В системе 1С:Документооборот 2.1 настройка прав доступа является одной из самых сложных и многогранных задач. Нередко администраторы сталкиваются с ситуацией, когда ограничения на папки установлены, политики доступа настроены, но пользователи всё равно продолжают видеть «лишние» документы и директории. В этой статье мы подробно разберем, почему так происходит, и как найти скрытую причину избыточного доступа.
Разберем ситуацию, описанную в теме форума. Автор столкнулся с тем, что никакие «крестики» (запреты) в настройках папок не работали. Причина оказалась в самой архитектуре прав 1С. Рассмотрим «золотое правило» прав доступа: если пользователю разрешен доступ хотя бы по одному из каналов, он его получит.
В конкретном случае в типовой конфигурации у роли Пользователь было включено право Чтение внутренних документов без ограничения. Проанализируем, что это означает. Если у профиля групп доступа (или непосредственно у пользователя через роли) назначена такая роль, то механизмы RLS (Record Level Security) для этого объекта просто отключаются или игнорируются. Система считает, что раз вы разрешили читать все документы без ограничений на уровне метаданных, то настройки конкретных папок проверять не нужно.
Решение: необходимо проверить состав ролей в используемых профилях групп доступа. Если вы хотите настраивать права точечно через папки и политики, убедитесь, что роль Чтение внутренних документов без ограничения исключена из профиля Пользователь. Вместо этого следует использовать более гибкие роли и настраивать доступ через Специальные разрешения или Политики доступа.
Если с ролями всё в порядке, но папки всё равно видны, проанализируем настройки наследования. В 1С:Документооборот права на папки могут наследоваться от вышестоящих директорий. Рассмотрим шаги для проверки:
Часто возникает путаница: пользователь не имеет прав на папку, но видит в ней один-два документа. Разберем, почему так происходит. В 1С:ДО существует механизм Рабочих групп документа.
Если пользователь добавлен в рабочую группу конкретного внутреннего документа, он получит к нему доступ, даже если на всю папку стоит запрет. При этом в интерфейсе пользователь может видеть саму структуру папок (чтобы «дойти» до разрешенного документа), но остальные файлы в этой папке будут скрыты. Если же стоит задача полностью скрыть папку, нужно убедиться, что пользователь не входит в рабочие группы ни одного документа внутри этой папки.
Проанализируем работу Политик доступа. Это глобальные настройки, которые стоят «выше» папок. Если в политике доступа для определенного вида документа (например, «Заявления») указано, что группа «Все пользователи» имеет право на чтение, то настройки прав на папку «Личные документы» могут игнорироваться, если в ней лежат именно заявления.
Также не забудем про Разрезы доступа. В настройках программы (Настройка и администрирование — Настройки программы — Права доступа) можно включить ограничения по:
Если эти разрезы включены, система будет проверять их в совокупности с правами на папки. Если пользователю разрешена организация «Альфа», а документ принадлежит этой организации, это может стать «пропуском» к документу в обход запрета на папку.
Иногда настройки верны, но изменения не вступают в силу. Выясним причину этого поведения. В версии 2.1 расчет прав доступа выполняется фоновыми заданиями для повышения производительности. Рассмотрим, как это проверить:
Перейдем в раздел Настройка и администрирование — Очередь обновления прав. Если в этой очереди висят тысячи записей, значит, система просто не успела «применить» ваши новые ограничения. Пока записи не будут обработаны, пользователь будет видеть данные по старым правилам.
Для ускорения процесса можно воспользоваться регламентным заданием Обновление прав доступа (оперативное) или нажать кнопку Выполнить обновление в интерфейсе управления очередью. Также стоит проверить регистр Дескрипторы доступа — это технические «ключи», которые система генерирует для быстрого чтения прав. В редких случаях требуется полная очистка и пересчет этих дескрипторов.
Разберем еще две неочевидные причины:
Резюме: Чтобы жестко ограничить видимость папок, начните с анализа ролей (удалите права «без ограничений»), затем проверьте отчет «Права доступа» для конкретного пользователя и убедитесь, что очередь обновления прав пуста.