АДМИНИСТРИРОВАНИЕ
Права и роли
Как система решает, что пользователю можно, а что нельзя.
Права задаются не на пользователе, а в его группах, и проверяются на сервере — не только в интерфейсе.
| Роль | Карточка пользователя: Пользователь / Администратор | Роль Администратор даёт пункт Обслуживание БД и обход проверок прав |
|---|---|---|
| Группа | Карточка пользователя, раздел Группы | Видимость раздела Администрирование (группа admin) и права |
| Права | Карточка группы, раздел Права | Доступ к объектам: чтение, запись, удаление |
| Ограничения данных | Карточка группы, раздел Ограничения данных | Какие строки видны внутри разрешённого объекта |
Группа admin («Администраторы») — особая: её участники обходят все проверки прав.
# Как проверяются права
| Правило | Как работает |
|---|---|
| Обход для администраторов | Член группы admin получает доступ ко всему |
| Проверка по группам | Права ищутся по всем группам пользователя, суммарно |
| Без учётной записи — отказ | Если пользователь не определён, доступ закрыт |
| Нет записи — отказ | По умолчанию доступ запрещён. Нужна явная галочка |
| Регистр не важен | Сравнение идентификаторов не зависит от регистра |
| Проверка на сервере | Отсутствие прав нельзя обойти правкой интерфейса |
Три вида прав для объекта:
| Право | Что разрешает |
|---|---|
| Чтение | Видеть объект в навигации, открывать список, смотреть записи |
| Запись | Создавать и изменять записи |
| Удаление | Удалять записи (в том числе помечать на удаление) |
У отчётов есть только Чтение.
# Что из этого следует
| Наблюдение | Объяснение |
|---|---|
| Пользователь не видит справочник | Нет права Чтение ни в одной группе |
| Видит справочник, но кнопка Создать не работает | Нет права Запись |
| Не может удалить запись | Нет права Удаление |
| Создал документ, но не видит его в списке | Скорее всего, включено ограничение «только свои записи» — см. RLS |
| Отчёт пустой, хотя данные есть | Ограничения данных сузили выборку |
| Всё видно, хотя галочек нет | Пользователь в группе Администраторы |
| Не видно пункта Обслуживание БД | У пользователя роль Пользователь, хотя группа администраторов есть |
| Не видно раздела Администрирование | Пользователь не в группе admin |
# Разделы администрирования и права
| Раздел | Кто видит |
|---|---|
| Всё меню Администрирование | Только группа admin |
| Обслуживание БД | Дополнительно требуется роль Администратор |
| Корзина, Перепроведение, Диспетчер, Журнал регистрации, Блокировки, Ссылочная целостность, Пользователи, Группы | Группа admin |
| Бухгалтерия | Группа admin и включённый учёт — см. Бухгалтерия |
# Сервисные обращения
Внутренние серверные вызовы (фоновые задачи, перепроведение, планировщик) выполняются с служебным признаком и проверку прав пользователя не проходят — они работают от имени системы. Поэтому итоги перепроведения нельзя «ограничить» правами пользователя.
# Порядок выдачи доступа
| Шаг | Что сделать | Где |
|---|---|---|
| 1 | Создать группу под роль сотрудника | Группы → Создать |
| 2 | Отметить Пакеты этой роли | Группы → Основное и пакеты |
| 3 | Выдать Чтение на нужные объекты | Группы → Права |
| 4 | Выдать Запись там, где сотрудник будет работать | Группы → Права |
| 5 | Выдать Удаление только там, где это оправдано | Группы → Права |
| 6 | Настроить Ограничения данных | Группы → Ограничения данных |
| 7 | Добавить пользователя в группу | Пользователи → Группы |
| 8 | Проверить входом под этим пользователем | — |
Обязательно проверяйте под реальным пользователем. Администратор обходит все проверки, поэтому у него «всё работает» даже при неверных правах.
# Рекомендации
| Совет | Почему |
|---|---|
| Не выдавайте Удаление массово | Ошибочное удаление затрагивает движения регистров |
| Проверяйте права после добавления объекта | Новый объект по умолчанию никому не разрешён |
| Держите одну группу на одну должность | Проще проверять и менять |
Помните, что роль Администратор — не то же самое, что группа admin | Это разные настройки в разных местах |
| Для проверки прав создайте тестового пользователя | Не придётся временно снимать права с себя |