Порядок расчета прав доступа В карточке каждого объекта можно посмотреть текущие права на него и понять, почему они именно такие: на закладке «Данные для расчета прав» приводится перечень того, что было учтено при расчете прав на этот конкретный документ. 3

Очередь обновления прав Рекомендуется использовать отложенное обновление прав (через очередь). Права для новых объектов рассчитываются сразу. Для существующих – попадают в очередь: например, поменяли права корневой папки – все дочерние встали в очередь. Очередь обрабатывается специальными регламентными заданиями. 4

Оперативная и долгая очередь Долгая: регистрация нового пользователя, изменение состава группы пользователей, изменение группы доступа, изменение подразделения пользователя, изменение сведений о делегировании прав, изменение сведений об исполнителях ролей, изменение настроек программы: использовать учет по организациям и пр. Во всех остальных случаях формируется оперативная очередь. Обе очереди не мешают друг другу. 5

Группы доступа Задают политику доступа. Разрешают или запрещают доступ к соответствующим объектам для определенных пользователей или групп. Доступ задается в терминах разрешенных или запрещенных значений видов доступа: виды документов, грифы доступа, группы доступа корреспондентов, группы доступа физических лиц, организации, вопросы деятельности, виды мероприятий. 8

Права на папку Чтобы пользователь мог добраться до документа, он должен иметь хотя бы право просмотра всех его родительских папок. Можно использовать разные схемы наследования, например: Секретариат: реклама, приемная. Нужно, чтобы к папке «Реклама» имели доступ на чтение все сотрудники фирмы. А к папке «Приемная» – только отдел секретариата. 15

Права на папки и права на группы доступа Права на папки только сужают права групп доступа. Например, права на внутренние документы складываются из прав по группам доступа и прав от папки: если в группах доступа нет разрешения для Фроловой смотреть документы по организации НПЦ «Меркурий», то никакие настройки прав в папках ей это не разрешат. Права к файлам определяются только владельцем файла: если файл лежит в папке, то правами на папку, если файл присоединен к документу, то правами на документ: которые, в свою очередь, определяются правами от групп доступа и папки, в которой лежит документ. 17

Рабочие группы Список пользователей, которые имеют право работать с документом. Позволяют еще больше сузить права, которые получены от групп доступа и от папок. Рабочие группы могут заполняться: вручную, или автоматически при продвижении процессов по этому документу. Это простой механизм, но его нужно прочувствовать. 18

Настройка рабочих групп в карточке вида документа Флажок «Для документов этого вида заполнение рабочей группы является обязательным». Флажок «Автоматически вести состав участников рабочей группы»: в рабочую группу будут автоматически добавляться авторы процессов и исполнители задач, при старте процесса, при переадресации задачи, но при этом права все равно не расширятся дальше чем ограничено группами доступа и папкой документа. 21

Пример использования рабочих групп Работа со служебными записками. Папка «Служебные записки»: доступ «Все пользователи» чтение, добавление, изменение. Но каждый пользователь будет видеть только свои служебные записки: потому что для документов вида «Служебная записка» заполнение рабочей группы является обязательным, и в рабочей группе автоматически будет указан автор, и все пользователи, которым эта записка попадала в рамках выполнения процессов (согласование, рассмотрение, исполнение). 22

Права на процессы и задачи Права на задачу зависят от процесса. Права на процесс – автор и исполнители: для дочерних процессов еще и автор родительского процесса. При перенаправлении задач права на процессы расширяются, чтобы новый исполнитель мог увидеть этот процесс. Влияние на рабочие группы предметов процессов: как только задача создается, ее исполнитель добавляется в рабочую группу документа, который является предметом задачи, если, конечно, у документа установлена настройка «Автоматически вести состав участников рабочей группы», в том числе и при перенаправлении. 23

●
●

Рабочий стол пользователя

Для каждого пользователя в программе «1С:Документооборот 8» можно настроить индивидуальный рабочий стол , обеспечивающий быстрый доступ ко всем необходимым документам, спискам, отчетам и так далее. Возможности доступа сотрудника к данным ограничиваются правами, заданными для его роли , и настройки рабочего стола зависят от того, какую роль в компании выполняет сотрудник.

Например, секретарь организации ведет переписку, редактирует документы, поэтому на рабочем столе секретаря может быть предусмотрена панель избранного для быстрого доступа к часто используемым данным: сведениям о сотрудниках, списку полезных телефонов, рекомендациям по составлению исходящих писем и так далее. Директор обращается к панели избранного для быстрого доступа к интересующим его данным: отчетам о затратах рабочего времени, сведениям об исполнительской дисциплине и так далее.

Права доступа

Администратором или пользователем, имеющим соответствующие полномочия, определяются права доступа пользователей . Права доступа к файлам настраиваются по папкам для пользователей и групп с учетом наследования прав родительской папки. Можно установить разрешающие и запрещающие права.

Права доступа к внутренним документам

Настройка прав производится по папкам и видам внутренних документов. Можно установить разрешающие и запрещающие права, указать права для пользователей и групп с учетом наследования прав родительской папки. Для вида внутренних документов права настраиваются через группы доступа как для пользователей, так и для групп пользователей. Права доступа к внутренним документам передаются присоединенным файлам и их версиям.

Права настраиваются через группы доступа с учетом следующих реквизитов документа :

• Вид документа
• Гриф доступа
• Корреспондент (группа доступа корреспондентов)

Права доступа к входящим и исходящим документам

Права могут указываться как для пользователей, так и для групп пользователей. Входящие и исходящие документы передают права доступа присоединенным к ним файлам и их версиям.

Права доступа к бизнес-процессам и задачам

Правами доступа к бизнес-процессам и задачам обладают:

• автор бизнес-процесса (задачи)
• все участники бизнес-процесса (только чтение)
• исполнитель задачи (изменение своей задачи)
• линейные руководители участников бизнес-процессов (только чтение)

Роль «Контроль задач и бизнес-процессов» имеет полные права на все бизнес-процессы и задачи.

Права доступа к другим данным

Доступ к другим данным в зависимости от данных и ролей пользователей ограничивается по:

• группам доступа корреспондентов
• группам доступа физических лиц
• видам документов
• папкам файлов и документов грифам

В системе "Аналитика: Документооборот" существует два механизма проверки прав доступа пользователей к документам и другим объектам системы.

1.Ограничение на уровне прав и ролей, задаваемых на уровне платформы "1С:Предприятие 8"

2.Ограничение на уровне бизнес - логики программы "Аналитика: Документооборот"

Настройка прав на уровне бизнес-логики

Определение прав доступа на уровне платформы "1С:Предприятие 8" (см. предыдущий раздел) обладает широкими возможностями, но не позволяет определить все необходимые варианты для пользователей системы документооборота. Например, описание прав только на уровне платформы, не позволяет запретить или разрешить пользователю открытие определенного документа (с определенным набором реквизитов).

Для реализации расширенной настройки прав доступа к документам системы реализован механизм проверки на уровне бизнес-логики (на уровне алгоритмов работы) программы.

Основные механизмы для организации прав доступа доступны в пользовательском режиме в меню "Настройки \ Права доступа".

Настройка прав доступа так же доступна из документа, объекта группировки папок (например, элементов справочника "Виды документов", "Номенклатура дел", "Виртуальные каталоги" и другие). Доступ осуществляется через пункт "Права доступа" с символом замка.

Для конкретного документа так же возможна установка прав доступа из Навигатора, выбрав правой кнопкой мышки пункт меню "Права доступа".

Права доступа на документ определяются не только его собственными правами, но и правами на значения его реквизитов. Среди таких реквизитов могут выступать:

1. Виртуальный каталог

2. Номенклатура дел

3. Проект

4. Контрагент и договор контрагента

5. Подразделение

6. Организация

7. Вид документа

8. Тип носителя документа

9. Важность документа

10. Пользователь

11. Место хранения документа

Права доступа на вышеперечисленные реквизиты устанавливаются для каждой роли системы. Один и тот же пользователь системы может иметь несколько ролей. Роли задаются в специальном справочнике "Роли пользователей".

В справочнике "Роли пользователей" могут быть роли трех видов:

Роли с видом "Предопределенная" - данные роли созданы разработчиком. Список их участников (пользователей) изменяется динамически при выполнении различных действий. Среди предопределенных ролей:

• Роль "Инициатор бизнес-процесса"

  Роль "Исполнитель поручения"

  Роль "Контролер поручения"

  Роль "Полные права"

  Роль "Пользователь объекта"

  Роль "Пользователь системы"

Роли с видом "Роль из конфигуратора" - данные роли совпадают по названию с определенными в конфигураторе ролями (см. предыдущий раздел) и содержат определенный в конфигураторе список пользователей.

Роли с видом "Произвольный список" - роли данного вида содержат произвольный список пользователей. В список участников данной роли могут быть внесены любые пользователи из справочника "Пользователи".

Настройка прав доступа осуществляется через специальный инструмент "Редактирование прав доступа". Данный инструмент позволяет связать объекты доступа и роли пользователей, назначив различные разрешающие и запрещающие права.

На рисунке ниже показан пример настройки прав на документы вида "Договор". Из примера видно, что для роли "Стажеры" запрещено добавление новых документов с видом "Договор", а так же просмотр списка документов, если в них есть вид документов "Договор".

Право "Просмотр списка" регулирует возможность просмотра списка документов в Навигаторе. В случае, если в списке документов Навигатора присутствует хотя бы один документ с каким-либо реквизитом, имеющим запрещающий флажок "Просмотр списка", то весь список документов не показывается пользователю (о чем пользователю выводится предупреждающее сообщение).

Например, одна из ролей пользователя имеет запрет на просмотр документов с высокой важностью (в документе установлено значение "Важность документа" = "Высокая"). В случае, если в навигаторе установлен флажок "Показывать только важные документы", то пользователям, входящим в эту роль не будет показан список документов Навигатора, если в нем есть хотя бы один документ с важностью "Высокая".

На рисунке выше приведен пример сообщения о запрете просмотра списка документов. В случае, если в этом списке не было важных документов, то список документов будет показан.

Поскольку каждый документ имеет более десяти реквизитов, на которые могут быть установлены различные права, то доступ к документам может быть существенно ограничен для пользователей.

Важно! В случае, если у пользователя есть несколько ролей, то права этих ролей суммируются по принципу "или". Т.е. если для одной из ролей установлен какой-либо флажок (запрета или разрешения), а для другой роли нет, то считается, что он установлен и действует для пользователя.

Важно! Запрещающие права доступа имеют приоритет перед разрешающими! Таким образом, если одна из ролей пользователя имеет какой-либо запрет (например, на открытие документов или показ списка), то пользователь будет ограничен в этих правах, несмотря на то, что все другие его роли имеют разрешение на аналогичные действия.

Список всех прав доступа приведен в специальном регистре "Регистр доступа к объектам" (доступен из меню "Настройки \ Права доступа"). Данный регистр содержит все записи о правах пользователей. Для удобства использования записи регистра могут быть отфильтрованы по объекту доступа и/или пользователю.

Существует два режима проверки прав:

Режим 1. Права являются разрешающими, если они не заданы в системе как запрещающие. Т.е. если для какого-либо объекта не описаны его права в "Регистре доступа к объектам", то считается, что доступ к нему открыт для всех пользователей. Данный вариант действует по-умолчанию в новых базах данных

Режим 2. Права доступа являются запрещающими, если в системе явно не прописаны разрешающие права. Т.е. если для какого-либо объекта не описаны разрешающие права, то считается, что доступ к нему запрещен.

Для включения второго режима включите в настройках системы на закладке"Прочие" флажок – "Доступ к документам запрещен, если не заданы права (иначе разрешен)".

Для контроля прав доступа к определенному документу можно использовать специальный отчет "Права доступа к документам". В данный отчет выводится информация о текущих правах доступа к выбранному документу.

Настройка прав на уровне записей базы данных

В программе "Аналитика: Документооборот" реализован контроль на уровне записей базы данных. Данный контроль позволяет максимально жестко ограничить доступ к документам, бизнес-процессам и задачам на уровне платформы "1С:Предприятие 8".

При ограничении на уровне записей базы данных пользователям становятся полностью не доступными данные в базе данных, которые не удовлетворяют указанным фильтрам. Данные становятся не доступными как в личной панели, так и в "Навигаторе" и в различных отчетах системы.

Для включения данного режима необходимо в настройках системы (меню "Настройки \ Настройки системы") на закладке "Прочее" включить флажок "Использовать ограничения базы данных на уровне записей" (см. предыдущий рисунок).

После включения данного флажка в настройках ролей с типом "Произвольная" (с указанием произвольного списка пользователей) станет доступной закладка "Ограничения базы данных". На данной закладке можно ограничить доступ по следующим критериям:

1. Установка доступа к документам по списку разрешенных для пользователя организаций
2. Установка доступа к документам по списку разрешенных для пользователя подразделений
3. Установка доступа только к тем задачам и бизнес-процессам в которых непосредственно участвуетпользователь.

Каждому виду объектов могут быть указаны роли и их права. На рисунке ниже приведен пример настройки прав на справочник "Номенклатура дел" для различных ролей пользователей.

Для оперативного редактирования прав доступа можно прямо из отчета двойным кликом на нужных правах открыть форму редактирования прав.

Если вам приходилось работать с 1С: Документооборот 2.0, то вы наверняка заметили, что в ПО-2.1 произошли кардинальные изменения в системном механизме прав доступа. Достоинство доработки заметно с первого взгляда - производить настройку прав стало гораздо легче. Однако обновлённый механизм в отдельных случаях может вызвать противоречия при работе с политиками доступа. Ниже мы подробно разберём обновлённую версию системных прав доступа и узнаем, как правильно осуществлять настройку.

1C: Документооборот 2.1 - настраиваем права доступа

Чтобы разграничить доступ к системным ресурсам для отдельных групп профилей, понадобится зайти в раздел настроек и поместить флажок в окошко, напротив которого поясняется «Использовать ограничение прав доступа».

Когда флажок будет установлен в нужном месте, система отобразит на экране окно, где предлагается осуществить обновление прав. Чтобы продолжить процедуру настройки, необходимо дать положительный ответ, нажав кнопку «Да».

После подтверждения запуска обновления прав пользователь сможет продолжить работать с программой, тогда как системный модуль параллельно займётся очисткой старых прав доступа. Обновление в отложенном режиме позволяет создавать отдельную очередь, в которую попадают крупные задачи, требующие достаточно много ресурсов для их выполнения. Благодаря этому процесс совершается в фоновом режиме и не мешает осуществлять дальнейшую деятельность пользователя.

Перед началом внесения изменений программой в политику доступа пользователь предупреждается, что фоновый режим обновления считается нежелательным вариантом.

Если необходимо повысить уровень безопасности, разрешите вход в рабочий кабинет только по паролю. Для этого понадобится поместить флаг в окошке, запрещающем вход без пароля. Помимо установленной защиты, рекомендуется позволить программному модулю проверять пароли на сложность и выставить ограничения доступа через веб-сервер.

Осуществите самостоятельную проверку настройки группового расчёта элементов очереди (укажите максимальное значение параметра: объём порций дескрипторов). После изменения числового значения программа сможет осуществлять поиск дескрипторов, имеющих такой же вид, в очереди и производить несколько обновлений прав в течение одного вызова.

1C: Документооборот 2.1 - разбор раздела «Полномочия»

Возможно, вы уже заметили, что в версии документооборота 2.1 отсутствует папка профилей группы доступа. Вместо неё в обновлённом документообороте действует справочник «Полномочия». С его помощью вы можете создавать готовые подборки ролей (действий), которые будут разрешены. В них находятся права доступа к группам метаданных.

Вам необязательно формировать новые полномочия, при необходимости просто воспользуйтесь уже имеющимися среди стандартного списка.

1. Администратор - без ограничений.
2. Делопроизводитель - формирование документов входящего типа (маркирование документов с помощью уникального регномера).
3. Контроль отчётов - возможность просмотра (редактирования) отчётных документов в ежедневнике.
4. Контроль задач/процессов - работа с задачами/процессами без каких-либо ограничений.
5. Ответственный за НСИ - полное ведение НСИ без ограничений (делопроизводство/учёт времени/процессы).
6. Ответственный за ЭДО - минимальный уровень прав доступа к электронной документации.
7. Пользователи - стандартные полномочия, работа с клиентскими приложениями (внутренней документацией/файлами/задачами/процессами), учёт рабочего времени.
8. Работа с входящей и исходящей документацией - создание/отправка документа и чтение входящей документации.
9. Руководство подразделения - формирование новых задач (редактирование) для подотчётного подразделения, ознакомление с отчётами штатных специалистов в ежедневнике.
10. Руководство проектов - работа над текущими проектами (редакция) и создание новых.

При необходимости существующие полномочия могут подвергаться полным или частичным изменениям. Однако лучше не допускать редактирования стандартных полномочий. В противном случае политика разграничения прав может начать функционировать некорректно.

В разделе «Полномочия» имеются несколько списков.

• Список доступных ролей. Флажком помечаются группы действий, актуальных (имеется разрешение на использование) для конкретного профиля.
• Кому присваивается. В наименование заносится имя полномочия, которому доступна эта группа действий.

Анализ данных и KPI
Расширение возможностей "1С:Документооборот КОРП" и других программ

Анализ бизнес-процессов, задач и документов из базы "1С:Документооборот" и других. Консолидированная отчетность.

Построение и мониторинг сложных показателей KPI на основе информации из разных баз данных "1С:Предприятие 8"

Сегодня мы рассмотрим настройку прав доступа в системе «1С:Документооборот». В качестве примера для рассмотрения механизма прав доступа предположим, что мы приняли на работу стажера и нам требуется ограничить его доступ к ряду документов и бизнес-процессов системы. Рассмотрение примера мы будем производить на демо-базе конфигурации «1С:Документооборот». Для работы демо-базы требуется платформа «1С:Предприятие 8.3 / 8.2» версии не ниже 8.2.12.

Система прав доступа рассматриваемой конфигурации является достаточно универсальной и практически полностью повторяет систему прав доступа «1С:Библиотека стандартных подсистем», аналогичная система прав доступа (с небольшими изменениями) используется в продукте СЭД «Корпоративный документооборот», «1С:Управление производственным предприятием», «1С:Управление торговлей ред. 11» и некоторых других.

В подсистеме «Управление доступом» используются ограничения на уровне ролей, заданных в «Конфигураторе» и ограничений на уровне записей базы данных (RLS – Record Level Sercurity) платформы «1С» версии 8.2. Подсистема «Управление доступом» библиотеки стандартных подсистем построена на следующих объектах метаданных конфигурации:

• Справочник «Группы доступа » — данный справочник содержит информацию по группам доступа, ведение групп доступа позволяет быстро и просто управлять разграничением прав в системах с большим количеством пользователей.
• Справочник «Грифы доступа » — справочник содержит набор используемых грифов доступа. Значения справочника присваиваются реквизиту «Гриф доступа» входящих, исходящих и внутренних документов «1С:Документооборот» .
• Справочник «Профили групп доступа » — справочник используется для организации предопределенных (созданных в конфигураторе или в пользовательском режиме администраторами системы) значений, определяющих права доступа. Профиль группы доступа используется при назначении прав группе сотрудников, при этом профиль содержит информацию о доступных участникам этой группы пользователей ролях видах доступа (см. ниже).
• План видов характеристик «Виды доступа » — используется для определения всевозможных объектов, для которых необходимо установить контроль доступа. Например, элементами данного плана видов характеристик «1С» могут быть элементы справочников «Папки файлов», «Виды входящих документов», «Виды исходящих документов» и другие, часто при настройке системы данный «Виды доступов» расширяют (на уровне конфигурирования) и включают в него справочник «Контрагенты».
• Элементы конфигурации «Роли «. В системе разграничения прав доступа используются и роли, заданные в режиме «Конфигуратор». Данные роли расположены в разделе «Общие» подразделе «Роли» конфигурации. Список созданных в режиме конфигурирования ролей используется в элементах справочника «Пользователи» и в элементах справочника «Профили групп доступа». Элемент не доступен для редактирования в пользовательском режиме.
• Форма «Права по значениям доступа «. Данная форма расположена в подсистеме «Общие» и предназначена для настройки прав (чтение, создание, изменение, удаление) на конкретные объекты системы «1С:Документооборот». Данная форма обычно доступа из формы списка справочника «Группы пользователей» и формы элемента «Пользователи».

Кроме того, используется ряд внутренних регистров сведений:

• Регистр сведений «Группы значений доступа»
• Регистр сведений «Значения групп доступа»
• Регистр сведений «Наборы значений групп доступа»
• Регистр сведений «Таблицы групп доступа»

Данные регистры заполняются автоматически и не предназначены для ручной корректировки пользователями.

Вернемся к нашему примеру с принятым на работу стажером. Все действия мы будем выполнять в подсистеме «Настройки и администрирование» в обычном, пользовательском режиме «1С:Предприятие 8.3 / 8.2». Создадим в базе данных «1С:Документооборот» нового пользователя (например, Иванова Александра Петровича).

В форме нового элемента справочника «Пользователи» укажем полное имя нового пользователя, его подразделение, должность, а также имя пользователя (для входа в систему).

Важно! На закладке «Свойства пользователя информационной базы» не нужно указывать доступные данному пользователю роли. Галочки в списке ролей будут проставлены автоматически, после присвоения пользователю группы прав доступа в которой, в свою очередь, указан профиль группы доступа с отмеченными доступными ролями из конфигуратора «1С:Документооборот». В случае, если пользователь будет обладать полными правами, то можно указать доступные роли и в форме «Пользователя», но в нашем примере у стажера нет полных прав, соответственно нужные роли будут установлены системой автоматически. Основные настройки прав доступа производятся с группами прав доступа.

Группа прав доступа объединяет различных пользователей в одну группу с одинаковыми правами. Перейдем в форму справочника «Группы доступа» и создадим новую группу «Стажеры». В созданной группе, в списке пользователей, укажем нашего пользователя «Иванов Александр Петрович».

Для добавления нового пользователя воспользуйтесь правой кнопкой мышки и выберите пункт «Добавить» в контекстном меню списка пользователей. В той же форме группы прав доступа укажите нужный профиль прав доступа.

Профиль прав доступа является набором настраиваемых видов доступа. Профиль прав доступа позволяет структурировать систему прав доступа и, в дальнейшем, легко изменять доступность или недоступность конкретных видов объектов «1С:Документооборот» для всех пользователей группы прав доступа. Для нашего случая создадим профиль прав доступа «Стажеры предприятия» и определим, какие объекты (точнее виды объектов) будут подлежать настройке в группах прав доступа (где будет использоваться данный профиль).

В профиле групп также необходимо указать, какие роли из конфигурации системы будут доступны для пользователей. Список данных ролей определяется в конфигураторе в разделе «Общие Роли». Немного упрощая схему, можно отметить, что список ролей (левый список) определяет права пользователей на уровне конфигурации с использованием механизма ролей, как они использовались еще в версиях 7.7 и 8.0. А список ограничений доступа (правый список) определяет, ограничения на уровне записей базы данных (RLS), когда ограничения накладываются по существующим значениям данных в базе данных «1С», а не по объектам метаданных из конфигуратора.

На рисунке ниже приведен пример профиля «Стажеры предприятия» в котором указаны виды доступа, которые будут настроены для групп прав доступа этого профиля. Мы указали следующие виды доступа (правый список):

• Виды внутренних документов
• Виды входящих документов
• Папки файлов

Укажем наш профиль «Стажеры предприятия» в созданной ранее группе доступа «Стажеры».

После заполнения списка «Профиль», в правом верхнем списке мы видим виды доступа, которые были указаны в нашем профиле. Теперь в нижнем правом списке мы сможем указать конкретные значения этих видов доступа, к которым будут иметь доступ пользователи группы, в частности наш Иванов Александр Петрович. Команда «Добавить» позволяет создать новое значение для выбранного вида доступа.

Для вида доступа «Виды внутренних документов» мы определили следующие значения доступа:

• Информационно-справочный
• Служебная записка

Для вида доступа «Виды входящих документов» определили эти значения доступа:

• Предложение
• Письмо

Важно! Для указанных выше видов мы определяем права доступа только ко всем указанным значениям, например, ко всем входящим письмам, всем входящим предложениям, всем внутренним служебным запискам, а не конкретным документам системы.

Выбрав в верхнем списке вид доступа «Папки файлов» мы видим, что не можем указать конкретные значения доступа. Дело в том, что для вида доступа «Папки файлов», разработчики системы определили, что права доступа определяются через конкретные значения объектов, в нашем случае, через указание конкретных имен файлов (далее будет приведен детальный пример такой настройки). Стоит заметить, что в типовой конфигурации «1С:Документооборот» такой вид доступа (по конкретным значениям) определен только для папок файлов и папок внутренних документов.