Часто при работе в 1С:Документооборот 2.1 нескольких организаций в одной информационной базе возникает ситуация, когда руководитель одной организации начинает видеть документы других компаний. При этом для обычных сотрудников и линейных руководителей подчиненной структуры ограничения отрабатывают корректно. Разберем по шагам, куда стоит обратить внимание и как выявить причину предоставления избыточных прав.
Для выявления и устранения причин избыточного доступа проанализируем следующие системные механизмы и настройки программы.
Чтобы не проверять все гипотезы вслепую, воспользуемся штатным механизмом проверки. Откроем конкретный «чужой» документ, к которому у руководителя есть лишний доступ.
Далее перейдем в меню Еще → Права доступа (или сформируем отчет Проверка прав доступа). В открывшемся окне дерево прав четко покажет источник предоставления доступа: это может быть конкретная роль, статус локального администратора, делегирование, дескриптор, автоматическая рабочая группа или наследование от подчиненного из структуры предприятия. Узнав источник, мы сможем точечно устранить проблему.
Рассмотрим опцию Добавлять руководителям доступ подчиненных. В общих настройках прав доступа может быть активен этот флаг. Важно понимать, что в 1С:ДО 2.1 этот механизм опирается исключительно на иерархию справочника Структура предприятия, а не на юридические лица (организации).
Если подразделения разных организаций сведены в единое дерево подчинения, и данный пользователь назначен руководителем вышестоящего узла (или корневого подразделения компании/холдинга), он автоматически получает права доступа всех нижестоящих сотрудников всех организаций.
Решение: пересмотрим управленческую иерархию в справочнике Структура предприятия. Необходимо разделить узлы разных организаций на независимые верхние уровни либо отключить наследование прав подчиненных, если сквозное управление холдингом не требуется.
Пользователь мог получить расширенные права через справочник Делегирование прав. Посмотрим, не были ли ему временно или бессрочно делегированы права от генерального директора холдинга, сотрудника канцелярии, делопроизводителя или топ-менеджера другой организации. В этом случае руководитель получает всю полноту прав делегата.
Решение: проверим регистр сведений и справочник Делегирование прав, отключим неактуальные или ошибочные назначения для данного пользователя.
Проанализируем политики доступа. В 1С:ДО 2.1 права рассчитываются по правилу «ИЛИ»: если доступ разрешен хотя бы одним правилом, он предоставляется, даже если другим правилом запрещен.
Пользователь может входить в общие подразделения, рабочие группы или предопределенные группы (например, «Все пользователи»), для которых в Политиках доступа по разрезу «Организации» задано общее разрешение («Все разрешены» или организация не исключена).
Решение: проверим политики доступа не только для самого руководителя, но и для подразделения, в котором он числится, а также для всех рабочих групп, в которых он состоит. Сделаем ограничение доступа по организации в настройках этого пользователя и его групп.
В документах может использоваться рабочая группа Руководители подразделений (заполняется автоматически). Выясним, не попадает ли документ под условия включения в эту группу. Если да, то любой пользователь со статусом руководителя (независимо от организации) получает к нему доступ.
Решение: настроим ограничения видимости документов через индивидуальные рабочие группы или отключим автозаполнение общей группы руководителей в правилах обработки и видах документов.
В первую очередь необходимо проверить профили групп доступа у данного пользователя — нет ли там полных прав (прав администратора). Также пользователь может быть назначен Локальным администратором для конкретной папки внутренних документов, проекта или раздела.
Локальные администраторы обладают полными правами внутри своей области, игнорируя общие ограничения политик доступа.
Решение: проверим вкладку «Локальные администраторы» в настройках прав доступа и в свойствах папок документов, к которым руководитель имеет несанкционированный доступ.
Расчет прав в ДО 2.1 производится через механизм дескрипторов доступа (в оперативном или фоновом режиме через регистры сведений дескрипторов). При сбоях, зависании очереди регламентных заданий или после ручных изменений в структуре компании дескрипторы для пользователя могли просто не пересчитаться.
Решение:
Обновление прав доступа (долгие) и Обновление прав доступа (быстрые).В крайнем случае, если настройки слишком запутаны и не поддаются быстрой корректировке, можно прибегнуть к радикальному методу: создать нового пользователя копированием прав с «правильного» сотрудника, а старую учетную запись руководителя деактивировать, предварительно разобравшись с его задачами и процессами.