Переход на новую версию 1С:Документооборот 3.0 принес значительные изменения в архитектуру управления правами доступа. Многие пользователи, привыкшие к логике версии 2.1, сталкиваются с тем, что старые методы — например, ограничение прав через папки документов — больше не работают или отсутствуют в интерфейсе. В этой статье мы подробно разберем, как реализовать ограничение доступа к файлам в новой версии системы (для этого подойдёт управление правами доступа в 1С:ДО 3.0), проанализируем типичные ошибки и выясним, почему иногда настройки прав игнорируются программой.
В версии 2.1 папки документов были ключевым инструментом разграничения прав. В 1С:Документооборот 3.0 концепция изменилась: теперь папки выполняют скорее навигационную роль. Основным механизмом управления правами стали Политики доступа. Рассмотрим подробнее, как это влияет на работу: если в общих политиках пользователю разрешено чтение определенного вида документа, то в какой бы папке этот документ ни находился, пользователь сохранит к нему доступ.
Разберем ситуацию: вы создали папку, настроили в ней права, но пользователь все равно видит файлы. Это происходит потому, что система в первую очередь проверяет разрешающие политики. Чтобы ограничить доступ «точечно», необходимо использовать механизмы Грифы доступа, Рабочие группы и правильно настроить Политики доступа.
Проанализируем техническую особенность, которая часто ставит в тупик даже опытных администраторов — разобраться в ней поможет анализ прав доступа и ограничений RLS. В разделе Настройки -> Настройки прав доступа существует опция Локальные администраторы. Как показывает практика, включение этого флага может привести к тому, что система начинает игнорировать частные запреты (например, Грифы доступа) в пользу общих разрешений.
Рассмотрим по шагам, почему это происходит:
Решение: Если вам требуется жесткое ограничение прав и грифы доступа не срабатывают, первым делом попробуйте отключить опцию Локальные администраторы в общих настройках системы.
Гриф доступа (например, «Общий», «ДСП», «Конфиденциально») — это один из основных разрезов прав в 1С:ДО 3.0. Посмотрим, как правильно настроить эту связку, чтобы она действительно работала:
Во-первых, недостаточно просто создать гриф и присвоить его документу. Необходимо проверить Политики доступа. В политиках для конкретного вида документа (или для всех документов) должен быть указан разрез доступа по грифам. Если в политике указано, что доступ к документам разрешен «Всем пользователям» без учета грифа, то установленный на документе гриф «ДСП» не скроет его.
Во-вторых, проверим настройки в Профилях групп доступа. У пользователей должны быть соответствующие уровни доступа к грифам. Если мы хотим скрыть документ, мы должны убедиться, что у «постороннего» пользователя в профиле или в политиках доступа нет разрешения на чтение документов с данным грифом.
Рабочая группа объекта в версии 3.0 — это самый надежный способ ограничить доступ — упростить этот процесс поможет управление рабочими группами документов в 1С:ДО. Разберем, как сделать доступ максимально закрытым:
При включении этого флага общие политики доступа перестают действовать для этого документа. Его увидят только те, кто явно указан в списке. Помните, что в рабочую группу могут автоматически добавляться участники процессов (согласующие, исполнители). Если вы видите «лишнего» человека в доступе, проверьте задачи по этому документу.
Иногда задача стоит иначе: пользователь должен видеть, что документ существует (номер, дата, контрагент), но не должен иметь возможности открыть прикрепленный скан-образ. В 1С:Документооборот 3.0 это настраивается следующими способами:
1. Настройки доступности по состоянию.
Выясним, как управлять видимостью файлов в зависимости от жизненного цикла документа. В настройках вида документа можно указать, что на этапе «Проект» файлы доступны всем, а после перехода в состояние «Согласовано» или «Исполнен» доступ к файлам остается только у автора или руководителей. Это делается в разделе Настройки доступности по состоянию, где для каждого поля и для состава файлов определяются права (Чтение, Редактирование, Запрет).
2. Роли в профилях групп доступа.
Проанализируем стандартные роли. Существует возможность разделить роли на чтение документов и чтение файлов. Если из профиля пользователя убрать роль Чтение файлов, он сможет открывать карточку, но не сможет просмотреть содержимое прикрепленных томов.
Если вы внесли все настройки, отключили локальных администраторов, настроили грифы, но пользователь все равно видит лишнее (или не видит нужное), причина может крыться в технической части. В версии 3.0 используется дескрипторная система доступа.
Права не рассчитываются мгновенно в момент открытия документа. Они рассчитываются фоновым заданием. Посмотрим, как проверить актуальность прав:
Дождитесь завершения обработки очереди или запустите обновление прав для конкретного объекта вручную через меню Еще -> Права доступа в карточке документа.
Рассмотрим еще две ситуации, когда ограничения могут «протекать»:
Делегирование прав.Подводя итог, для эффективного ограничения доступа в 1С:Документооборот 3.0 мы рекомендуем использовать комбинацию Грифов доступа и Рабочих групп, предварительно убедившись, что опция Локальные администраторы отключена, а политики доступа не содержат избыточных разрешений для категории «Все пользователи».