesla na přihlašovací stránce pro uživatele a na přihlašovací stránce pro externí uživatele (hd 44956). || true
|-
| ''' SparovaniUziv '''|| Povolí volnější kontrolu loginu, bez kontroly domény a velikosti písmen. Při formulářovém přihlášení a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. Domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB. || BezDomeny, CI, CI-BezDomeny
|-
| ''' SparovaniUzivAD '''|| Hodnota true umožní přihlášení loginem bez domény i pro ad_auth_type=basic. Uplatňuje se jen u formulářového přihlášení a TypOvereni=ad. || true
|-
| ''' Admins '''|| Výčet loginů, které patří administrátorům aplikace. Jeden nebo více loginů oddělených středníkem. || admin;admin2;ksadmin
|-
| ''' ExterniUziv '''|| Zda se do aplikace mohou přihlašovat externí uživatelé (tací, kteří nejsou v cílové databázi mezi zaměstnanci). || nevyplněno – přihlásit se mohou jen zaměstnanci
True – přihlásit se mohou i externí uživatelé z agendy Uživatelé KS Portálu
|-
| ''' VychoziRole '''|| Výchozí uživatelská role, pokud nemá uživatel explicitně definovanou žádnou roli. || portal
|-
| '''VychoziRoleVedouci''' || Výchozí uživatelská role pro vedoucího pracovníka, pokud nemá explicitně definovanou (žádnou) roli. Je možné zadat více hodnot oddělených středníkem. Za vedoucího pracovníka je považován každý, kdo má nastaveno právo vidět i někoho jiného než sám sebe (neřídí se jen systemizací; pokud např. uživatel má výjimku z řádkových práv a má právo vidět někoho (kohokoliv) jiného, obdrží rovně roli pro vedoucího). ||
|-
| '''VychoziRoleVzdy''' || Zda se má výchozí uživatelská role přiřadit i v případě, že má uživatel explicitně definovanou roli. || a / '''n''' (výchozí hodnota je ''n'')
|-
| '''VychoziProfil''' || Výchozí [[Přístupové profily (portál)|profil]] ||
|-
| '''VychoziProfilVedouci''' || Výchozí [[Přístupové profily (portál)|profil]] pro vedoucího ||
|-
| ''' Registrace '''|| Způsob registrace nových uživatelů. Pokud není vyplněn ''user'', musí mít ve své hodnotě zadán název výchozí uživatelské role, do které se takto registrovaní uživatelé přiřadí. || user
|-
| ''' RegistraceRodneCislo '''|| Hodnota true při registraci zapne kontrolu shody rodného čísla v evidenci zaměstnanců pro zadané osobní číslo. || true
|-
| ''' PocetMesicuRolePoVystupu '''|| Počet měsíců platnosti role po ukončení pracovního poměru. || číslo
|-
| ''' RolePoVystupu '''|| Role po ukončení pracovního poměru. || poVystupu
|-
| ''' PristupNaVsechnyPodniky '''|| Zda má mít přihlášený uživatel přístup i na data zaměstnanců z jiných podniků v databázi (více IČ). || true - uživatel má přístup na zaměstnance ze všech podniků
nevyplněno/false – uživatel má přístup pouze na zaměstnance ze stejného podniku
|-
| rowspan = 2|Prostředí || ''' OptimalizaceMenu '''|| Zda zobrazovat celé menu aplikace nebo jen přístupné položky. || nevyplněno – zobrazí se celé menu
True / ano – zobrazí se jen přístupné položky menu
|-
| ''' ShowEmployeePhoto '''|| Zobrazování fotek zaměstnanců. || true / false
|-
| rowspan = 5|Logování || ''' ShowExceptionDetail '''|| Zda se má zobrazit detailní výpis chyb. || true / false
|-
| ''' EmailChybyZobrazovat '''|| Zda zobrazovat chyby vzniklé při pokusu odeslat email. || true
|-
| ''' AppAudit '''|| Zapnutí logování činností uživatelů na KS portále. || true
|-
| ''' LogType '''|| Způsob logování výjimek (chyb). Určuje, zda se mají zaznamenávat chyby vzniklé při běhu aplikace. Při hodnotě ""xml"" se chyby logují do Logs/Exceptions.xml, jinak do EventLogu. || nevyplněno – záznam se neprovádí 
Xml – provádí se záznam do souboru ksprtl/Logs/exceptions.xml
|-
| '''SecurityQRKod''' || [[Chybové hlášení (portál)|Chybové hlášení]] zobrazováno formou QR kódu. || '''a''' / n
|-
| rowspan = 5|Různé || ''' CachedTables '''|| Použito při optimalizacích načítání (hd 47235). [[Řešení některých problémů (KS portál)]] || názvy db tabulek
|-
| ''' Cache '''|| Způsobí potlačení ukládání stránek („kešování“) na straně prohlížeče do temporary internet files. || nopage
|-
| ''' FormatDatumu '''|| Datový typ pro datum v MSSQL DB. || nevyplněno – datum je char(10) yyyy-mm-dd
datetime – datum je typu DateTime
|-
| ''' DbCmdTimeout '''|| Maximální povolená doba pro vykonání jednoho Db příkazu, pokud překročena, objeví se hláška || Číslo znamenající délku timeoutu v sekundách
|-
| '''NotSupBrowser'''|| Blokování nepodporovaného prohlížeče || 1 - výchozí hodnota (blokace), 2 - pouze upozornění
|-
| rowspan = 10|[[Active Directory]] || ''' ad_connect_string '''|| AD LDAP cesta ke kontejneru, ve kterém jsou hledány uživatelské účty. || LDAP://server/OU=Lokality,DC=ksprogram,DC=cz
|-
| ''' ad_user '''|| AD přihlašovací jméno uživatele (včetně domény) mající právo číst informace z AD. || domena\user
|-
| ''' ad_password '''|| Heslo uživatelského účtu zadaného v ad_user. ||
|-
| ''' ad_auth_type '''|| (nepovinné) Možnost nastavení typu ověřování pro Active Directory , hodnoty=basic nebo secure (pokud secure nefunguje, může zpomalit přihlášení o 20 sekund). || basic / secure
|-
| ''' ad_search_in '''|| (nepovinné) AD podkontejnery pro prohledávání , seznam cest oddělených středníkem (relativně k ad_connect_string). Použít v případě, kdy je zapotřebí prohledávání omezit na 2 a více kontejnerů. V opačném případě, kdy se má omezit vyhledávání na jeden kontejner, lze použít přímo parametr ad_connect_string. || OU=Aktivní,OU=CZ Pobocka;OU=Aktivní,OU=SK Pobocka
|-
| ''' ad_user_filter '''|| AD Filtrovací výraz, omezující vyhledávání uživatelů v AD. || countryCode=203
|-
| ''' ad_atr_login '''|| (nepovinné) AD název atributu, ve kterém jsou uloženy přihlašovací jména uživatelů pro Microsoft AD vždy "samAccountName". ||
|-
| ''' ad_atr_os_cislo_user '''|| (povinný při ZdrojOsCisla=ad) AD název atributu, ve kterém jsou uloženy osobní čísla uživatelů. || employeeNumber, employeeId
|-
| ''' ad_atr_os_cislo_zastupce '''|| (nepovinné) AD název atributu, ve kterém je uloženo DN zástupce. ||
|-
| ''' ad_groups '''|| (nepovinné) AD role určené pro KS Portál (oddělené středníkem) - používá se jen v případě že je nastaven RoleProvider na ADRoleProvider. Pokud není vyplněno vezmou se všechny role, které existuji v KS. ||
|-
| rowspan = 5|Web proxy ||''' proxyUrl '''|| Název nebo IP adresa proxy serveru. || 127.0.0.1
|-
| ''' proxyPort '''|| Port proxy serveru. || 8888
|-
| ''' proxyUsername '''|| Login pro přístup k proxy. ||
|-
| ''' proxyPassword '''|| Heslo pro přístup k proxy. ||
|-
| ''' portal_url '''|| Řeší případy kdy např. kvůli přesměrovávání adresy KS portálu se ztratí skutečné jméno hosta, na kterého má být požadavek přesměrován a z toho důvodu se v odkazech generovaných v notifikačních emailech zobrazuje chybná adresa url. též hd 51506|| Do hodnoty se zadává celá adresa url KS portálu.
|}

== Zašifrování vybraných sekcí web.config ==
Zašifrování sekce appSettings pro virtuální adresář ksprtl. Provádí se přes příkazovou řádku pod účtem administrátora následujícím příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pe "appSettings" -app "/ksprtl"

Dešifrování stejné sekce se pak provede příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pd "appSettings" -app "/ksprtl"

Následující příkaz přidělí účtu pod kterým běží asp.net právo dešifrovat zašifrované sekce web.config. V defaultním nastavením je tímto účtem "NETWORKSERVICE"

C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pa "NetFrameworkConfigurationKey" "NETWORKSERVICE"

== Odkazy ==
* [[Příručka KS Portál]]
* [[Přístup i po ukončení pracovního poměru (KS portál)]]

Registrace nového uživatele

2026-06-29T08:28:20Z

Pavelr:

''Registrace nového uživatele'' je postup, kterým si zaměstnanec sám založí uživatelský účet do aplikace [[KS portál]]. Tato funkcionalita není ve výchozím nastavení zapnuta, více viz [[Instalační_příručka#Registrace_nových_uživatelů_v_KS_Portálu]]
[[Image: Registrace-noveho-uzivatele-1.png|300px|right]]
{|border="1" cellpadding="3" cellspacing="0"
|+ Registrace nového uživatele
|- style="background-color: #eeeeee"
|Krok
|Název
|Obrázek (příklad)
|Poznámka
|-
|1 ||'''Registrační formulář''' || [[Image: Registrace-noveho-uzivatele-1.png|100px]] || Prázdný formulář
|-
|2 ||'''Vyplňte údaje.''' || [[Image: Registrace-noveho-uzivatele-2.png|thumb|left|''Příklad vyplnění''|100px]] || Podmínka: Email je je zaveden v agendě [[Kontakty]]. [[Image: Registrace-noveho-uzivatele-3.png|50px]]
|-
|3 || '''Klikněte na tlačítko ''Založit účet''.''' || [[Image: Registrace-noveho-uzivatele-4.png|100px]] || Opakovat odeslání aktivačního emailu je možno prostřednictvím volby ''Aktivační email''. [[Image: Registrace-noveho-uzivatele-5.png|50px]]
|-
|4 || '''Přijměte email.''' || [[Image: Registrace-noveho-uzivatele-9.png|100px]] || Aktivační email byl měl dorazit během páru sekund max. minut.
|-
|5 || '''V emailu klikněte na odkaz ''Aktivace''.''' || [[Image: Registrace-noveho-uzivatele-7.png|100px]] ||
|-
| 6 || '''Klikněte na tlačítko ''Potvrdit''.''' || [[Image: Registrace-noveho-uzivatele-8.png|100px]] ||
|}

Pokud zaměstnanec neprovede kroky 5 a 6, může správce dokončit registraci tím, že v agendě Uživatelé KS portálu zathne u zaměstnance volbu Aktivován.

== Odkazy ==
* [[KS portál]]
* [[Ovládání aplikace]]
* [[Uživatelé KS portálu]]

Synchronizace údajů s Active Directory

2026-06-23T15:23:08Z

Pavelr: /* Automatické spuštění synchronizace přes příkazovou řádku */

'''Synchronizace údajů s Active Directory'''

== Popis ==

"Synchronizace údajů s Active Directory" slouží pro přenos osobních údajů zaměstnanců z KS mzdy do Active Directory, dle přání zákazníka i přenos určité skupiny údajů opačným směrem (telefon, email). Kromě synchronizace údajů umí účty vytvářet i zakazovat.

Tato funkcionalita je součástí těžké aplikace – aplikace KS mzdy a je přístupná přes menu:
: Systém > Správa uživatelů > Synchronizace údajů s Active Directory
: nebo přes příkazovou řádku.

Synchronizace je vždy upravována pro konkrétního zákazníka, neboť struktura organizace v AD i synchronizované údaje jsou většinou různé. Pokud tedy máte zájem používat tuto funkcionalitu, pošlete nám zadání, které by mělo obsahovat odpovědi na následující otázky.

== V zadání uveďte ==

1. Dle čeho má být zaměstnanec hledán v AD, standardně je to dle loginu – záložka Osobní údaje – položka ''Login'', v AD samAccountName. Nebo pokud je vyplněn rozšiřující parametr AD_AttrNameOsc, tak dle osobního čísla, pokud je v AD uloženo např. v atributu EmployeeNumber či EmployeeID osobní číslo zaměstnance.

2. Množina přenášených údajů - u každé firmy se většinou liší, tu musíte podrobně specifikovat (údaj v ks -> název atributu v AD). Např. pokud se má do některého atributu přenášet kmenové středisko, tak uvést, zda to má být číslo střediska nebo název střediska.

3. Zda mají být účty vytvářeny, pokud ano:

4. umístění uživatelských účtů v AD - pokud nejsou všichni v jednom kontejneru, tak musí být zanoření odvoditelné z údajů v KS Mzdy, např. doména/Departments/Název kmenového střediska/.....

5. jaký tvar má mít samAccountName, CN a displayName,

6. zda má program nově vytvářenému účtu zadat výchozí jednotné heslo, které si uživatel bude muset po 1. přihlášení změnit, nebo zda bude muset toto heslo zadávat obsluha spouštějící synchronizaci,

7. zda se má novému účtu vytvořit domovský adresář, Exchange mail schránka (to si nejsem jist ,zda umíme),

8. zda se má účet přiřadit do nějaké AD-Group.

9. Mají být účty rušeny, pokud ano, má být účet smazán nebo má být pouze zakázán

10. Má se plnit atribut Manager (nadřízený) a dle čeho (dle systemizace prac. míst)

== Přihlášení ==
[[Image: Prihlaseni-k-active-directory.png|right]]
Ihned po otevření okna se zobrazí dialog pro přihlášení k AD v němž je nutné zadat správně údaje:
* doména
* uživatel
* heslo.

Jako název serveru/domény uveďte [%COMPUTERNAME%\]%USERDNSDOMAIN% podle hodnot zjištěných na na počítači, kde je spuštěn server AD. Zadávat název serveru není nutné.

příklad:
doména: domena.cz 
uživatel: Administrátor 
heslo: xxx 

== Ovládání ==
[[Image: Synchronizace-ad-ks.png|750px|right]]
Po připojení se v záložce '''Data pro AD''' načtou do seznamu údaje zaměstnanců pro synchronizaci. Přenačíst údaje lze pomocí tlačítka "Načíst data".

Názvy sloupců obsahují v 1. řádku názvy údajů v KS, pokud se nejedná o identifikační údaj ale o údaj, který je synchronizován je v hranaté závorce uveden směr přenosu, OUT - z KS do AD, IN - z AD do KS. V druhém řádku jsou odpovídající názvy atributů v AD.

V datové části je pro každého zaměstnance nejdříve řádek s jeho údaji v KS a pod ním řádek s údaji v AD.

Před prvním spuštěním synchronizace zkontrolujte především, zda mají všichni zaměstnanci správné CN a OU (zařazení do organizační struktury), pokud jsou uživatelé v kontejneru Users je sloupec Organization Unit prázdný.

Přenos dat spustíte zvolením přepínače '''Synchronizovat''' a klepnutím na tlačítko Start, přenos lze zastavit tlačítkem Stop. Pokud zatrhnete volbu '''jen označené zaměstnance''' budou se přenášet pouze zaměstnanci z označených řádků. V případě, že dojde při přenosu údajů zaměstnance k chybám, je příslušný řádek označen červeně a popis chyby je zobrazen v posledním sloupci.

Pokud chcete pouze porovnat údaje vyberte přepínač '''Pouze porovnat''' a stiskněte na tlačítko '''Start'''. Pokud se alespoň 1 údaj liší je řádek označen červeně a v posledním sloupci jsou uvedeny údaje, které se liší.

== Automatické spuštění synchronizace přes příkazovou řádku ==

Pro automatickou synchronizaci je třeba zadat (kromě parametrů pro připojení k databázi) parametr /ADSYNC

Pokud nejsou v databázi uloženy údaje pro přihlášení k Active directory, lze jej zadat dalšími parametry:
* ADDOMAIN – doména
* ADUSER – uživatel
* ADPASS – heslo
* ADTOPOU – kontejner s uživateli
Pro vytváření nových účtů v AD, musí být zadán následující parametr (pokud není zadán natvrdo v kódu)
* ADNEWUSERPASS – heslo pro nově vytvořeného uživatele

'''obecně:'''
main.exe parametry pro připojení k db (viz. [[Spouštění aplikace - parametricky]]) /ADSYNC /ADDOMAIN domena.cz /ADUSER administrator /ADPASS adheslo /ADTOPOU Users /ADNEWUSERPASS Abc123456

'''příklad 1''' – doména i přihlašovací údaje do AD jsou uloženy v rozšiřujících parametrech:

main.exe /P "Microsoft SQL" /D localhost\sqlexpress:vzorova /L mzdy /H dbheslo /ADSYNC /CLOSE

(pro přihlášení do DB aktuálním windows účtem, nahraďte „/L mzdy /H dbheslo“ za /T (T jako trusted connection))

'''příklad 2''' - přihlašovací údaje do AD jsou předány přes parametry příkazové řádky:

main.exe /P "Microsoft SQL" /D localhost\sqlexpress:vzorova /L mzdy /H dbheslo /ADSYNC /CLOSE /ADUSER domena\ksadsync /ADPASS adheslo

V případě "více-ičo" databáze přidejte ještě parametr /PODNIK 0

V případě spouštění pomocí plánovače úloh Windows je nutné zatrhnout volbu „spustit s nejvyššími oprávněními“, jinak se aplikace nespustí!

== Odkazy ==
* [[Synchronizace údajů KS-AD (příklad)]]
* [[Active Directory]]
* Příklady provedení: hd 49508

Prehľad daní

2026-05-25T09:16:10Z

Pavelr:

'''Prehľad daní''' - prehľad o zrazených a odvedených preddavkov na daň.
[[Image: S-MO008.png|590px|right]]
Menu: Sestavy > Odvody > Prehľad 

# '''Sestava'''
# '''Soubor FDF'''
# '''Soubor XML'''

== Sestava ==
Odvod je ponižován o přeplatek RZ z minul.obd v případě, že je nastaven rošiřující parametr "rz_zaloha" na "a" (skupina 9).

* řádek 0 - zdanitelné příjmy
(sum(dan_zakl) from telegram)
* řádek 1 - sražené zálohy na daň: 911-Rovná daň
(.. from pichacky where datum=X and kod between 908 and 916 and kod <> 910 and kod <> 912 and prizn_aut<>'o')
* řádek 2 - sražené daň. nedopl. a vrácené přepl. z RZ za předchozí zdaň.období: 907 - RZ Dane
* řádek 3 - opravy daně - daň. nedoplatky (+) a daň. preplatky (-) za předchozí zdaň.období dle parag.40: 912-Daň.dopl,910 - Daň (myšleno jako oprava z loňského roku), 1952 - RZ DANE OLR, 1954 - RZ DANE OMR.
((kod between 908 and 916 or kod in(1952,1954)) and prizn_aut='o')
* řádek 4 - úhrn řádků 1+2+3
* řádek 5 - vypl. bonus (-) a vybranný bonus (+) : suma daň. bonusu se uvádí nejvíce do výšky sumy na řádku 4: 918 - Daň. bonus, 1951 - RZ Bonus,1953 - RZ Bonus OLR, 1955 - RZ Bonus OMR
* řádek 6 - vypl. zam. premie (-) a vybraná zam. premie (+), o který se snižuje(zvyšuje) odvod na daň zálohy: ZAM. PREM.: 1956 - RZ ZAM.PREMIE, 1957 - RZ ZAM.PR.OLR, 1958 - RZ ZAM.PR.OMR
(nejvýše však do výšky sumy v ř.4 snížené o řádek 5)
* řádek 7 - bonus na zaplatene ÚROKY podle §33a: MS 1961 - RZ BON.UR., 1962 - RZ BON.UR. OLR, 1963 - RZ BON.UR. OMR
* řádek 8 - odvodová povinnost - preddavky na dan (r4+r5+r6+r7)

Rekapitulace
* A - celk.vypl.suma dan.bonusu (uvádí se kladná hodnota, A = B + C)
* B - suma dan.bonusu vyplacená z dan.záloh
* C - suma dan.bonusu vyplacena z prostredků zaměstnavatele (o kterou si nemohl zamestnavatel snížit zalohy)

* D - celkova vyplacena suma bonusu za úroky (ze zaloh a vlastnich prostredku)
* E - vyplacena suma bonusu za úroky ze zaloh
* F - úhrnná sumabonusu za úroky., vyplac. z vlast. prostredku zaměstnavatele (o kterou si nemohl zamestnavatel snížit zalohy)

=== Neuplatněné přeplatky z minulých měsíců:===
Zobrazují se jen informativně v pravém sloupci, nejsou součástí formuláře FS, ani XML a nijak jej neovlivňují.

Pokud se odvod neponižuje o neuplatněné přeplatky (rz_zaloha=n), tak se k neuplatněným přeplatkům přičítají ty z minulého/ých měsíců, tím pádem mohou obsahovat neuplatněné přeplatky za celý kvartál či rok.

Od neuplatněných přeplatků se odečtou přeplatky vrácene finančním úřadem zadané v agendě platby.

Neuplatněné přeplatky z minulých měsíců kdysi ponižovaly řádek "Odvedené", ten ale již ve formuláři léta není. Ŕádek 8 Odvodová povinnost ponížen být nemůže, neseděly by součty.

Jiné řádky poníženy být nemůžou, jejich součet musí odpovídat stejným řádkům v ročním hlášení (a jsou to údaje vztahující se jen k dannému měsíci).

Dubnový prehľad obsahuje jen dubnové údaje, ale platba na účet FS bude nižší o březnový přeplatek (při rz_zaloha=a).

Skutečně odvedené = odvodová povinnost - neuplatněné přeplatky z minulých měsíců (o které firma nezažádala FS o vrácení).

== Změny od r. 2019 ==
* [[Legislativa 1.1.2019 - změny v aplikaci Slovensko]]
* Nový řádek č. 7 (''Priznaná a vyplatená suma (-) a vybraná suma (+) daňového bonusu na zaplatené úroky ...'') - souvisí s novými mzd.pol. 1961-1963.

== FDF ==
# Generování souboru ve formátu '''.XFDF'''.
# Otevření souboru v '''Adobe Acrobat Readeru''', pokud existuje přidružená šablona. Příslušný .pdf soubor je možno stáhnout z aplikace, nebo odsud:
: [http://download.ksprogram.cz/download/SK-Dane-PREHLAD-16.pdf download.ksprogram.cz - SK-Dane-PREHLAD-16.pdf]

[[Image: S-MO008-FDF-1.png|150px]]
[[Image: S-MO008-FDF-2.png|150px]]
[[Image: S-MO008-FDF-3.png|150px]]

[[Image: S-MO008-FDF-5.png|150px]]
[[Image: S-MO008-FDF-6.png|150px]]
[[Image: S-MO008-FDF-7.png|150px]]

== XML ==
# Generování souboru ve formátu '''.XML'''.
# Otevření souboru v aplikaci '''eDANE''' - pokud je nainstalována.

[[Image: S-MO008-XML-1.png|150px]]
[[Image: S-MO008-XML-2.png|150px]]
[[Image: S-MO008-XML-3.png|150px]]
[[Image: S-MO008-XML-4.png|150px]]
[[Image: S-MO008-XML-5.png|150px]]

== Odkazy ==
* [[987-ZP.zúčt.ZAM.]]
* [[Slovenská aplikace]]

Data pro ISPV (Trexima) (SK)

2026-04-09T07:23:27Z

Pavelr: /* Položky */

''Data pro ISPV (Trexima) (SK)'' 
[[Image: Data pro ISPV Trexima SK-Respondent.png|500px|right]]
Menu: Sestavy > Data pro ISPV 

== Respondent ==
Hodnoty do některých polí se načítají z parametrů aplikace, nebo je možné je doplnit/opravit přímo v okně (až po načtení hodnot).
* '''uzemie''' - nuts
* '''odvetvie (SK NACE)''' - [[okec (sk.12)]]
* '''p_forma''' - [[pforma (sk.12)]], pokud není vyplněno, odvodí se z právní formy zadané v agendě [[Evidence osob]] ([[Základní parametry]]).
* '''kol_zml''' - [[kolsml (sk.12)]] - nevyplňujte v rozšiřujících parametrech, ale raději až přímo v okně ISCP, protože hodnota z rozš. par. se konvertuje z českých kódů na slovenské

== Zamestnanci ==
[[Image: Data pro ISPV Trexima SK.png|750px|right]]

=== Nastavení ===
Pro správné naplnění ukazatelů týkající se částek a hodin je dále třeba mít vyplněny následující pojmy z [[Pojmy (číselník)]]:
* '''Přípl. noc'''
* '''Příl. SO-NE'''
* '''Pohotovost''',

dále parametry
* '''odstupne (sk.3)'''
* '''NEM_Z_POVOLANI (sk.3)'''

a pojmy (zatrhávají se kódy mzdových položek) schované pod tlačítkem '''Nastavenie''':
* '''LetneVianocneOdmeny - Letné a vianočné odmeny - NOVÉ !!!'''
* '''Nahrady - Náhrady mzdy podľa ZP,ZVZ,..'''
* '''Plnzisk - Peňažné plnenia'''
* '''PremOdm - Prémie a odmeny pravidelné'''
* '''Priplad - Všechny príplatky a doplatky a mzdové zvýhodnennia'''
* '''PriplStaz - Príplatek sťažený výkon práce - NOVE !!!'''
* '''Sporenie - Platby do programu sporenia'''

Se správným nastavením vám pomůže metodická příručka, kterou by vám měla poslat fa Trexima, nebo ji najdete na stránkách
: [http://www.trexima.sk trexima.sk]

=== Položky ===
* 3. '''skisco08''' - [[SK ISCO-08]]
* 4. '''pracpozicia''' - název pracovního místa/pozice
* 5. '''postihnutie''' - načítá se z Evidence zaměstnanců/osobní údaje - položka "Zdravotní postižení", pokud se ukazatel do ISCP nenačte správně, použijte tlačítko historie k ověření/nastavení položky za minulé měsíce.
* 6. '''pohlavie''' – zjišťuje se z rodného čísla
* 7. '''vzdelanie''' – načítá se nejvyšší stupeň vzdělání z Evidence zam./Vzdělání. Pokud aplikace zjistí, že je používán český číselník, jsou hodnoty konvertovány na slovenské stupně.
* 8. '''odborvzdelania''' - Evidence/Vzdělání - položka kód oboru vzdělání (Trexima). Pokud zmíněná novější položka není vyplněna, tak se ukazatel skloží z roku ukončení školy (posledních 2 cifry), kódu školy a oboru vzdělání. Ukazatel se vyplňuje jen u zaměstnanců, kteří ukončili studium v roce 1991 a později. Kód se načte do ISCP jen zaměstnancům, kteří mají v evidenci vzdělání rok ukončení 1991 a vyšší, mají vyplněn kód školy a oboru.Pomůcky pro zjištění kódů SK ISCO-08 a odboru vzdělania lze nalézt na http://www.trexima.sk/new/pre-respondentov.php
* 9. '''stupne''' - načítá se z vlastnosti pracovního místa/pozice č. 94 - Stupeň náročnosti práce.
* '''tartrieda(zrušeno)''' – Pracovní poměry/Prac.poměr – položka třída v části ''Mzda'' (pokud zaměstnavatel nepoužívá tarif. systém, načte se 0, tam kde se využívají smluvní platy načte se 99)
* 10. '''pracuv''' - podle smluvního podílu úvazku se určí kód 1 - ustanovený týždenní pracovný čas nebo 2 - pracovný pomer na kratší pracovný čas
* 11. '''percento''' - Pracovní poměry/Prac.poměr – položka ''Smluvní podíl úvazku'' * 100
* 12. '''typzmluvy''' - Pracovní poměry/Prac.poměr – položka ''Délka úvazku'': 1--> 1 úv. na dobu neurčitou, 2,3,4 --> 2 úv. na dobu určitou.
* 13. '''tyzdfond''' - Pracovní poměry/Prac.poměr – položka TPD
* 48. '''pracovisko''' – pokud je v popisech pracovních míst vyplněna vlastnost ''Obec výkonu práce'', tak se pomocí číselníku obcí zjistí kód kraje; pokud není vyplněno, vyplní se hodnotou parametru nuts z rozšiřujících parametrů
* 49. '''bydlisko''' - Evidence zam./Osobní údaje – PSČ trvalého bydliště (dle PSČ se pomocí číselníku PSČ a číselníku obcí zjistí kód kraje)
* 50. '''zakon''' - odvozuje se z rozšiřujícího parametru [[zakonodm (sk.12)]] – pokud není vyplněn nebo je vyplněn čímkoli jiným než "P", nastaví se kód 1 - ''zakon č. 311/2001 Z.z. zákoník práce''
* 51. '''stprisl''' – Evidence zam./Osobní údaje – státní příslušnost (převede se na písmenný kód pomocí číselníku státních příslušností)
* Ostatní položky jsou mzdové a jejich správné naplnění závisí na nastavení zmíněné v předchozí kapitole.

=== Načtení dat ===
Obecným pravidlem je, že položky se nenačítají z aktuálních údajů (např. z prac.poměru), ale historických – platných k poslednímu dni sledovaného čtvrtroku (např. oprava údaje KZAM v období duben neovlivní data za leden až březen - kromě případu, kdy údaj není vyplněn ve sledovaném období). Pro načtení dat použijte tlačítko '''''Načítať data''''', program bude chvíli pracovat, zbývající čas můžete odhadnout pomocí grafického ukazatele průběhu. Po načtení dat data zkontrolujte, v případě nesprávných nebo chybějících údajů je můžete přímo v okně ručně opravit (opravená data se neukládají do databáze).

=== Uložení do XML souboru ===
Nyní můžete data uložit do souboru XML (tlačítko '''''Uložiť do súboru''''') a ten nahrát a odeslat pomocí webové stránky [https://www.trexima.sk/iscp/ trexima sk - iscp] - před odesláním jsou data zkontrolována a zobrazeny chyby.

== Odkazy ==
* [[Slovenská aplikace]]
* [[Data pro ISPV (Trexima)]]

Data pro ISPV (Trexima) (SK)

2026-04-09T06:56:01Z

Pavelr: /* Nastavení */

''Data pro ISPV (Trexima) (SK)'' 
[[Image: Data pro ISPV Trexima SK-Respondent.png|500px|right]]
Menu: Sestavy > Data pro ISPV 

== Respondent ==
Hodnoty do některých polí se načítají z parametrů aplikace, nebo je možné je doplnit/opravit přímo v okně (až po načtení hodnot).
* '''uzemie''' - nuts
* '''odvetvie (SK NACE)''' - [[okec (sk.12)]]
* '''p_forma''' - [[pforma (sk.12)]], pokud není vyplněno, odvodí se z právní formy zadané v agendě [[Evidence osob]] ([[Základní parametry]]).
* '''kol_zml''' - [[kolsml (sk.12)]] - nevyplňujte v rozšiřujících parametrech, ale raději až přímo v okně ISCP, protože hodnota z rozš. par. se konvertuje z českých kódů na slovenské

== Zamestnanci ==
[[Image: Data pro ISPV Trexima SK.png|750px|right]]

=== Nastavení ===
Pro správné naplnění ukazatelů týkající se částek a hodin je dále třeba mít vyplněny následující pojmy z [[Pojmy (číselník)]]:
* '''Přípl. noc'''
* '''Příl. SO-NE'''
* '''Pohotovost''',

dále parametry
* '''odstupne (sk.3)'''
* '''NEM_Z_POVOLANI (sk.3)'''

a pojmy (zatrhávají se kódy mzdových položek) schované pod tlačítkem '''Nastavenie''':
* '''LetneVianocneOdmeny - Letné a vianočné odmeny - NOVÉ !!!'''
* '''Nahrady - Náhrady mzdy podľa ZP,ZVZ,..'''
* '''Plnzisk - Peňažné plnenia'''
* '''PremOdm - Prémie a odmeny pravidelné'''
* '''Priplad - Všechny príplatky a doplatky a mzdové zvýhodnennia'''
* '''PriplStaz - Príplatek sťažený výkon práce - NOVE !!!'''
* '''Sporenie - Platby do programu sporenia'''

Se správným nastavením vám pomůže metodická příručka, kterou by vám měla poslat fa Trexima, nebo ji najdete na stránkách
: [http://www.trexima.sk trexima.sk]

=== Položky ===
* '''zamest''' – načítá se z pracovních poměrů/záložka pracovní poměr – položka '''KZAM-R'''
* '''skisco08''' - [[SK ISCO-08]]
* '''pracpozicia''' - název pracovního místa/pozice
* '''postihnutie''' - načítá se z Evidence zaměstnanců/osobní údaje - položka "Zdravotní postižení", pokud se ukazatel do ISCP nenačte správně, použijte tlačítko historie k ověření/nastavení položky za minulé měsíce.
* '''odborvzdelania''' - ukazatel se skládá z roku ukončení školy (posledních 2 cifry), kódu školy (nově přidaná položka - (vzdelani.kodsko - char(9) ) a oboru vzdělání. Ukazatel se vyplňuje jen u zaměstnanců, kteří ukončili studium v roce 1991 a později. Kód se načte do ISCP jen zaměstnancům, kteří mají v evidenci vzdělání rok ukončení 1991 a vyšší, mají vyplněn kód školy a oboru.
* '''pohlavie''' – zjišťuje se z rodného čísla
* '''vzdelanie''' – načítá se nejvyšší stupeň vzdělání z Evidence zam./Vzdělání. Pokud aplikace zjistí, že je používán český číselník, jsou hodnoty konvertovány na slovenské stupně.
* '''odborvzdelania''' - ukazatel se skládá z roku ukončení školy (posledních 2 cifry), kódu školy (nově přidaná položka - (vzdelani.kodsko - char(9) ) a oboru vzdělání (Evidence zam./Vzdělání). Ukazatel se vyplňuje jen u zaměstnanců, kteří ukončili studium v roce 1991 a později. Kód se načte do ISCP jen zaměstnancům, kteří mají v evidenci vzdělání rok ukončení 1991 a vyšší, mají vyplněn kód školy a oboru.

Pomůcky pro zjištění kódů SK ISCO-08 a odboru vzdělania lze nalézt na http://www.trexima.sk/new/pre-respondentov.php

* '''tartrieda''' – Pracovní poměry/Prac.poměr – položka třída v části ''Mzda'' (pokud zaměstnavatel nepoužívá tarif. systém, načte se 0, tam kde se využívají smluvní platy načte se 99)
* '''pracuv''' – pokud zákonný úvazek je stejný jako hodinový úvazek – 1 plný úvazek, jinak 2 - zkrácený
* '''typzmluvy''' - Pracovní poměry/Prac.poměr – položka ''Délka úvazku'': 1--> 1 úv. na dobu neurčitou, 2,3,4 --> 2 úv. na dobu určitou.
* '''pracovisko''' – pokud je v popisech pracovních míst vyplněna vlastnost ''Obec výkonu práce'', tak se pomocí číselníku obcí zjistí kód kraje; pokud není vyplněno, vyplní se hodnotou parametru nuts z rozšiřujících parametrů
* '''bydlisko''' - Evidence zam./Osobní údaje – PSČ trvalého bydliště (dle PSČ se pomocí číselníku PSČ a číselníku obcí zjistí kód kraje)
* '''stprisl''' – Evidence zam./Osobní údaje – státní příslušnost (převede se na písmenný kód pomocí číselníku státních příslušností)
* '''miesto''' – vyplňuje se pouze pro nastoupivší a vystoupivší, zjišťuje se z datumu vzniku a zániku pracovního místa (PIS/Popisy pracovních míst/Popisy pracovních míst)
* '''zakon''' - odvozuje se z rozšiřujícího parametru [[zakonodm (sk.12)]] – pokud není vyplněn nebo je vyplněn čímkoli jiným než "P", nastaví se kód 1 - ''zakon č. 311/2001 Z.z. zákoník práce''

=== Načtení dat ===
Obecným pravidlem je, že položky se nenačítají z aktuálních údajů (např. z prac.poměru), ale historických – platných k poslednímu dni sledovaného čtvrtroku (např. oprava údaje KZAM v období duben neovlivní data za leden až březen - kromě případu, kdy údaj není vyplněn ve sledovaném období). Pro načtení dat použijte tlačítko '''''Načítať data''''', program bude chvíli pracovat, zbývající čas můžete odhadnout pomocí grafického ukazatele průběhu. Po načtení dat data zkontrolujte, v případě nesprávných nebo chybějících údajů je můžete přímo v okně ručně opravit (opravená data se neukládají do databáze).

=== Uložení do XML souboru ===
Nyní můžete data uložit do souboru XML (tlačítko '''''Uložiť do súboru''''') a ten nahrát a odeslat pomocí webové stránky [https://www.trexima.sk/iscp/ trexima sk - iscp] - před odesláním jsou data zkontrolována a zobrazeny chyby.

== Odkazy ==
* [[Slovenská aplikace]]
* [[Data pro ISPV (Trexima)]]

Služební cesty - Slovenská aplikace

2026-03-19T13:23:04Z

Pavelr: /* Vyšší zahraniční stravné pro řidiče */

== Kurzy při vyúčtování ==
Při vyúčtování SC používá slovenská verze tyto kurzy, dle platné legislativy:

a) kurz doložený zaměstnancem pro směnu zálohy na jinou měnu

b) kurz ECB k předcházejícímu dni poskytnutí zálohy na SC

c) kurz ECB k předcházejícímu dni vyúčtování SC (tj. aplikace bere pro SC jako den uskutečnění účetního případu datum vyúčtování (v praxi se používá i datum předložení dokladů zaměstnancem))

d) kurz ECB k 1. dni v měsíci (ve kterém SC začíná) a to pouze pro případ uvedený v §36 odst. 6 zákona č. 283/2002, tj. kdy se zaměstnanec se zaměstnavatelem dohodli, že záloha na stravné bude poskytnuta v jiné měně než stanovuje vyhláška pro danou krajinu. Tuto dohodu aplikace neeviduje, ale je možné aktivovat parametr '''slc_strVmenZal''', což způsobí, že aplikace v případě zálohy '''s účelem stravné''' vyplacené v jiné měně než je uvedena v číselníku zahraniční stravné, považuje za stav, že tato dohoda byla učiněna a stravné vygeneruje v měně zálohy. Tj. již nárok na stravné stanoví v dohodnuté měně a stravné v dohodnuté měně vstupuje do vyúčtování, kurz k 1. dni tedy již nevstupuje do vyúčtování ani zaúčtování (závazek z nároku na stravné vzniká v dohodné měně a v dohodnuté měně se o něm i účtuje). Pokud není aktivován parametr slc_strVmenZal, nebo záloha nemá vyplněn účel, může účetní přepnout měnu stravného na záložce stravné a částka se automaticky přepočte kurzem k 1.dni měsíce.

[https://podpora.financnasprava.sk/337635-%C3%9A%C4%8Dtovanie-cestovn%C3%BDch-n%C3%A1hrad---pou%C5%BEitie-kurzu Finančná správa SR/Účtovanie cestovných náhrad - použitie kurzu]

== Parametry ==
slc_strVmenZal - Pokud zaměstnanec dostane zálohu na stravné v jiné měně než je ve vyhlášce pro danou cizí zemi, vypočítá se nárok na stravné v měně zálohy, přičemž se použije kurz k 1.dni měsíce kdy cesta začala dle §36(6) 283/2002.

== Tuzemské stravné ==

[[Image: E-sc-cis-tuzemske-stravne-SK.png|700px]]

{|border="1" cellpadding="3" cellspacing="0"
|+ Stravné (SK legislativa) v EUR 
|-
|Délka pracovní cesty
|rok 2013
|od 1.11.2014
|od 1.12.2016
|od 1.6.2018
|od 1.7.2019
| ...
|od 1.5.2022 || 1.9.2022 || 1.1.2023 || 1.6.2023 || '''1.10.2023'''
|-
|5 - 12 hod ||4 || 4,20||4,50 || 4,80 ||5,10 || || 6 || 6,40 || 6,80 || 7,30 || '''7,80'''
|-
|12 - 18 hod ||6 ||6,30|| 6,70 || 7,10 || 7,60 || ||9 || 9,60 || 10,10 || 10,90 ||'''11,60'''
|-
|více než 18 hod ||9,50 ||9,80 || 10,30 || 10,90 || 11,60 || || 13,70 || 14,50 || 15,30 || 16,40 || '''17,40'''
|}

171/2023 Z.z.

[[Tuzemské stravné|Více informací zde.]]

== Krácení ==

{|border="1" cellpadding="3" cellspacing="0"
|+ Krácení (SK legislativa) 
|-
|Délka pracovní cesty
|rok 2013
|-
|všechna pásma
|S = '''25%'''
|-
|všechna pásma
|O = '''40%'''
|-
|všechna pásma
|V = '''35%'''
|}

Pozor: pro SK legislativu (narozdíl od CZ legislativy) se procenta krácení vztahují vždy k plné sazbě, tj. sazbě pro pásmo > 18h a ne k sazbě pro konkrétní pásmo. Výňatek ze zákona o cestovných náhradách §5 odst.6: "Ak má zamestnanec na pracovnej ceste preukázane zabezpečené bezplatné stravovanie čiastočne, zamestnávateľ stravné určené podľa odsekov 1, 2 alebo 5 kráti o 25 % za bezplatne poskytnuté raňajky, o 40 % za bezplatne poskytnutý obed a o 35 % za bezplatne poskytnutú večeru z ustanovenej sumy stravného pre časové pásmo nad 18 hodín alebo z najvyššej dohodnutej sumy stravného podľa odseku 5.". Tj. dle zákona se krátí o pevnou částku dle charakteru jídla, bez ohledu na pásmo. Pokud tedy budete mít nastavení dle zákona, např. 25% pro snídani u 1., 2. i 3. pásma, tak je to vždy 25% z plné sazby (ze sazby pro 3. pásmo). Pokud si nastavíte nižší krácení, než stanovuje zákon, např. 10 % pro snídani pro 1. pásmo, částka o kterou krátíte méně než stanovuje zákon se projeví ve sloupci nadlimit stravného).

[[Tuzemské stravné|Více informací zde.]]

== Zahraniční stravné ==
Podíl denní sazby dle počtu hodin:

více než 12 hod - celá denní sazba 
více než 6 hod - 1/2 denní sazby 
do 6 hodin (včetně) - 1/4 denní sazby

=== Vyšší zahraniční stravné pro řidiče ===

Vyššie zahraničné stravné pre vodičov (mobilní zamestnanci v cestnej doprave)

Dne 27.1.2026 vyšlo ve SK sbírce opatření č. 9/2026 platné od 30.1.2026 zavádějící zvláštní tabulku zahraničního stravného pro řidiče (Mobilní zaměstnanci v silniční dopravě):

''Opatrenie Ministerstva financií Slovenskej republiky č. 401/2012 Z. z., ktorým sa ustanovujú základné sadzby stravného v eurách alebo v cudzej mene pri zahraničných pracovných cestách sa dopĺňa takto:''

''Za § 1 sa vkladá § 1a, ktorý znie:''

''„§ 1a''

''Osobitné základné sadzby stravného v eurách alebo v cudzej mene pre mobilných zamestnancov v cestnej doprave1) a pre tieto krajiny pri zahraničných pracovných cestách sa ustanovujú takto: ...''

'''Pokud máte zaměstnance spadající do výše uvedené kategorie a chcete nalít tyto sazby do číselníku "Zahraniční stravné" postupujte následovně:'''

1) Úprava databáze, pokud nebyla provedena po aktualizaci na verzi 8041A 
2) Menu Systém/Jednorázové funkce - spusťte funkci č. '''25 - Základní naplnění číselníku vlastností ...''' (toto doplní novou vlastnost č 123 Zahraniční stravné - typ do číselníku vlastností PM) 
3) Přes Popisy pracovních míst zadejte řidičům ve skupině "Mzdové údaje" vlastnost '''Zahraniční stravné - typ''' a z nabídky vyberte hodnotu '''Mobilní zaměstnanci v silniční dopravě''' 
4) Menu Evidence/Služební cesty/Číselníky/'''Zahraniční stravné''' stiskněte tlačítko '''Doplnit obsah číselníku''', toto doplní řádky, kde v posledním sloupci '''Typ''' je uvedeno '''Mobilní zaměstnanci v silniční dopravě''' (běžné sazby mají typ '''Běžní zaměstnanci''')

Pokud u žádného pracovního místa není nastaveno Zahraniční stravné - typ na hodnotu "Mobilní zaměstnanci v silniční dopravě", tak se sazby platné pro řidiče nevloží!

Pokud pro zemi není uvedena "osobitná sazba", tak platí i pro řidiče sazba s typem "Běžní zaměstnanci" (osobitné sazby byly vyhlášeny jen pro vybranné evropské země).

== Spotřeba vozidla a výpočet náhrady za PHM ==
SK verze vyžaduje zadání '''všech 3 spotřeb''' vlastního automobilu, neboť zákon o cestovných náhradách č. 283/2002 vyžaduje při výpočtu náhrad za PHM použít spotřebu odpovídající režimu jízdy. KS neeviduje, podle jaké normy je zadaná spotřeba, nemá si tedy dle čeho určit, zda pro jízdu po městě zvýšit spotřebu o 40% dle písmene a) či o 20% dle písmene d). Do systému tedy zadávejte již navýšené (zreálněné) spotřeby dle §7 odstavce 6:

(6) Spotreba uvedená v doklade vozidla8a) sa na výpočet náhrady za spotrebované pohonné látky použije takto:

a) ak je v doklade vozidla uvedená spotreba len podľa príslušnej slovenskej technickej normy, použije sa spotreba podľa tejto normy zvýšená '''o 10 %''' a pri jazde vozidla '''v meste zvýšená o 40 %''',

b) ak je v doklade vozidla uvedená spotreba podľa slovenskej technickej normy a predpisu Európskej hospodárskej komisie alebo podľa predpisu Európskej hospodárskej komisie, použije sa spotreba podľa predpisu Európskej hospodárskej komisie vypočítaná aritmetickým priemerom zvýšená '''o 10 %''' a pri jazde vozidla v meste spotreba podľa predpisu Európskej hospodárskej komisie určená pre jazdu '''v meste zvýšená o 10 %''',

c) ak je v doklade vozidla uvedená spotreba v členení na mestský cyklus, mimomestský cyklus a kombinovaný cyklus, použije sa spotreba zodpovedajúca príslušnému cyklu premávky zvýšená '''o 10 %''' alebo spotreba zodpovedajúca kombinácii jednotlivých cyklov premávky odvodených od konkrétneho režimu jazdy vozidla zvýšená o 10 %; pri kombinácii jednotlivých cyklov premávky sa na žiadosť zamestnanca použije iba spotreba pre kombinovaný cyklus zvýšená o 10 %,

d) ak je v doklade vozidla uvedená spotreba bez členenia na cykly, použije sa táto spotreba zvýšená o 10 % a pri jazde vozidla v meste zvýšená '''o 20 %''',

e) ak je v doklade vozidla, ktoré je poháňané '''len elektrickou energiou''', uvedená spotreba elektrickej energie, použije sa táto spotreba zvýšená '''o 10 %''' a pri jazde vozidla '''na rýchlostných cestách a diaľniciach zvýšená o 20 %'''.

Poznámky:

* Pokud kombinová spotřeba není v TP uvedena, vyplňte do kobinované spotřeby stejnou hodnotu jako do pole mimo-město.

* K písmenu e - pro vozy s čistě elektrickým pohonem nebude zaváděno nové pole pro počet kilometrů na rychlostních silnicích či dálnicích, zaměstnanci ať používají pro tento účel kolonku '''''km-mimo město''''' a v evidenci vozidel zadejte do kolonky '''''spotřeba mimoměsto''''' spotřebu navýšenou '''o 20%'''.

* Ostatní specifické určování náhrady za PH je i nadále nutné řešit ručním výpočtem.

: (hd 75650) <s>[[Spotřeba vozidla a výpočet náhrady za PHM (SK) (historie)]]</s>

[[Služební cesty|zpět]]

Služební cesty - Slovenská aplikace

2026-03-19T12:58:42Z

Pavelr: Vyšší zahraniční stravné pro řidiče

== Kurzy při vyúčtování ==
Při vyúčtování SC používá slovenská verze tyto kurzy, dle platné legislativy:

a) kurz doložený zaměstnancem pro směnu zálohy na jinou měnu

b) kurz ECB k předcházejícímu dni poskytnutí zálohy na SC

c) kurz ECB k předcházejícímu dni vyúčtování SC (tj. aplikace bere pro SC jako den uskutečnění účetního případu datum vyúčtování (v praxi se používá i datum předložení dokladů zaměstnancem))

d) kurz ECB k 1. dni v měsíci (ve kterém SC začíná) a to pouze pro případ uvedený v §36 odst. 6 zákona č. 283/2002, tj. kdy se zaměstnanec se zaměstnavatelem dohodli, že záloha na stravné bude poskytnuta v jiné měně než stanovuje vyhláška pro danou krajinu. Tuto dohodu aplikace neeviduje, ale je možné aktivovat parametr '''slc_strVmenZal''', což způsobí, že aplikace v případě zálohy '''s účelem stravné''' vyplacené v jiné měně než je uvedena v číselníku zahraniční stravné, považuje za stav, že tato dohoda byla učiněna a stravné vygeneruje v měně zálohy. Tj. již nárok na stravné stanoví v dohodnuté měně a stravné v dohodnuté měně vstupuje do vyúčtování, kurz k 1. dni tedy již nevstupuje do vyúčtování ani zaúčtování (závazek z nároku na stravné vzniká v dohodné měně a v dohodnuté měně se o něm i účtuje). Pokud není aktivován parametr slc_strVmenZal, nebo záloha nemá vyplněn účel, může účetní přepnout měnu stravného na záložce stravné a částka se automaticky přepočte kurzem k 1.dni měsíce.

[https://podpora.financnasprava.sk/337635-%C3%9A%C4%8Dtovanie-cestovn%C3%BDch-n%C3%A1hrad---pou%C5%BEitie-kurzu Finančná správa SR/Účtovanie cestovných náhrad - použitie kurzu]

== Parametry ==
slc_strVmenZal - Pokud zaměstnanec dostane zálohu na stravné v jiné měně než je ve vyhlášce pro danou cizí zemi, vypočítá se nárok na stravné v měně zálohy, přičemž se použije kurz k 1.dni měsíce kdy cesta začala dle §36(6) 283/2002.

== Tuzemské stravné ==

[[Image: E-sc-cis-tuzemske-stravne-SK.png|700px]]

{|border="1" cellpadding="3" cellspacing="0"
|+ Stravné (SK legislativa) v EUR 
|-
|Délka pracovní cesty
|rok 2013
|od 1.11.2014
|od 1.12.2016
|od 1.6.2018
|od 1.7.2019
| ...
|od 1.5.2022 || 1.9.2022 || 1.1.2023 || 1.6.2023 || '''1.10.2023'''
|-
|5 - 12 hod ||4 || 4,20||4,50 || 4,80 ||5,10 || || 6 || 6,40 || 6,80 || 7,30 || '''7,80'''
|-
|12 - 18 hod ||6 ||6,30|| 6,70 || 7,10 || 7,60 || ||9 || 9,60 || 10,10 || 10,90 ||'''11,60'''
|-
|více než 18 hod ||9,50 ||9,80 || 10,30 || 10,90 || 11,60 || || 13,70 || 14,50 || 15,30 || 16,40 || '''17,40'''
|}

171/2023 Z.z.

[[Tuzemské stravné|Více informací zde.]]

== Krácení ==

{|border="1" cellpadding="3" cellspacing="0"
|+ Krácení (SK legislativa) 
|-
|Délka pracovní cesty
|rok 2013
|-
|všechna pásma
|S = '''25%'''
|-
|všechna pásma
|O = '''40%'''
|-
|všechna pásma
|V = '''35%'''
|}

Pozor: pro SK legislativu (narozdíl od CZ legislativy) se procenta krácení vztahují vždy k plné sazbě, tj. sazbě pro pásmo > 18h a ne k sazbě pro konkrétní pásmo. Výňatek ze zákona o cestovných náhradách §5 odst.6: "Ak má zamestnanec na pracovnej ceste preukázane zabezpečené bezplatné stravovanie čiastočne, zamestnávateľ stravné určené podľa odsekov 1, 2 alebo 5 kráti o 25 % za bezplatne poskytnuté raňajky, o 40 % za bezplatne poskytnutý obed a o 35 % za bezplatne poskytnutú večeru z ustanovenej sumy stravného pre časové pásmo nad 18 hodín alebo z najvyššej dohodnutej sumy stravného podľa odseku 5.". Tj. dle zákona se krátí o pevnou částku dle charakteru jídla, bez ohledu na pásmo. Pokud tedy budete mít nastavení dle zákona, např. 25% pro snídani u 1., 2. i 3. pásma, tak je to vždy 25% z plné sazby (ze sazby pro 3. pásmo). Pokud si nastavíte nižší krácení, než stanovuje zákon, např. 10 % pro snídani pro 1. pásmo, částka o kterou krátíte méně než stanovuje zákon se projeví ve sloupci nadlimit stravného).

[[Tuzemské stravné|Více informací zde.]]

== Zahraniční stravné ==
Podíl denní sazby dle počtu hodin:

více než 12 hod - celá denní sazba 
více než 6 hod - 1/2 denní sazby 
do 6 hodin (včetně) - 1/4 denní sazby

=== Vyšší zahraniční stravné pro řidiče ===

Vyššie zahraničné stravné pre vodičov (mobilní zamestnanci v cestnej doprave)

Dne 27.1.2026 vyšlo ve SK sbírce opatření č. 9/2026 platné od 30.1.2026 zavádějící zvláštní tabulku zahraničního stravného pro řidiče (Mobilní zaměstnanci v silniční dopravě):

''Opatrenie Ministerstva financií Slovenskej republiky č. 401/2012 Z. z., ktorým sa ustanovujú základné sadzby stravného v eurách alebo v cudzej mene pri zahraničných pracovných cestách sa dopĺňa takto:''

''Za § 1 sa vkladá § 1a, ktorý znie:''

''„§ 1a''

''Osobitné základné sadzby stravného v eurách alebo v cudzej mene pre mobilných zamestnancov v cestnej doprave1) a pre tieto krajiny pri zahraničných pracovných cestách sa ustanovujú takto: ...''

'''Pokud máte zaměstnance spadající do výše uvedené kategorie a chcete nalít tyto sazby do číselníku "Zahraniční stravné" postupujte následovně:'''

1) Úprava databáze, pokud nebyla provedena po aktualizaci na verzi 8041A 
2) Menu Systém/Jednorázové funkce - spusťte funkci č. '''25 - Základní naplnění číselníku vlastností ...''' (toto doplní novou vlastnost č 123 Zahraniční stravné - typ do číselníku vlastností PM) 
3) Přes Popisy pracovních míst zadejte řidičům ve skupině "Mzdové údaje" vlastnost '''Zahraniční stravné - typ''' a z nabídky vyberte hodnotu '''Mobilní zaměstnanci v silniční dopravě''' 
4) Menu Evidence/Služební cesty/Číselníky/'''Zahraniční stravné''' stiskněte tlačítko '''Doplnit obsah číselníku''', toto doplní řádky, kde v posledním sloupci '''Typ''' je uvedeno '''Mobilní zaměstnanci v silniční dopravě''' (běžné sazby mají typ '''Běžní zaměstnanci''')

== Spotřeba vozidla a výpočet náhrady za PHM ==
SK verze vyžaduje zadání '''všech 3 spotřeb''' vlastního automobilu, neboť zákon o cestovných náhradách č. 283/2002 vyžaduje při výpočtu náhrad za PHM použít spotřebu odpovídající režimu jízdy. KS neeviduje, podle jaké normy je zadaná spotřeba, nemá si tedy dle čeho určit, zda pro jízdu po městě zvýšit spotřebu o 40% dle písmene a) či o 20% dle písmene d). Do systému tedy zadávejte již navýšené (zreálněné) spotřeby dle §7 odstavce 6:

(6) Spotreba uvedená v doklade vozidla8a) sa na výpočet náhrady za spotrebované pohonné látky použije takto:

a) ak je v doklade vozidla uvedená spotreba len podľa príslušnej slovenskej technickej normy, použije sa spotreba podľa tejto normy zvýšená '''o 10 %''' a pri jazde vozidla '''v meste zvýšená o 40 %''',

b) ak je v doklade vozidla uvedená spotreba podľa slovenskej technickej normy a predpisu Európskej hospodárskej komisie alebo podľa predpisu Európskej hospodárskej komisie, použije sa spotreba podľa predpisu Európskej hospodárskej komisie vypočítaná aritmetickým priemerom zvýšená '''o 10 %''' a pri jazde vozidla v meste spotreba podľa predpisu Európskej hospodárskej komisie určená pre jazdu '''v meste zvýšená o 10 %''',

c) ak je v doklade vozidla uvedená spotreba v členení na mestský cyklus, mimomestský cyklus a kombinovaný cyklus, použije sa spotreba zodpovedajúca príslušnému cyklu premávky zvýšená '''o 10 %''' alebo spotreba zodpovedajúca kombinácii jednotlivých cyklov premávky odvodených od konkrétneho režimu jazdy vozidla zvýšená o 10 %; pri kombinácii jednotlivých cyklov premávky sa na žiadosť zamestnanca použije iba spotreba pre kombinovaný cyklus zvýšená o 10 %,

d) ak je v doklade vozidla uvedená spotreba bez členenia na cykly, použije sa táto spotreba zvýšená o 10 % a pri jazde vozidla v meste zvýšená '''o 20 %''',

e) ak je v doklade vozidla, ktoré je poháňané '''len elektrickou energiou''', uvedená spotreba elektrickej energie, použije sa táto spotreba zvýšená '''o 10 %''' a pri jazde vozidla '''na rýchlostných cestách a diaľniciach zvýšená o 20 %'''.

Poznámky:

* Pokud kombinová spotřeba není v TP uvedena, vyplňte do kobinované spotřeby stejnou hodnotu jako do pole mimo-město.

* K písmenu e - pro vozy s čistě elektrickým pohonem nebude zaváděno nové pole pro počet kilometrů na rychlostních silnicích či dálnicích, zaměstnanci ať používají pro tento účel kolonku '''''km-mimo město''''' a v evidenci vozidel zadejte do kolonky '''''spotřeba mimoměsto''''' spotřebu navýšenou '''o 20%'''.

* Ostatní specifické určování náhrady za PH je i nadále nutné řešit ručním výpočtem.

: (hd 75650) <s>[[Spotřeba vozidla a výpočet náhrady za PHM (SK) (historie)]]</s>

[[Služební cesty|zpět]]

Daňovka

2026-01-05T10:15:17Z

Pavelr:

Aktuální informace k 5.1.2026:

Formuláře prohlášení poplatníka a žádost o RZ se pro rok 2026 nemění.

V desktopové aplikaci tedy můžete tyto formuláře tisknout již nyní (v záložce žádost zkontrolujte, že se předvyplnil rok 2025).

Co se týče těchto formulářů v KS portále:

- prohlášení poplatníka mohou zaměstnanci vyplňovat až po uzávěrce prosince (omlouváme se za předchozí chybnou informaci)

- žádost o RZ mohou zaměstnanci vyplňovat od 1. ledna (i dříve pokud je mzdové období překlopeno před 1.1.),
termín do kdy mohou žádat je dán parametrem [[ZadostORZDo]],

- schvalování žádosti o RZ (a tedy zápis do agendy RZ) bude odblokováno programovou úpravou pravděpodobně v 2. půlce ledna - informace o tomto bude v notifikačním mailu "Úpravy aplikací společnosti KS..."


{| id="mp-upper" style="width: 100%; margin:4px 0 0 0; background:none; border-spacing: 0;"
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top; color:#000;" |
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Charakteristika
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Daňovka (O modulu)|O modulu]] 
[[Daňovka (Zpřístupnění)|Zpřístupnění]] 
--------
[[Daňovka (Finanční správa)|Finanční správa]]
-----------------
[[Parametry (Daňovka)|Parametry]]
-----------
[[Daňovka (Různé)| Různé]] 
[[Generátor sestav II (příklady sestav)]] 
</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | KS Portál
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Nastavení workflow (Prohlášení poplatníka)]] 
[[Nastavení workflow (Žádost o roční zúčtování)]] 
----
'''[[Prohlášení poplatníka (požadavek)]]''' 
'''[[Žádost o roční zúčtování (požadavek)]]'''
----
[[Prohlášení poplatníka (schválení)]] 
[[Žádost o roční zúčtování (schválení)]]
----
[[Otevřít pro změny v průběhu roku (Prohlášení poplatníka)|Otevřít pro změny v průběhu roku]]

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Mzdová aplikace
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Prohlášení poplatníka (potvrzení)]] 
[[Žádost o roční zúčtování (potvrzení)]]
</div>
|}
|}


{| id="mp-upper" style="width: 100%; margin:4px 0 0 0; background:none; border-spacing: 0;"
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top; color:#000;" |
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Návaznosti
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Roční zúčtování daně]] 
[[Potvrzení zdanitelných příjmů]] 
[[Dokumenty vystavené (KS portál)]] 

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Jiné
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

* [[Žádost o roční zúčtování (2024) (požadavek)]]

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | 
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

</div>
|}

|}

[[Moduly_KS_mzdy_PROFI|zpět]]

__NOTOC____NOEDITSECTION__

Daňovka

2025-12-29T09:47:46Z

Pavelr:

Aktuální informace k 29. 12. 2025:

Formuláře prohlášení poplatníka a žádost o RZ se pro rok 2026 nemění.

V desktopové aplikaci tedy můžete tyto formuláře tisknout již nyní (v záložce žádost zkontrolujte, že se předvyplnil rok 2025).

Co se týče těchto formulářů v KS portále:

- prohlášení poplatníka mohou zaměstnanci vyplňovat již teď, (pokud budou vyplňovat před 1.1., musejí přepsat v položce "pro zdaňovací období" rok 2025 na 2026)

- žádost o RZ mohou zaměstnanci vyplňovat od 1. ledna (i dříve pokud je mzdové období překlopeno před 1.1.),
termín do kdy mohou žádat je dán parametrem [[ZadostORZDo]],

- schvalování žádosti o RZ (a tedy zápis do agendy RZ) bude odblokováno programovou úpravou pravděpodobně v 2. půlce ledna - informace o tomto bude v notifikačním mailu "Úpravy aplikací společnosti KS..."


{| id="mp-upper" style="width: 100%; margin:4px 0 0 0; background:none; border-spacing: 0;"
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top; color:#000;" |
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Charakteristika
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Daňovka (O modulu)|O modulu]] 
[[Daňovka (Zpřístupnění)|Zpřístupnění]] 
--------
[[Daňovka (Finanční správa)|Finanční správa]]
-----------------
[[Parametry (Daňovka)|Parametry]]
-----------
[[Daňovka (Různé)| Různé]] 
[[Generátor sestav II (příklady sestav)]] 
</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | KS Portál
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Nastavení workflow (Prohlášení poplatníka)]] 
[[Nastavení workflow (Žádost o roční zúčtování)]] 
----
'''[[Prohlášení poplatníka (požadavek)]]''' 
'''[[Žádost o roční zúčtování (požadavek)]]'''
----
[[Prohlášení poplatníka (schválení)]] 
[[Žádost o roční zúčtování (schválení)]]
----
[[Otevřít pro změny v průběhu roku (Prohlášení poplatníka)|Otevřít pro změny v průběhu roku]]

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Mzdová aplikace
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Prohlášení poplatníka (potvrzení)]] 
[[Žádost o roční zúčtování (potvrzení)]]
</div>
|}
|}


{| id="mp-upper" style="width: 100%; margin:4px 0 0 0; background:none; border-spacing: 0;"
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top; color:#000;" |
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Návaznosti
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Roční zúčtování daně]] 
[[Potvrzení zdanitelných příjmů]] 
[[Dokumenty vystavené (KS portál)]] 

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Jiné
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

* [[Žádost o roční zúčtování (2024) (požadavek)]]

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | 
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

</div>
|}

|}

[[Moduly_KS_mzdy_PROFI|zpět]]

__NOTOC____NOEDITSECTION__

Instalační příručka

2025-12-22T09:53:31Z

Pavelr:

{{KS portál}}
Tento dokument je vlastnictvím společnosti KS-program, spol. s r.o., Vsetín. Slouží pro potřeby školení a studia uživatelů systému Mzdy a personalistika. Žádná část dokumentu nesmí být nijak kopírována, zveřejňována nebo jinak poskytnuta třetím osobám bez předchozího písemného souhlasu odpovědných zástupců KS-program, spol. s r.o.

= Podporované prohlížeče =
Podporovanými prohlížeči jsou '''aktuální verze''' následujících produktů:
* '''''Mozilla Firefox'''''
* '''''Google Chrome'''''
* '''''Microsoft Edge'''''

Prohlížeč musí mít '''povolen ''JavaScript'' a ''Cookies''''' (výchozí nastavení).

=== Apple ===
Aplikace KS Portál je kompatibilní se zařízeními značky Apple (iPhone, iPad, Mac, aj.) 
Podporované prohlížeče jsou: Safari, Google Chrome a Mozilla Firefox

=== Historie ===
: [[Podporované prohlížeče (KS portál) (historie)]] 

= Co je potřeba ke zprovoznění KS Portálu =
* '''Windows Server 2008 R2, 2012 a vyšší'''. KS Portál potřebuje cca 100 MB místa na webovém serveru.

* '''Běhové prostředí [[.Net Framework]]. 
.

Vhodné je mít nejprve nainstalovaný webový server IIS a potom teprve nainstalovat .NET Framewok. V tomto pořadí se Framewok sám zaregistruje do IIS. Pokud toto pořadí nemůžete dodržet nebo nevíte v jakém pořadí byly tyto dvě aplikace naistalovány, spusťte registraci Frameworku do IIS ručně pomocí příkazu (jako správce z příkazové řádky) 
%windir%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe -i

* V IIS musí být povolen ASP modul. Je to ISAPI rozšíření webového serveru, které zpracovává požadavky na stránky s příponou ASPX.

= Jak postupovat při instalaci =

===Aplikace nesmí být instalována jako Web Site===

===Pro Windows Server 2008 R2, 2012 (IIS 7) a vyšší===

# Kdekoliv na disku '''vytvořte adresář ''ksprtl''''' (Doporučujeme do adresáře ''C:\Inetpub\wwwroot\'').
# Do adresáře ksprtl '''rozbalte''' obsah souboru '''''PRTXXXXY.zip''''' (XXXXY - odpovídající verze aplikace). Instalační sadu si stáhněte z: ''http://download.ksprogram.cz/download/''
# Skupině uživatelů '''''Authenticated Users'' nastavte práva''': čtení na adresáři ''ksprtl'' včetně jeho obsahu zápisu do podadresářů ''Logs'' a ''Temp''. (Pokud později bude smazán některý z uvedených podadresářů, bude nutné po vytvoření přiřadit práva znovu. hd 80459)
# '''V IIS vytvořte novou webovou aplikaci''' s odkazem na fyzický adresář ''ksprtl'' (vytvořený v bodu 1).
# V základním nastavení vytvořené webové aplikace se ujistěte, že '''aplikace běží ve fondu aplikací''' (aplikačním poolu), který využívá ''.NET Framework''.
# V souboru ''web.config'' (nebo ve vlastnostech webové aplikace) '''upravte ''ConnectionString''''', tak aby odpovídal vašemu DB připojení. (viz. ''Nastavení DB připojení'').

= Nastavení DB připojení =
Připojení na databáze MSSQL a Oracle je již implementován přímo v Net Frameworku, takže se pro tyto databázové platformy nemusí nic instalovat. K ostatním databázovým platformám je možné přistupovat prostřednictvím ODBC. Použité ODBC musí podporovat DotNet. Zákazník by měl získat ODBC od svého dodavatele databáze (my jej nedodáváme).

<nowiki>Databázové připojení v KS Portálu (ASP.NET aplikaci) definuje ConnectionString, který se nachází v sekci <connectionStrings> v souboru web.config v hlavním adresáři aplikace.</nowiki>

== Příklady ConnectionStringu ==

=== Pro MSSQL ===
<nowiki><add name="web_mzdy" connectionString="server=web_pc;database=mzdy;uid=test;pwd=test"</nowiki>

providerName="System.Data.SqlClient"/>

=== Pro Oracle ===
<nowiki><add name="web_mzdy" connectionString="Data Source=KSPROGRA;User Id=test;Password=test"</nowiki>

providerName="System.Data.OracleClient"/>

=== Pro ODBC ===
<nowiki><add name="web_mzdy" connectionString="DSN=i_mzdy" providerName="System.Data.Odbc"/></nowiki>

=== Položky DB připojení ===

{|
|name
| - jméno DB připojení
|-
|server
| - název nebo IP adresa počítače, na kterém běží DB server
|-
|database
| - název databáze, ke které bude chtít být připojeni
|-
|uid
| - login pro přístup do databáze
|-
|pwd
| - heslo pro přístup do databáze
|}

== Doplňující informace ==
=== Oracle ===
Na serveru s IIS je potřeba mít stejnou verzi klienta pro Oracle jako je Oracle databáze. Je vyžadován 32 bit oracle client. Na adresář Oracle_home (adresář oracle clienta), nadřízené a podřízené složky musí mít přístup skupina uživatelů Authenticated Users a to právo Read&Execute. Pokud nejsou práva nastavena správně objeví se chyba: ''System.Data.OracleClient requires Oracle client software version 8.1.7 or greater.''

Pokud to nepomůže nastavte stejná práva uživateli ASPNET, pod kterým běží proces ASP.NET.

=== PostgreSQL ===
* [[PostgreSQL]]

== Ze zkušeností ==
Pokud KS Portál zahlásí databázovou chybu ORA-12638 (jedná se o zdokumentovanou chybu Oracle):

''In fact this kind of error (ORA-12638) has many causes. I had it in 10.2.0.3 due to a bug. And also I had it in 9.2.0.8 because we had some troubles with our Active Directory. When the parameter SQLNET_AUTHENTIFICATION_SERVICES is set to NTS then before the connexion the Oracle server ask for a "ticket" to the Active Directory. And, if it cannot retrieve a valid "ticket" then we have the error ORA-12638.''

''So finally, I set SQLNET_AUTHENTIFICATION_SERVICES = (NTS,NONE) so the OS authentification is not compulsory ant we didn't have the error ORA-12638 anymore.''

Jak je uvedeno výše v anglickém textu, tato chyba může mít více příčin. Problém vzniká tím, že se Oracle snaží uživatele, který přistupuje do DB ověřit proti Active Directory. Do DB přistupujete pod uživatelem, který není naveden v Active Directory. Řešením je vypnout ověření DB uživatele proti Active Directory. Obecně se doporučuje v konfiguračním souboru sqlnet.ora (buď na serveru nebo na klientovi) zaměnit řádek: SQLNET.AUTHENTICATION_SERVICES= (NTS) za SQLNET.AUTHENTICATION_SERVICES= (NONE).

Lepším řešením je upravit soubor sqlnet.ora na straně Oracle klienta (na počítači, kde běží KS Portál).

= Přihlašování uživatelů KS Portálu =
KS portál nabízí tyto způsoby přihlašování uživatelů:

- Přihlášení portálovým účtem

- Windows - Systém jednotného přihlášení (SSO)

- Přihlášení active directory účtem

- Přihlášení databázovým účtem

- Přihlášení přes externí autentizační službu (OAUTH2, SAML2)

- Přihlášení externího uživatele - nezaměstnance

- Přihlášení čipovou kartou (RFID)

Při volbě způsobu přihlašování je třeba také pamatovat na to, že po ověření uživatele je potřeba nějak svázat přihlášeného uživatele s konkrétním zaměstnancem v databázi, tedy vazba login-osobní číslo, viz ZdrojOsCisla níže.

=== Přihlášení portálovým účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) na přihlašovací stránce. Teprve po vyplnění platných údajů a jejich ověření získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutí na „odhlašovací“ tlačítko. Přihlašovací údaje spravuje pověřená osoba buď na staránce Nastavení/Uživatelé nebo v agendě Uživatelé KS portálu v desktopové aplikaci. Nový zaměstnanci se také mohou registrovat sami, pokud je to povoleno.

V souboru Web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, v levém stromu vyberte nejdříve webovou aplikaci ksportal v IIS/Ověřování (na WIN EN Authentication), kde povolte "Ověřování založené na formulářích" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public).

=== Windows - Systém jednotného přihlášení (SSO) ===
Uživatelé nemusí vyplňovat přihlašovací údaje (login a heslo), do portálu se přihlašují automaticky loginem, pod kterým se přihlásili k doménovému serveru prostřednictvím přihlášení do Windows, z čehož vyplývá, že je tento způsob použitelný jen uvnitř firemní sítě (případně za použití VPN).

V souboru web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Windows">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, jednak metodu nemusíte mít nainstalovánu, jednak IIS nezmění jen web.config, ale zapíše povolené autentizační metody pro jednotlivé aplikace do applicationHost.config (v c:\Windows\System32\inetsrv\config). V levém stromu vyberte nejdříve webovou aplikaci ksportal, pak v IIS/Ověřování (na WIN EN Authentication), zakažte "Ověřování založené na formulářích", povolte "Ověřování systému Windows" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public). Pokud autentizace nefunguje, zakažte i metodu "Anonymní přístup".

<nowiki>
Po přidání parametru <add key="SkipLoginPage" value="true"/> se přeskočí přihlašovací stránka.
</nowiki>

Do databáze přistupuje portál buď pod DB účtem zadaným v connectionstringu, nebo pod windows účtem uživatele pokud je v connectstringu nastaveno Integrated Security=true a identita fondu aplikace je ponechána na hodnotě ApplicationPoolIdentity (tj. není nastaven specifický účet zosobnění).

=== Přihlášení active directory účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) k active directory účtu. Teprve po vyplnění platných údajů na přihlašovací stránce získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutím na tlačítko „Odhlásit“. Tento způsob přihlášení, narozdíl od windows SSO, je možno použít i pro uživatele hlásící se zvenku, mimo firemní síť (samozřejmě jen pokud je portál vystaven veřejně).

Vzhledem k tomu, že při AD autentizaci nezáleží na velikosti písmen a umožňuje použít různé formáty loginů a různé tvary domény (a při některých konfiguracích i bez domény) a při definici práv v KS je rovněž možno používat různé formáty loginů, je nutné nastavit parametr SparovaniUziv na CI-BezDomeny, aby systém při načítání práv z KS databáze pro autentizovaného uživatele ignoroval velikost písmen i doménu, jinak se práva nebudou načítat jednotně a budou záviset na tom, v jakém tvaru uživatel zadá svůj login!

Lze se přihlašovat i tvarem loginu bez domény pokud je parametr SparovaniUzivAD (jiný parametr než výše) nastaven na hodnotu true.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="ad"/>
</nowiki>

<nowiki>
<add key="SparovaniUziv" value="CI-BezDomeny"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
a dále nastavit parametry s prefixem "ad_", viz Sekce <appSettings> - skupina Active Directory (příklady vyplnění naleznete v souboru web.config.default)
</nowiki>

=== Přihlášení databázovým účtem ===

Uživatel zadává databázový login a heslo, ověření probíhá prostřednictvím připojení k databázi se zadanými přihlašovacími údaji. Portál přístupuje do databáze pod jménem uživatele, v connectionstringu musí být zadány místo jména uživatele a hesla masky %user% a %password%, které jsou při vytváření připojení nahrazeny přihlašovacími údaji, které zadal uživatel. Od verze 7641A je nutno nastavit i parametr TypOvereni na hodnotu sql.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="sql"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
<add name="web_mzdy" connectionString="server=absint_pc;database=web_mzdy;uid=%user%;pwd=%password%" providerName="System.Data.SqlClient"/>
</nowiki>

=== Přihlášení přes externí autentizační službu (OAUTH2, SAML2) ===

Je možno využít přihlašování přes externí autentizační službu podporující protokol OAuth 2.0, případně SAML 2.0. Více informací je k dispozici na stránce rozšíření aplikace '''[[Externí přihlašování | Externí přihlašování]]'''

=== Přihlášení externího uživatele - nezaměstnance ===

Tento způsob přihlášení je určen pro externí uživatele (nezaměstnance), např. správce. Bez ohledu na nastavený způsob přihlašování nakonfigurovaný pro zaměstnance, se externí uživatel může přihlásit přes stránku "/Public/ExternalUserLogin.aspx", na kterou se dostane např. odkazem „Externí uživatel“ ze standardní přihlašovací stránky. Pokud je nastaven 1. způsob přihlašování, může se přihlásit i přes standardní stránku určenou pro zaměstnance. Externího zaměstnance musí pověřená osoba navést v agendě Uživatelé KS portálu/Externí uživatelé.

=== Přihlášení čipovou kartou (RFID) ===
Pro kiosky je možno zakoupit rozšíření přihlášení čipovou kartou - pro přihlášení stačí přiložit kartu k RFID čtečce karet. Více zde
[[Přihlášení pomocí čipové karty do KS portálu]]

= Zdroj informace pro vazbu login - osobní číslo =
Při přihlášení uživatele je potřeba získat i jeho osobní číslo, které jej identifikuje jako konkretního zaměstnance.
Osobní číslo se většinou získává ze stejného místa, proti kterému se uživatel ověřuje. Pokud vyvstane potřeba získat osobní číslo z jiného zdroje, je to možné nastavit parametrem
<add key="ZdrojOsCisla" value=""/>
v souboru web.config v sekci <appSettings> (viz. následující tabulka).

'''ZdrojOsCisla'''

{|<table align="center" border="2" width="100%" cellspacing="4" cellpadding="3" rules="all" style="margin:1em 1em 1em 0; border:solid 1px #AAAAAA; border-collapse:collapse;empty-cells:show;">
<tr>
<td bgcolor="#A7C1F2">'''Hodnota'''</td>
<td bgcolor="#A7C1F2">'''Význam'''</td>
<tr>
|-
| kspu (případně ks)
| osobní číslo se zjistí z agendy [[Uživatelé KS portálu]].
|-
| ad
| Osobní číslo se zjistí z Active Directory (musí být nastaveny ad_* parametry).
|-
| ez
| Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Login
|-
| ezsap
| zákaznická specialita - Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Logine nebo z tabulky sap,
|-
| eos
| Osobní číslo se zjistí ze systému EOSu verze 3.
|-
| eos4
| Osobní číslo se zjistí ze systému EOSu verze 4.
|-
| az
| Osobní číslo je stejné jako login.
|}
''Tabulka 1: Zdroj informace pro vazbu login-OČ''

= Přístupová práva uživatelů =

Řízení přístupu k údajům a operacím

Přístup uživatelů je definován prostřednictvím uživatelských rolí. Odkud se mají načítat role uživatelů určuje RoleProvider:
* KSRoleProvider – načítá aplikační role z databáze aplikace
* ADRoleProvider – načítá aplikační role z Active Directory (AD skupina je považována za KS roli pouze pokud je uvedena v parametru ad_groups, pokud ad_groups není vyplněn, tak skupina musí být v číselníku rolí)
* EosRoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 3,
* Eos4RoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 4,

Nastavení, který provider se má použít, se provádí v konfiguračním souboru aplikace.

Nastavení přístupových práv uživatelským rolím může provádět pouze administrátor KS Portálu. A to přímo v KS Portálu v menu Nastavení / Práva.

Login každého uživatele musí být přiřazen k nějaké roli, jinak nebude mít uživatel přístup k žádné části portálu. Login lze ke konkrétní roli přiřadit v agendě přístupových práv v naší aplikaci KS Mzdy (se kterou je KS Portál svázán). V agendě přístupových práv v aplikaci KS Mzdy lze přiřazovat k rolím loginy, které jsou buď v databázi (jako uživatalé DB) nebo v agendě Uživatelé KS Portálu. 
V konfiguračním souboru web.config je možno definovat výchozí roli parametrem 
<add key="VychoziRole" value=""/>, která se přiřadí všem uživatelům, kteří nebudou mít explicitně přiřazenou žádnou roli.

= Řízení přístupu na data jiných uživatelů (tzv. řádková práva) =

Nastavení provádí pouze administrátor KS Portálu. Typ řádkových práv může správce nastavit v parametrech KS Portálu (Nastavení / Parametry).
# Standardní (výchozí nastavení) – přihlášený uživatel má povolen přístup jen na pevně daný výčet osobních čísel a středisek Výčet povolených osobních čísel a středisek se nastavuje v aplikaci KS Mzdy a KS Portál toto nastavení přebírá.
# Dle systemizace – přihlášený uživatel má povolen přístup na sebe a své podřízené dle systemizace pracovních míst z aplikace KS Mzdy. V popisech pracovních míst u každého pracovního místa musí být vyplněno příslušné pracovní středisko.
# Dle AD – přihlášený uživatel má povolen přístup na sebe a své podřízené dle hierarchie v Active Directory.

* [[TypRadPrav]]

= Registrace nových uživatelů v KS Portálu =
Tato kapitola platí jen v případě ověřování uživatelů v agendě [[Uživatelé KS portálu]] v těžkém klientovi (výchozí nastavení).

Aby uživatel získal přístup do KS Portálu, musí mít vytvořen účet v agendě Uživatelé KS Portálu. Účet mu může ručně vytvořit (nebo upravit) správce aplikace KS Mzdy.

=== Uživatelé se mohou registrovat sami ===
<nowiki>Je také možné povolit neregistrovaným uživatelům KS Portálu, aby se mohli sami zaregistrovat. V souboru web.config musí být v sekci <appSettings> následující řádky:</nowiki>

<nowiki><add key="Registrace" value="user"/></nowiki>

<nowiki><add key="VychoziRole" value=""/></nowiki>

První řádek povoluje uživatelům KS Portálu registraci. Druhý musí mít ve své hodnotě zadán název výchozí uživatelské role, do které se takto registrovaní uživatelé přiřadí.

* [[Registrace nového uživatele]]

= Další možnosti nastavení =
Základní nastavení aplikace KS Portál se provádí v souboru web.config, který se nachází v adresáři ksprtl (kořenovém adresáři aplikace).

== Sekce <appSettings> ==
V této sekci se nacházejí parametry aplikace. Jejich pořadí není důležité. Zapisují se ve tvaru <nowiki><add key="název" value="hodnota"/></nowiki>.

{|class="wikitable " border="1" cellpadding="3" cellspacing="0"
|+ Seznam parametrů sekce <appSettings> 
|- style="background-color: #A7C1F2"
| <center>'''Skupina'''</center> 
| <center>'''Název'''</center> 
| <center>'''Popis'''</center> 
| <center>'''Možné hodnoty (nebo příklad hodnoty)'''</center> 
|-
| rowspan = 24|Přihlášení || ''' PasswordExpiration '''|| Počet dnů do expirace hesla uživatele. || číslo
|-
| ''' WarningBeforePasswordExpiration '''|| Kolik dnů před expirací hesla zobrazit upozornění. || číslo
|-
| ''' LockAfterWrongPasswords '''|| Počet neplatných pokusů o zadání hesla, po kterém se uzamkne účet uživatele. || číslo
|-
| ''' MinPasswordLength '''|| Minimální požadovaná délka hesla uživatele. || číslo
|-
| ''' LastPasswordsCheck '''|| Počet minulých hesel kontrolovaných na odlišnost. || číslo
|-
| '''[[CheckPasswordComplexity]]'''|| Kontrolovat složitost hesla. Pravidlo 3/4. Pokud nastavena hodnota ''true'', pak je vyžadováno následující: Heslo musí obsahovat minimálně 3 typy následujících znaků: číslice, malá písmena, velká písmena, speciální znaky. || true / false
|-
| ''' PasswordReset '''|| Obnova zapomenutého hesla. Bez odblokování účtu, s odblokováním účtu. [[Zapomenuté heslo (správa)]] || 0 - obnova hesla je zakázána (výchozí hodnota)
1 - obnova hesla je povolena, zamknuté účty zůstanou zamknuty 
2 - obnova hesla je povolena, zamknuté účty budou odemknuty
|-
| '''PasswordResetAuth''' || Způsob obnovy zapomenutého hesla (hd 53919) || 1 - pomocí zadání pracovního e-mailu namísto loginu
|-
| ''' TypOvereni '''|| Typ ověření uživatele pro formulářové přihlášení. || kspu (ks nebo nevyplněno)=ověření účtem z agendy Uživatelé KS portálu, ad=Active Directory, sql=ověření databázovým účtem
|-
| ''' ZdrojOsCisla '''|| Udává odkud se zjišťuje osobní číslo pro login. Parametr je povinný pokud je TypOvereni nastaven na jinou hodnotu než kspu. || ks nebo kspu =Uživatelé KS portálu, ad=Active Directory, ez=evidence zaměstnanců/osobní údaje, az - osobní číslo je stejné jako login
|-
| ''' SkipLoginPage '''|| Pokud se využívá SSO (Systém jednotného přihlášení) a má se přeskočit LoginPage, provede se automaticky přihlášení. || hodnota true / false
|-
| ''' NabizeniHeslaZakazat '''|| Vypnout nabízení dříve použitého hesla na přihlašovací stránce pro uživatele a na přihlašovací stránce pro externí uživatele (hd 44956). || true
|-
| ''' SparovaniUziv '''|| Povolí volnější kontrolu loginu, bez kontroly domény a velikosti písmen. Při formulářovém přihlášení a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. Domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB. || BezDomeny, CI, CI-BezDomeny
|-
| ''' SparovaniUzivAD '''|| Hodnota true umožní přihlášení loginem bez domény i pro ad_auth_type=basic. Uplatňuje se jen u formulářového přihlášení a TypOvereni=ad. || true
|-
| ''' Admins '''|| Výčet loginů, které patří administrátorům aplikace. Jeden nebo více loginů oddělených středníkem. || admin;admin2;ksadmin
|-
| ''' ExterniUziv '''|| Zda se do aplikace mohou přihlašovat externí uživatelé (tací, kteří nejsou v cílové databázi mezi zaměstnanci). || nevyplněno – přihlásit se mohou jen zaměstnanci
True – přihlásit se mohou i externí uživatelé z agendy Uživatelé KS Portálu
|-
| ''' VychoziRole '''|| Výchozí uživatelská role, pokud nemá uživatel explicitně definovanou žádnou roli. || portal
|-
| '''VychoziRoleVedouci''' || Výchozí uživatelská role pro vedoucího pracovníka, pokud nemá explicitně definovanou (žádnou) roli. Je možné zadat více hodnot oddělených středníkem. Za vedoucího pracovníka je považován každý, kdo má nastaveno právo vidět i někoho jiného než sám sebe (neřídí se jen systemizací; pokud např. uživatel má výjimku z řádkových práv a má právo vidět někoho (kohokoliv) jiného, obdrží rovně roli pro vedoucího). ||
|-
| '''VychoziRoleVzdy''' || Zda se má výchozí uživatelská role přiřadit i v případě, že má uživatel explicitně definovanou roli. || a / '''n''' (výchozí hodnota je ''n'')
|-
| '''VychoziProfil''' || Výchozí [[Přístupové profily (portál)|profil]] ||
|-
| '''VychoziProfilVedouci''' || Výchozí [[Přístupové profily (portál)|profil]] pro vedoucího ||
|-
| ''' Registrace '''|| Způsob registrace nových uživatelů. Pokud není vyplněn ''user'', musí mít ve své hodnotě zadán název výchozí uživatelské role, do které se takto registrovaní uživatelé přiřadí. || user
|-
| ''' RegistraceRodneCislo '''|| Hodnota true při registraci zapne kontrolu shody rodného čísla v evidenci zaměstnanců pro zadané osobní číslo. || true
|-
| ''' PocetMesicuRolePoVystupu '''|| Počet měsíců platnosti role po ukončení pracovního poměru. || číslo
|-
| ''' RolePoVystupu '''|| Role po ukončení pracovního poměru. || poVystupu
|-
| ''' PristupNaVsechnyPodniky '''|| Zda má mít přihlášený uživatel přístup i na data zaměstnanců z jiných podniků v databázi (více IČ). || true - uživatel má přístup na zaměstnance ze všech podniků
nevyplněno/false – uživatel má přístup pouze na zaměstnance ze stejného podniku
|-
| rowspan = 2|Prostředí || ''' OptimalizaceMenu '''|| Zda zobrazovat celé menu aplikace nebo jen přístupné položky. || nevyplněno – zobrazí se celé menu
True / ano – zobrazí se jen přístupné položky menu
|-
| ''' ShowEmployeePhoto '''|| Zobrazování fotek zaměstnanců. || true / false
|-
| rowspan = 5|Logování || ''' ShowExceptionDetail '''|| Zda se má zobrazit detailní výpis chyb. || true / false
|-
| ''' EmailChybyZobrazovat '''|| Zda zobrazovat chyby vzniklé při pokusu odeslat email. || true
|-
| ''' AppAudit '''|| Zapnutí logování činností uživatelů na KS portále. || true
|-
| ''' LogType '''|| Způsob logování výjimek (chyb). Určuje, zda se mají zaznamenávat chyby vzniklé při běhu aplikace. Při hodnotě ""xml"" se chyby logují do Logs/Exceptions.xml, jinak do EventLogu. || nevyplněno – záznam se neprovádí 
Xml – provádí se záznam do souboru ksprtl/Logs/exceptions.xml
|-
| '''SecurityQRKod''' || [[Chybové hlášení (portál)|Chybové hlášení]] zobrazováno formou QR kódu. || '''a''' / n
|-
| rowspan = 5|Různé || ''' CachedTables '''|| Použito při optimalizacích načítání (hd 47235). [[Řešení některých problémů (KS portál)]] || názvy db tabulek
|-
| ''' Cache '''|| Způsobí potlačení ukládání stránek („kešování“) na straně prohlížeče do temporary internet files. || nopage
|-
| ''' FormatDatumu '''|| Datový typ pro datum v MSSQL DB. || nevyplněno – datum je char(10) yyyy-mm-dd
datetime – datum je typu DateTime
|-
| ''' DbCmdTimeout '''|| Maximální povolená doba pro vykonání jednoho Db příkazu, pokud překročena, objeví se hláška || Číslo znamenající délku timeoutu v sekundách
|-
| '''NotSupBrowser'''|| Blokování nepodporovaného prohlížeče || 1 - výchozí hodnota (blokace), 2 - pouze upozornění
|-
| rowspan = 10|[[Active Directory]] || ''' ad_connect_string '''|| AD LDAP cesta ke kontejneru, ve kterém jsou hledány uživatelské účty. || LDAP://server/OU=Lokality,DC=ksprogram,DC=cz
|-
| ''' ad_user '''|| AD přihlašovací jméno uživatele (včetně domény) mající právo číst informace z AD. || domena\user
|-
| ''' ad_password '''|| Heslo uživatelského účtu zadaného v ad_user. ||
|-
| ''' ad_auth_type '''|| (nepovinné) Možnost nastavení typu ověřování pro Active Directory , hodnoty=basic nebo secure (pokud secure nefunguje, může zpomalit přihlášení o 20 sekund). || basic / secure
|-
| ''' ad_search_in '''|| (nepovinné) AD podkontejnery pro prohledávání , seznam cest oddělených středníkem (relativně k ad_connect_string). Použít v případě, kdy je zapotřebí prohledávání omezit na 2 a více kontejnerů. V opačném případě, kdy se má omezit vyhledávání na jeden kontejner, lze použít přímo parametr ad_connect_string. || OU=Aktivní,OU=CZ Pobocka;OU=Aktivní,OU=SK Pobocka
|-
| ''' ad_user_filter '''|| AD Filtrovací výraz, omezující vyhledávání uživatelů v AD. || countryCode=203
|-
| ''' ad_atr_login '''|| (nepovinné) AD název atributu, ve kterém jsou uloženy přihlašovací jména uživatelů pro Microsoft AD vždy "samAccountName". ||
|-
| ''' ad_atr_os_cislo_user '''|| (povinný při ZdrojOsCisla=ad) AD název atributu, ve kterém jsou uloženy osobní čísla uživatelů. || employeeNumber, employeeId
|-
| ''' ad_atr_os_cislo_zastupce '''|| (nepovinné) AD název atributu, ve kterém je uloženo DN zástupce. ||
|-
| ''' ad_groups '''|| (nepovinné) AD role určené pro KS Portál (oddělené středníkem) - používá se jen v případě že je nastaven RoleProvider na ADRoleProvider. Pokud není vyplněno vezmou se všechny role, které existuji v KS. ||
|-
| rowspan = 5|Web proxy ||''' proxyUrl '''|| Název nebo IP adresa proxy serveru. || 127.0.0.1
|-
| ''' proxyPort '''|| Port proxy serveru. || 8888
|-
| ''' proxyUsername '''|| Login pro přístup k proxy. ||
|-
| ''' proxyPassword '''|| Heslo pro přístup k proxy. ||
|-
| ''' portal_url '''|| Řeší případy kdy např. kvůli přesměrovávání adresy KS portálu se ztratí skutečné jméno hosta, na kterého má být požadavek přesměrován a z toho důvodu se v odkazech generovaných v notifikačních emailech zobrazuje chybná adresa url. též hd 51506|| Do hodnoty se zadává celá adresa url KS portálu.
|}

== Zašifrování vybraných sekcí web.config ==
Zašifrování sekce appSettings pro virtuální adresář ksprtl. Provádí se přes příkazovou řádku pod účtem administrátora následujícím příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pe "appSettings" -app "/ksprtl"

Dešifrování stejné sekce se pak provede příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pd "appSettings" -app "/ksprtl"

Následující příkaz přidělí účtu pod kterým běží asp.net právo dešifrovat zašifrované sekce web.config. V defaultním nastavením je tímto účtem "NETWORKSERVICE"

C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pa "NetFrameworkConfigurationKey" "NETWORKSERVICE"

== Odkazy ==
* [[Příručka KS Portál]]
* [[Přístup i po ukončení pracovního poměru (KS portál)]]

Přihlášení pomocí čipové karty do KS portálu

2025-12-22T09:41:11Z

Pavelr:

''Přihlášení čipovou kartou'' je rozšíření aplikace.
* umožňuje uživateli přihlásit se do portálu přiložením karty k '''RFID čtečce'''. Jedná se pouze o ověření čísla karty (bez zadání PINu) a je tedy vhodné pouze pro tzv. kiosky uvnitř firmy. Čísla karet je potřeba předem nahrát do systému.

=== RFID čtečka ===
Může být použita libovolná RFID čtečka čipových karet (nebo tagů) kompatibílní s vašim typem docházkových karet, která funguje jako klávesnice (pošle ID karty jako by bylo napsáno na klávesnici). Čtečky jsou různých frekvencí v závislosti na čipu karty, pro vhodnou čtečku kontaktujte svého dodavatele docházkových karet. Pokud bude pro přístup sloužit "All in One PC" nebo klasický stolní PC, nejčastěji se bude jednat o čtečku s připojením přes USB. Ke čtečkám se dodává SW, přes který se dá zvolit formát ID karty jaký bude čtečka vypisovat a nastavit (formát není důležitý, je potřeba, aby byl nastaven stejný formát jako při navádění karet do databáze). Přes tento SW je nutné nastavit, že má čtečka za ID automaticky poslat Enter! Pozor, některé čtečky posílají místo čísel české znaky, pokud je ve Windows nastavena CZ klávesnice! Pokud bude portál sloužit pouze jako docházkový terminál, lze to řešit přepnutím klávesnice na EN.

== Nastavení ==
# Od verze 7911B lze funkcionalitu objednat/aktivovat přes [[Rozšíření aplikace]] "Přihlášení čipovou kartou" (sys. zkratka AUTENTIZACE_RFID)
# Čtečka karet nastavte tak, aby posílala za číslem Enter! (Vyzkoušejte nejdříve např. v poznámkovém bloku.)
# '''Práva''' - zodpovědné osobě přidělte právo na stránku Nastavení/Správa karet (přes Nastavení/Role-akce)
# '''Správa karet''' - v menu Nastavení/Správa karet – naveďte karty k zaměstnancům (viz níže).
# '''Login''' - zaměstnanci musí mít naveden login (k němu jsou vázána práva) buď v [[Uživatelé (Nastavení)]] nebo jiné agendě/systému viz parametr '''ZdrojOsCisla''' na stránce [[Instalační příručka KS portál]].
# '''web.config''' - změňte přihlašovací stránku v sekci forms změňte v atributu LoginUrl hodnotu Login.aspx na '''LoginKarta.aspx''':
<authentication mode="Forms">
<forms name="Ksprtl" loginUrl="~/LoginKarta.aspx" defaultUrl="~/Default2.aspx" />

== Správa karet ==
Přiřazení karet k zaměstnancům se provádí v samostatné agendě Nastavení/Správa karet. Není možné nahrát stejnou kartu více zaměstnancům. Číslo karty je uloženo v databázové tabulce (prukazy), je zde uložen pouze prvních 20 znaků (SHA 256) hashe vytvořeného z čísla karty, není tedy možné v databázi zjistit čísla karet zaměstnanců.
[[Image: Sprava cipovych karet-Prilozte cipovou kartu.png|350px]]

=== Nahrání karty ===
Po kliknutí na tlačítko Nahrát u konkrétního zaměstnance se otevře dialog "Přiložte čipovou kartu", pokud přiložíte kartu ke čtečce a karta správně odesílá i enter okno se zavře a u zaměstnance se objeví zelená ikonka ve slopupci "Karta nahrána".

=== Hromadné nahrání karet ===
Karty lze hromadně nahrát tlačítkem "Import ze souboru". CSV soubor musí mít 2 sloupce obsahující osobní číslo a UID oddělené středníkem!

=== Smazání karty ===
Kartu je aktuálně možno smazat pouze v desktopové aplikaci v evidenci zaměstnanců - záložka Průkazy. Průkaz je bez názvu, má vyplněn pouze položky Kód čipu a Systémové použití = Firemní čipová karta.

== Přihlášení do portálu ==
Přihlašovací stránka při autentizaci čipovou kartou (LoginKarta.aspx). 
[[Image: Prihlaseni do KS portalu-Prilozte cipovou kartu.png|200px]]

== Odkazy ==
* [[Portál-ObecnéInformace]]
: hd 66552; 67020 - výchozí db

Soubor:Sprava cipovych karet-Prilozte cipovou kartu.png

2025-12-22T09:10:43Z

Pavelr: Pavelr načetl novou verzi Soubor:Sprava cipovych karet-Prilozte cipovou kartu.png

Přihlášení pomocí čipové karty do KS portálu

2025-12-22T08:57:22Z

Pavelr:

''Přihlášení čipovou kartou'' je rozšíření aplikace.
* umožňuje uživateli přihlásit se do portálu přiložením karty k '''RFID čtečce'''. Jedná se pouze o ověření čísla karty (bez zadání PINu) a je tedy vhodné pouze pro tzv. kiosky uvnitř firmy. Čísla karet je potřeba předem nahrát do systému.

=== RFID čtečka ===
Může být použita libovolná RFID čtečka čipových karet (nebo tagů) kompatibílní s vašim typem docházkových karet, která funguje jako klávesnice (pošle ID karty jako by bylo napsáno na klávesnici). Čtečky jsou různých frekvencí v závislosti na čipu karty, pro vhodnou čtečku kontaktujte svého dodavatele docházkových karet. Pokud bude pro přístup sloužit "All in One PC" nebo klasický stolní PC, nejčastěji se bude jednat o čtečku s připojením přes USB. Ke čtečkám se dodává SW, přes který se dá zvolit formát ID karty jaký bude čtečka vypisovat a nastavit (formát není důležitý, je potřeba, aby byl nastaven stejný formát jako při navádění karet do databáze). Přes tento SW je nutné nastavit, že má čtečka za ID automaticky poslat Enter! Pozor, některé čtečky posílají místo čísel české znaky, pokud je ve Windows nastavena CZ klávesnice! Pokud bude portál sloužit pouze jako docházkový terminál, lze to řešit přepnutím klávesnice na EN.

== Nastavení ==
# Od verze 7911B lze funkcionalitu objednat/aktivovat přes [[Rozšíření aplikace]] "Přihlášení čipovou kartou" (sys. zkratka AUTENTIZACE_RFID)
# Čtečka karet nastavte tak, aby posílala za číslem Enter! (Vyzkoušejte nejdříve např. v poznámkovém bloku.)
# '''Práva''' - zodpovědné osobě přidělte právo na stránku Nastavení/Správa karet (přes Nastavení/Role-akce)
# '''Správa karet''' - v menu Nastavení/Správa karet – naveďte karty k zaměstnancům (viz níže).
# '''Login''' - zaměstnanci musí mít naveden login (k němu jsou vázána práva) buď v [[Uživatelé (Nastavení)]] nebo jiné agendě/systému viz parametr '''ZdrojOsCisla''' na stránce [[Instalační příručka KS portál]].
# '''web.config''' - změňte přihlašovací stránku v sekci forms změňte v atributu LoginUrl hodnotu Login.aspx na '''LoginKarta.aspx''':
<authentication mode="Forms">
<forms name="Ksprtl" loginUrl="~/LoginKarta.aspx" defaultUrl="~/Default2.aspx" />

== Správa karet ==
Menu: Nastavení/Správa Karet – přiřazení karet zaměstnancům 
Přiřazení karet k zaměstnancům se provádí v samostané agendě (Nastavení/Správa karet). Není možné nahrát stejnou kartu více zaměstnancům. Číslo karty je uloženo v databázové tabulce (prukazy), je zde uložen pouze hash vytvořený z čísla karty (SHA 256). Není tedy možné v databázi zjistit čísla karet zaměstnanců.

=== Hromadné nahrání karet ===
Karty lze hromadně nahrát tlačítkem "Import ze souboru". CSV soubor musí mít 2 sloupce obsahující osobní číslo a UID oddělené středníkem!
[[Image: Sprava cipovych karet-Prilozte cipovou kartu.png|350px]]

== Přihlášení do portálu ==
Přihlašovací stránka při autentizaci čipovou kartou (LoginKarta.aspx). 
[[Image: Prihlaseni do KS portalu-Prilozte cipovou kartu.png|200px]]

== Odkazy ==
* [[Portál-ObecnéInformace]]
: hd 66552; 67020 - výchozí db

Přihlášení pomocí čipové karty do KS portálu

2025-12-22T08:44:45Z

Pavelr:

''Přihlášení čipovou kartou'' je rozšíření aplikace.
* umožňuje uživateli přihlásit se do portálu přiložením karty k '''RFID čtečce'''. Jedná se pouze o ověření čísla karty (bez zadání PINu) a je tedy vhodné pouze pro tzv. kiosky uvnitř firmy. Čísla karet je potřeba předem nahrát do systému.

=== RFID čtečka ===
Může být použita libovolná RFID čtečka čipových karet (nebo tagů) kompatibílní s vašim typem docházkových karet, která funguje jako klávesnice (pošle ID karty jako by bylo napsáno na klávesnici). Čtečky jsou různých frekvencí v závislosti na čipu karty, pro vhodnou čtečku kontaktujte svého dodavatele docházkových karet. Pokud bude pro přístup sloužit "All in One PC" nebo klasický stolní PC, nejčastěji se bude jednat o čtečku s připojením přes USB. Ke čtečkám se dodává SW, přes který se dá zvolit formát ID karty jaký bude čtečka vypisovat a nastavit (formát není důležitý, je potřeba, aby byl nastaven stejný formát jako při navádění karet do databáze). Přes tento SW je nutné nastavit, že má čtečka za ID automaticky poslat Enter! Pozor, některé čtečky posílají místo čísel české znaky, pokud je ve Windows nastavena CZ klávesnice! Pokud bude portál sloužit pouze jako docházkový terminál, lze to řešit přepnutím klávesnice na EN.

== Nastavení ==
# Od verze 7911B lze funkcionalitu objednat/aktivovat přes [[Rozšíření aplikace]] "Přihlášení čipovou kartou" (sys. zkratka AUTENTIZACE_RFID)
# Čtečka karet nastavte tak, aby posílala za číslem Enter! (Vyzkoušejte nejdříve např. v poznámkovém bloku.)
# '''Práva''' - zodpovědné osobě přidělte právo na stránku Nastavení/Správa karet (přes Nastavení/Role-akce)
# '''Správa karet''' - v menu Nastavení/Správa karet – naveďte karty k zaměstnancům (lze hromadně CSV souborem (sloupce os_číslo;UID)).
# '''Login''' - zaměstnanci musí mít naveden login (k němu jsou vázána práva) buď v [[Uživatelé (Nastavení)]] nebo jiné agendě/systému viz parametr '''ZdrojOsCisla''' na stránce [[Instalační příručka KS portál]].
# '''web.config''' - změňte přihlašovací stránku v sekci forms změňte v atributu LoginUrl hodnotu Login.aspx na '''LoginKarta.aspx''':
<authentication mode="Forms">
<forms name="Ksprtl" loginUrl="~/LoginKarta.aspx" defaultUrl="~/Default2.aspx" />

=== Správa karet ===
Menu: Nastavení/Správa Karet – přiřazení karet zaměstnancům 
Přiřazení karet k zaměstnancům se provádí v samostané agendě (Nastavení/Správa karet). Není možné nahrát jednu kartu více zaměstnancům. Číslo karty je uloženo v databázové tabulce (prukazy), je zde uložen pouze hash vytvořený z čísla karty (SHA 256). Není tedy možné v databázi zjistit čísla karet zaměstnanců.
[[Image: Sprava cipovych karet-Prilozte cipovou kartu.png|350px]]

== Přihlášení do portálu ==
Přihlašovací stránka při autentizaci čipovou kartou (LoginKarta.aspx). 
[[Image: Prihlaseni do KS portalu-Prilozte cipovou kartu.png|200px]]

== Odkazy ==
* [[Portál-ObecnéInformace]]
: hd 66552; 67020 - výchozí db

Instalační příručka

2025-12-22T08:26:42Z

Pavelr:

{{KS portál}}
Tento dokument je vlastnictvím společnosti KS-program, spol. s r.o., Vsetín. Slouží pro potřeby školení a studia uživatelů systému Mzdy a personalistika. Žádná část dokumentu nesmí být nijak kopírována, zveřejňována nebo jinak poskytnuta třetím osobám bez předchozího písemného souhlasu odpovědných zástupců KS-program, spol. s r.o.

= Podporované prohlížeče =
Podporovanými prohlížeči jsou '''aktuální verze''' následujících produktů:
* '''''Mozilla Firefox'''''
* '''''Google Chrome'''''
* '''''Microsoft Edge'''''

Prohlížeč musí mít '''povolen ''JavaScript'' a ''Cookies''''' (výchozí nastavení).

=== Apple ===
Aplikace KS Portál je kompatibilní se zařízeními značky Apple (iPhone, iPad, Mac, aj.) 
Podporované prohlížeče jsou: Safari, Google Chrome a Mozilla Firefox

=== Historie ===
: [[Podporované prohlížeče (KS portál) (historie)]] 

= Co je potřeba ke zprovoznění KS Portálu =
* '''Windows Server 2008 R2, 2012 a vyšší'''. KS Portál potřebuje cca 100 MB místa na webovém serveru.

* '''Běhové prostředí [[.Net Framework]]. 
.

Vhodné je mít nejprve nainstalovaný webový server IIS a potom teprve nainstalovat .NET Framewok. V tomto pořadí se Framewok sám zaregistruje do IIS. Pokud toto pořadí nemůžete dodržet nebo nevíte v jakém pořadí byly tyto dvě aplikace naistalovány, spusťte registraci Frameworku do IIS ručně pomocí příkazu (jako správce z příkazové řádky) 
%windir%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe -i

* V IIS musí být povolen ASP modul. Je to ISAPI rozšíření webového serveru, které zpracovává požadavky na stránky s příponou ASPX.

= Jak postupovat při instalaci =

===Aplikace nesmí být instalována jako Web Site===

===Pro Windows Server 2008 R2, 2012 (IIS 7) a vyšší===

# Kdekoliv na disku '''vytvořte adresář ''ksprtl''''' (Doporučujeme do adresáře ''C:\Inetpub\wwwroot\'').
# Do adresáře ksprtl '''rozbalte''' obsah souboru '''''PRTXXXXY.zip''''' (XXXXY - odpovídající verze aplikace). Instalační sadu si stáhněte z: ''http://download.ksprogram.cz/download/''
# Skupině uživatelů '''''Authenticated Users'' nastavte práva''': čtení na adresáři ''ksprtl'' včetně jeho obsahu zápisu do podadresářů ''Logs'' a ''Temp''. (Pokud později bude smazán některý z uvedených podadresářů, bude nutné po vytvoření přiřadit práva znovu. hd 80459)
# '''V IIS vytvořte novou webovou aplikaci''' s odkazem na fyzický adresář ''ksprtl'' (vytvořený v bodu 1).
# V základním nastavení vytvořené webové aplikace se ujistěte, že '''aplikace běží ve fondu aplikací''' (aplikačním poolu), který využívá ''.NET Framework''.
# V souboru ''web.config'' (nebo ve vlastnostech webové aplikace) '''upravte ''ConnectionString''''', tak aby odpovídal vašemu DB připojení. (viz. ''Nastavení DB připojení'').

= Nastavení DB připojení =
Připojení na databáze MSSQL a Oracle je již implementován přímo v Net Frameworku, takže se pro tyto databázové platformy nemusí nic instalovat. K ostatním databázovým platformám je možné přistupovat prostřednictvím ODBC. Použité ODBC musí podporovat DotNet. Zákazník by měl získat ODBC od svého dodavatele databáze (my jej nedodáváme).

<nowiki>Databázové připojení v KS Portálu (ASP.NET aplikaci) definuje ConnectionString, který se nachází v sekci <connectionStrings> v souboru web.config v hlavním adresáři aplikace.</nowiki>

== Příklady ConnectionStringu ==

=== Pro MSSQL ===
<nowiki><add name="web_mzdy" connectionString="server=web_pc;database=mzdy;uid=test;pwd=test"</nowiki>

providerName="System.Data.SqlClient"/>

=== Pro Oracle ===
<nowiki><add name="web_mzdy" connectionString="Data Source=KSPROGRA;User Id=test;Password=test"</nowiki>

providerName="System.Data.OracleClient"/>

=== Pro ODBC ===
<nowiki><add name="web_mzdy" connectionString="DSN=i_mzdy" providerName="System.Data.Odbc"/></nowiki>

=== Položky DB připojení ===

{|
|name
| - jméno DB připojení
|-
|server
| - název nebo IP adresa počítače, na kterém běží DB server
|-
|database
| - název databáze, ke které bude chtít být připojeni
|-
|uid
| - login pro přístup do databáze
|-
|pwd
| - heslo pro přístup do databáze
|}

== Doplňující informace ==
=== Oracle ===
Na serveru s IIS je potřeba mít stejnou verzi klienta pro Oracle jako je Oracle databáze. Je vyžadován 32 bit oracle client. Na adresář Oracle_home (adresář oracle clienta), nadřízené a podřízené složky musí mít přístup skupina uživatelů Authenticated Users a to právo Read&Execute. Pokud nejsou práva nastavena správně objeví se chyba: ''System.Data.OracleClient requires Oracle client software version 8.1.7 or greater.''

Pokud to nepomůže nastavte stejná práva uživateli ASPNET, pod kterým běží proces ASP.NET.

=== PostgreSQL ===
* [[PostgreSQL]]

== Ze zkušeností ==
Pokud KS Portál zahlásí databázovou chybu ORA-12638 (jedná se o zdokumentovanou chybu Oracle):

''In fact this kind of error (ORA-12638) has many causes. I had it in 10.2.0.3 due to a bug. And also I had it in 9.2.0.8 because we had some troubles with our Active Directory. When the parameter SQLNET_AUTHENTIFICATION_SERVICES is set to NTS then before the connexion the Oracle server ask for a "ticket" to the Active Directory. And, if it cannot retrieve a valid "ticket" then we have the error ORA-12638.''

''So finally, I set SQLNET_AUTHENTIFICATION_SERVICES = (NTS,NONE) so the OS authentification is not compulsory ant we didn't have the error ORA-12638 anymore.''

Jak je uvedeno výše v anglickém textu, tato chyba může mít více příčin. Problém vzniká tím, že se Oracle snaží uživatele, který přistupuje do DB ověřit proti Active Directory. Do DB přistupujete pod uživatelem, který není naveden v Active Directory. Řešením je vypnout ověření DB uživatele proti Active Directory. Obecně se doporučuje v konfiguračním souboru sqlnet.ora (buď na serveru nebo na klientovi) zaměnit řádek: SQLNET.AUTHENTICATION_SERVICES= (NTS) za SQLNET.AUTHENTICATION_SERVICES= (NONE).

Lepším řešením je upravit soubor sqlnet.ora na straně Oracle klienta (na počítači, kde běží KS Portál).

= Přihlašování uživatelů KS Portálu =
KS portál nabízí tyto způsoby přihlašování uživatelů:

- Přihlášení portálovým účtem

- Windows - Systém jednotného přihlášení (SSO)

- Přihlášení active directory účtem

- Přihlášení databázovým účtem

- Přihlášení přes externí autentizační službu (OAUTH2, SAML2)

- Přihlášení externího uživatele - nezaměstnance

- Přihlášení čipovou kartou (kiosky)

Při volbě způsobu přihlašování je třeba také pamatovat na to, že po ověření uživatele je potřeba nějak svázat přihlášeného uživatele s konkrétním zaměstnancem v databázi, tedy vazba login-osobní číslo, viz ZdrojOsCisla níže.

=== Přihlášení portálovým účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) na přihlašovací stránce. Teprve po vyplnění platných údajů a jejich ověření získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutí na „odhlašovací“ tlačítko. Přihlašovací údaje spravuje pověřená osoba buď na staránce Nastavení/Uživatelé nebo v agendě Uživatelé KS portálu v desktopové aplikaci. Nový zaměstnanci se také mohou registrovat sami, pokud je to povoleno.

V souboru Web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, v levém stromu vyberte nejdříve webovou aplikaci ksportal v IIS/Ověřování (na WIN EN Authentication), kde povolte "Ověřování založené na formulářích" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public).

=== Windows - Systém jednotného přihlášení (SSO) ===
Uživatelé nemusí vyplňovat přihlašovací údaje (login a heslo), do portálu se přihlašují automaticky loginem, pod kterým se přihlásili k doménovému serveru prostřednictvím přihlášení do Windows, z čehož vyplývá, že je tento způsob použitelný jen uvnitř firemní sítě (případně za použití VPN).

V souboru web.config musí být:

<nowiki>
<add key="TypOvereni" value=""/>
</nowiki>

<nowiki>
<authentication mode="Windows">
</nowiki>

Authentication mode nenastavujte přímo přes web.config, ale přes IIS, jednak metodu nemusíte mít nainstalovánu, jednak IIS nezmění jen web.config, ale zapíše povolené autentizační metody pro jednotlivé aplikace do applicationHost.config (v c:\Windows\System32\inetsrv\config). V levém stromu vyberte nejdříve webovou aplikaci ksportal, pak v IIS/Ověřování (na WIN EN Authentication), zakažte "Ověřování založené na formulářích", povolte "Ověřování systému Windows" a z ostatních metod ponechte povolenu ještě "Anonymní přístup" (např. kvůli složce Public). Pokud autentizace nefunguje, zakažte i metodu "Anonymní přístup".

<nowiki>
Po přidání parametru <add key="SkipLoginPage" value="true"/> se přeskočí přihlašovací stránka.
</nowiki>

Do databáze přistupuje portál buď pod DB účtem zadaným v connectionstringu, nebo pod windows účtem uživatele pokud je v connectstringu nastaveno Integrated Security=true a identita fondu aplikace je ponechána na hodnotě ApplicationPoolIdentity (tj. není nastaven specifický účet zosobnění).

=== Přihlášení active directory účtem ===
Uživatelé musí při přístupu na portál vyplnit přihlašovací údaje (login a heslo) k active directory účtu. Teprve po vyplnění platných údajů na přihlašovací stránce získají uživatelé přístup do portálu. Na konci relace se uživatele odhlásí kliknutím na tlačítko „Odhlásit“. Tento způsob přihlášení, narozdíl od windows SSO, je možno použít i pro uživatele hlásící se zvenku, mimo firemní síť (samozřejmě jen pokud je portál vystaven veřejně).

Vzhledem k tomu, že při AD autentizaci nezáleží na velikosti písmen a umožňuje použít různé formáty loginů a různé tvary domény (a při některých konfiguracích i bez domény) a při definici práv v KS je rovněž možno používat různé formáty loginů, je nutné nastavit parametr SparovaniUziv na CI-BezDomeny, aby systém při načítání práv z KS databáze pro autentizovaného uživatele ignoroval velikost písmen i doménu, jinak se práva nebudou načítat jednotně a budou záviset na tom, v jakém tvaru uživatel zadá svůj login!

Lze se přihlašovat i tvarem loginu bez domény pokud je parametr SparovaniUzivAD (jiný parametr než výše) nastaven na hodnotu true.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="ad"/>
</nowiki>

<nowiki>
<add key="SparovaniUziv" value="CI-BezDomeny"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
a dále nastavit parametry s prefixem "ad_", viz Sekce <appSettings> - skupina Active Directory (příklady vyplnění naleznete v souboru web.config.default)
</nowiki>

=== Přihlášení databázovým účtem ===

Uživatel zadává databázový login a heslo, ověření probíhá prostřednictvím připojení k databázi se zadanými přihlašovacími údaji. Portál přístupuje do databáze pod jménem uživatele, v connectionstringu musí být zadány místo jména uživatele a hesla masky %user% a %password%, které jsou při vytváření připojení nahrazeny přihlašovacími údaji, které zadal uživatel. Od verze 7641A je nutno nastavit i parametr TypOvereni na hodnotu sql.

V souboru Web.config je potřeba nastavit:

<nowiki>
<add key="TypOvereni" value="sql"/>
</nowiki>

<nowiki>
<authentication mode="Forms">
</nowiki>

<nowiki>
<add name="web_mzdy" connectionString="server=absint_pc;database=web_mzdy;uid=%user%;pwd=%password%" providerName="System.Data.SqlClient"/>
</nowiki>

=== Přihlášení přes externí autentizační službu (OAUTH2, SAML2) ===

Je možno využít přihlašování přes externí autentizační službu podporující protokol OAuth 2.0, případně SAML 2.0. Více informací je k dispozici na stránce rozšíření aplikace '''[[Externí přihlašování | Externí přihlašování]]'''

=== Přihlášení externího uživatele - nezaměstnance ===

Tento způsob přihlášení je určen pro externí uživatele (nezaměstnance), např. správce. Bez ohledu na nastavený způsob přihlašování nakonfigurovaný pro zaměstnance, se externí uživatel může přihlásit přes stránku "/Public/ExternalUserLogin.aspx", na kterou se dostane např. odkazem „Externí uživatel“ ze standardní přihlašovací stránky. Pokud je nastaven 1. způsob přihlašování, může se přihlásit i přes standardní stránku určenou pro zaměstnance. Externího zaměstnance musí pověřená osoba navést v agendě Uživatelé KS portálu/Externí uživatelé.

=== Přihlášení čipovou kartou ===
Pro kiosky je možno zakoupit rozšíření přihlášení čipovou kartou - pro přihlášení stačí přiložit kartu k RFID čtečce karet.
[[Přihlášení pomocí čipové karty do KS portálu]]

= Zdroj informace pro vazbu login - osobní číslo =
Při přihlášení uživatele je potřeba získat i jeho osobní číslo, které jej identifikuje jako konkretního zaměstnance.
Osobní číslo se většinou získává ze stejného místa, proti kterému se uživatel ověřuje. Pokud vyvstane potřeba získat osobní číslo z jiného zdroje, je to možné nastavit parametrem
<add key="ZdrojOsCisla" value=""/>
v souboru web.config v sekci <appSettings> (viz. následující tabulka).

'''ZdrojOsCisla'''

{|<table align="center" border="2" width="100%" cellspacing="4" cellpadding="3" rules="all" style="margin:1em 1em 1em 0; border:solid 1px #AAAAAA; border-collapse:collapse;empty-cells:show;">
<tr>
<td bgcolor="#A7C1F2">'''Hodnota'''</td>
<td bgcolor="#A7C1F2">'''Význam'''</td>
<tr>
|-
| kspu (případně ks)
| osobní číslo se zjistí z agendy [[Uživatelé KS portálu]].
|-
| ad
| Osobní číslo se zjistí z Active Directory (musí být nastaveny ad_* parametry).
|-
| ez
| Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Login
|-
| ezsap
| zákaznická specialita - Osobní číslo se zjistí v Evidenci zaměstnanců na záložce Osobní údaje dle pole Logine nebo z tabulky sap,
|-
| eos
| Osobní číslo se zjistí ze systému EOSu verze 3.
|-
| eos4
| Osobní číslo se zjistí ze systému EOSu verze 4.
|-
| az
| Osobní číslo je stejné jako login.
|}
''Tabulka 1: Zdroj informace pro vazbu login-OČ''

= Přístupová práva uživatelů =

Řízení přístupu k údajům a operacím

Přístup uživatelů je definován prostřednictvím uživatelských rolí. Odkud se mají načítat role uživatelů určuje RoleProvider:
* KSRoleProvider – načítá aplikační role z databáze aplikace
* ADRoleProvider – načítá aplikační role z Active Directory (AD skupina je považována za KS roli pouze pokud je uvedena v parametru ad_groups, pokud ad_groups není vyplněn, tak skupina musí být v číselníku rolí)
* EosRoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 3,
* Eos4RoleProvider - zákaznická specialita - načítání rolí ze systému EOS verze 4,

Nastavení, který provider se má použít, se provádí v konfiguračním souboru aplikace.

Nastavení přístupových práv uživatelským rolím může provádět pouze administrátor KS Portálu. A to přímo v KS Portálu v menu Nastavení / Práva.

Login každého uživatele musí být přiřazen k nějaké roli, jinak nebude mít uživatel přístup k žádné části portálu. Login lze ke konkrétní roli přiřadit v agendě přístupových práv v naší aplikaci KS Mzdy (se kterou je KS Portál svázán). V agendě přístupových práv v aplikaci KS Mzdy lze přiřazovat k rolím loginy, které jsou buď v databázi (jako uživatalé DB) nebo v agendě Uživatelé KS Portálu. 
V konfiguračním souboru web.config je možno definovat výchozí roli parametrem 
<add key="VychoziRole" value=""/>, která se přiřadí všem uživatelům, kteří nebudou mít explicitně přiřazenou žádnou roli.

= Řízení přístupu na data jiných uživatelů (tzv. řádková práva) =

Nastavení provádí pouze administrátor KS Portálu. Typ řádkových práv může správce nastavit v parametrech KS Portálu (Nastavení / Parametry).
# Standardní (výchozí nastavení) – přihlášený uživatel má povolen přístup jen na pevně daný výčet osobních čísel a středisek Výčet povolených osobních čísel a středisek se nastavuje v aplikaci KS Mzdy a KS Portál toto nastavení přebírá.
# Dle systemizace – přihlášený uživatel má povolen přístup na sebe a své podřízené dle systemizace pracovních míst z aplikace KS Mzdy. V popisech pracovních míst u každého pracovního místa musí být vyplněno příslušné pracovní středisko.
# Dle AD – přihlášený uživatel má povolen přístup na sebe a své podřízené dle hierarchie v Active Directory.

* [[TypRadPrav]]

= Registrace nových uživatelů v KS Portálu =
Tato kapitola platí jen v případě ověřování uživatelů v agendě [[Uživatelé KS portálu]] v těžkém klientovi (výchozí nastavení).

Aby uživatel získal přístup do KS Portálu, musí mít vytvořen účet v agendě Uživatelé KS Portálu. Účet mu může ručně vytvořit (nebo upravit) správce aplikace KS Mzdy.

=== Uživatelé se mohou registrovat sami ===
<nowiki>Je také možné povolit neregistrovaným uživatelům KS Portálu, aby se mohli sami zaregistrovat. V souboru web.config musí být v sekci <appSettings> následující řádky:</nowiki>

<nowiki><add key="Registrace" value="user"/></nowiki>

<nowiki><add key="VychoziRole" value=""/></nowiki>

První řádek povoluje uživatelům KS Portálu registraci. Druhý musí mít ve své hodnotě zadán název výchozí uživatelské role, do které se takto registrovaní uživatelé přiřadí.

* [[Registrace nového uživatele]]

= Další možnosti nastavení =
Základní nastavení aplikace KS Portál se provádí v souboru web.config, který se nachází v adresáři ksprtl (kořenovém adresáři aplikace).

== Sekce <appSettings> ==
V této sekci se nacházejí parametry aplikace. Jejich pořadí není důležité. Zapisují se ve tvaru <nowiki><add key="název" value="hodnota"/></nowiki>.

{|class="wikitable " border="1" cellpadding="3" cellspacing="0"
|+ Seznam parametrů sekce <appSettings> 
|- style="background-color: #A7C1F2"
| <center>'''Skupina'''</center> 
| <center>'''Název'''</center> 
| <center>'''Popis'''</center> 
| <center>'''Možné hodnoty (nebo příklad hodnoty)'''</center> 
|-
| rowspan = 24|Přihlášení || ''' PasswordExpiration '''|| Počet dnů do expirace hesla uživatele. || číslo
|-
| ''' WarningBeforePasswordExpiration '''|| Kolik dnů před expirací hesla zobrazit upozornění. || číslo
|-
| ''' LockAfterWrongPasswords '''|| Počet neplatných pokusů o zadání hesla, po kterém se uzamkne účet uživatele. || číslo
|-
| ''' MinPasswordLength '''|| Minimální požadovaná délka hesla uživatele. || číslo
|-
| ''' LastPasswordsCheck '''|| Počet minulých hesel kontrolovaných na odlišnost. || číslo
|-
| '''[[CheckPasswordComplexity]]'''|| Kontrolovat složitost hesla. Pravidlo 3/4. Pokud nastavena hodnota ''true'', pak je vyžadováno následující: Heslo musí obsahovat minimálně 3 typy následujících znaků: číslice, malá písmena, velká písmena, speciální znaky. || true / false
|-
| ''' PasswordReset '''|| Obnova zapomenutého hesla. Bez odblokování účtu, s odblokováním účtu. [[Zapomenuté heslo (správa)]] || 0 - obnova hesla je zakázána (výchozí hodnota)
1 - obnova hesla je povolena, zamknuté účty zůstanou zamknuty 
2 - obnova hesla je povolena, zamknuté účty budou odemknuty
|-
| '''PasswordResetAuth''' || Způsob obnovy zapomenutého hesla (hd 53919) || 1 - pomocí zadání pracovního e-mailu namísto loginu
|-
| ''' TypOvereni '''|| Typ ověření uživatele pro formulářové přihlášení. || kspu (ks nebo nevyplněno)=ověření účtem z agendy Uživatelé KS portálu, ad=Active Directory, sql=ověření databázovým účtem
|-
| ''' ZdrojOsCisla '''|| Udává odkud se zjišťuje osobní číslo pro login. Parametr je povinný pokud je TypOvereni nastaven na jinou hodnotu než kspu. || ks nebo kspu =Uživatelé KS portálu, ad=Active Directory, ez=evidence zaměstnanců/osobní údaje, az - osobní číslo je stejné jako login
|-
| ''' SkipLoginPage '''|| Pokud se využívá SSO (Systém jednotného přihlášení) a má se přeskočit LoginPage, provede se automaticky přihlášení. || hodnota true / false
|-
| ''' NabizeniHeslaZakazat '''|| Vypnout nabízení dříve použitého hesla na přihlašovací stránce pro uživatele a na přihlašovací stránce pro externí uživatele (hd 44956). || true
|-
| ''' SparovaniUziv '''|| Povolí volnější kontrolu loginu, bez kontroly domény a velikosti písmen. Při formulářovém přihlášení a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. Domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB. || BezDomeny, CI, CI-BezDomeny
|-
| ''' SparovaniUzivAD '''|| Hodnota true umožní přihlášení loginem bez domény i pro ad_auth_type=basic. Uplatňuje se jen u formulářového přihlášení a TypOvereni=ad. || true
|-
| ''' Admins '''|| Výčet loginů, které patří administrátorům aplikace. Jeden nebo více loginů oddělených středníkem. || admin;admin2;ksadmin
|-
| ''' ExterniUziv '''|| Zda se do aplikace mohou přihlašovat externí uživatelé (tací, kteří nejsou v cílové databázi mezi zaměstnanci). || nevyplněno – přihlásit se mohou jen zaměstnanci
True – přihlásit se mohou i externí uživatelé z agendy Uživatelé KS Portálu
|-
| ''' VychoziRole '''|| Výchozí uživatelská role, pokud nemá uživatel explicitně definovanou žádnou roli. || portal
|-
| '''VychoziRoleVedouci''' || Výchozí uživatelská role pro vedoucího pracovníka, pokud nemá explicitně definovanou (žádnou) roli. Je možné zadat více hodnot oddělených středníkem. Za vedoucího pracovníka je považován každý, kdo má nastaveno právo vidět i někoho jiného než sám sebe (neřídí se jen systemizací; pokud např. uživatel má výjimku z řádkových práv a má právo vidět někoho (kohokoliv) jiného, obdrží rovně roli pro vedoucího). ||
|-
| '''VychoziRoleVzdy''' || Zda se má výchozí uživatelská role přiřadit i v případě, že má uživatel explicitně definovanou roli. || a / '''n''' (výchozí hodnota je ''n'')
|-
| '''VychoziProfil''' || Výchozí [[Přístupové profily (portál)|profil]] ||
|-
| '''VychoziProfilVedouci''' || Výchozí [[Přístupové profily (portál)|profil]] pro vedoucího ||
|-
| ''' Registrace '''|| Způsob registrace nových uživatelů. Pokud není vyplněn ''user'', musí mít ve své hodnotě zadán název výchozí uživatelské role, do které se takto registrovaní uživatelé přiřadí. || user
|-
| ''' RegistraceRodneCislo '''|| Hodnota true při registraci zapne kontrolu shody rodného čísla v evidenci zaměstnanců pro zadané osobní číslo. || true
|-
| ''' PocetMesicuRolePoVystupu '''|| Počet měsíců platnosti role po ukončení pracovního poměru. || číslo
|-
| ''' RolePoVystupu '''|| Role po ukončení pracovního poměru. || poVystupu
|-
| ''' PristupNaVsechnyPodniky '''|| Zda má mít přihlášený uživatel přístup i na data zaměstnanců z jiných podniků v databázi (více IČ). || true - uživatel má přístup na zaměstnance ze všech podniků
nevyplněno/false – uživatel má přístup pouze na zaměstnance ze stejného podniku
|-
| rowspan = 2|Prostředí || ''' OptimalizaceMenu '''|| Zda zobrazovat celé menu aplikace nebo jen přístupné položky. || nevyplněno – zobrazí se celé menu
True / ano – zobrazí se jen přístupné položky menu
|-
| ''' ShowEmployeePhoto '''|| Zobrazování fotek zaměstnanců. || true / false
|-
| rowspan = 5|Logování || ''' ShowExceptionDetail '''|| Zda se má zobrazit detailní výpis chyb. || true / false
|-
| ''' EmailChybyZobrazovat '''|| Zda zobrazovat chyby vzniklé při pokusu odeslat email. || true
|-
| ''' AppAudit '''|| Zapnutí logování činností uživatelů na KS portále. || true
|-
| ''' LogType '''|| Způsob logování výjimek (chyb). Určuje, zda se mají zaznamenávat chyby vzniklé při běhu aplikace. Při hodnotě ""xml"" se chyby logují do Logs/Exceptions.xml, jinak do EventLogu. || nevyplněno – záznam se neprovádí 
Xml – provádí se záznam do souboru ksprtl/Logs/exceptions.xml
|-
| '''SecurityQRKod''' || [[Chybové hlášení (portál)|Chybové hlášení]] zobrazováno formou QR kódu. || '''a''' / n
|-
| rowspan = 5|Různé || ''' CachedTables '''|| Použito při optimalizacích načítání (hd 47235). [[Řešení některých problémů (KS portál)]] || názvy db tabulek
|-
| ''' Cache '''|| Způsobí potlačení ukládání stránek („kešování“) na straně prohlížeče do temporary internet files. || nopage
|-
| ''' FormatDatumu '''|| Datový typ pro datum v MSSQL DB. || nevyplněno – datum je char(10) yyyy-mm-dd
datetime – datum je typu DateTime
|-
| ''' DbCmdTimeout '''|| Maximální povolená doba pro vykonání jednoho Db příkazu, pokud překročena, objeví se hláška || Číslo znamenající délku timeoutu v sekundách
|-
| '''NotSupBrowser'''|| Blokování nepodporovaného prohlížeče || 1 - výchozí hodnota (blokace), 2 - pouze upozornění
|-
| rowspan = 10|[[Active Directory]] || ''' ad_connect_string '''|| AD LDAP cesta ke kontejneru, ve kterém jsou hledány uživatelské účty. || LDAP://server/OU=Lokality,DC=ksprogram,DC=cz
|-
| ''' ad_user '''|| AD přihlašovací jméno uživatele (včetně domény) mající právo číst informace z AD. || domena\user
|-
| ''' ad_password '''|| Heslo uživatelského účtu zadaného v ad_user. ||
|-
| ''' ad_auth_type '''|| (nepovinné) Možnost nastavení typu ověřování pro Active Directory , hodnoty=basic nebo secure (pokud secure nefunguje, může zpomalit přihlášení o 20 sekund). || basic / secure
|-
| ''' ad_search_in '''|| (nepovinné) AD podkontejnery pro prohledávání , seznam cest oddělených středníkem (relativně k ad_connect_string). Použít v případě, kdy je zapotřebí prohledávání omezit na 2 a více kontejnerů. V opačném případě, kdy se má omezit vyhledávání na jeden kontejner, lze použít přímo parametr ad_connect_string. || OU=Aktivní,OU=CZ Pobocka;OU=Aktivní,OU=SK Pobocka
|-
| ''' ad_user_filter '''|| AD Filtrovací výraz, omezující vyhledávání uživatelů v AD. || countryCode=203
|-
| ''' ad_atr_login '''|| (nepovinné) AD název atributu, ve kterém jsou uloženy přihlašovací jména uživatelů pro Microsoft AD vždy "samAccountName". ||
|-
| ''' ad_atr_os_cislo_user '''|| (povinný při ZdrojOsCisla=ad) AD název atributu, ve kterém jsou uloženy osobní čísla uživatelů. || employeeNumber, employeeId
|-
| ''' ad_atr_os_cislo_zastupce '''|| (nepovinné) AD název atributu, ve kterém je uloženo DN zástupce. ||
|-
| ''' ad_groups '''|| (nepovinné) AD role určené pro KS Portál (oddělené středníkem) - používá se jen v případě že je nastaven RoleProvider na ADRoleProvider. Pokud není vyplněno vezmou se všechny role, které existuji v KS. ||
|-
| rowspan = 5|Web proxy ||''' proxyUrl '''|| Název nebo IP adresa proxy serveru. || 127.0.0.1
|-
| ''' proxyPort '''|| Port proxy serveru. || 8888
|-
| ''' proxyUsername '''|| Login pro přístup k proxy. ||
|-
| ''' proxyPassword '''|| Heslo pro přístup k proxy. ||
|-
| ''' portal_url '''|| Řeší případy kdy např. kvůli přesměrovávání adresy KS portálu se ztratí skutečné jméno hosta, na kterého má být požadavek přesměrován a z toho důvodu se v odkazech generovaných v notifikačních emailech zobrazuje chybná adresa url. též hd 51506|| Do hodnoty se zadává celá adresa url KS portálu.
|}

== Zašifrování vybraných sekcí web.config ==
Zašifrování sekce appSettings pro virtuální adresář ksprtl. Provádí se přes příkazovou řádku pod účtem administrátora následujícím příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pe "appSettings" -app "/ksprtl"

Dešifrování stejné sekce se pak provede příkazem C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pd "appSettings" -app "/ksprtl"

Následující příkaz přidělí účtu pod kterým běží asp.net právo dešifrovat zašifrované sekce web.config. V defaultním nastavením je tímto účtem "NETWORKSERVICE"

C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis -pa "NetFrameworkConfigurationKey" "NETWORKSERVICE"

== Odkazy ==
* [[Příručka KS Portál]]
* [[Přístup i po ukončení pracovního poměru (KS portál)]]

Žádost o přepravu

2025-10-06T08:54:05Z

Pavelr:

=Žádost o přepravu=
Workflow požadavek "Žádost o přepravu" je volitelné rozšíření aplikace pro modul Služební cesty, bez uvedeného modulu nelze rozšíření používat!
"Žádost o přepravu" umožňuje žádat o přepravu spisů či osob vedoucího autoprovozu organizace.

==Položky formuláře==
1. krok - Žadatel si otevře žádost přes Požadavky/Nový/Žádost o přepravu, kde vidí pole: 
- Žadatel - pole se předvyplní automaticky dle přihlášeného uživatele (není editovatelné), 
- Spolucestující - nepovinné pole, text ve volném formátu (interní i externí osoby), 
- Datum, čas a místo přistavení - 3 samostatná povinná pole typu date, time a text, 
- Datum a čas ukončení jízdy (pesimistický odhad) - povinný údaj (tím se pokryje možnost zadání vícedenních požadavků), 
- Odkud - kam - 1 povinné pole, text ve volném formátu (z důvodu možnosti zadat i "přes") 
- Řidič se hlásí u - povinné pole, text ve volném formátu, 
- Telefon - povinné pole, text obsahující číslice a mezery, 
- Účel jízdy - povinné pole, text ve volném formátu, 
- Poznámka - nepovinné pole, text ve volném formátu, 
- Zatrhávací pole „požadavek schválen vedoucím“, 
- Zatrhávací pole „požadavek předběžně projednán s vedoucím oddělení autoprovozu nebo garážmistrem“, bez zaškrtnutí těchto 2 polí nejde žádost uložit.

Žadatel má možnost připojit k požadavku přílohy (pokud je to povoleno v nastavení workflow)
Po uložení odchází notifikace na osoby dle nastavení workflow a požadavek se posune do dalšího kroku adresátovi (adresátům) dle nastavení workflow.

2. krok - Schválení žádanky (Vedoucí autoprovozu) (edit: 6.10.2025 - doplněn popis chybějící kroku) 
- Schvalovatel schvaluje nebo zamítá žádost.

3. (3. až x-tý) krok - Řešitel (garážmistr) vidí všechna pole z 1. kroku plus navíc následující editační pole: 
- Číslo žádanky - nepovinné pole, text ve volném formátu, 
- Jméno řidiče - 2 pole z nich aspoň 1 je povinné - "interní:" - výběr ze seznamu zaměstnanců nebo "externí:" - text ve volném formátu,
"interní" - výběr ze seznamu řidičů = osob, které mají přiděleno alespoň jedno firemní vozidlo v číselníku evidence vozidel 
- Druh vozidla - nepovinné pole, text ve volném formátu, 
- RZ vozidla - povinné pole, text ve volném formátu + výběr ze seznamu SPZ z číselníku evidence vozidel.

S uložením požadavku s workflow stavem, u kterého je v nastavení uvedena workflow akce exe:ridic_notif, se zároveň odešle notifikace řidiči s údaji z formuláře. (Tj. pokud bude mít dvoukrokové workflow, tak akci nastavte ve 2. kroku)

==Zprovoznění:==
1) Aktivujte rozšíření přes agendu KS mzdy/Nápověda/Rozšíření aplikace - dejte vyhledat "Žádost o přepravu" 
2) Restartujte KS portál, nebo vyčistěte cache přes Nastavení/Systémové informace - tlačítko Vyčistit cache 
3) V Nastavení/Práva/Role-Akce přiřadit akci "Zaměstnanci/Požadavky/Přeprava" oprávněným rolím, 
4) Odhlásit/přihlásit, 
5) V Nastavení/Nastavení workflow vybrat "Přeprava" 
(edit: 6.10.2025 - opraven popis o chybějící krok) 
- v 1. kroku nastavte název kroku na Nový,
- Form1.Mode na Insert,
- stav novy - Nový, následující krok = 2, adresát následujícího kroku OČ nebo ID místa vedoucího autoprovozu,
- v 2. kroku nastavte název kroku např. na "Schválení/Zamítnutí",
- Form1.Mode na ReadOnly,
- PanelZmenaStavu.Visible = true,
- stav schvaleno - Schváleno, následující krok = 3, adresát následujícího kroku OČ nebo ID místa garážmistra, oznámení=vyd,
- stav storno - Zamítnuto, následující krok = 5, oznámení=vyd, adresát="",
- ve 3. kroku nastavte název kroku např. na "Vyřízení",
- Form1.Mode na Edit,
- PanelZmenaStavu.Visible = true,
- stav vyrizeno - Vyřízeno, následující krok = 5, akce exe:ridic_notif, oznámení=vyd, adresát="",
- v 5. kroku nastavte název kroku na "Ukončeno",
- Form1.Mode na ReadOnly,
- PanelZmenaStavu.Visible = false,
- Uložte přes záložku Uložení a tlačítko Uložit!

Žádost o přepravu

2025-10-06T08:40:18Z

Pavelr:

=Žádost o přepravu=
Workflow požadavek "Žádost o přepravu" je volitelné rozšíření aplikace pro modul Služební cesty, bez uvedeného modulu nelze rozšíření používat!
"Žádost o přepravu" umožňuje žádat o přepravu spisů či osob vedoucího autoprovozu organizace.

==Položky formuláře==
1. krok - Žadatel si otevře žádost přes Požadavky/Nový/Žádost o přepravu, kde vidí pole: 
- Žadatel - pole se předvyplní automaticky dle přihlášeného uživatele (není editovatelné), 
- Spolucestující - nepovinné pole, text ve volném formátu (interní i externí osoby), 
- Datum, čas a místo přistavení - 3 samostatná povinná pole typu date, time a text, 
- Datum a čas ukončení jízdy (pesimistický odhad) - povinný údaj (tím se pokryje možnost zadání vícedenních požadavků), 
- Odkud - kam - 1 povinné pole, text ve volném formátu (z důvodu možnosti zadat i "přes") 
- Řidič se hlásí u - povinné pole, text ve volném formátu, 
- Telefon - povinné pole, text obsahující číslice a mezery, 
- Účel jízdy - povinné pole, text ve volném formátu, 
- Poznámka - nepovinné pole, text ve volném formátu, 
- Zatrhávací pole „požadavek schválen vedoucím“, 
- Zatrhávací pole „požadavek předběžně projednán s vedoucím oddělení autoprovozu nebo garážmistrem“, bez zaškrtnutí těchto 2 polí nejde žádost uložit.

Žadatel má možnost připojit k požadavku přílohy (pokud je to povoleno v nastavení workflow)
Po uložení odchází notifikace na osoby dle nastavení workflow a požadavek se posune do dalšího kroku adresátovi (adresátům) dle nastavení workflow.

2. krok - Schválení žádanky (Vedoucí autoprovozu) (edit: 6.10.2025 - doplněn popis chybějící kroku) 
- Schvalovatel schvaluje nebo zamítá žádost.

3. (3. až x-tý) krok - Řešitel (garážmistr) vidí všechna pole z 1. kroku plus navíc následující editační pole: 
- Číslo žádanky - nepovinné pole, text ve volném formátu, 
- Jméno řidiče - 2 pole z nich aspoň 1 je povinné - "interní:" - výběr ze seznamu zaměstnanců nebo "externí:" - text ve volném formátu,
"interní" - výběr ze seznamu řidičů = osob, které mají přiděleno alespoň jedno firemní vozidlo v číselníku evidence vozidel 
- Druh vozidla - nepovinné pole, text ve volném formátu, 
- RZ vozidla - povinné pole, text ve volném formátu + výběr ze seznamu SPZ z číselníku evidence vozidel.

S uložením požadavku s workflow stavem, u kterého je v nastavení uvedena workflow akce exe:ridic_notif, se zároveň odešle notifikace řidiči s údaji z formuláře. (Tj. pokud bude mít dvoukrokové workflow, tak akci nastavte ve 2. kroku)

==Zprovoznění:==
1) Aktivujte rozšíření přes agendu KS mzdy/Nápověda/Rozšíření aplikace - dejte vyhledat "Žádost o přepravu" 
2) Restartujte KS portál, nebo vyčistěte cache přes Nastavení/Systémové informace - tlačítko Vyčistit cache 
3) V Nastavení/Práva/Role-Akce přiřadit akci "Zaměstnanci/Požadavky/Přeprava" oprávněným rolím, 
4) Odhlásit/přihlásit, 
5) V Nastavení/Nastavení workflow vybrat "Přeprava" 
(edit: 6.10.2025 - opraven popis o chybějící krok) 
- v 1. kroku nastavte název kroku na Nový a Form1.Mode na Insert,
- stav novy - Nový, následující krok = 2, adresát následujícího kroku OČ nebo ID místa vedoucího autoprovozu,
- v 2. kroku nastavte název kroku např. na "Schválení/Zamítnutí" a Form1.Mode na Edit
- stav schvaleno - Schváleno, následující krok = 3, adresát následujícího kroku OČ nebo ID místa garážmistra, oznámení=vyd,
- stav storno - Zamítnuto, následující krok = 5, oznámení=vyd, adresát="",
- ve 3. kroku nastavte název kroku např. na "Vyřízení"
- stav vyrizeno - Vyřízeno, následující krok = 5, akce exe:ridic_notif, oznámení=vyd, adresát="",
- v 5. kroku nastavte název kroku na "Ukončeno" a Form1.Mode na ReadOnly
- Uložte přes záložku Uložení a tlačítko Uložit!

Služební cesty

2025-09-25T09:14:11Z

Pavelr:

'''Služební cesty''' je modul určený pro evidenci pracovních cest (cest mimo sjednané místo výkonu práce), vyúčtování cestovních náhrad a přenos doplatku/přeplatku do mezd. Umožňuje zpracovávat jak tuzemské tak i zahraniční pracovní cesty. [[Služební cesty - úvod|více]] 


{| id="mp-upper" style="width: 100%; margin:4px 0 0 0; background:none; border-spacing: 0;"
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top; color:#000;" |
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Požadavek na služební cestu - KS portál
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[http://home.ksprogram.cz/download/Prirucky/Videa/sluzebni_cesty_201502.mp4 video návod - zažádání a schválení]
-----------
[[Hlavička (požadavek na služ.cestu)|Žádost o SC]] (Žadatel) (I. krok) 
: [[Zálohy (služební cesta)#Zažádání o zálohu|Zálohy - zažádání]] 
-----------
[[Žádost/Schválení (požadavek na služ.cestu)|Povolení (Schválení) SC]] (Vedoucí) (II. krok) 
: [[Zálohy (služební cesta)#Schválení zálohy|Zálohy - schválení]] 
-----------
[[Zálohy (služební cesta)#Vyplacení zálohy|Zálohy - vyplacení]] (Finance) (III. krok) 
-----------
Zpráva o výsledku SC (Žadatel) (IV. krok):
: [[Průběh (služební cesta)|Průběh cesty]] 
: [[Stravné (služební cesta)|Stravné]] 
: [[Výdaje (služební cesta)|Výdaje]] 
: [[Rozpad nákladů (služební cesta)|Rozpad nákladů]] 

-----------
Schválení výdajů (Vedoucí) (V. krok)
-----------
[[Tisk (cestovní příkaz)|Tisk]] 
</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Služební cesta - KS mzdy (účetní)
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

Agenda [[Cestovní příkaz (desktop)|Cestovní příkazy]] - základy 
[[SC-Zálohy|Vyplacení zálohy]] (III. krok) 
[[SC-Zálohy#Vratka zálohy|Vratka zálohy]] 
Kontrola údajů pro vyúčtování a uzavření vyúčtování (VI. krok): 
: [[SC-Stravné|Stravné]] 
: [[SC-Výdaje/Náhrady|Výdaje/Náhrady]]
: '''[[SC-Vyúčtování|Vyúčtování - uzavření (určení měny a způsoby vyplacení)]]''' 
-------------
[[SC-Tiskový výstup|Tiskový výstup]] 
-------------
[[Hromadný příkaz (služební cesty)|Hromadný příkaz (Odeslání záloh nebo cestovného na účet)]] 
[[Export do účetnictví (služební cesty)|Export do účetnictví]]
-------
[[Výpočty (Služební cesty)|Výpočty - Zaokrouhlování a kurzy měny]]
</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Ostatní
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

Ostatní stránky v KS portál: 
[[Služební cesty (KS portál)|Zaměstnanec/Služební cesty]] 
[[Ujeté km|Zaměstnanec/Ujeté km]] 
[[Obsazenost firemních vozidel|Manažer/Obsazenost firemních vozidel]] 
---------
Rozšíření aplikace: 
Hromadné vyúčtování služebních cest 
Kopírování služební cesty 
Propojení na systém T-Cars 
[[Ujeté kilometry]] 
[[Žádost o přepravu]] 
---------
[[Služební cesty - nepřítomnosti]] 
[[Služební cesty - Slovenská aplikace]] 
[[Služební cesty (zákaznické úpravy)|Zákaznické úpravy]] 
[[Smazání služební cesty]] 
[[Přílohy požadavku na služební cestu]]
---------
---------
[[Běžné výdaje]]
---------
---------
[[Služební cesty - DB tabulky|DB tabulky]] 
</div>
|}
|}


{| id="mp-upper" style="width: 100%; margin:4px 0 0 0; background:none; border-spacing: 0;"
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top; color:#000;" |
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Číselníky
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

'''[[Tuzemské stravné]]''' 
[[Zahraniční stravné]] 
---------------
[[Evidence vozidel]] 
[[PHM]] 
[[Ceny PHM]] 
[[Základní náhrady]] 
---------------
[[Druhy cestovních náhrad]] 
 [[DPH (Služební cesty)]] 
[[Druhy dopravních prostředků]] 
[[Způsob platby]]

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Nastavení
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Nastavení workflow (Požadavek na služební cestu)|Nastavení workflow pro požadavek na SC]] 
[[Služební cesty - nastavení|Nastavení - parametry]] 
[[Kapesné]]

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Sestavy
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[SC-Sestavy-Přehled|Přehled]] 
[[SC-Sestavy-Zálohy|Zálohy]] 
[[SC-Sestavy-Náklady/náhrady|Náklady/náhrady]] 
 [[Platby firemní kartou (sestava)|Platby firemní kartou]] 
[[SC-Sestavy-Vyúčtování|Vyúčtování]] 

[[Silniční daň]]
--------
 [[Další sestavy (Služební cesty)|Další sestavy]] 
</div>
|}

|}

[[Moduly_KS_mzdy_PROFI|zpět]]

__NOTOC____NOEDITSECTION__

Žádost o přepravu

2025-09-25T09:12:59Z

Pavelr: založena nová stránka s textem „=Žádost o přepravu= Workflow požadavek "Žádost o přepravu" je volitelné rozšíření aplikace pro modul Služební cesty, bez uvedeného modulu nelze rozšíření používat! "Žádost o přepravu" umožňuje žádat o přepravu spisů či osob vedoucího autoprovozu organizace. ==Položky formuláře== 1. krok - Žadatel si otevře žádost přes Požadavky/Nový/Žádost o přepravu, kde vidí pole: - Žadatel - pole se předvyplní…“

=Žádost o přepravu=
Workflow požadavek "Žádost o přepravu" je volitelné rozšíření aplikace pro modul Služební cesty, bez uvedeného modulu nelze rozšíření používat!
"Žádost o přepravu" umožňuje žádat o přepravu spisů či osob vedoucího autoprovozu organizace.

==Položky formuláře==
1. krok - Žadatel si otevře žádost přes Požadavky/Nový/Žádost o přepravu, kde vidí pole: 
- Žadatel - pole se předvyplní automaticky dle přihlášeného uživatele (není editovatelné), 
- Spolucestující - nepovinné pole, text ve volném formátu (interní i externí osoby), 
- Datum, čas a místo přistavení - 3 samostatná povinná pole typu date, time a text, 
- Datum a čas ukončení jízdy (pesimistický odhad) - povinný údaj (tím se pokryje možnost zadání vícedenních požadavků), 
- Odkud - kam - 1 povinné pole, text ve volném formátu (z důvodu možnosti zadat i "přes") 
- Řidič se hlásí u - povinné pole, text ve volném formátu, 
- Telefon - povinné pole, text obsahující číslice a mezery, 
- Účel jízdy - povinné pole, text ve volném formátu, 
- Poznámka - nepovinné pole, text ve volném formátu, 
- Zatrhávací pole „požadavek schválen vedoucím“, 
- Zatrhávací pole „požadavek předběžně projednán s vedoucím oddělení autoprovozu nebo garážmistrem“, bez zaškrtnutí těchto 2 polí nejde žádost uložit.

Žadatel má možnost připojit k požadavku přílohy (pokud je to povoleno v nastavení workflow)
Po uložení odchází notifikace na osoby dle nastavení workflow a požadavek se posune do dalšího kroku adresátovi (adresátům) dle nastavení workflow.

2. (až x-tý) krok - Řešitel vidí všechna pole z 1. kroku plus navíc následující editační pole: 
- Číslo žádanky - nepovinné pole, text ve volném formátu, 
- Jméno řidiče - 2 pole z nich aspoň 1 je povinné - "interní:" - výběr ze seznamu zaměstnanců nebo "externí:" - text ve volném formátu,
"interní" - výběr ze seznamu řidičů = osob, které mají přiděleno alespoň jedno firemní vozidlo v číselníku evidence vozidel 
- Druh vozidla - nepovinné pole, text ve volném formátu, 
- RZ vozidla - povinné pole, text ve volném formátu + výběr ze seznamu SPZ z číselníku evidence vozidel.

S uložením požadavku s workflow stavem, u kterého je v nastavení uvedena workflow akce exe:ridic_notif, se zároveň odešle notifikace řidiči s údaji z formuláře. (Tj. pokud bude mít dvoukrokové workflow, tak akci nastavte ve 2. kroku)

==Zprovoznění:==
1) Aktivujte rozšíření přes agendu KS mzdy/Nápověda/Rozšíření aplikace - dejte vyhledat "Žádost o přepravu" 
2) Restartujte KS portál, nebo vyčistěte cache přes Nastavení/Systémové informace - tlačítko Vyčistit cache 
3) V Nastavení/Práva/Role-Akce přiřadit akci "Zaměstnanci/Požadavky/Přeprava" oprávněným rolím, 
4) Odhlásit/přihlásit, 
5) V Nastavení/Nastavení workflow vybrat "Přeprava" 
- v 1. kroku nastavte název kroku na Nový a Form1.Mode na Insert,
- stav novy - Nový, následující krok = 2, adresát následujícího kroku OČ nebo ID místa vedoucího autoprovozu,
- v 2. kroku nastavte název kroku na "Schválení/Zamítnutí" a Form1.Mode na Edit
- stav schvaleno - Schváleno, následující krok = 5, akce exe:ridic_notif, oznámení=vyd, adresát="",
- stav storno - Zamítnuto, následující krok = 5, oznámení=vyd, adresát="",
- v 5. kroku nastavte název kroku na "Ukončeno" a Form1.Mode na ReadOnly
- Uložte přes záložku Uložení a tlačítko Uložit!

Služební cesty

2025-09-18T08:08:13Z

Pavelr:

'''Služební cesty''' je modul určený pro evidenci pracovních cest (cest mimo sjednané místo výkonu práce), vyúčtování cestovních náhrad a přenos doplatku/přeplatku do mezd. Umožňuje zpracovávat jak tuzemské tak i zahraniční pracovní cesty. [[Služební cesty - úvod|více]] 


{| id="mp-upper" style="width: 100%; margin:4px 0 0 0; background:none; border-spacing: 0;"
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top; color:#000;" |
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Požadavek na služební cestu - KS portál
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[http://home.ksprogram.cz/download/Prirucky/Videa/sluzebni_cesty_201502.mp4 video návod - zažádání a schválení]
-----------
[[Hlavička (požadavek na služ.cestu)|Žádost o SC]] (Žadatel) (I. krok) 
: [[Zálohy (služební cesta)#Zažádání o zálohu|Zálohy - zažádání]] 
-----------
[[Žádost/Schválení (požadavek na služ.cestu)|Povolení (Schválení) SC]] (Vedoucí) (II. krok) 
: [[Zálohy (služební cesta)#Schválení zálohy|Zálohy - schválení]] 
-----------
[[Zálohy (služební cesta)#Vyplacení zálohy|Zálohy - vyplacení]] (Finance) (III. krok) 
-----------
Zpráva o výsledku SC (Žadatel) (IV. krok):
: [[Průběh (služební cesta)|Průběh cesty]] 
: [[Stravné (služební cesta)|Stravné]] 
: [[Výdaje (služební cesta)|Výdaje]] 
: [[Rozpad nákladů (služební cesta)|Rozpad nákladů]] 

-----------
Schválení výdajů (Vedoucí) (V. krok)
-----------
[[Tisk (cestovní příkaz)|Tisk]] 
</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Služební cesta - KS mzdy (účetní)
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

Agenda [[Cestovní příkaz (desktop)|Cestovní příkazy]] - základy 
[[SC-Zálohy|Vyplacení zálohy]] (III. krok) 
[[SC-Zálohy#Vratka zálohy|Vratka zálohy]] 
Kontrola údajů pro vyúčtování a uzavření vyúčtování (VI. krok): 
: [[SC-Stravné|Stravné]] 
: [[SC-Výdaje/Náhrady|Výdaje/Náhrady]]
: '''[[SC-Vyúčtování|Vyúčtování - uzavření (určení měny a způsoby vyplacení)]]''' 
-------------
[[SC-Tiskový výstup|Tiskový výstup]] 
-------------
[[Hromadný příkaz (služební cesty)|Hromadný příkaz (Odeslání záloh nebo cestovného na účet)]] 
[[Export do účetnictví (služební cesty)|Export do účetnictví]]
-------
[[Výpočty (Služební cesty)|Výpočty - Zaokrouhlování a kurzy měny]]
</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Ostatní
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

Ostatní stránky v KS portál: 
[[Služební cesty (KS portál)|Zaměstnanec/Služební cesty]] 
[[Ujeté km|Zaměstnanec/Ujeté km]] 
[[Obsazenost firemních vozidel|Manažer/Obsazenost firemních vozidel]] 
---------
Rozšíření aplikace: 
Hromadné vyúčtování služebních cest 
Kopírování služební cesty 
Propojení na systém T-Cars 
[[Ujeté kilometry]] 
---------
[[Služební cesty - nepřítomnosti]] 
[[Služební cesty - Slovenská aplikace]] 
[[Služební cesty (zákaznické úpravy)|Zákaznické úpravy]] 
[[Smazání služební cesty]] 
[[Přílohy požadavku na služební cestu]]
---------
---------
[[Běžné výdaje]]
---------
---------
[[Služební cesty - DB tabulky|DB tabulky]] 
</div>
|}
|}


{| id="mp-upper" style="width: 100%; margin:4px 0 0 0; background:none; border-spacing: 0;"
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top; color:#000;" |
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Číselníky
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

'''[[Tuzemské stravné]]''' 
[[Zahraniční stravné]] 
---------------
[[Evidence vozidel]] 
[[PHM]] 
[[Ceny PHM]] 
[[Základní náhrady]] 
---------------
[[Druhy cestovních náhrad]] 
 [[DPH (Služební cesty)]] 
[[Druhy dopravních prostředků]] 
[[Způsob platby]]

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Nastavení
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[Nastavení workflow (Požadavek na služební cestu)|Nastavení workflow pro požadavek na SC]] 
[[Služební cesty - nastavení|Nastavení - parametry]] 
[[Kapesné]]

</div>
|}


| style="border:1px solid transparent;" |
| class="MainPageBG" style="width:33%; border:1px solid #cedff2; background:#f5faff; vertical-align:top;"|
{| id="mp-left" style="width:100%; vertical-align:top; background:#f5faff;"
! style="padding:2px;" | Sestavy
|-
| style="color:#000;" | <div id="mp-tfa" style="padding:2px 15px">

[[SC-Sestavy-Přehled|Přehled]] 
[[SC-Sestavy-Zálohy|Zálohy]] 
[[SC-Sestavy-Náklady/náhrady|Náklady/náhrady]] 
 [[Platby firemní kartou (sestava)|Platby firemní kartou]] 
[[SC-Sestavy-Vyúčtování|Vyúčtování]] 

[[Silniční daň]]
--------
 [[Další sestavy (Služební cesty)|Další sestavy]] 
</div>
|}

|}

[[Moduly_KS_mzdy_PROFI|zpět]]

__NOTOC____NOEDITSECTION__

Evidenční číslo pojištěnce

2025-08-28T09:04:43Z

Pavelr:

'''Evidenční číslo pojištěnce''' je pole v agendě [[Mzdové údaje]]. Zadává se do něj číslo, které cizinci '''přidělí správa sociálního zabezpečení'''. Do doby přidělení zůstává pole nevyplněno.  EČP je cizinci přiřazeno ČSSZ při prvním styku s touto organizací – jakmile by cizinec splnil podmínky (pobyt), je mu EČP zrušeno a nahrazuje jej RČ. Jediný rozdíl ve tvaru EČP a RČ je, že EČP má vždy v části čísla, které ukazuje den (5. a 6. znak) +40 (bez ohledu na pohlaví), takže zatímco RČ může na 5. místě nabývat pouze hodnot 0,1,2,3, EČP může na stejném místě nabývat pouze hodnot 4,5,6,7. Koncové čtyřčíslí EČP začíná minimálně číslicí 6, viz [https://www.cssz.cz/standardni-kontrola-rodneho-cisla-a-evidencniho-cisla-pojistence ČSSZ - Standardní kontrola Rodného čísla a Evidenčního čísla pojištěnce]
[[Image: Evidencni-cislo-pojistence.png|590px|right]]

== Přihláška na sociální pojišťovnu ==
[[Registr pojištěnců ČSSZ]]
: 1. Dotaz.
: 2. Nahrazení rodného čísla evidenčním číslem pojištěnce.
[[Image: Oznameni-o-nastupu-do-zamestnani-nahrada-rodneho-cisla-evidencnim-cislem-pojistence-dotaz.png|80px]]
[[Image: Oznameni-o-nastupu-do-zamestnani-nahrada-rodneho-cisla-evidencnim-cislem-pojistence.png|150px]]

== Seznam zaplaceného soc.pojištění ==
[[Sociální pojištění (sestava)]]
V případě vyplněného evidenčního čísla pojištěnce se nahradí rodné číslo touto hodnotou (platí pouze pro CZ verzi).

== Příloha k žádosti ==
[[Příloha k žádosti]] - náhrada rodného čísla evidenčním číslem pojištěnce.
[[Image: Priloha-k-zadosti-o-davku-nahrada-rodneho-cisla-evidencnim-cislem-pojistence.png|150px]]

== ELDP ==
Pokud je vyplněno ''Evidenční číslo pojištěnce '', pak systém provede náhradu ''rodného čísla'' touto hodnotou.

ELDP se vytváří s defaultně nastaveným přepínačem ''Ostatní''.

[[Image: ELDP-nahrada-rodneho-cisla-evidencnim-cislem-pojistence.png|150px]]

=== Cizinci bez RČ a EČP ===
Pokud jsou údaje zaměstnance nastaveny následovně:
: Kód [[státní příslušnost]]i je jiný od 203 (Česká republika)
: Je evidováno ''náhradní [[rodné číslo]] cizince'' (nebo je rodné číslo kratší než 9 znaků)
: ''Evidenční číslo pojištěnce '' '''ne'''má vyplněnou hodnotu,

pak při volbě
* '''Ostatní''' - nebude vytvořen ELDP
* '''Cizinci bez RČ a EČP''' - bude vytvořen ELDP, přičemž do pole ''Rodné číslo pojištěnce'' bude doplněna hodnota ''rodného čísla'' dotyčné osoby.

== Odkazy ==
* [[Mzdové údaje]]
* [[ELDP (před vytvořením)]]
* [[Číslo pojištěnce cizince]]
* [[cizinec]]
* pracovnici.cssz_ecp <s>(pracovnici.evid_cislo)</s>

Evidenční číslo pojištěnce

2025-08-28T07:28:15Z

Pavelr:

'''Evidenční číslo pojištěnce''' je pole v agendě [[Mzdové údaje]]. Zadává se do něj číslo, které cizinci '''přidělí správa sociálního zabezpečení'''. Do doby přidělení zůstává pole nevyplněno. EČP je cizinci přiřazeno ČSSZ při prvním styku s touto organizací – jakmile by cizinec splnil podmínky (pobyt), je mu EČP zrušeno a nahrazuje jej RČ. Jediný rozdíl ve tvaru EČP a RČ je, že EČP má vždy v části čísla, které ukazuje den (5. a 6. znak) +40 (bez ohledu na pohlaví), takže zatímco RČ může na 5. místě nabývat pouze hodnot 0,1,2,3, EČP může na stejném místě nabývat pouze hodnot 4,5,6,7. Koncové čtyřčíslí EČP začíná minimálně číslicí 6, viz [https://www.cssz.cz/standardni-kontrola-rodneho-cisla-a-evidencniho-cisla-pojistence ČSSZ - Standardní kontrola Rodného čísla a Evidenčního čísla pojištěnce]
[[Image: Evidencni-cislo-pojistence.png|590px|right]]

== Přihláška na sociální pojišťovnu ==
[[Registr pojištěnců ČSSZ]]
: 1. Dotaz.
: 2. Nahrazení rodného čísla evidenčním číslem pojištěnce.
[[Image: Oznameni-o-nastupu-do-zamestnani-nahrada-rodneho-cisla-evidencnim-cislem-pojistence-dotaz.png|80px]]
[[Image: Oznameni-o-nastupu-do-zamestnani-nahrada-rodneho-cisla-evidencnim-cislem-pojistence.png|150px]]

== Seznam zaplaceného soc.pojištění ==
[[Sociální pojištění (sestava)]]
V případě vyplněného evidenčního čísla pojištěnce se nahradí rodné číslo touto hodnotou (platí pouze pro CZ verzi).

== Příloha k žádosti ==
[[Příloha k žádosti]] - náhrada rodného čísla evidenčním číslem pojištěnce.
[[Image: Priloha-k-zadosti-o-davku-nahrada-rodneho-cisla-evidencnim-cislem-pojistence.png|150px]]

== ELDP ==
Pokud je vyplněno ''Evidenční číslo pojištěnce '', pak systém provede náhradu ''rodného čísla'' touto hodnotou.

ELDP se vytváří s defaultně nastaveným přepínačem ''Ostatní''.

[[Image: ELDP-nahrada-rodneho-cisla-evidencnim-cislem-pojistence.png|150px]]

=== Cizinci bez RČ a EČP ===
Pokud jsou údaje zaměstnance nastaveny následovně:
: Kód [[státní příslušnost]]i je jiný od 203 (Česká republika)
: Je evidováno ''náhradní [[rodné číslo]] cizince'' (nebo je rodné číslo kratší než 9 znaků)
: ''Evidenční číslo pojištěnce '' '''ne'''má vyplněnou hodnotu,

pak při volbě
* '''Ostatní''' - nebude vytvořen ELDP
* '''Cizinci bez RČ a EČP''' - bude vytvořen ELDP, přičemž do pole ''Rodné číslo pojištěnce'' bude doplněna hodnota ''rodného čísla'' dotyčné osoby.

== Odkazy ==
* [[Mzdové údaje]]
* [[ELDP (před vytvořením)]]
* [[Číslo pojištěnce cizince]]
* [[cizinec]]
* pracovnici.cssz_ecp <s>(pracovnici.evid_cislo)</s>/small>

Evidenční číslo pojištěnce

2025-08-27T12:31:58Z

Pavelr:

'''Evidenční číslo pojištěnce''' je pole v agendě [[Mzdové údaje]]. Zadává se do něj číslo, které '''přidělí správa sociálního zabezpečení''' cizinci při prvním kontaktu, než mu přidělí rodné číslo. Do doby přidělení zůstává pole nevyplněno. EČP má na pozici pro den, vždy hodnotu vyšší než 40 a koncovka musí začínat minimálně číslicí 6, viz [https://www.cssz.cz/standardni-kontrola-rodneho-cisla-a-evidencniho-cisla-pojistence ČSSZ - Standardní kontrola Rodného čísla a Evidenčního čísla pojištěnce]
[[Image: Evidencni-cislo-pojistence.png|590px|right]]

== Přihláška na sociální pojišťovnu ==
[[Registr pojištěnců ČSSZ]]
: 1. Dotaz.
: 2. Nahrazení rodného čísla evidenčním číslem pojištěnce.
[[Image: Oznameni-o-nastupu-do-zamestnani-nahrada-rodneho-cisla-evidencnim-cislem-pojistence-dotaz.png|80px]]
[[Image: Oznameni-o-nastupu-do-zamestnani-nahrada-rodneho-cisla-evidencnim-cislem-pojistence.png|150px]]

== Seznam zaplaceného soc.pojištění ==
[[Sociální pojištění (sestava)]]
V případě vyplněného evidenčního čísla pojištěnce se nahradí rodné číslo touto hodnotou (platí pouze pro CZ verzi).

== Příloha k žádosti ==
[[Příloha k žádosti]] - náhrada rodného čísla evidenčním číslem pojištěnce.
[[Image: Priloha-k-zadosti-o-davku-nahrada-rodneho-cisla-evidencnim-cislem-pojistence.png|150px]]

== ELDP ==
Pokud je vyplněno ''Evidenční číslo pojištěnce '', pak systém provede náhradu ''rodného čísla'' touto hodnotou.

ELDP se vytváří s defaultně nastaveným přepínačem ''Ostatní''.

[[Image: ELDP-nahrada-rodneho-cisla-evidencnim-cislem-pojistence.png|150px]]

=== Cizinci bez RČ a EČP ===
Pokud jsou údaje zaměstnance nastaveny následovně:
: Kód [[státní příslušnost]]i je jiný od 203 (Česká republika)
: Je evidováno ''náhradní [[rodné číslo]] cizince'' (nebo je rodné číslo kratší než 9 znaků)
: ''Evidenční číslo pojištěnce '' '''ne'''má vyplněnou hodnotu,

pak při volbě
* '''Ostatní''' - nebude vytvořen ELDP
* '''Cizinci bez RČ a EČP''' - bude vytvořen ELDP, přičemž do pole ''Rodné číslo pojištěnce'' bude doplněna hodnota ''rodného čísla'' dotyčné osoby.

== Odkazy ==
* [[Mzdové údaje]]
* [[ELDP (před vytvořením)]]
* [[Číslo pojištěnce cizince]]
* [[cizinec]]
* pracovnici.cssz_ecp <s>(pracovnici.evid_cislo)</s>/small>