← На главную

Понимание архитектуры прав доступа в 1С:Документооборот

В процессе работы с 1С:Документооборот часто возникает задача: предоставить сотруднику доступ к конкретному документу для согласования, не открывая при этом доступ к папке, в которой этот документ хранится. Важно понимать, что в системе реализовано два основных механизма разграничения прав: через структуру папок и через рабочие группы.

Главная ошибка, с которой сталкиваются пользователи, — попытка настроить доступ через папки. Если вы даете пользователю права на чтение папки, он получает доступ ко всем объектам внутри нее, что противоречит требованиям безопасности при строгом разграничении по подразделениям. Для решения нашей задачи необходимо перенести фокус управления правами с папок на рабочие группы документов.

Основные принципы настройки прав

Рассмотрим, почему стандартный подход с папками является избыточным и как настроить систему правильно:

1. Рабочая группа обладает приоритетом. Если объект включен в состав рабочей группы, права на него определяются настройками этой группы, даже если у пользователя нет прав на родительскую папку.
2. Навигация vs Доступ. Отсутствие доступа к папке означает лишь то, что папка не будет видна в структуре дерева при навигации. Это не ограничивает работу с самим документом, если он доступен пользователю через задачи или рабочие списки.
3. Автоматизация состава. Чтобы не добавлять пользователей в рабочие группы вручную, необходимо использовать механизм Автоматическое ведение состава рабочей группы.

Шаг 1: Настройка видов документов и шаблонов процессов

Для корректной работы системы выполним следующие действия:

В карточке Вид документа установим флаг Автоматически вести состав рабочей группы. Эта настройка позволяет системе самостоятельно управлять доступом к документам данного вида на основании участников запущенных процессов.

Далее настроим шаблон процесса. При добавлении этапов согласования в шаблон необходимо убедиться, что участники процесса (согласующие) автоматически добавляются в рабочую группу документа. Система 1С:Документооборот при запуске процесса анализирует участников и при наличии соответствующей настройки автоматически включает их в Рабочая группа документа.

Шаг 2: Управление доступом для уже существующих документов

Частый вопрос: «Почему права не применяются к старым документам?». Это происходит из-за того, что права в 1С:Документооборот рассчитываются и записываются в регистры Дескрипторы доступа к объектам. При изменении политик или настроек автоматического заполнения рабочих групп для уже существующих документов необходимо выполнить пересчет прав.

Разберем, как это сделать:

1. Перейдем в раздел Настройка и администрирование.
2. Воспользуемся обработкой Обновление прав доступа.
3. Запустим регламентное задание Обновление прав доступа, которое приведет состояние дескрипторов в соответствие с текущими политиками.

Шаг 3: Переосмысление структуры хранения

Рекомендуем отойти от практики привязки доступа к папкам подразделений. Вместо этого проанализируем предлагаемую методологию:

Храните документы, ориентируясь на функциональное назначение, а не на организационную структуру. Когда документ находится в процессе, доступ к нему должен определяться исключительно его Рабочая группа. Если пользователь является согласующим, он увидит документ в списке своих задач, даже если папка с документом для него закрыта. Это полностью решает проблему конфиденциальности, так как пользователь не видит дерево папок других подразделений, но при этом эффективно работает с документами, направленными ему в работу.

Решение проблем с видимостью

Если после включения в рабочую группу пользователь все равно не видит документ, проверьте следующее:

• Включена ли настройка Ограничивать доступ по папкам в разделе Настройка прав доступа.
• Соответствуют ли Политики доступа текущему виду документа. Если политика настроена так, что даже участникам рабочей группы запрещено чтение, система ограничит доступ. Убедитесь, что для согласующих в политике доступа установлены права на Чтение.

Итоговое решение заключается в том, чтобы использовать рабочие группы как основной инструмент. Как только пользователь попадает в состав рабочей группы, система автоматически разрешает ему чтение этого документа, игнорируя запрет на просмотр родительской папки. Это наиболее безопасный и архитектурно верный способ управления правами в 1С:Документооборот.