Рассмотрим весьма распространенную ситуацию при внедрении программы 1С:Документооборот КОРП. Дано: в базе заведена одна организация, у которой есть несколько обособленных подразделений, фактически являющихся филиалами. Перед нами стоит задача организовать документооборот таким образом, чтобы регистрация входящих и исходящих документов велась независимо по каждому филиалу. Кроме того, необходимо разграничить права: секретарь конкретного филиала должен видеть исключительно документы своего подразделения. Разберем по шагам, как правильно реализовать такую схему, используя штатные механизмы системы.
Начнем с самого простого — настройки нумерации. Чтобы каждый филиал имел свой собственный пул номеров (например, с префиксом филиала) и счетчик обнулялся независимо, нам необходимо настроить нумераторы в разрезе подразделений.
Проанализируем процесс настройки:
Подразделение.Благодаря этой настройке, система будет вести отдельный счетчик для каждого подразделения. При регистрации документа секретарем, программа определит подразделение автора (или подразделение, указанное в карточке документа) и присвоит следующий по порядку номер именно для этого филиала.
Посмотрим на более сложную часть задачи — ограничение видимости документов. Настройка прав в 1С:Документооборот существенно отличается от других конфигураций (таких как Бухгалтерия или ЗУП). Здесь используется сложная матрица доступа.
Частая ошибка при попытке ограничить доступ по подразделениям — это неправильное понимание работы Политик доступа. Разберем, как работают общие разрешения. Если мы настроим доступ по Видам документов (например, дадим всем право "Регистрация" на "Письма") и одновременно по Подразделениям (каждому подразделению — доступ только к самому себе), результат может оказаться неожиданным.
Важно помнить архитектуру политик доступа: они работают по принципу логического "И". Доступ предоставляется только в том случае, если у пользователя есть права по всем разрезам, указанным в карточке документа. Если в документе указан еще, например, гриф доступа или вопрос деятельности, на который у пользователя нет прав, доступ будет закрыт. И наоборот, если разрезы настроены не полностью, пользователь может увидеть "чужие" документы. Поэтому настраивать политики нужно предельно внимательно, проверяя все задействованные разрезы доступа.
Для решения задачи "секретарь филиала должен видеть все документы только своего филиала" отлично подходит инструмент локальных администраторов. Выясним, почему этот способ оптимален.
Локальные администраторы позволяют предоставить расширенные права на объекты в обход стандартных рабочих групп и папок. Если мы назначим секретаря локальным администратором в разрезе конкретного подразделения (его филиала), он автоматически получит доступ на чтение и редактирование ко всем документам, привязанным к этому подразделению. При этом документы, относящиеся к другим филиалам, останутся для него недоступными (скрытыми). Это избавляет от необходимости прописывать сложные правила в общих политиках.
Рассмотрим ситуацию, когда мы хотим, чтобы обычные пользователи (не секретари) видели только те документы, которые предназначены лично им (например, поступили в виде задач). Логично попытаться очистить общие политики доступа и оставить пользователя только в Рабочей группе конкретного документа.
Однако при таком подходе можно столкнуться с проблемой. Пользователь видит документ в списке, но при попытке его открыть система выдает ошибку: "RLS ругается на права". Разберем причину этой ошибки.
Такая ошибка возникает из-за включенной по умолчанию системной настройки Проверять соответствие рабочих групп общим настройкам доступа (находится в разделе "Настройка и администрирование" — "Настройка программы" — "Права доступа"). Система блокирует чтение, так как у пользователя нет базовых (общих) прав на объект через политики, даже если он добавлен в рабочую группу.
Как решить эту проблему:
Организации, ВопросыДеятельности и ГрифыДоступа.Для того чтобы не добавлять сотрудников в рабочую группу вручную, автоматизируем этот процесс. В настройках нужного вида документа установим флажки:
При таких настройках, когда секретарь регистрирует документ, в рабочей группе находится только он. Но как только документ направляется сотруднику на исполнение или ознакомление через бизнес-процесс, система автоматически добавит этого сотрудника в рабочую группу документа, и документ появится у него в зоне видимости.
Используя комбинацию независимых нумераторов, локальных администраторов для делопроизводителей и автоматического ведения рабочих групп для рядовых сотрудников, мы можем выстроить надежную и безопасную систему документооборота для организации с множеством филиалов.