В процессе эксплуатации системы 1С:Документооборот 2.1 администраторы часто сталкиваются с ситуацией, когда обычные сотрудники начинают видеть документы, к которым у них не должно быть доступа. При этом настроенные рабочие группы документов, которые по логике должны ограничивать видимость, перестают выполнять свою функцию. Разберем подробно, как устроена система полномочий, почему возникают «утечки» прав и как привести настройки к типовому виду.
Первым делом проанализируем, что именно входит в стандартный профиль полномочий Пользователи. Важно понимать, что в 1С:Документооборот права суммируются, но некоторые роли обладают приоритетом, который может «пробивать» ограничения рабочих групп. Рассмотрим базовый набор ролей, который должен быть у рядового сотрудника:
Базовые права БП и Базовые права пользователя. Они позволяют зайти в систему, работать с интерфейсом и видеть общие справочники.Важный момент: если в полномочия Пользователи включены роли вида Чтение всех внутренних документов или Регистрация внутренних документов (без ограничений), то механизм рабочих групп работать не будет. Эти роли дают глобальный доступ, который система ставит выше частных ограничений конкретного документа.
Выясним, почему рабочие группы могут игнорироваться. В 1С:ДО действует строгое правило: если Рабочая группа в карточке документа заполнена, доступ к этому документу получают только участники этой группы. Однако из этого правила есть исключения, которые нам необходимо проверить:
Рассмотрим ситуацию, когда рабочая группа пуста. В этом случае доступ к документу определяется правами на папку, в которой он находится. Если на папку «Общие документы» даны права на чтение группе Все пользователи, то любой документ в этой папке без заполненной рабочей группы будет виден всем.
Проанализируем еще один скрытый механизм раздачи прав — Доступ к данным подчиненных. В настройках программы часто включена опция, позволяющая руководителям видеть документы своих сотрудников. Это удобно, но может привести к неожиданным результатам, если структура предприятия настроена некорректно.
Посмотрим на пример: если отдел системного администрирования в справочнике Структура предприятия находится в подчинении у общего отдела или секретариата, то руководители этих подразделений (и их делегаты) могут унаследовать права системных администраторов. Выясним причину избыточного доступа, проверив положение подразделений в иерархии. Рекомендуется выносить технические или контролирующие службы на верхний уровень дерева или вне общих цепочек подчинения, чтобы избежать наследования их специфических прав доступа вышестоящим руководством.
Если пользователь видит «лишний» документ, и мы не можем сходу понять почему, воспользуемся встроенным инструментом диагностики. Выполним следующие шаги:
Система наглядно покажет, на основании чего предоставлен доступ: через какую роль, в какую рабочую группу (непосредственно или через подразделение) входит пользователь, или какие права он унаследовал от подчиненного. Это самый эффективный способ выявить «виновную» роль в полномочиях.
Иногда мы исправляем настройки, удаляем лишние роли, но пользователь всё равно продолжает видеть документы. Рассмотрим техническую сторону вопроса: за расчет прав в 1С:ДО 2.1 отвечают специальные дескрипторы доступа. Они не всегда обновляются мгновенно.
Проанализируем работу регламентных заданий:
Обновление прав доступа (оперативное) — должно запускаться каждые несколько секунд/минут.Обновление прав доступа (плановое) — выполняет полную перепроверку прав.Если очередь обновления прав «забита» или задания остановлены, изменения в полномочиях не вступят в силу до тех пор, пока дескрипторы не будут пересчитаны. В консоли регламентных заданий проверим состояние этих процессов.
Подведем итог и составим план действий для исправления ситуации с избыточными правами:
Пользователи все права, кроме базовых. Добавлять новые возможности будем только по мере поступления обоснованных жалоб от сотрудников.Делегирование прав. Часто секретари видят лишнее, потому что руководители делегировали им «Все права», включая доступ к личным и секретным документам, вместо того чтобы ограничить область делегирования только «Процессами и задачами».Используя эти методы, мы сможем построить стройную и безопасную систему доступа, где рабочие группы будут надежно защищать информацию, а полномочия — давать только необходимый для работы функционал.