Примечание для технического писателя: подсистема Управление доступом допускает два взаимоисключающих варианта внедрения в приложение, которые заметно различаются между собой по возможностям – это обычный и упрощенный режимы настройки прав доступа. Кроме того, в приложении может быть предусмотрена или отключена возможность по настройке прав доступа к отдельным объектам. Поэтому далее по тексту приведены примечания, к какому режиму настройки относится тот или иной фрагмент документации. При компоновке документации необходимо оставить только те фрагменты этого раздела, которые относятся к конкретному варианту внедрения подсистемы Управление доступом, используемому в приложении.

Приложение позволяет настроить доступ пользователей к различным функциям, спискам и документам. Предусмотрены предопределенные наборы ролей. Кроме этого, имеется возможность самостоятельной настройки доступа. Для управления доступом необходима роль Администратор или Полные права. При этом пользователь, назначенный ответственным в группе доступа, может изменять состав своей группы доступа (для этого необходимо установить роль Изменение участников групп доступа). Изменения прав доступа применяются после перезапуска приложения. В текущих сеансах действуют прежние права доступа.

Для обычного режима настройки прав доступа:

Для ведения списка пользователей и настройки их прав предназначены списки Пользователи и Группы доступа (раздел Администрирование– Настройка пользователей и прав – Пользователи).

Группа доступа определяет совокупность действий с данными приложения, которые могут выполнять участники этой группы. Как правило, группы доступа соответствуют различным должностным обязанностям (или видам деятельности) пользователей приложения. Пользователь может входить одновременно в одну или несколько групп доступа, которые в совокупности образуют его персональные настройки прав доступа.

Примечание: не следует для настройки прав доступа использовать Конфигуратор.

Для упрощенного режима настройки прав доступа:

Для ведения списка пользователей и настройки их прав предназначен список Пользователи (раздел Администрирование– Настройка пользователей и прав – Пользователи). Настройка прав доступа пользователей осуществляется с помощью профилей. Профиль определяет некоторую совокупность действий с данными приложения, которые может выполнять пользователь. Как правило, профили соответствуют различным должностным обязанностям (или видам деятельности) пользователей приложения. Пользователю могут быть назначены одновременно несколько профилей, которые в совокупности образуют его персональные настройки прав доступа.

Примечание: не следует для настройки прав доступа использовать Конфигуратор.

Для обоих режимов настройки прав доступа:

Кроме того, для отдельных объектов приложения (например, для папок файлов) предусмотрена возможность настраивать права доступа непосредственно из окна этого объекта. Такую настройку могут выполнять не только администраторы, но и пользователи, имеющие для этого права доступа

Настройка приложения

В разделе Администрирование – Настройки пользователей и прав – Группы доступас помощью выпадающего меню можно выбрать Вариант работы:

■ Производительный – рекомендуется для клиент-серверного приложения, где он значительно эффективнее стандартного варианта. Если выбрать производительный вариант для файлового приложения, в которой работает один пользователь или несколько пользователей, но неинтенсивно, то увеличится скорость просмотра списков и формирования отчетов.

■ Стандартный – может потребоваться для файлового приложения, когда производительный вариант ограничивает интенсивность работы нескольких пользователей (параллельное добавление или изменение документов и других данных).

Если выбран производительный вариант работы, становится доступной следующая возможность:

■ Обновление доступа на уровне записей – для отслеживания хода обновления прав доступа. Также для нештатных случаев позволяет обновить доступ отдельных объектов и запланировать обновление доступа к требуемым спискам. Подробнее см. раздел Обновление доступа на уровне записей.

В приложении упрощено администрирование прав расширений. Если расширения содержат стандартные роли (имена которых оканчиваются на Общие права, Базовые права или Полные права), то такие роли автоматически добавляются в соответствующие профили групп доступа при добавлении расширений и удаляются при их удалении (и отключении) без дополнительной ручной настройки. См. также раздел документации Базовая функциональность. Расширения.

Для того чтобы максимально гибко настраивать права доступа пользователей, необходимо включить флажок Ограничивать доступ на уровне записей в разделе Администрирование – Настройки пользователей и прав – Группы доступа. Включить эту настройку рекомендуется в тех случаях, когда она действительно востребована (например, с приложением работает много пользователей).

■ Демо: Ограничивать доступ по партнерам – разрешить настройку доступа к данным по группам партнеров, в этом случае становится доступной ссылка:

Демо: Группы доступа партнеров – создание групп партнеров для разграничения доступа к справочникам, документам и другим данным.

■ Демо: Ограничивать доступ по номенклатуре – включите флажок, для того чтобы разрешить настройку доступа к данным по группам номенклатуры. После этого становится доступной ссылка:

Демо: Группы доступа номенклатуры – создание дополнительных групп номенклатуры для разграничения доступа к данным.

■ Демо: Ограничивать доступ по физическим лицам – разрешить настройку доступа к данным в разрезе физических лиц.

Например, в списке Демо: Номенклатура после включения флажка Демо: Ограничивать доступ по номенклатуре становится возможным организовать группы доступа к видам номенклатуры в списке Демо: Группы доступа номенклатуры.

Для каждого вида номенклатуры становится доступным поле Группа доступа. Для ограничения доступа по номенклатуре укажите для вида номенклатуры группу доступа. Если в списке нет нужной группы доступа, введите ее с помощью кнопки Создать.

Включение ограничения прав доступа пользователей на уровне записей может занять длительное время в зависимости от объема данных, введенных в приложение. Если в приложение до включения ограничения был введен большой объем данных, приложение выводит предупреждение.

Подготовка служебных данных, необходимых для работы с ограничением прав доступа пользователей на уровне записей, выполняется в фоне с помощью регламентного задания Заполнение данных для ограничения доступа. Если в приложение введен большой объем данных, то рекомендуется предварительно настроить его запуск в то время, когда с приложением не работают пользователи. Подробнее о работе с регламентными заданиями см. раздел документации Регламентные задания.

Примечание для технического писателя:

Для версий приложения, у которых режим совместимости ниже 8.3.3**, следует дополнить текст фразой: В файловом приложении регламентное задание необходимо запустить вручную.**

Обновление доступа на уровне записей

Обновление доступа планируется автоматически при изменении опций видов ограничений (по номенклатуре, по физическим лицам и др.), а также переходе на новые версии приложения, при установке, обновлении и удалении расширений приложения, если изменения влияют на доступ к спискам.

В процессе работы (изменения документов) могут планироваться точечные задания для зависимых объектов. Точечные задания выполняются быстро и в приоритетном порядке, а если не успевают выполниться за несколько секунд, тогда точечное задание преобразуется в задание обновления доступа для списка в целом.

Обновление доступа выполняется равномерно по всем спискам по очереди небольшими порциями на 1-2 секунды. Для списков без даты порции выбираются по возрастанию идентификатора ссылки, например, для справочников. Для списков с датой, например, документов, порции выбирается по убыванию дат (от самых свежих к самым старым данным). Сначала обрабатываются данные за ближайшие 7 дней, потом за ближайший месяц, потом за ближайший квартал, а потом уже по годам в прошлое.

Наблюдение за ходом обновления выполняется по ссылке Обновление доступа на уровне записей в разделе Администрирование– Настройки пользователей и прав. Ссылка становится доступной, если включен вариант работы Производительный.

После выбора варианта работы Производительный продолжает работать стандартное ограничение доступа до тех пор, пока обновление доступа не завершится первый раз. Об этом выводится предупреждение. После этого происходит автоматическое переключение в режим повышенной производительности (в качестве признака используется константа Первое обновление доступа завершилось).

Если регламентные задания заблокированы, тогда нужно нажать Запустить сейчас и дождаться завершения. Перед этим рекомендуется указать количество потоков обновления доступа, равное количеству ядер процессора, чтобы обновление прошло быстрее. После изменения количества потоков нужно остановить обновление (нажать Отменить) и продолжить (нажать Запустить сейчас).

Регламентное задание выполняется по две минуты с паузой 15 сек до завершения обновления. При нажатии Запустить сейчас обновление выполняется непрерывно до конца. Когда обновление доступа завершено, регламентное задание автоматически выключается, а при планировании обновления автоматически включается. Прогресс обновления наглядно представлен с помощью шкалы, в которой он показывается в процентах.

Для обновления информации о прогрессе включен флажок Автообновление с периодом 3 сек. Если фактическое время обновления превысит указанный период, что обычно происходит на больших базах, тогда период будет автоматически увеличен до фактического времени обновления. При необходимости период можно уменьшить до требуемого значения. С помощью ссылки можно Обновить прогресс или Отменить обновление прогресса в текущий момент.

С помощью кнопки Подробно можно увидеть прогресс обновления по отдельным спискам.

Включите флажок, для того чтобы Рассчитывать прогресс по количеству данных. С помощью ссылки Настройки отображения можно изменить вид списка обработанных данных, включив нужные флажки:

■ Показывать количество элементов;

■ Показывать количество ключей доступа;

■ Показывать задержку обработки;

■ Показывать имя таблицы;

■ Показывать обработанные списки.

Может возникнуть ситуация, при которой обновление доступа завершено, но доступ отличается от ожидаемого. Для решения такой нештатной ситуации можно воспользоваться командой меню Еще – Ручное управление и сделать следующее.

■ Если проблема возникла с конкретным объектом (документом, элементом списка и др.), тогда можно выбрать его (выберите тип данных, затем из открывшегося списка выберите конкретный элемент) и нажать ссылку Обновить доступ. При этом будет выполнено обновление и выведено сообщение о результате: был ли доступ обновлен или же обновление не требуется (рассчитанные права актуальны).

■ Если проблема возникла с множеством объектов или записей регистров, тогда следует запланировать обновление для списка в целом.

Планировать обновление для списка в целом можно целиком или в отмеченных частях:

■ Обновить ключи доступа к элементам данных;

■ Обновить права на ключи доступа;

■ Удалить устаревшие служебные данные.

Если нет понимания, в какой части требуется обновление, тогда следует делать обновление во всех трех частях.

При открытии отмечены все списки к обновлению. Такое обновление может занять длительное время, особенно в части обновления прав на ключи доступа. Поэтому следует отметить только требуемые списки с помощью флажков.

После этого нужно нажать кнопку Запланировать обновление. Обновление будет выполняться в том же порядке, как и в случае автоматического планирования обновления. Можно закрыть окно и нажать Запустить сейчас, чтобы не ждать запуск регламентного задания Обновление доступа на уровне записей (см. раздел документации Регламентные задания).

При необходимости можно Остановить и запретить обновление доступа с помощью команды меню Еще.

Если обновление доступа запрещено, то в окне появляется предупреждение и ссылка Разрешить. При попытке запустить регламентное задание, когда обновление запрещено, возникнет проблема его запуска. Для того чтобы обновление с помощью регламентного задания выполнялось, нужно нажать ссылку Разрешить. При нажатии на ссылку Запустить сейчас запрещенное обновление разрешается.

Если обновление разрешено, состав заданий для обновления доступа не пустой, а регламентное задание отключено (например, через управление списком регламентных заданий), тогда в окне появляется предупреждение Задание отключено и ссылка Включить. При нажатии на кнопку Запустить сейчас регламентное задание не включается.

Настройка прав доступа к отдельным объектам

Для приложений, в которых предусмотрена возможность по настройке прав доступа к отдельным объектам:

Для папок файлов и проектов имеется возможность индивидуальной настройки прав доступа для отдельных пользователей или групп пользователей. Способ этой настройки очень похож на тот способ, который применяется при настройке прав доступа на папки файлов в операционной системе на компьютере.

Для перехода к настройке прав из окна объекта можно воспользоваться кнопкой Настроить права. Для использования данной возможности необходимо установить роль Демо: Работа с папками файлов, также должен быть включен флажок Ограничивать доступ на уровне записей (см. раздел Настройка приложения).

В открывшемся окне Права доступа можно указать, какие пользователи (или группы пользователей) должны иметь доступ к данному объекту и к его дочерним объектам. Установка прав осуществляется с помощью значений Да или Нет в колонках таблицы. Настройку могут выполнять пользователи с установленным правом администрирования (Да в колонке Управление правами) для этого объекта.

Установив значение Нет в колонке Для подпапок, можно отказаться от наследования настроек прав доступа, заданных для родительского объекта (например, у родительской папки файлов).

В колонках таблицы можно включить права на чтение, добавление, изменение и установку пометки удаления для папки и файлов в ней:

■ Чтение;

■ Изменение папок;

■ Изменение файлов;

■ Пометка удаления.

В колонке Управление правами необходимо установить значение Да только у тех пользователей, которые должны иметь возможность настраивать права для этого объекта.

Для того чтобы увидеть полный список папок и прав на них, настроенных для интересующего пользователя (или группы пользователей), можно воспользоваться отчетом Права пользователя. Подробнее см. раздел Анализ прав доступа.

Настройка групп доступа

Этот раздел содержит описание только для обычного режима настройки прав доступа.

С помощью групп доступа можно задавать и администрировать общие настройки прав доступа для некоторой группы пользователей, выполняющих однотипные функции в приложении, **например: Бухгалтеры центрального офиса или **Менеджеры по продажам филиала в городе Н. (мелкооптовые покупатели)****. Права на редактирование списка Группы доступа имеются только у администраторов приложения, перечисленных в предопределенной группе доступа Администраторы. Кроме того, пользователь, указанный в группе доступа как Ответственный, может изменять состав участников данной группы.

Группа доступа всегда связана с одним из имеющихся профилей групп доступа, которые, как правило, объединяют в себе несколько ролей. При включении пользователя в группу доступа ему назначаются все роли, заданные в профиле группы доступа. Например, предопределенная группа доступа Администраторы связана с профилем Администратор, в состав которого входит роль Полные Права. Эта роль предоставляет неограниченный доступ ко всем данным и назначается всем администраторам приложения, перечисленным в группе доступа Администраторы. Подробнее о профилях групп доступа см. разделы Состав профилей групп доступа и Особые случаи настройки прав доступа.

Для создания новой группы доступа необходимо перейти в список Группы доступа раздела Администрирование – Настройки пользователей и прав – Группы доступа.

Нажмите кнопку Создать.

Заполните поле Наименование.

Рекомендуется называть группу доступа во множественном числе таким образом, чтобы ее имя содержало указание на используемый в ней профиль (в поле Профиль) и однозначно характеризовало определенный в ней состав настроек прав доступа. Например, на базе профиля Бухгалтер могут быть введены группы доступа Бухгалтеры ООО «Далекая перспектива» и Бухгалтеры ЗАО «Новые технологии».

В карточке группы доступа нужно выбрать один из имеющихся Профилей групп доступа (см. раздел Состав профилей групп доступа) с помощью кнопки .

Допустимые участники группы доступа определяются в профиле в соответствии с выбранным назначением.

В составе участников группы доступа могут быть также перечислены внешние пользователи и группы внешних пользователей (это может понадобиться для проведения анкетирования, например). Для этого в профиле групп доступа в поле Назначение должны быть выбраны партнеры или контактные лица партнеров. Подробнее см. раздел Особые случаи настройки прав доступа.

На вкладке Участники группы перечислите список пользователей (и групп пользователей), на которых должны распространяться настройки прав доступа. Списки, из которых можно выбрать участников группы, перечислены в поле Допустимые участники в нижней части вкладки.

Для быстрого перечисления пользователей можно нажать кнопку Подобрать. Подберите нужных пользователей. Открывшийся список выбора состоит из двух частей:

■ В левой части окна выберите нужную группу пользователей (можно выбрать всю группу сразу), выберите нужных пользователей из этой группы;

■ В правой части окна перечисляются выбранные пользователи.

Затем нажмите кнопку Завершить и закрыть для возврата к настройке группы доступа.

В поле Участвует до укажите дату, после которой участник будет автоматически удален из группы доступа. Это позволяет автоматически ограничить срок действия временно выданных прав.

Просмотреть участников групп доступа можно с помощью отчета Участники групп доступа. Отчет может быть полезен, если в приложении большое количество пользователей и групп.

В поле Ответственный выберите пользователя, который будет ответственным за состав участников группы доступа.

Затем на вкладке Ограничения доступа необходимо указать дополнительные настройки прав доступа. Примечание: вкладка может быть недоступна для тех групп доступа, в которых такая настройка не предусмотрена (зависит от настроек выбранного профиля).

На этой вкладке с помощью поля Вид доступа можно задать границы области данных, с которой разрешено работать участникам группы доступа. Под видом доступа подразумевается некоторое правило, по которому «разрешается» доступ к данным приложения. Например, с помощью вида доступа Демо: Организации можно разрешить работать пользователям только с документами по конкретным организациям; или наоборот, скрыть от них документы некоторых организаций. Состав видов доступа, перечисленных на вкладке Ограничения доступа, зависит от профиля, выбранного в поле Профиль. Кроме того, профиль также определяет, как именно действует настройка вида доступа: она разрешает только просмотр или также включает возможность редактирования данных. Например, в случае если профиль групп доступа включает в себя роль для чтения документов Демо: Поступление товаров, то пользователи получают возможность просматривать документы по заданным организациям. Если же в профиле содержится роль для добавления и изменения, то появляется возможность редактировать такие документы.

Для каждого вида доступа можно указать либо список разрешенных значений, либо наоборот, список тех значений, которые не должны быть доступны. Первый способ настройки подходит в тех случаях, когда стоит задача предоставить доступ только к определенной области данных. Второй способ настройки удобен тогда, когда требуется закрыть доступ к заранее известной области данных, а для всех новых значений, вводимых в приложение, должны по умолчанию действовать разрешительные правила. Например, если с помощью вида доступа Демо: Организации задано правило, запрещающее работать с документами по организации Далекая перспектива**, то на новую организацию** Новые технологии**, введенную в приложение позднее, эти ограничения распространяться не будут.** При этом следует учитывать, что разрешающие настройки имеют приоритет над запрещающими. Так, если в приведенном выше примере пользователю будет разрешен ввод документов по организации Далекая перспектива в какой-либо другой группе доступа с тем же профилем, то в итоге он получит доступ ко всем документам по этой организации.

При настройке разрешенных значений в группах доступа можно указать признак (включив флажок в колонке ) Включая нижестоящие (с иерархией) вместо подбора всех подчиненных элементов справочника. Данная возможность недоступна в случае, когда уже предусмотрен выбор группы значений, например, групп доступа партнеров.

Например, при создании группы доступа Закупки от имени ООО «Новые технологии» на вкладке Ограничения доступа будет разрешена только одна организация – ООО «Новые технологии», при описании вида доступа Демо: Подразделения вместо того, чтобы приводить список всех подразделений отдела закупок, можно включить флажок в колонке Включая нижестоящие (с иерархией), выбрать из списка подразделений Отдел закупок, для того чтобы в состав разрешенных вошли все подразделения, которые входят в состав подразделения Отдел закупок, с учетом вложенных (по иерархии). При этом если иерархия подразделений изменится, тогда состав разрешенных значений также изменится автоматически.

В ряде случаев для упрощения настройки прав доступа, в списке разрешенных или запрещенных значений можно указывать не отдельные элементы, а целые группы элементов. Например, для вида доступа Демо: Группы партнеров можно ограничить доступ в разрезе групп доступа партнеров, а не по каждому партнеру в отдельности. Для этого необходимо определить список групп доступа партнеров, и у каждого партнера задать принадлежность к той или иной группе. Эти действия могут быть выполнены не только администратором, но и любым пользователем с правами на редактирование списка партнеров.

Нажмите кнопку Добавить, выберите из списка нужного партнера с помощью кнопки . Для использования данной возможности необходимы настройки. См. раздел Настройка приложения.

В некоторых группах доступа предусмотрена настройка прав с помощью вида доступа Пользователи (аналогично, вид доступа Внешние пользователи для внешних пользователей). Настройка может учитываться только в тех документах (и других объектах приложения), в полях которых могут быть указаны пользователи, получающие доступ к этим документам (Ответственный, Автор, Исполнитель и т. п.). Для того чтобы дать участникам группы права доступа ко всем ограниченным данным, с которыми работает тот или иной пользователь, необходимо включить его в список разрешенных значений для вида доступа Пользователи. Например, если доступ к документам поступления товаров и услуг зависит от того, кто указан в поле Ответственный, тогда записывать документы имеет возможность пользователь, который либо выбран в этом поле, либо он сам, либо в списке разрешенных для вида доступа Пользователи. Аналогичным образом действует запрещающая настройка.

Пользователь может быть включен сразу в несколько групп доступа. В этом случае его совокупные права доступа складываются (объединяются по «или») из прав доступа каждой группы. Например, в группе доступа Менеджеры по закупкам пользователю разрешен просмотр документов Демо: Поступления товаров по организации Далекая перспектива. В группе доступа Менеджеры по продажам ему разрешен ввод документов Демо: Заказ покупателя по организации Новые технологии. В результате у него появляется доступ на просмотр документов Демо: Поступления товаров по организации Далекая перспектива и на ввод документов Демо: Заказ покупателя по организации Новые технологии. При этом следует учитывать, что объединяются не списки разрешенных значений, указанные в группах, а именно права доступа. Т. е. ошибочно считать, что в приведенном примере пользователь получит доступ на просмотр документов поступления товаров и на ввод документов заказов покупателей одновременно по обеим организациям.

Просмотреть права доступа пользователя можно с помощью отчета Права пользователя. Подробнее см. раздел Отчет Анализ прав доступа.

На вкладке Комментарийвведите дополнительную информацию о группе доступа.

Настройка прав доступа отдельных пользователей

Этот раздел содержит описание только для обычного режима настройки прав доступа.

Общая схема настройки прав доступа выглядит так (см. рис.):

Для просмотра и настройки состава групп доступа интересующего пользователя (или группы пользователей; далее просто «пользователя») перейдите по ссылке Права доступа в панели навигации карточки пользователя.

С помощью кнопки Включить в группу на вкладке Группы доступа администратор может добавить пользователя в состав участников любой из имеющихся групп доступа.

С помощью кнопки Исключить из группы можно удалить пользователя из выделенной группы доступа.

Также эту настройку могут выполнять ответственные за состав участников группы доступа для своих групп доступа.

С помощью кнопки Изменить группу можно перейти к карточке группы доступа, выбранной в списке.

На вкладке Разрешенные действия (роли) справочно выводится совокупный список ролей, которые назначены пользователю. Список ролей складывается из всех ролей, входящих в состав групп доступа, в которые включен пользователь. Этот же список можно увидеть в Конфигураторе, в свойствах пользователя приложения. При этом не следует редактировать этот список в Конфигураторе, настройка прав доступа пользователей должна выполняться только с помощью групп доступа.

С помощью кнопки По подсистемам можно соответственно сгруппировать разрешенные действия.

Настройка прав доступа пользователей

Этот раздел содержит описание только для упрощенного режима настройки прав доступа.

Для настройки прав доступа пользователя необходимо перейти в список Пользователи и нажать на ссылку Права доступа в панели навигации карточки пользователя.

Общая схема настройки прав доступа выглядит так (см. рис.):

В списке Профили пользователя необходимо отметить те профили, которые требуются для работы пользователя в приложении. Например, если сотрудник выполняет в приложении только функции бухгалтера, то ему должны быть назначены профиль Бухгалтер, а также служебный профиль Пользователь (который разрешает выполнять вход в приложение).

Профиль, как правило, объединяет в себе несколько ролей. При назначении профиля пользователю назначаются все роли, заданные в этом профиле. Например, в профиль Администратор входит роль Полные``п``рава, которая предоставляет неограниченный доступ ко всем данным. Описание имеющихся профилей см. далее в разделе Состав профилей групп доступа. Права доступа могут настраивать только администраторы приложения (пользователи, у которых отмечен профиль Администратор).

В списке справа с помощью поля Вид доступа можно задать границы области данных, с которой пользователю разрешено работать. Под видом доступа подразумевается некоторое правило, по которому «разрешается» доступ к данным приложения. Например, с помощью вида доступа Демо: Организации можно разрешить пользователю работать только с документами по конкретным организациям; или наоборот, скрыть от него документы некоторых организаций. Состав видов доступа, перечисленных в списке справа, зависит от профиля, выбранного в списке слева. Кроме того, профиль также определяет, как именно действует настройка вида доступа: она разрешает просмотр или также включает возможность редактирования документов. Например, в случае если профиль включает в себя роль для чтения документов Демо: Поступление товаров, то пользователь получает возможность просматривать документы по заданным организациям. Если же в профиле содержится роль для добавления и изменения, то появляется возможность редактировать такие документы.

Для каждого вида доступа можно указать либо список разрешенных значений, либо наоборот, список тех значений, которые не должны быть доступны. Первый способ настройки подходит в тех случаях, когда стоит задача предоставить доступ только к определенной области данных. Второй способ настройки удобен тогда, когда требуется закрыть доступ к заранее известной области данных, а для всех новых значений, вводимых в приложение, должны по умолчанию действовать разрешительные правила. Например, если с помощью вида доступа Демо: Организации задано правило, запрещающее работать с документами по организации Далекая перспектива, то на новую организацию Новые технологии, введенную в приложении позднее, эти ограничения распространяться не будут. При этом следует учитывать, что разрешающие настройки имеют приоритет над запрещающими. Так, если в приведенном выше примере пользователю будет разрешен ввод документов по организации Далекая перспектива в какой-либо другой группе с этим же профилем, то в итоге он получит доступ ко всем документам по этой организации.

В ряде случаев для упрощения настройки прав доступа, в списке разрешенных или запрещенных значений можно указывать не отдельные элементы, а целые группы элементов. Например, для вида доступа Демо: Группы партнеров можно ограничить доступ в разрезе групп доступа партнеров, а не по каждому партнеру в отдельности. Для этого необходимо определить список групп доступа партнеров, и у каждого партнера задать принадлежность к той или иной группе. Эти действия могут быть выполнены не только администратором, но и любым пользователем с правами на редактирование списка партнеров.

Для некоторых профилей предусмотрена настройка прав с помощью вида доступа Пользователи (аналогично, вид доступа Внешние пользователи для внешних пользователей). Настройка может учитываться только в тех документах (и других объектах приложения), в полях которых могут быть указаны пользователи, получающие доступ к этим документам (Ответственный, Автор, Исполнитель и т. п.). Для того чтобы дать доступ ко всем ограниченным данным, с которыми работает тот или иной пользователь, необходимо включить его в список разрешенных значений для вида доступа Пользователи. Например, если доступ к документам поступления товаров и услуг зависит от того, кто указан в поле Ответственный, тогда записывать документы имеет возможность пользователь, который либо выбран в этом поле, либо указан в списке разрешенных для вида доступа Пользователи. Аналогичным образом действует запрещающая настройка.

В случае если в разделе Администрирование – Настройки пользователей и прав – Группы доступа выключен флажок Ограничивать доступ на уровне записей, список видов доступа скрыт.

Контроль работы пользователей

Открывает отчеты администратора с группой отчетов Контроль работы пользователей для анализа работ, настроек и прав пользователей.  Контроль работы пользователей можно открыть с помощью ссылки в разделе Администрирование – Настройка пользователей и прав – Пользователи. Подробнее см. раздел документации Контроль работы пользователей.

Отчет Анализ прав доступа

Отчет Анализ прав доступа можно открыть с помощью ссылки в разделе Администрирование – Настройка пользователей и прав – Контроль работы пользователя.

Отчет позволяет ответить на вопросы:

■ Кто имеет доступ к конкретным данным?

■ Какие данные доступны конкретному пользователю? Может ли он их изменить?

■ Кто имеет доступ к отчётам?

■ Какие данные выводит тот или иной отчёт?

Отчет выдается по всем таблицам и пользователям. Показывает также разрешенные значения для ограничений на уровне записей (RLS). Нажав мышью на нужную ячейку, можно вывести расшифровку прав конкретного пользователя на выбранную таблицу. Признак RLS выводится, как примечание «Доступно не все».

С помощью отчета администратор может наглядно получать сводную и подробную информацию об уровне доступа пользователей к отчетам и таблицам приложения:

■ Какие именно пользователи имеют права на просмотр, редактирование или создание тех или иных справочников, документов и т. д., с расшифровкой до групп доступа, посредством которых им предоставлены эти права;

■ Можно сгруппировать таблицы по отчетам, в которых выводятся данные из этих таблиц;

■ Разрешенные значения для ограничений на уровне записей (RLS). В отчете выводятся ограничения в виде  Доступно не все.

■ Расшифровка права: просмотр видов доступа и значений доступа (ограничений доступа - RLS).

Можно уточнить отчет, указав в полях Таблица и Пользователь нужные значения или выбрав ячейку в отчете.

При расшифровке прав пользователя на таблицу, которая является владельцем настроек прав, дополнительно выводятся и сами настройки прав (на уровне записей). Например, при расшифровке прав пользователя на таблицу Папки выводятся настройки прав на каждую папку (зеленые и красные значки).

Для каждой папки можно открыть права доступа пользователя к этой папке (см. также раздел Настройка прав доступа к отдельным объектам).

Кроме расшифровки прав для каждой папки, выводится также расшифровка прав на эту таблицу для каждой группы доступа, в которую включен данный пользователь.

Возможна расшифровка любого значения доступа: нажав на ячейку со значением доступа, можно просмотреть группу доступа с позиционированием на значение доступа.

Также можно открыть отчет Анализ доступа (в данном случае отчет будет выдан без возможности выбора таблиц):

■ из списка Пользователи – с помощью командыЕще – Отчеты – Права пользователя;

■ из карточки пользователя – с помощью кнопки Отчеты – Права пользователя;

■ из карточки пользователя – форма Права доступа– Отчет Права пользователя;

■ из всех списков с помощью команды Еще – Отчеты – Права пользователей на таблицу можно просмотреть отчет по правам пользователей на выбранный список;

■ из всех отчетов с помощью команды Еще – Права пользователей. Показываются только встроенные отчеты и отчеты, добавленные в расширениях. Не показывает дополнительные отчеты.

.

Отчет Права ролей

Отчет предназначен для технического специалиста, показывает права ролей на объекты метаданных (шахматка объект метаданных/роль: право), а также расшифровки этих прав. Для базовых версий оба отчета о правах будут скрываться.

Отчет Права ролей можно открыть:

■ в панели Отчеты администратора (основной вариант) – ввести в строке поиска Права ролей и открыть отчет;

■ в списках в подменю Отчеты в меню Еще``– Права ролей и профилей;

■ из списка Профили групп доступа``– Отчеты``– Права ролей и профилей``, Права профилей;

■ из карточки Профиля групп доступа – Отчеты – Права ролей профиля``, Права профиля;

В настройках отчета можно добавить или убрать различные разделы или объекты приложения, для того чтобы просмотреть права ролей на эти объекты. Подробнее см. раздел документации Варианты отчетов. С помощью кнопки Подбор открывается окно, в котором перечислены все виды объектов, они обозначаются в виде картинок или значков.

Дважды кликнув по роли, можно просмотреть расшифровку объекта метаданных – права ролей.

Дважды кликнув по роли, можно просмотреть расшифровку прав роли на нужный объект.

Из списка профилей в отчете можно просмотреть:

■ Права профилей (отбор по выделенным профилям);

■ Права ролей профилей (отбор по ролям выделенных профилей).

В карточке профиля:

■ Права профиля (отбор по профилю);

■ Права ролей профиля (отбор по ролям профиля).

Из списков в отчете выводится:

■ Права ролей и профилей (с отбором по таблице).

Дважды кликнув по объекту, можно просмотреть подробные права роли на данный объект.

При расследовании недостатка прав необходимо учитывать, что в сообщениях о проблемах выводится полное имя таблицы (например, Справочник.УдалитьНалоговыеОрганы), а в отчете в списке выбора выводится представление таблицы, (например, (не используется) Налоговые органы).

Особые случаи настройки прав доступа

Для упрощенного режима настройки прав доступа термин «профиль групп доступа» далее по тексту рекомендуется называть «профиль пользователей».

В ряде случаев предустановленных профилей групп доступа оказывается недостаточно для осуществления требуемой настройки прав доступа пользователей. В таких случаях администратор имеет возможность добавить новые или изменить предустановленные профили групп доступа.

Для обычного режима настройки прав доступа:

Профиль групп доступа объединяет в себе, как правило, несколько ролей, а также содержит описание видов доступа, в разрезе которых администратор может настраивать права с помощью групп доступа. Таким образом, профиль представляет собой определенный шаблон, в соответствии с которым администратор ведет группы доступа. Для просмотра профиля доступа в карточке пользователей нажмите кнопку .

С одним профилем может быть связана одна или несколько групп доступа. Например, на базе профиля Бухгалтер могут быть настроены группы доступа Бухгалтеры центрального офиса и Бухгалтеры филиала в Н-ске, которые отличаются друг от друга разрешенными организациями: Центральный офис и Филиал в Н-ске.

Список Профили групп доступа можно открыть с помощью ссылки в разделе Администрирование– Настройка пользователей и прав – Группы доступа.

С помощью поля Показать в списке можно отобрать профили групп доступа:

■ Все профили;

■ Поставляемые;

■ Непоставляемые;

■ Устаревшие.

Можно отобрать профили групп доступа также по полю Назначение.

С помощью кнопки  выберите назначение профилей.

Укажите с помощью флажков, для кого предназначены профили групп доступа, например, Пользователи или``Демо: Партнеры.

Для ввода нового профиля групп доступа воспользуйтесь кнопкой Создать.

При добавлении нового профиля сначала необходимо определить состав его ролей, исходя из потребностей целевой группы пользователей.

Роль определяет некоторую совокупность действий над объектами приложения, которые может выполнять пользователь. Роли могут соответствовать как различным должностным обязанностям (или видам деятельности) пользователей приложения, так и могут соотноситься с более мелкими функциями. Например, роль Бухгалтер предоставляет доступ к функциональному блоку, необходимому для выполнения должностных обязанностей бухгалтера, а для включения отдельной возможности просмотра файлов может быть дополнительно назначена роль Чтение файлов. Зачастую, роли либо разрешают просмотр, либо дают возможность редактирования тех или иных данных в приложении.

Каждому пользователю, посредством профилей и групп доступа, может быть назначена одна или несколько ролей, которые в совокупности образуют его персональные настройки прав доступа.

Как правило, различают основные и дополнительные профили.

Основной профиль описывает некоторую совокупность прав доступа, достаточную для выполнения в приложении определенного участка работ, например, профиль Бухгалтер включает в себя все необходимые для работы бухгалтера роли.

С помощью дополнительных профилей пользователям могут быть выданы какие-либо вспомогательные права дополнительно к основному профилю.

Например, дополнительно к основным профилям Бухгалтер и Кладовщик предусмотрены профили Использование электронной почты и Печать непроведенных документов.

В основных профилях важно предусмотреть такой набор ролей, который с одной стороны, не будет давать избыточного (нежелательного) доступа к функциям и данным приложения, а с другой – будет достаточным для работы пользователей в рамках их круга задач и обязанностей. В частности, в основном профиле следует предусмотреть ряд вспомогательных ролей, которые напрямую не связаны с основной деятельностью пользователей, но, тем не менее, необходимы для нее.

Например, для оператора по вводу документов помимо роли на добавление и изменение этих документов нужно также не забыть включить в профиль следующие роли:

■ роль для входа в приложение с помощью тонкого, толстого или веб-клиента;

■ предопределенные ролиБазовые права и Базовые права УТ;

■ роли для просмотра справочников, элементы которых требуется выбирать в полях документов;

■ роли для просмотра отчетов по движениям документов и т. п.

Например, в профиль Аудитор были включены основная роль Чтение физических лиц, разрешающая просмотр сведений о физических лицах, а также ряд вспомогательных ролей, обеспечивающих базовые возможности для работы в приложении.

При вводе нового профиля групп доступа введите его Наименование.

Если профилей групп доступа много, то их можно группировать по разным признакам, например, выделить в отдельные группы основные и дополнительные профили групп доступа или сгруппировать профили групп доступа и по другим признакам.

Профиль групп доступа можно включить в Группу (папку) с помощью кнопки , выделите в списке нужную группу, нажмите кнопку Выбрать.

Если нужной группы нет в списке, с помощью кнопки Создать группу можно добавить в список новую группу (папку) профилей групп доступа.

 В поле Назначение перейдите по ссылке, с помощью флажков выберите, для кого предназначен профиль групп доступа, например, Пользователи, нажмите кнопку Выбрать. После этого ссылка принимает выбранное значение.

На вкладке Разрешенные действия (роли) с помощью флажков выберите одну или несколько ролей. Роли обычно выводятся в алфавитном порядке.

С помощью команды По подсистемам меню Еще можно увидеть роли, сгруппированные по подсистемам.

С помощью кнопки панели навигации можно вывести в список Только выбранные роли.

Затем на вкладке Ограничения доступа необходимо принять решение по поводу состава видов доступа, которые должны быть определены в профиле. Под видом доступа подразумевается некоторое правило, по которому «разрешается» доступ к данным приложения. С их помощью можно более точно настраивать границы области данных, с которой разрешено работать участникам тех или иных групп доступа. В простейшем случае, если в профиль не включено ни одного вида доступа, то права доступа к данным определяются только ролями. Например, в случае если профиль включает в себя роль для чтения документов Демо: Поступление товаров, то участники групп доступа получают возможность просмотра всех документов. Но если в дополнение к этой роли в профиль добавить вид доступа Демо: Организации, то появляется возможность разрешать пользователям работу с документами только по конкретным организациям; или наоборот, скрывать от них документы некоторых организаций. Таким образом, если список ролей в профиле отвечает на вопрос, «что должно быть доступно, а что – нет» (какие функции и данные приложения), то виды доступа уточняют, как именно они должны быть доступны (в разрезе каких разрешенных и запрещенных значений). Состав видов доступа в профиле рекомендуется определять, исходя из соображений гибкости настройки прав доступа.

Для каждого вида доступа, заданного в профиле, можно указать один из четырех вариантов настройки:

■ Все запрещены, исключения назначаются в группах доступа – применяется в тех случаях, когда по умолчанию доступ ко всем данным должен быть закрыт, но для отдельных объектов в группах доступа могут быть настроены разрешения;

■ Все разрешены, исключения назначаются в группах доступа – аналогично предыдущему варианту, но по умолчанию все данные разрешены, а для отдельных объектов в группах доступа могут быть установлены исключения – запрет;

■ Все запрещены, исключения назначаются в профиле – используется тогда, когда в группах доступа не предполагается предоставлять возможность настройки для вида доступа; т. е. вся настройка должна быть выполнена непосредственно в самом профиле и не может быть изменена в группах доступа. Такие виды доступа скрыты в группах доступа;

■ Все разрешены, исключения назначаются в профиле – аналогично предыдущему варианту.

В примере на рисунке в профиль Аудитор были включены виды доступа Демо: Организации и Демо: Хозяйственные операции. Выберите нужные виды доступа из списка. При этом аудиторам запрещено работать с данными, которые относятся к хозяйственной операции Выдача зарплаты, а состав организаций, в разрезе которых аудиторы получают доступ к остальным данным, предполагается настраивать в группах доступа.

При настройке разрешенных значений в профилях можно использовать признак (включив флажок в колонке ) Включая нижестоящие (с иерархией) так же, как при настройке разрешенных значений в группах доступа. Подробнее см. раздел Настройка групп доступа.

Если данная возможность в приложении отключена, то вид доступа будет неактивен и в нижней части окна приложение выводит об этом сообщение.

Для быстрого перехода к списку групп доступа, созданных на базе данного профиля, можно перейти по ссылке Группы доступа на панели навигации.

В данном списке с помощью кнопки Создать можно добавить новые группы доступа.

Для упрощенного режима настройки прав доступа:

Необходимо переработать раздел выше, исключив все упоминания о «группах доступа», имея в виду, что в этом режиме работы профили назначаются пользователям непосредственно, без использования групп доступа.

Профиль пользователей объединяет в себе, как правило, несколько ролей. Состав ролей следует подбирать, исходя из потребностей целевой группы пользователей. Как правило, различают основные и дополнительные профили. Основной профиль описывает некоторую совокупность прав доступа, достаточную для выполнения в приложении определенного участка работ. С помощью дополнительных профилей пользователям могут быть выданы какие-либо вспомогательные права, дополнительно к основным. Например, дополнительно к основным профилям Бухгалтер и Кладовщик предусмотрены профили Ведение переписки с контрагентами и Печать непроведенных документов. В основных профилях важно предусмотреть такой набор ролей, который с одной стороны, не будет давать избыточного (нежелательного) доступа к функциям и данным приложения, а с другой – будет достаточным для работы пользователей в рамках их круга задач и обязанностей. В частности, в основном профиле следует предусмотреть ряд вспомогательных ролей, которые напрямую не связаны с основной деятельностью пользователей, но, тем не менее, необходимы для нее.

Например, для оператора по вводу документов, помимо роли на добавление и изменение этих документов нужно также не забыть включить в профиль следующие роли:

■ роль для входа в систему с помощью тонкого, толстого или веб-клиента;

■ предопределенную роль Базовые права;

■ роли для просмотра справочников, элементы которых требуется выбирать в полях документов;

■ роли для просмотра отчетов по движениям документов и т. п.

Состав профилей групп доступа

Для упрощенного режима настройки прав доступа этот раздел рекомендуется назвать «Состав профилей пользователей».

Для настройки прав доступа пользователей в распоряжении администратора имеются следующие профили:

Профиль	Краткое описание
Основные профили
Администратор	Настройка прав доступа пользователей и администрирование приложения. Включает в себя роль Полные права, которая предоставляет неограниченный доступ ко всем данным.
Аудитор	Включает в себя набор функций, необходимых для работы аудитора (чтение данных по бухгалтерии).
Бухгалтер	Включает в себя набор функций, необходимых для работы бухгалтера (кассовые документы, добавление персональных данных физических лиц).
Кладовщик	Включает набор функций, необходимых для работы кладовщика (кроме этого, доступно ведение дополнительных сведений, редактирования проектов и их присоединенных файлов). Работа со складскими документами, просмотр документов покупателей.
Менеджер	Контрольные функции (добавление и изменение проектов, добавление и изменение опросов, добавление и изменение шаблонов анкет).
Партнер	Назначается внешним пользователям для проведения анкетирования, а также работы со счетами.
Пользователь	Назначается всем пользователям приложения, содержит базовые функции для работы в приложении.
Расчетчик зарплаты	Содержит все функции, необходимые для добавления и изменения зарплаты.
Руководитель	Выполнение контрольных функций, контроль выполнения бизнес-процессов.
Дополнительные профили
Заполнение дополнительных сведений (дополнительно)	Предназначен для ведения дополнительных сведений.
Использование электронной почты (дополнительно)	Использование электронной почты, доступ к адресам электронной почты запрещен и исключения назначаются в группах доступа.
Настройка синхронизации файлов с облачным сервисом (дополнительно)	Дополнительно назначается тем пользователям, которым должна быть доступна настройка синхронизации файлов с облачными сервисами.
Ответственный за анализ результатов анкетирования	Предназначен для работы с анкетированием и анализа его результатов. Работа с респондентами.
Ответственный за ведение взаимодействий (дополнительно)	Набор функций, необходимых для ведения взаимодействий (добавление и изменение взаимодействий, использование электронной почты).
Ответственный за ведение номенклатуры (дополнительно)	Добавление и изменение номенклатуры.
Ответственный за ведение шаблонов анкет и проведение опросов	Предназначен для ведения шаблонов анкет, проведения опросов, работы с респондентами.
Ответственный за даты запрета изменения данных (дополнительно)	Дополнительно назначается тем пользователям, которым должна быть доступна возможность работы с датами запрета изменения данных (см. раздел документации Даты запрета изменения).
Ответственный за качество работы приложения	Предназначен для настройки и оценки производительности приложения.
Ответственный за нормативно-справочную информацию (дополнительно)	Набор функций, необходимых для ведения всей нормативно-справочной информации в приложении, ведение и обновление классификаторов.
Ответственный за составы участников групп доступа (дополнительно)	Изменение участников групп доступа.
Ответственный за список внешних пользователей (дополнительно)	Добавление и изменение внешних пользователей, настройка свойств пользователей приложения (без разрешения входа).
Ответственный за список пользователей (дополнительно)	Добавление и изменение пользователей, настройка свойств пользователей приложения (без разрешения входа).
Отправка SMS (дополнительно)	Предназначен для отправки SMS.
Печать непроведенных документов (дополнительно)	Содержит роль Демо: Печать непроведенных документов, позволяет выводить на печать непроведенные документы. Обычно это сделать невозможно.
Просмотр версий объектов	Предназначен для работы с хранением версий объектов.
Просмотр согласий на обработку персональных данных (дополнительно)	Просмотр согласий на обработку персональных данных.
Работа с папками файлов (дополнительно)	Работа с папками файлов.
Редактирование макетов печатных форм	Предназначен для работы с макетами печатных форм.
Редактирование согласий на обработку персональных данных (дополнительно)	Добавление и изменение согласий на обработку персональных данных.
Синхронизация данных с другими приложениями	Выполнение синхронизации данных, чтение информации о версиях объектов.

Устранение недостаточных прав доступа

Права, которые имеются у пользователя на списки документов, справочники, отчеты и т. п., можно посмотреть с помощью отчетов:

■ Анализ прав доступа (в разделе Администрирование – Настройки пользователей и прав), подробнее см. раздел Отчет Анализ прав доступа.

■ Права ролей(в разделе Администрирование– Отчеты администратора – Все отчеты можно найти данный отчет в списке отчетов, или из карточек объектов), подробнее см. раздел Отчет Права ролей.

Возможные проблемы:

1. Нет прав в целом на отчет, обработку, документ или список документов, элемент справочников (и т. д.). Тогда выводится одно из следующих сообщений:

■ Недостаточно прав для просмотра (например, при переходе по навигационной ссылке).

■ Нарушение прав доступа! (например, при просмотре или записи документа).

Решение проблемы:

Для обычного режима настройки прав доступа:

включить пользователя в группу доступа с профилем, который содержит роли с недостающими правами.

Для упрощенного режима настройки прав доступа:

включить пользователю профиль, который содержит роли с недостающими правами.

Наличие нужной роли в профиле обычно несложно определить по её названию, например: Чтение <Документ>, Добавление и изменение <Документ>, Просмотр <Отчет>, Использование <Обработка> и т. п.

2. Включено ограничение доступа на уровне записей (RLS) и выводится одно из следующих сообщений:

■ У пользователя недостаточно прав на исполнение операции над базой данных (например, при переходе по навигационной ссылке в любом варианте работы RLS или при записи документа в стандартном варианте работы RLS);

■ Недостаточно прав для добавления данных (невозможно будет прочитать):

<документ> (при вводе нового документа или при записи существующего документа с новыми запрещенными значениями реквизитов в производительном варианте работы RLS);

■ Недостаточно прав для добавления данных (невозможно будет изменить):

<документ> (то же, что и предыдущая проблема, но новые значения в реквизитах запрещены только для записи документов, то есть можно просмотреть существующие документы с такими новыми значениями – у них недоступна команда записать);

■ Недостаточно прав для чтения данных: <документ> (при проверке прав на документ в процессе выполнения различных действий в производительном варианте работы RLS; например, при выполнении задачи, изменяющий статус заказа, который недоступен для чтения);

■ Недостаточно прав для изменения данных: <документ> (аналогично выше).

Решение проблемы:

Для обычного режима настройки прав доступа:

Включить пользователя в группу доступа с требуемым составом разрешенных значений (организаций, групп партнеров и других) и профилем, который содержит роль с требуемыми правами доступа (Чтение/Изменение/Добавление).

Для упрощенного режима настройки прав доступа:

Для подходящего профиля, который содержит роль с требуемыми правами доступа (Чтение/Изменение/Добавление), нужно настроить требуемый состав разрешенных значений (организаций, групп партнеров и других).

Независимо от выбранного режима настройки прав доступа:

Если сообщение не содержит название недоступного документа и его невозможно установить из текущего контекста работы (открытых окон приложения), то его можно определить с помощью журнала регистрации.

При возникновении проблем У пользователя недостаточно прав на исполнение операции над базой данных в журнале регистрации появляются события Доступ. Отказ в доступе с важностью Информация. В поле Метаданные указано имя таблицы (например, списка документов), а в поле Данные указано имя права.

Для того чтобы выяснить, каких разрешенных значений не хватает (организаций, групп партнеров или других), необходимо открыть отчетПрава пользователя и найти нужную строку с именем таблицы (поиск по CTRL+F) и открыть расшифровку прав по таблице.

Для обычного режима настройки прав доступа:

В строке указаны права на список документов, а в верхней части таблицы группы доступа, на которые предоставляют эти права.  Далее необходимо нажать мышью на нужную ячейку с именем таблицы. Откроется расшифровка прав с учетом ограничений доступа. Будут видны группы доступа, которые предоставляют права и ограничение прав по виду доступа, включая разрешенные значения.

Эти значения сочетаются друг с другом только в пределах одной группы доступа. Например, пары Основные поставщики и Новые технологии ООО нет ни в одной группе доступа и заказ с партнером из группы Основные поставщики и организацией Новые технологии ООО будет недоступен для записи.

Независимо от выбранного режима настройки прав доступа:

Обратите внимание: пустое значение (например, не выбранная в документе организация или партнер) обычно является запрещенным значением. Потому что недозаполненный документ станет доступен всем. Если же требуется, чтобы такие документы были разрешены для просмотра и изменения любыми пользователями, то в группе доступа можно добавить пустое значение (пустую ссылку) в список разрешенных значений.

Пример устранения недостаточных прав доступа

Ситуация: при записи документа Демо: Заказ покупателя возникает проблема У пользователя недостаточно прав на исполнение операции над базой данных.

Для того чтобы решить проблему, нужно понять:

■ какие реквизиты заказа используются для ограничения прав доступа,

■ какие из значений в реквизитах заказа не разрешены.

Для этого следует выполнить следующие шаги:

Для обычного режима настройки прав доступа:

1. Открыть карточку пользователя, перейти по ссылке Права доступа, нажать на кнопку отчетПрава пользователя.

2. Найти в отчете необходимый документ. Например, нажать комбинацию клавиш CTRL+F, ввести название документа Демо: Заказ покупателя и нажать Искать.

В найденной строке необходимо нажать мышью на нужную ячейку для подробной информации, откроются группы доступа, назначенные пользователю, которые дают права на изменение документов Демо: Заказ покупателя. Например, группа доступа Продажи от имени ООО "Новые технологии".

3. Определить реквизиты, которые могут ограничивать доступ к документу. Для каждой группы доступа указан вид доступа, например, Организации, Группы партнеров и др., в «разрезе» которых ограничены права доступа к заказам. Например, вид доступа Группы партнеров указывает, что в заказе может выбираться Поставщик или Покупатель из списка Партнеры.

4. Проверяем, что значения, выбранные в реквизитах документа, указаны в третьей колонке отчета под соответствующим видом доступа в числе разрешенных (или их нет в числе запрещенных).

■ При этом следует иметь в виду, что пустое значение (пустая ссылка) тоже является значением, которое можно разрешить или запретить. Реквизиты составного типа с пустым значением (в которых не выбрана даже пустая ссылка одного из типов), за редким исключением являются запрещенными.

■ Когда документ ограничивается по нескольким видам доступа, например, Группы партнеров и Организации, пара значений из партнера и организации должна быть среди разрешенных значений в рамках хотя бы одной группы доступа.

Например, под видом доступа Группы партнеров (разрешенные) указана группа доступа партнеров Основные клиенты, значит все партнеры, в карточке которых указана такая группа доступа, являются разрешенными. А под видом доступа Организации (разрешенные) указана организация Новые технологии ООО, значит эта организация является разрешенной для выбора в документе. Кроме того, разрешенным являются все сочетания партнеров с организациями в пределах этой группы доступа.

5. Если значение в реквизите заказа не разрешено, тогда нужно:

■ или выбрать в реквизите то значение, которое является разрешенным,

■ или разрешить значение пользователю в существующей группе доступа,

■ или создать новую группу доступа с подходящими разрешенными значениями и включить в неё пользователя.

Для упрощенного режима настройки прав доступа:

1. Открыть карточку пользователя, перейти по ссылке Права доступа, нажать на кнопку отчетПрава пользователя.

2. Найти в отчете необходимый документ. Например, нажать комбинацию клавиш CTRL+F, ввести название документа Демо: Заказ покупателя и нажать Искать.

В найденной строке указаны права на список документов, а в верхней части таблицы показаны профили, назначенные пользователю, которые дают права на изменение документов Демо: Заказ покупателя. Например, профиль Менеджер.

3. Определить реквизиты, которые могут ограничивать доступ к документу. Для этого необходимо нажать мышью на нужную ячейку с именем таблицы для расшифровки. Для каждого профиля указан вид доступа, например, Организации, Группы партнеров и др., в «разрезе» которых ограничены права доступа к заказам. Например, вид доступа Группы партнеров указывает, что в заказе может выбираться Поставщик или Покупатель из списка Партнеры.

4. Проверяем, что значения, выбранные в реквизитах документа, указаны в отчете под соответствующим видом доступа в числе разрешенных (или их нет в числе запрещенных).

■ При этом следует иметь в виду, что пустое значение (пустая ссылка) тоже является значением, которое можно разрешить или запретить. Реквизиты составного типа с пустым значением (в которых не выбрана даже пустая ссылка одного из типов), за редким исключением являются запрещенными.

■ Когда документ ограничивается по нескольким видам доступа, например, Группы партнеров и Организации, пара значений из партнера и организации должна быть среди разрешенных значений в рамках хотя бы одного профиля.

Например, под видом доступа Группы партнеров (разрешенные) указана группа доступа партнеров Основные клиенты, значит все партнеры, в карточке которых указана такая группа доступа партнеров являются разрешенными. А под видом доступа Организации (разрешенные) указана организация Новые технологии ООО, значит эта организация является разрешенной для выбора в документе. Кроме того, разрешенным являются все сочетания партнеров с организациями в пределах этого профиля.

5. Если значение в реквизите заказа не разрешено, тогда нужно:

■ либо выбрать в реквизите то значение, которое является разрешенным;

■ либо разрешить значение пользователю в профиле.

При расследовании недостатка прав необходимо учитывать, что в сообщениях о проблемах выводится полное имя таблицы (например, Справочник.УдалитьНалоговыеОрганы), а в отчете в списке выбора выводится представление таблицы, например, (не используется) Налоговые органы).

Устранение избыточных прав доступа

Избыточные права доступа не проявляются в виде сообщений, а могут быть обнаружены при работе в приложении, когда в списках и отчетах видно больше данных, чем положено. Для устранения избыточных прав следует, аналогично расследованию недостаточных прав (см. раздел Устранение недостаточных прав доступа) найти профили, которые предоставляют избыточные права или найти разрешенные значения, которых не должно быть и сократить их аналогичным способом. В большинстве случаев, для анализа избыточных прав подойдут те же отчеты:

■ Анализ прав доступа (в разделе Администрирование – Настройки пользователей и прав), подробнее см. раздел Отчет Анализ прав доступа.

■ Права ролей(в разделе Администрирование– Отчеты администратора – Все отчеты можно найти данный отчет в списке отчетов, или из карточек объектов), подробнее см. раздел Отчет Права ролей.

Разработка своего профиля групп доступа

Задача разработки профиля является нетривиальной, так как частично зависит от внутренней работы приложения.

Например:

■ Некоторые формы могут открываться одна из другой (роли с правами для их открытия могут быть разными).

■ Некоторые объекты при записи могут записывать зависимые от них объекты (роли с правами их изменения могут быть разными).

■ Некоторые объекты могут быть зависимыми по правам, например, документ и журнал документов (роли с правами доступа к таким объектам могут быть разными). 

Роли для таких форм и объектов нужно добавлять в один профиль вместе.

Разные роли для связанных объектов является не редким случаем, так как связи могут быть между объектами из разных подсистем, которые могут быть в разных библиотеках.

Варианты решений

Рекомендуется использовать копию типового профиля с небольшими изменениями, тогда задача сильно упрощается.

Вариант 1. Дополнение типового профиля правами на новые объекты.

В этом случае достаточно скопировать типовой профиль и добавить в него нужные роли.

Вариант 2. Сокращение прав в типовом профиле.

В этом случае, скопировать типовой профиль и убрать роли, которые дают лишние права, может быть недостаточно. Если некоторые роли добавлялись совместно с другими (для зависимых объектов), то и убирать их нужно также совместно. Кроме того, если сокращение прав требуется в части зависимых объектов так, что одну из двух парных ролей нужно оставить, тогда задача может быть неразрешимой без доработки приложения.

Вариант 3. Разделение прав типового профиля на два.

Сложная задача. Нужно сделать две копии типового профиля и убрать из каждой копии те роли, которые избыточны. При этом нужно помнить о связях между объектами и формами, чтобы профили получились рабочими. Также как в варианте 2, задача разделения может оказаться неразрешимой без доработки приложения.

Вариант 4. Создание нового профиля.

Сначала нужно выбрать вид профиля (основной или дополнительный).

Если дополнительный, то обычно профиль состоит из одной роли без видов доступа и работает сразу без проблем, так как назначается пользователю совместно с основным профилем и расширяет его права каким-то логически отдельным функционалом, от которого не зависит основной функционал.

Если основной профиль, тогда задача более сложная, чем в варианте 3 - это задача для специалиста с глубоким представлением работы приложения (и для разработчика приложения).

Для разработки основного профиля нужно:

■ Сформулировать, как будет использоваться профиль, то есть что с помощью него нужно будет делать пользователь (подробно все сценарии).

■ Включить в профиль все роли, которые предоставляют базовые права на объекты всех подсистем (т.е. БазовыеПрава* или БазовыеПраваВнешнихПользователей*).

■ Включить роли для действий пользователя, которые были запланированы в назначении профиля (для всех сценариев).

■ Включить роли, которые дают права на объекты, зависимые от объектов запланированных действий пользователя (при этом не добавлять избыточных прав).

■ Протестировать работу запланированных действий под профилем, в случае ошибок добавить недостающие роли.

■ Если ролей, которые дают права без избыточных прав не хватает, тогда провести работу по разделению крупных ролей на более мелкие, чтобы обеспечить для профиля только требуемые права.

■ Повторить тестирование и так до тех пор, пока не получится успешно выполнить все запланированные действия для пользователя.

Виды доступа профиля

При любых доработках профиля требуется также корректировать состав видов доступа.

Виды доступа ограничивают права объектов Чтение/Изменение/Добавление, если это предусмотрено в роли. При этом логика ограничения может находиться как в самой роли (стандартный вариант ограничения доступа), так и в модуле менеджера объекта (производительный вариант ограничения доступа).

Нужно учитывать, что если в профиле нет ни одной роли, которая поддерживает вид доступа, выбранный в списке, то его добавление в список и настройка разрешенных значений ни на что не влияет.

Поэтому при сокращении ролей нужно также выяснять все ли виды доступа, добавленные в профиль, по-прежнему используются, и если нет, тогда удалять лишние.

Аналогично при добавлении ролей следует решить нужно ли добавлять вид доступа в список, если он поддерживается добавленной ролью, но его еще нет в списке.

Не всегда нужно добавлять вид доступа, если это технически возможно. Например, для пользователей с довольно широкими правами (главный бухгалтер, руководитель) количество видов доступа минимальное (то есть для таких пользователей обычно достаточно разграничение по организации или по подразделению без учета остальных разрезов - место хранения, контрагент и другие).

Для того чтобы определить какие виды доступа предусмотрены в роли, нужно сделать анализ логики ограничения:

■ Либо искать имена видов доступа в тексте ограничения в конфигураторе (в стандартном варианте ограничения доступа)

■ Либо искать проверяемые поля в модуле менеджера объекта и по их типам определять виды доступа (в производительном варианте ограничения доступа).

Но можно увидеть виды доступа и в отчете Анализ прав доступа:

■ Создать тестовый профиль из одной роли.

■ Добавить в него все виды доступа, какие есть.

■ Создать группу доступа с этим профилем и одним тестовым пользователем.

■ Посмотреть в отчете Анализ прав доступа какие есть права у этого пользователя, далее расшифровать права с ограничениями и посмотреть какие есть ограничения (виды доступа) у этих прав. В расшифровке будут показаны только фактически используемые виды доступа.

Однако если какие-то виды доступа отключены (например, по функциональной опции), тогда их тоже не будет в отчете, хотя после включения по ним можно настраивать ограничения для прав такой роли.

Поддержка своего профиля в актуальном состоянии

При выходе обновлений типовой профиль может меняться. При этом копия никак не будет обновляться. Это потребуется делать вручную (по-хорошему после каждого обновления).

Для автоматизации можно заказать у обслуживающей организации расширение, которое будет добавлять новое описание поставляемого профиля, как копию стандартного поставляемого профиля путем копирования его ролей, удаления лишних ролей и добавления недостающих. Аналогично и с видами доступа. В таком варианте актуализация ролей нового профиля потребуется, только если в типовом профиле будут существенные изменения.

Роли для настройки прав доступа

Этот раздел содержит описание ролей, которые могут быть включены в профили групп доступа.

Для настройки прав доступа могут быть назначены следующие роли:

Роль	Краткое описание
Изменение участников групп доступа	Изменение состава участников групп доступа, в которых пользователь назначен ответственным.
Полные права	Неограниченный доступ ко всем данным, настройка прав доступа пользователей, администрирование приложения.