Настройка дискретного доступа#
В документе описан порядок настройки дискретного доступа: как включить механизм в администрируемом объекте, создать правила и параметры, выдать права через роли.
Материал отвечает на вопросы: как ограничить доступ по объектам или записям, как настроить наследование параметров через профили, как создать подправила для гибкой проверки.
Дискретный доступ используется в случаях, когда стандартной настройки прав на объект недостаточно. Обычные настройки доступа применяются ко всем объектам системы и их атрибутам целиком: например, пользователю либо доступны все договоры, либо не доступны никакие. Дискретный доступ позволяет ограничивать права пользователя в зависимости от значений атрибутов конкретного объекта или записи, например по подразделению, типу договора или состоянию.
Ограничения дискретного доступа применяются до отображения списков, поэтому пользователь видит только те объекты, на которые у него есть право. Для открытия объектов по ссылкам из других документов используется отдельная проверка через скрипт объектного кеша.
Включение в администрируемом объекте#
Откройте карточку администрируемого объекта.
Установите признак «Дискретный доступ».
Перейдите на закладку «Дискретные ограничения доступа».
Создайте дискретное ограничение.
Дискретное ограничение доступа
Создайте новую запись или откройте существующую для редактирования.
Укажите уникальное в рамках администрируемого объекта имя и наименование.
Настройте тип правила.
Настройте параметры правила.
Для каждого дискретного ограничения обычно настраиваются два скрипта:
Скрипт для фильтрации объектных привилегий— используется для фильтрации объектов в списках;Скрипт проверки строк по объектному кешу— используется для проверки открытия конкретного объекта, например по ссылке из другого документа.
Типы правил#
Доступны три варианта типа правила:
примитивное;
составное;
без параметров.
Примитивное правило
Состоит из одного параметра.
При анализе прав пользователя значения параметра со всех его ролей собираются в массив примитивных значений.
Например, для числового правила массив будет иметь вид: [10, 20, 30].
Составное правило
Состоит из нескольких параметров.
Алгоритм анализа прав пользователя:
Для каждого набора значений на роли формируется JSON-объект.
Каждая роль может иметь несколько наборов значений. Результат агрегации — массив таких объектов.
При агрегации прав пользователя:
анализируются массивы со всех ролей;
в JSON ИД параметров заменяются на имена;
каждый элемент приводится к строке;
собирается результирующий массив уникальных строк.
Правило без параметров
Не содержит параметров.
При анализе прав правило проверяется, если оно назначено хотя бы на одной роли пользователя.
Параметры правила#
Параметры определяют тип данных и ссылочность значений. Доступные типы определения:
«Обычный» — значения указываются на ролях;
«Динамический» — значения определяются скриптом в настройке дискретного доступа на администрируемом объекте;
«Определяется профилем» — значения берутся из параметров подчинённых профилей пользователя.
Важно
Если для роли назначен параметр с типом «Определяется профилем», роль должна иметь тип «Мастер-роль».
Для примитивного правила доступен один параметр с системным именем SimpleAcObjectRuleParam. Для составного правила — несколько параметров.
Настройка в роли#
Откройте карточку роли или выберите её в списке.
Перейдите на закладку «Дискретный доступ».
Создайте новую запись, выбрав администрируемый объект.
Укажите значения параметров для ограничений.
Сопоставьте объектные и элементарные привилегии с нужными значениями, заполнив поле «Ограничение дискретного доступа».
Ограничение доступа к объектам класса
Выдается через объектные привилегии с системными именами edit# и view#.
Совет
Если у администрируемого объекта нет привилегий edit# или view#, выполните его синхронизацию.
Дискретные ограничения применяются только если:
это главная выборка администрируемого объекта (шапка БО);
пользователь не является супер-пользователем;
к администрируемому объекту применяются настройки администрирования;
администрируемый объект имеет признак «Дискретный доступ».
Деривация профилей#
Для дифференциации доступа по организационным уровням (склады, бизнес-единицы, организации) реализован подход:
Роли делятся на обычные и мастер-роли. Для мастер-ролей при назначении полномочий можно указать, что значения параметров дискретного доступа определяются профилем.
Профили делятся на мастер-профили, подчинённые и обычные. Мастер-роли включаются только в мастер-профили.
Для подчинённого профиля указываются конкретные значения параметров дискретного доступа.
При проверке прав система определяет параметры от подчинённого профиля пользователя.
Совет
Пользователям можно назначать только обычные и подчинённые профили. Мастер-профили используются только как шаблоны.
Подправила#
Особенности подправил
Для каждого правила можно создать подправило. Оно использует те же параметры, но не проверяется автоматически — проверку внедряет программист в коде. Администратор, зная имя подправила, может задать для него ограничения.
Создание подправила
Откройте карточку администрируемого объекта.
Перейдите на закладку «Дискретные ограничения доступа».
Выберите или создайте правило.
Под выбранным правилом добавьте подправило.
Назовите подправило именем, используемым в коде для проверки доступа.
Настройте скрипты для подправила.
Проверка прав после редактирования#
Чтобы система откатывала изменения, если после редактирования объект становится недоступен даже для чтения:
Откройте карточку администрируемого объекта.
Установите признак «Дискретный доступ».
Установите признак «Проверять изменение прав объектов на сохранении».
При включённой проверке, если после редактирования объект становится недоступен даже для чтения, система откатит изменения и выдаст ошибку.