# IAM — ตัวตนและสิทธิ์ผู้ใช้

Group: **แพลตฟอร์มกลาง** · Use cases: **4**

> Generated by `docs/agent/tools/gen_use_cases.py` from `use_cases/UC1-Explorer.dc.html`. Do not edit by hand; re-run the script.

| ID | Use case | Lifecycle tag | Actors | Steps |
|---|---|---|---|---|
| [W-123](#w-123) | บันทึกการรักษาราชการแทน / การมอบอำนาจลงนาม | งานบริหารและกำกับ | 3 | 5 |
| [W-126](#w-126) | รับรองสิทธิ์ผู้ใช้ (access recertification) | งานบริหารและกำกับ | 3 | 5 |
| [W-139](#w-139) | เปิดบัญชีบุคคลภายนอก (กรรมการสอบ อาจารย์พิเศษ ครูพี่เลี้ยง โค้ชสัญญาจ้าง) | งานบริหารและกำกับ | 3 | 5 |
| [W-142](#w-142) | รีเซ็ต MFA / กู้คืนบัญชี | งานบริหารและกำกับ | 3 | 5 |

<a id="w-123"></a>
## W-123 บันทึกการรักษาราชการแทน / การมอบอำนาจลงนาม

- **Lifecycle tag:** งานบริหารและกำกับ
- **Starts when:** คำสั่งรักษาราชการแทน หรือคำสั่งมอบอำนาจลงนามแล้ว
- **Outcome:** ActingAssignment / DelegatedAuthority มีช่วงเวลา
- **Actors:** งานสารบรรณ, บุคลากร, ผู้ดูแล IAM
- **Screens:** W123

Steps (5, of which 2 automated by the system):

1. **งานสารบรรณ**: ลงทะเบียนเลขที่คำสั่งจาก e-Saraban
2. **บุคลากร**: ระบุตำแหน่งต้นทาง ผู้รับ ประเภท (acting / delegated) ขอบเขต (ทุกอำนาจ หรือรายการเรื่อง/วงเงิน) และวันเริ่ม-สิ้นสุด
3. _ระบบ_: ตรวจ SoD กับบทบาทที่ผู้รับมีอยู่ และห้ามมอบต่อ
4. **ผู้ดูแล IAM**: ผูกสิทธิ์ (ตำแหน่ง sensitive ต้อง 4-eyes)
5. _ระบบ_: เปิดสิทธิ์ตามช่วงเวลา แสดงข้อความ "รักษาราชการแทน" / "ปฏิบัติราชการแทน" บนเอกสาร และหมดอายุอัตโนมัติ

> **ข้อสังเกตการทบทวน 2026-10-31 — รอยืนยัน:** ตรวจอำนาจมอบหมายและช่วงเวลาที่ลงนาม ไม่อนุญาตมอบต่อเกินอำนาจต้นทาง

Relations: none. The use case completes on its own.

<a id="w-126"></a>
## W-126 รับรองสิทธิ์ผู้ใช้ (access recertification)

- **Lifecycle tag:** งานบริหารและกำกับ
- **Starts when:** รอบรับรองสิทธิ์
- **Outcome:** สิทธิ์ที่ไม่รับรองถูกเพิกถอน + รายงานผล
- **Actors:** รองอธิการบดีประจำวิทยาเขต, เจ้าของข้อมูล, ผู้ตรวจสอบภายใน
- **Screens:** W126

Steps (5, of which 2 automated by the system):

1. _ระบบ_: สร้างรายการสิทธิ์ต่อผู้บังคับบัญชา (รวมบุคคลภายนอก และ acting/delegation ที่ใช้งาน)
2. **รองอธิการบดีประจำวิทยาเขต**: ผู้บังคับบัญชาตามสายงาน (มอบต่อหัวหน้าหน่วยได้) รับรองหรือเพิกถอนรายคน
3. **เจ้าของข้อมูล**: รับรองบทบาท sensitive (health safeguard ผู้อนุมัติการเงิน)
4. _ระบบ_: เพิกถอนรายการที่ไม่ได้รับรองเมื่อครบกำหนด
5. **ผู้ตรวจสอบภายใน**: ดูรายงานผลการรับรอง

> **ข้อสังเกตการทบทวน 2026-10-31 — รอยืนยัน:** recert มีผู้ทบทวนสำรอง/แจ้งเตือน; critical account ต้องวาง continuity ก่อนปิดแบบเหมารวม

Relations: none. The use case completes on its own.

<a id="w-139"></a>
## W-139 เปิดบัญชีบุคคลภายนอก (กรรมการสอบ อาจารย์พิเศษ ครูพี่เลี้ยง โค้ชสัญญาจ้าง)

- **Lifecycle tag:** งานบริหารและกำกับ
- **Starts when:** ต้องใช้บุคคลภายนอกในงานของมหาวิทยาลัย
- **Outcome:** ExternalPerson + บทบาทมีวันหมดอายุ
- **Actors:** หัวหน้าภาค, ผู้รับผิดชอบด้านคุ้มครองเด็ก, IT วิทยาเขต
- **Screens:** W139

Steps (5, of which 2 automated by the system):

1. **หัวหน้าภาค**: บุคลากรผู้รับรอง (sponsor) ขอเปิดบัญชี ระบุบทบาท scope และวันหมดอายุ
2. _ระบบ_: ยืนยันตัวตน (ThaID หรือ e-mail + OTP + เอกสาร) และส่งข้อตกลงรักษาความลับ/PDPA
3. **ผู้รับผิดชอบด้านคุ้มครองเด็ก**: ตรวจ StaffClearance (W-23) ถ้าต้องทำงานกับผู้เยาว์
4. **IT วิทยาเขต**: เปิดบทบาทภายใต้ catalogue ที่อนุญาต
5. _ระบบ_: หมดอายุอัตโนมัติ; ต่ออายุต้องให้ sponsor รับรองใหม่

> **ข้อสังเกตการทบทวน 2026-10-31 — รอยืนยัน:** external account จำกัด scope/วันหมดอายุ; child clearance เฉพาะงานที่เกี่ยวข้องกับเด็ก

Relations:

- ขยายเมื่อมีเงื่อนไข [W-23](SAFE.md#w-23) ตรวจประวัติคนที่ทำงานกับเด็ก
- ถูกเรียกจาก [W-75](ADM.md#w-75) จัดตารางสอบทักษะ / สัมภาษณ์ และแต่งตั้งกรรมการ
- ถูกเรียกจาก [W-100](REG.md#w-100) แผนเปิดรายวิชา ตารางสอน และเปิดกลุ่มเรียน

<a id="w-142"></a>
## W-142 รีเซ็ต MFA / กู้คืนบัญชี

- **Lifecycle tag:** งานบริหารและกำกับ
- **Starts when:** ผู้ใช้ทำอุปกรณ์หาย หรือเข้าสู่ระบบไม่ได้
- **Outcome:** Credential ใหม่ + แจ้งเตือน + พักรายการเสี่ยง
- **Actors:** นักศึกษา, Helpdesk L1/L2, IT วิทยาเขต
- **Screens:** W142

Steps (5, of which 2 automated by the system):

1. **นักศึกษา**: ขอรีเซ็ต MFA/บัญชี (บุคลากรใช้ขั้นตอนเดียวกัน)
2. _ระบบ_: ยืนยันตัวตนด้วย ThaID หรือแสดงตนพร้อมบัตรที่จุดบริการ
3. **Helpdesk L1/L2**: ตรวจ และบันทึกเหตุผล
4. **IT วิทยาเขต**: อนุมัติคนที่ 2 (บัญชีที่มีบทบาท sensitive ต้องเป็น security_admin)
5. _ระบบ_: รีเซ็ต แจ้งทุกช่องทางที่ผูกไว้ และพักรายการเสี่ยง (เปลี่ยนบัญชีรับเงิน) 24 ชม.

> **ข้อสังเกตการทบทวน 2026-10-31 — รอยืนยัน:** กู้ MFA ครอบคลุมบุคลากร/ชาวต่างชาติ; ตรวจตัวตนทางเลือกและ revoke วิธีเก่า/session

Relations: none. The use case completes on its own.