В процессе настройки бесшовной интеграции между 1С:Комплексная автоматизация и 1С:Документооборот часто возникает ситуация, когда пользователи, создавшие заявку, получают избыточные права и могут самостоятельно утверждать (согласовывать) свои же документы. Такая ситуация недопустима с точки зрения регламентов контроля и аудита. Давайте разберем по шагам, как выявить причину и ограничить подобные действия.
Прежде чем приступать к настройке групп доступа, необходимо убедиться, что сама подсистема управления доступом включена и корректно функционирует. В системе 1С:Документооборот права на бизнес-процессы и задачи работают только при активированных ограничениях.
Одной из частых причин возникновения «беспредела» в правах является попадание пользователя в административные или контролирующие группы доступа. Посмотрим, какие группы дают избыточные полномочия.
Внимательно изучите профили групп доступа пользователя. Особое внимание уделите группе Контроль задач и бизнес-процессов. Пользователи, включенные в эту группу, получают возможность просматривать и корректировать задачи других сотрудников, а также, в зависимости от настроек, согласовывать их.
Если ваша цель — предоставить пользователю возможность следить за состоянием своих процессов, не наделяя его правами администратора, рекомендуется:
Иногда даже при отсутствии в специальных группах пользователь может обладать избыточными правами через назначенный Профиль групп доступа. Разберем, как проанализировать права:
Проанализируем структуру ПрофилиГруппДоступа. Убедитесь, что профиль Пользователь не содержит прав на изменение объектов, к которым автор не должен иметь доступа на этапе согласования. Если в профиле включены роли с полными правами на бизнес-процессы (например, ДобавлениеИзменениеБизнесПроцессов), эти права перекроют все ограничения.
При использовании бесшовной интеграции между КА и ДО, права могут транслироваться через связку пользователей. Рассмотрим, что нужно проверить:
Иногда причина кроется не в общих настройках безопасности, а в специфике самого шаблона. Посмотрим на объект ШаблонПроцесса. Если в качестве согласующего лица в маршруте указан инициатор, система 1С:Документооборот будет воспринимать его действия как легитимные. Для ограничения таких действий используйте роли исполнителей вместо указания конкретных физических лиц.
Разберем пример правильного подхода к настройке исполнителей в маршруте:
// В коде или в визуальном редакторе маршрута
// Вместо указания автора:
Этап.Исполнитель = Справочники.Пользователи.НайтиПоНаименованию(\"Автор\");
// Используйте роли:
Этап.Исполнитель = Справочники.РолиИсполнителей.НайтиПоНаименованию(\"Согласующий\");
При использовании ролей система при каждой итерации будет проверять, не является ли текущий пользователь автором, и при необходимости вы можете настроить УсловиеМаршрутизации, чтобы исключить инициатора из списка согласующих на конкретном этапе.
Если проблема сохраняется, выполните следующие действия в связке:
Решение подобных задач требует творческого подхода к ПрофилямГруппДоступа. Постоянный контроль за составом участников групп Контроль задач и бизнес-процессов позволит вам сохранить порядок в системе и исключить нежелательные действия со стороны авторов заявок.