Виды прав доступа

В BPMSoft предусмотрены различные способы настройки прав доступа, позволяющие гибко управлять правами пользователей на уровне операций, колонок и записей.

Настройка прав доступа осуществляется в разделе «Права доступа на объекты». Для перехода в данный раздел выполните следующие шаги:

1. Нажмите на  → «Открыть дизайнер системы».
2. В дизайнере системы перейдите в блок «Пользователи и администрирование» и откройте раздел «Права доступа на объекты». В новой вкладке браузера откроется страница «Права доступа на объекты».

Рисунок 1 — Права доступа на объекты

Права доступа по операциям

Доступ по операциям предоставляет возможность ограничить создание, редактирование, удаление и чтение для всех записей объекта. Например, с помощью этого метода можно установить ограничения на создание контактов.

Права доступа по операциям имеют больший приоритет, чем ограничения, установленные для записей и колонок. Если у пользователя есть разрешение на редактирование колонки или конкретной записи, но отсутствует разрешение на операцию «Редактирование», то колонка или запись останутся недоступными для редактирования.

Примечание. Если для пользователя или роли не установлено разрешение на операцию «чтение», то раздел и детали, связанные с текущим объектом, будут скрыты.

Активация доступа по операциям

Чтобы активировать права доступа по операциям, выполните следующие шаги:

1. Перейдите в раздел «Права доступа на объекты» и найдите требуемый объект в таблице или используйте строку поиска для быстрого поиска.
2. После выбора объекта откроется страница настройки прав доступа.
3. Установите переключатель «Использовать доступ по операциям». По умолчанию добавляется правило доступа для роли «Все сотрудники» с разрешением на все операции.

Рисунок 2 — Активация администрирования по операциям

Настройка доступа по операциям для раздела «Продукты»

Пример. Сотрудники с ролью «Сборщик заказов» должны иметь только доступ на чтение данных о продуктах. Сотрудники с ролями «Менеджер склада» и «Дирекция склада» должны иметь права на выполнение всех операций, за исключением удаления. Генеральный директор, Шевцова Анна Михайловна, не имеет ограничений по доступу. Все остальные сотрудники не имеют доступа к разделу «Продукты».

Чтобы настроить права доступа, выполните следующие шаги:

1. Перейдите к настройке прав доступа на объект «Продукты».
2. Установите переключатель «Использовать доступ по операциям».
3. Нажмите на кнопку «Добавить».
4. Укажите пользователя или роль, для которых необходимо настроить права. Для поиска используйте вкладки «Организационные роли», «Функциональные роли» и «Пользователи».
5. Признаки разрешения на операции «Создание», «Чтение», «Редактирование» и «Удаление» установятся автоматически. Необходимо изменить их в соответствии с задачей:

Таблица 1 — Конфигурирование прав доступа

Рисунок 3 — Настроенные правила доступа

После создания правил доступа перейдем к установке приоритетов.

Установка приоритетов для правил доступа по операциям

Иногда возникают ситуации, когда уровни доступа, настроенные для определенных ролей, противоречат друг другу.

Иконка , которая отображается рядом с правилом, означает, что настроенные права пересекаются. В таком случае рекомендуется повысить или понизить правило в списке правил.

Правила, находящиеся выше в списке, имеют больший приоритет, а те, что идут ниже, — меньший. Чтобы обеспечить правильную работу, размещайте правила с более высокими разрешениями в начале, а с более низкими — в конце.

Выполните следующие действия для настройки приоритетов в текущем примере:

1. Переместите пользователя «Шевцова Анна Михайловна» наверх списка, так как он имеет самые высокие права доступа.
2. Роли «Дирекция склада» и «Менеджер склада» имеют одинаковые права — расположите их в любом порядке.
3. Следующая по приоритету роль «Сборщик заказов», так как для пользователей с этой ролью доступно только чтение продуктов.
4. Последний приоритет у роли «Все сотрудники», так как все пользователи не имеют доступа к разделу «Продукты».
5. Нажмите на кнопку .

Рисунок 4 — Настройка приоритетов

Примечание. Аналогичным образом вы можете настроить доступ по операциям для любого объекта, в том числе для объекта, зарегистрированного как деталь.

Права доступа по записям

Доступ по записям регулирует права на доступ к конкретным записям объекта. Такой подход может быть использован для ограничения доступа к записям, созданным, например, отделом маркетинга.

Примечание. Рекомендуется использовать ограничение прав доступа по записям только в тех объектах, где это действительно необходимо. Ограничения прав доступа по записям во всех используемых объектах может повысить нагрузку на систему.

Активация прав доступа по записям

Для активации прав доступа по записям:

1. Перейдите в раздел «Права доступа на объекты» и найдите требуемый объект в таблице или используйте строку поиска для быстрого поиска.
2. После выбора объекта откроется страница настройки прав доступа.
3. Установите переключатель «Использовать доступ по записям».

Рисунок 5 — Активация администрирования по записям

Примечание.  Если в настройках прав доступа на объект переключатель «Использовать доступ по записям» не активирован, то доступ к записям объекта будет открыт для всех пользователей, при условии отсутствия ограничений на уровне операций.

В распределении прав доступа по записям, есть следующие колонки:

• «Автор записи» — это колонка, содержащая информацию о пользователе или роли, создавших конкретную запись в системе;
• «Получатель прав» — это колонка, в которой указано, кто получает права доступа. Это может быть как отдельный пользователь, так и роль, наделённые правами на чтение, редактирование или удаление.
  

Таким образом, в каждой строке правил доступа, эти две колонки определяют, какие права доступа автор записи передает конкретному получателю прав. Если роль получателя является подчиненной, то права доступа, предоставленные этой роли, также наследуются ролью руководителей.

Если установить переключатель «Использовать доступ по записям» и не настроить правила доступа, права на управление записью будут иметь следующие пользователи и роли:

• «Системные администраторы» — обладают полным контролем и максимальными правами на выполнение всех операций в BPMSoft, включая чтение, изменение и удаление любых данных;
• «Автор записи» и роль руководителей автора — пользователь, создающий запись, автоматически получает права на управление записью. Кроме того, если у автора записи есть руководитель, то руководитель также получает права на управление этой записью. Права автора и его руководителя по умолчанию доступны к делегированию;
• «Ответственный» за запись и роль руководителей ответственного — пользователь, ответственный за запись, автоматически получает права на управление записью. Кроме того, если у ответственного за запись есть руководитель, то руководитель также получает права на управление этой записью. Права ответственного и его руководителя по умолчанию доступны к делегированию.

Все остальные пользователи и роли, которые не были добавлены в список «Использовать доступ по записям», по умолчанию не имеют прав доступа к записям настраиваемого объекта.

Примечание. Права доступа по операциям являются более приоритетными, чем права доступа по записям. Если у пользователя будет установлено разрешение на редактирование определенной записи без разрешения на операцию «Редактирование», запись останется недоступной для редактирования.

Настройка доступа по записям для раздела «Активности»

Пример. Необходимо выполнить настройку прав доступа для записей раздела «Активности» по следующим условиям:

• Записи, созданные пользователями с ролью «Отдел продаж», должны быть доступны всем пользователям этой роли с возможностью делегирования;
• Записи, созданные пользователями с ролью «Отдел закупок», должны быть доступны всем пользователям этой роли без возможности делегирования;
• Вне зависимости от того, кто создает запись, сотрудники с ролью «Директор по продуктовой аналитике» имеют полные права доступа с возможностью делегирования.
  

Распределим роли по парам автор — получатель:

• Автор «Отдел продаж» — получатель «Отдел продаж»;
• Автор «Отдел закупок» — получатель «Отдел закупок»;
• Автор «Все сотрудники» — получатель «Директор по продуктовой аналитике».
  

В текущем примере роли «Отдел продаж» и «Отдел закупок» являются организационными, а роль «Директор по продуктовой аналитике» функциональной.

Чтобы настроить права доступа, выполните следующие шаги:

1. Перейдите к настройке прав доступа на объект «Активность».
2. Установите переключатель «Использовать доступ по записям».
3. Нажмите на кнопку «Добавить».
4. Укажите пользователя или роль, на чьи записи необходимо настроить права.
5. Укажите пользователя или роль, кому необходимо предоставить права.

Рисунок 6 — Пример добавления ролей для настройки прав доступа

Примечание. Порядок добавления правил доступа не влияет на приоритет их применения.

6. Установите флаги, соответствующие нужным правам доступа. Результат настройки представлен на рисунке 7.

Рисунок 7 — Пример настройки прав доступа по записям

7. Нажмите на кнопку .

Актуализация прав доступа

Настроенные правила доступа применяются только к записям, которые были добавлены после их настройки. Если вам требуется применить права к существующим записям объекта, воспользуйтесь Актуализацией прав доступа.

Примечание. BPMSoft автоматически отобразит уведомление с запросом актуализации прав доступа после применения настройки прав по записям.

Актуализация прав доступа выполняется по принципу удаления существующих прав и добавления новых в соответствии с настроенными правилами. Права, настроенные пользователями для конкретных записей в меню раздела «Действия», и права, установленные бизнес-процессами, не будут удалены.

Для запуска актуализации прав доступа перейдите в меню «Действия» раздела «Права доступа на объекты» или страницы настройки прав доступа на объект и нажмите «Актуализировать права по записям».

Наследование прав доступа по записям

В BPMSoft предусмотрено наследование прав доступа по записям от родительского объекта. Например, деталь «Промокоды» на странице промоакции может наследовать права доступа раздела «Промоакции». Таким образом, если у пользователя нет прав на редактирование основной записи промоакции, то и редактирование записи на детали «Промокоды» недоступно.

Примечание. Если у пользователя есть права доступа на редактирование записей в родительском объекте и нет прав на удаление, то в подчиненном объекте ему доступно удаление записей. Работа с записями в подчиненном объекте выполняется в рамках редактирования родительского объекта.

Для новых пользовательских разделов данная функциональность не настроена. Чтобы настроить наследование прав доступа от другого объекта, выполните следующие шаги:

1. Перейдите в дизайнер системы по кнопке .
2.  Перейдите в блок «Конфигурирование разработчиком» и откройте раздел «Управление конфигурацией».
3. Найдите и откройте страницу подчиненного объекта.
4. На странице подчиненного объекта перейдите к блоку «Доступ» и в поле «Наследовать права доступа от объекта» выберите родительский объект, права которого необходимо наследовать для текущего объекта. Для возможности выбора нужного объекта между родительским и подчиненным объектами должна быть установлена связь. Например, для связи раздела «Промоакции» (родительский объект) и детали «Промокоды» (подчиненный объект) используется справочное поле «Промоакция» детали, источником данных которой является раздел.

Рисунок 8 — Наследование прав доступа от родительского объекта

5. Примените внесенные изменения, нажав кнопку «Опубликовать».

Для корректной работы наследования прав переключатель «Использовать доступ по записям» в правах доступа на подчиненный объект должен быть выключен.

Примечание. Подчиненный объект наследует от родительского только права доступа по записям. Если для подчиненного объекта настроены права доступа по операциям, то они также будут учтены при работе с записями данного объекта.

В BPMSoft поддерживается только одноуровневое наследование прав, то есть права доступа по записям могут наследоваться только от одного объекта другому. Например, если Объект 2 (подчиненный объект) наследует права от Объекта 1 (родительский объект) и Объект 3 (подчиненный объект) наследует права от Объекта 2, то Объект 3 не получит права, которые унаследованы Объектом 2 от Объекта 1. Это связано с тем, что для Объекта 2 выключены права доступа по записям. Если для Объекта 2 включить права доступа по записям, то он прекратит наследовать права от Объекта 1, а Объект 3 при этом начнет наследовать права от Объекта 2.

Права доступа по колонкам

Доступ по колонкам ограничивает доступ к отдельным колонкам объекта. Это позволяет настроить права на доступ к определённым полям, например, к полю «Сумма продажи» в продаже.

Этот способ настройки прав доступа позволяет установить или ограничить права на:

• Чтение;
• Редактирование.
  

Таким образом можно определить какие колонки могут быть видимы, редактируемы или скрыты для различных пользователей.

Если для колонки не добавлено правило доступа, будут применены права доступа по операциям.

Примечание. Если для колонки ограничен доступ на чтение, колонка будет отображаться на странице незаполненной.

Активация прав доступа по колонкам

Для активации прав доступа по колонкам:

1. Перейдите в раздел «Права доступа на объекты» и найдите требуемый объект в таблице или используйте строку поиска для быстрого поиска.
2. После выбора объекта откроется страница настройки прав доступа.
3. Установите переключатель «Использовать доступ по колонкам».

Рисунок 9 — Активация администрирования по колонкам

Примечание. Права доступа по операциям являются более приоритетными, чем права доступа по колонкам. Если у пользователя будет установлено разрешение на редактирование колонки без разрешения на операцию «Редактирование», колонка останется недоступной для редактирования.

Примечание. Если доступ на редактирование колонки отсутствует, то на странице записи соответствующее поле доступно для ввода значений, но сохранить изменения при этом невозможно.

Если для объекта в BPMSoft активирован доступ по колонкам, то при добавлении новой колонки в объект вам потребуется настроить права доступа к новой колонке отдельно. Новые колонки, добавленные в объект, не наследуют права доступа от уже существующих колонок. Пользователи не получат доступ к новой колонке, если настройки не выполнены.

Перед настройкой прав доступа к колонкам объекта, проверьте, что у пользователя есть разрешение на соответствующие операции. Подробнее: Права доступ по операциям

Настройка доступа к колонке «Сумма продажи» в разделе «Продажи»

Пример. Сотрудники с ролью «Бухгалтер» имеют полный доступ на колонку «Сумма продажи». Сотрудники с ролью «Отдел аналитики» только на чтение колонки. Все сотрудники не имеют доступа к колонке «Сумма продажи».

Чтобы настроить права доступа, выполните следующие шаги:

1. Перейдите к настройке прав доступа на объект «Продажа».
2. Установите переключатель «Использовать доступ по колонкам».
3. Нажмите на кнопку «Добавить» .
4. Выберите колонку «Сумма продажи».
5. Нажмите на кнопку «Добавить» для роли или пользователя.
6. Укажите пользователя или роль, для которых необходимо настроить права. Для поиска используйте вкладки «Организационные роли», «Функциональные роли» и «Пользователи»
7. Проверьте, что роль или пользователь имеет необходимые права на операции с объектом, либо убедитесь, что доступ к объекту не ограничен на уровне операций.
8. Установите уровень прав доступа: «Чтение разрешено», «Чтение и редактирование разрешено» или «Чтение и редактирование запрещено».

Рисунок 10 — Уровни прав доступа

Для текущей задачи добавьте следующие правила:

• «Все сотрудники» — установите «Чтение и редактирование запрещено». В результате все сотрудники компании не смогут просматривать значение в поле «Сумма продажи» раздела «Продажи»;
• «Отдел аналитики» — установите «Чтение разрешено». В результате все сотрудники отдела аналитики смогут только просматривать значение в поле «Сумма продажи» раздела «Продажи», без возможности редактировать;
• «Бухгалтер» — установите «Чтение и редактирование разрешено». В результате сотрудники бухгалтерии смогут просматривать и редактировать поле «Сумма продажи» раздела «Продажи».
  

Рисунок 11 — Настроенные правила доступа

После создания правил доступа перейдем к установке приоритетов.

Установка приоритетов для правил доступа по колонкам

Логика приоритезации правил доступа по колонкам соответствует приоритезации для правил доступа по операциям. Подробнее: Установка приоритетов для правил доступа по операциям

Выполните следующие действия для настройки приоритетов в текущем примере:

1. Переместите роль «Бухгалтер» наверх списка, так как она имеет самые высокие права доступа.
2. Следующая по приоритету роль «Отдел аналитики», так как для пользователей с этой ролью доступно только чтение значения в поле «Сумма продажи».
3. Последний приоритет у роли «Все сотрудники», так как все пользователи не имеют доступа к полю «Сумма продажи».
4. Нажмите на кнопку .

Рисунок 12 — Настройка приоритетов

Рекомендуем изучить

Системные операции
Обучающий модуль «Ролевая модель и права доступа»