# Cách hoạt động của quyền truy cập theo tên miền

Vì sao mỗi người dùng thuộc một tên miền, vì sao người đầu tiên trở thành chủ sở hữu và vì sao hệ thống không chấp nhận nhà cung cấp email miễn phí khi đăng ký.

Source: https://support.toolingmetrics.com/vi/account/overview/domain-based-access/
Updated: 2026-10-07

Tooling Metrics lưu giữ dữ liệu nhạy cảm của xưởng — thông số cắt, cơ cấu chi phí và lịch sử mua hàng — mà doanh nghiệp không muốn để người lạ truy cập, kể cả các công ty khác cùng đăng ký sử dụng sản phẩm. Cơ chế đăng ký được thiết kế để tự động bảo đảm sự tách biệt đó, không phụ thuộc vào việc từng người dùng mới có nhớ cấu hình đúng hay không.

## Lợi ích của cơ chế này

- **Không vô tình tạo tổ chức trùng lặp.** Trước khi tạo tổ chức mới, mỗi lượt đăng ký được tự động đối chiếu với công ty dựa trên tên miền email. Hai người dùng `acme.com` đăng ký độc lập — chẳng hạn thuộc hai bộ phận khác nhau, cách nhau vài tuần và không biết người kia đã đăng ký — vẫn được đưa về cùng một nơi. Dữ liệu công ty sẽ không bị chia giữa hai tổ chức không liên kết chỉ vì ai đó đăng ký mà chưa kiểm tra trước.
- **Một nguồn dữ liệu thống nhất.** Vì mọi người trong công ty được đưa về cùng một nơi, dữ liệu dụng cụ, lịch sử chi phí và hồ sơ mua hàng được lưu trong một tổ chức thay vì phân tán giữa nhiều tài khoản mà sau này không ai nhớ phải hợp nhất.
- **Quyền truy cập được kiểm soát, không tự động mặc định.** Người đăng ký phải sở hữu và xác nhận một hộp thư thực thuộc tên miền do công ty quản lý; chỉ biết định dạng email không đủ để truy cập. Ngay cả tài khoản đã xác nhận cũng phải được chủ sở hữu site xem xét và phê duyệt trước khi có thể xem dữ liệu.

## Mỗi người dùng thuộc một site được xác định bằng tên miền email

**Site** là nhóm cấp cao nhất mà mọi người dùng thuộc về, được nhận diện đơn giản bằng phần tên miền trong địa chỉ email công việc. Khi bạn đăng ký, Tooling Metrics không hỏi bạn thuộc công ty nào mà đọc trực tiếp từ địa chỉ, ví dụ `you@yourcompany.com`. Bất kỳ ai xác nhận tài khoản bằng địa chỉ `@yourcompany.com` đều tham gia cùng một site.

Đây là lựa chọn có chủ đích: tên miền do công ty kiểm soát, không phải thông tin mà một cá nhân có thể tự khai sai hoặc giả mạo khi đăng ký. Đây là yếu tố định danh mà Tooling Metrics có thể tin cậy mà không cần người khác xác nhận thay.

## Site và tổ chức là hai ranh giới khác nhau

Site không phải nơi lưu dữ liệu của bạn. Site là tập hợp những người được phép *nhận mình* thuộc cùng một công ty. Ranh giới dữ liệu thực tế nằm ở cấp thấp hơn: **tổ chức**. Một site có thể chứa nhiều tổ chức — có thể hiểu site là tập đoàn, còn mỗi tổ chức là một nhà máy hoặc công ty thành viên. Chỉ thuộc một site không tự động cấp quyền truy cập dữ liệu của bất kỳ tổ chức nào.

Quyền truy cập dữ liệu của một tổ chức cụ thể được kiểm soát bằng trạng thái **thành viên** của bạn tại đó, và chỉ một trạng thái thực sự mở quyền truy cập: **Đang hoạt động**. Thuộc đúng site chỉ có nghĩa là bạn *đủ điều kiện* yêu cầu quyền truy cập; bản thân site không cấp quyền.

## Vì sao người đầu tiên trở thành chủ sở hữu còn những người sau phải yêu cầu

Phải có một người được tin cậy đầu tiên, trong khi tại thời điểm đăng ký không có bên thứ ba để xác nhận ai là đại diện hợp pháp của công ty. Tooling Metrics giải quyết bằng quy tắc đơn giản: người đầu tiên xác nhận tài khoản trên một tên miền sẽ tự động trở thành chủ sở hữu tổ chức của tên miền đó, có toàn quyền truy cập và không cần phê duyệt tư cách thành viên.

Theo góc nhìn của hệ thống, mọi tài khoản được xác nhận sau đó trên cùng tên miền đều là người chưa được xác minh — họ mới chỉ nhập email cùng tên miền, chưa được chủ sở hữu kiểm tra. Vì vậy, thay vì cấp quyền, Tooling Metrics tạo tư cách thành viên ở trạng thái **Đã yêu cầu quyền** rồi dừng lại. Người đó không thể xem dữ liệu cho đến khi chủ sở hữu xem xét và phê duyệt; chỉ lúc ấy trạng thái mới chuyển thành **Đang hoạt động**. Nếu yêu cầu bị từ chối hoặc bỏ qua, người đó không bao giờ có quyền truy cập và không cần thêm bước thu hồi vì quyền chưa từng được cấp.

Đó cũng là lý do màn hình yêu cầu truy cập xuất hiện lại nếu quyền của bạn sau này bị chuyển sang **Đã tạm ngưng**. Theo hệ thống, người dùng bị tạm ngưng và người chưa được phê duyệt ở cùng một tình trạng: thuộc đúng site nhưng không có tư cách thành viên đang hoạt động, vì vậy không thể truy cập dữ liệu tổ chức.

## Lượt đăng ký đầu tiên thực sự bảo vệ trước điều gì

Cơ chế tách biệt trên dựa vào một sự thật: xác nhận hộp thư thuộc tên miền chứng minh bạn có thể *nhận email* tại đó. Điều này ngăn người ngoài thực sự — người không có hộp thư tại `acme.com` không thể xác nhận tài khoản, nên không thể nhận quyền sở hữu tên miền. Tuy nhiên, nó **không** chứng minh bạn được ủy quyền đại diện công ty. Mô hình ngầm coi “kiểm soát một hộp thư thuộc tên miền” tương đương với “có thể sở hữu tổ chức của công ty”; vì vậy, lượt đăng ký đầu tiên thực chất là một thông tin xác thực: người đầu tiên xác nhận hộp thư `acme.com` trở thành chủ sở hữu dữ liệu của mọi người.

Đây mới là bản chất của rủi ro. Mối nguy không phải người lạ trên Internet vì họ bị chặn ở bước xác nhận, mà là *một* hộp thư trong chính tên miền của bạn bị xâm nhập, lừa đảo, do người nội bộ xấu kiểm soát hoặc là địa chỉ catch-all mà kẻ tấn công có thể đọc. Một lượt đăng ký đầu tiên không hợp lệ có thể khiến kẻ tấn công sở hữu tổ chức và tự phê duyệt đồng phạm. Hãy bảo vệ lượt đăng ký đầu tiên như một thông tin xác thực và dự kiến khôi phục quyền sở hữu qua bộ phận hỗ trợ, thay vì mặc định người đăng ký trước luôn hợp pháp. Đây cũng là lý do các sản phẩm gọi cơ chế này là **chiếm quyền tên miền** thường yêu cầu xác minh tên miền ở cấp DNS trước: bản ghi TXT chứng minh tổ chức kiểm soát tên miền độc lập với bất kỳ hộp thư riêng lẻ nào, nên một hộp thư xấu không thể tự phong mình làm chủ sở hữu.

## Vì sao email miễn phí bị từ chối khi đăng ký

Toàn bộ thiết kế dựa trên giả định một tên miền đại diện cho *một công ty*. Giả định này hoàn toàn không đúng với nhà cung cấp dùng chung như `gmail.com` hoặc `yahoo.com`, nơi hàng triệu người không liên quan sử dụng địa chỉ cùng tên miền. Nếu coi tên miền đó là một site, người dùng Gmail bất kỳ đăng ký đầu tiên sẽ trở thành “chủ sở hữu” của mọi người dùng Gmail đăng ký sau đó, có quyền phê duyệt hoặc bỏ qua yêu cầu truy cập của họ. Đây không thể là một ranh giới tin cậy.

Vì vậy, Tooling Metrics từ chối đăng ký bằng tên miền email miễn phí phổ biến và yêu cầu sử dụng email công ty. Đây là kiểm tra riêng với danh sách chặn email dùng một lần. Danh sách chặn đó phục vụ mục đích quen thuộc hơn: ngăn địa chỉ tạm thời bị dùng để lạm dụng bản dùng thử miễn phí hoặc vượt qua bước xác nhận. Email miễn phí bị từ chối vì tác động của chúng lên mô hình sở hữu, không phải vì chúng là email dùng một lần.

Có một việc kiểm tra này **không** ngăn được: chiếm dụng tên miền. Cuộc tấn công này không đến từ nhà cung cấp email miễn phí mà xảy ra khi một hộp thư doanh nghiệp có vẻ hợp lệ tại `acme.com` bị xâm nhập hoặc là địa chỉ catch-all. Việc chặn email miễn phí vẫn đúng vì cơ chế chiếm quyền tên miền chỉ có ý nghĩa với tên miền thực sự do một công ty kiểm soát; tuy nhiên, đây không phải biện pháp ngăn người nội bộ xấu. Nhiệm vụ đó thuộc về bước xác nhận email và việc bảo vệ lượt đăng ký đầu tiên như trình bày ở trên.

## Ý nghĩa trong thực tế

- Nếu bạn là người đầu tiên trong công ty đăng ký, bạn có toàn quyền truy cập ngay sau khi đăng nhập — xem [Đăng nhập và nhận quyền truy cập](https://support.toolingmetrics.com/vi/account/tutorials/log-in-and-get-access/).
- Nếu người khác đã đăng ký trước, bạn cần họ phê duyệt. Hướng dẫn trên trình bày trải nghiệm từ phía người yêu cầu; [Phê duyệt yêu cầu truy cập](https://support.toolingmetrics.com/vi/admin/guides/manage-users-and-permissions/#phê-duyệt-yêu-cầu-truy-cập) trình bày thao tác của chủ sở hữu.
- Nếu đăng ký bị từ chối vì dùng nhà cung cấp email miễn phí, hãy dùng email công việc. Không có cơ chế bỏ qua vì điều đó sẽ phá vỡ sự tách biệt mà mọi tổ chức trên nền tảng dựa vào.