В процессе внедрения и эксплуатации системы 1С:Документооборот 2.1 (1С:ДО) администраторы часто сталкиваются с задачей тонкой настройки прав доступа. Одной из самых распространенных проблем является необходимость разграничить видимость внутренних документов таким образом, чтобы сотрудники разных отделов, работая в одной папке (например, «Договоры поставки»), видели только те документы, которые созданы внутри их собственного подразделения. По умолчанию система часто настроена так, что если у пользователя есть права на папку и вид документа, он видит весь список документов, что недопустимо с точки зрения информационной безопасности или удобства работы.
В данной статье мы подробно разберем, как решить эту задачу, используя стандартные механизмы 1С:ДО: Политики доступа, Рабочие группы и Автоподстановки. Мы проанализируем причины, по которым стандартные настройки могут «не срабатывать», и выстроим пошаговый алгоритм настройки системы.
Рассмотрим ситуацию: в справочнике Папки внутренних документов создана структура. Сотрудники отдела закупок и отдела продаж имеют доступ к одной и той же папке. Администратор включает разграничение по подразделениям, но пользователи продолжают видеть чужие договоры. Проанализируем основные причины такого поведения системы:
Чтение всех внутренних документов (или аналогичных), любые политики доступа будут игнорироваться.Все пользователи. Система 1С:ДО работает по принципу разрешений: если хотя бы одно правило разрешает доступ (а «Все пользователи» разрешает его всем), то запрещающие правила или отсутствие других разрешений не сработают.Это самый «жесткий» и надежный способ ограничения прав. Если у документа заполнена рабочая группа, то доступ к нему получают только те, кто в нее включен, независимо от настроек политик доступа (кроме администраторов). Разберем, как автоматизировать этот процесс.
Во-первых, необходимо проверить глобальные настройки. Перейдем в Настройка программы — Документы и убедимся, что установлен флаг Использовать рабочие группы для ограничения доступа к документам. Без этого рабочая группа будет лишь информационным списком.
Во-вторых, настроим Вид документа. В карточке вида документа (например, «Договор поставки») на вкладке «Настройки» должен быть включен флаг Ограничивать доступ рабочими группами. Это дает системе сигнал, что для документов этого вида приоритетным является список участников рабочей группы.
В-третьих, автоматизируем заполнение группы через Шаблоны документов. Рассмотрим алгоритм:
Рабочая группа.Автоподстановка.Подразделение подготовившего документ.Теперь при создании договора по этому шаблону в рабочую группу автоматически попадет подразделение автора. Все сотрудники этого отдела получат доступ, а коллеги из соседних отделов — нет. Посмотрим, как это выглядит в логике системы: когда документ записывается, 1С:ДО вычисляет участников группы и записывает их в специальную таблицу прав. Если подразделение изменится, система пересчитает права (при наличии соответствующих флагов обновления рабочей группы).
Если использование рабочих групп кажется избыточным или создает нагрузку на систему при очень больших объемах данных, мы можем воспользоваться Политиками доступа. Это более гибкий инструмент, который позволяет настроить права «сверху» на уровне видов объектов.
Проанализируем шаги настройки политик в разрезе подразделений:
Настройка и администрирование — Политики доступа.Внутренние документы используется разрез Подразделения.Вид документа: Договор поставки — Подразделение: Отдел закупа.Все пользователи без указания конкретного подразделения.При такой настройке система проверяет поле Подразделение в карточке самого документа. Если значение в карточке совпадает с тем, что разрешено пользователю в политиках, документ будет отображен в списке.
Как показала практика обсуждения на форуме, наиболее стабильный результат достигается при сочетании обоих методов. Выясним причину: политики доступа управляют общими правилами, а рабочие группы позволяют точечно добавлять участников (например, юристов или бухгалтеров) в конкретный документ, не открывая им доступ ко всем договорам отдела.
Рассмотрим порядок действий для реализации комбинированного метода:
Политиках доступа прописываем права только на те виды документов, которые пользователь должен видеть «по умолчанию». Обязательно используем разрезы по подразделениям.Видах документов включаем ограничение рабочими группами.Шаблонах документов настраиваем автоподстановку рабочей группы. Включаем туда Подразделение подготовившего и, возможно, Подготовил документ (персонально автора).Договоры поставки указываем «Все пользователи» (на чтение), но за счет ограничений в самих документах (через рабочие группы) каждый будет видеть только свой контент.Разберем ситуацию, когда настройки выполнены, но «сотрудник все равно видит всё». Проанализируем чек-лист для проверки:
Администратор или профиль с полными правами.Обновление прав доступа.Мы выяснили, что для корректного разграничения прав по подразделениям в 1С:ДО 2.1 недостаточно просто «включить галочку». Требуется системный подход, сочетающий настройку видов документов, шаблонов с автоподстановками и тщательный аудит политик доступа. Помните, что безопасность в системе строится от «запрещено всё, что не разрешено», поэтому начинайте настройку с удаления избыточных прав у группы Все пользователи.