Права доступу: хто що бачить і що може змінити

Вікно

«Керування групами користувачів»

Право доступу

«Керування групами користувачів» — вікно перевіряє власну галочку і без неї показує екран відмови; те саме роблять маршрути, якими правки прав зберігаються. Право на вікно «Користувачі (співробітники)» і блок «Кнопка "Керування групами користувачів"» додатково ховають кнопку в тулбарі

Підготувати

співробітники заведені й прив'язані в картці до своїх відділів

Чому галочка не спрацювала

Пункт меню, який веде у вікно, показується співробітнику тільки тоді, коли в його групи є два права одразу: на сам пункт меню і на вікно, куди пункт веде. Ці два права ведуться різними списками в різних кутках екрана: «Список пунктів меню» праворуч і «Список підсистем» ліворуч від нього.

Тому найчастіший сценарій виглядає так. Адміністратор ставить галочку в «Список пунктів меню» навпроти потрібного пункту, просить співробітника оновити сторінку — і пункт не з'являється. Повідомлення при цьому немає жодного: ні помилки, ні підказки, що бракує другого права.

Лікується це другою галочкою. Знайдіть у «Список підсистем» те саме вікно, поставте «Доступ» — і після F5 пункт стане на місце.

1

Знята галочка «Доступ» у підсистемі «Категорії»

2

Встановлена галочка «Доступ» у пункті меню «Категорії»

1. У підсистемі «Категорії» доступ знято — розділ для групи закритий на рівні підсистеми.
2. У пункті меню «Довідники / Категорії» доступ стоїть — але без доступу до підсистеми пункт меню однаково не спрацює: потрібні обидві галочки.

Друга половина тієї самої історії — коли пункт меню клацнули, а права на вікно немає. Так буває, якщо сторінка була відкрита ще до того, як право зняли. Тоді замість вікна спливає червоне повідомлення:

Немає доступу до цього вікна. Зверніться до адміністратора.

Раніше в цьому місці не відбувалося взагалі нічого: людина клацала пункт меню, вікно не відкривалося, і це читалося як «програма зламалася». Тепер причина названа вголос — і це та сама причина, що й вище: немає галочки в «Список підсистем».

Повідомлення з'являється тільки при кліку по пункту меню. Кнопка із сусіднього вікна цього тексту не показує: там або відкривається екран відмови всередині самого вікна, або вікно відкривається як звичайно — залежно від вікна.

Одне вікно правило обходить навмисно — те, у якому налаштовується саме меню. Інакше, зачинивши собі доступ, ви не змогли б це виправити.

Де це у програмі

Пункту меню немає ні у вікна прав, ні у списку співробітників — жодного з двох кодів немає в таблиці пунктів меню тенанта. Пошук Ctrl + K теж не допоможе: він шукає записи й налаштування, але не вікна. Єдиний штатний вхід — ярлик на робочому столі.

Робочий стіл

ярлик «Користувачі (співробітники)»

Далі в тулбарі

кнопка зі значком людей, підказка «Керування групами» — відкриває «Керування групами користувачів» на весь екран

Подивитися, у якій групі людина

картка співробітника → секція «Групи доступу»

1

Ярлик «Користувачі (співробітники)»

1. Ярлик «Користувачі (співробітники)» — єдиний штатний вхід до вікна керування групами, пункту меню в нього немає.

1

Кнопка «Керування групами»

1. Кнопка «Керування групами» (значок людей) відкриває вікно прав доступу для всіх груп користувачів.

Кнопка «Керування групами» показується не завжди: вона живе за окремим правом на блок. Якщо у вашої групи цього права немає, у тулбарі її просто не буде.

Групи доступу — це відділи компанії

Список груп у вікні прав — це довідник відділів. Не окремий перелік ролей, а ті самі відділи, за якими розкладені співробітники в картках. Тринадцять заводських відділів однакові в кожній системі:

• Відділ управління, керівники
• Відділ закупівель, склад
• Відділ логістики та доставки
• Відділ маркетингу та реклами
• Відділ IT та технічної підтримки
• Відділ кадрів
• Відділ фінансів
• Відділ категорійного менеджменту
• Відділ продажів, рекламацій
• Відділ роботи з клієнтами
• Відділ контенту
• Відділ юридичний
• Відділ служби безпеки

Заводських відділів рівно тринадцять. Завести свою групу можна двома шляхами. Перший — бургер над списком груп у самому вікні прав: пункти «Додати групу» і «Видалити групу». Другий — вікно «Відділи та підрозділи компанії», яке відкривається з бургер-меню списку контрагентів. Різниці немає: список груп у правах і довідник відділів — одна й та сама таблиця, тож новий відділ одразу стає новою групою, а нова група — новим відділом. Групу «Відділ управління, керівники» видалити не можна, і хоча б одна група в системі лишається завжди.

Новий співробітник заводиться без відділу

Коли ви створюєте співробітника, програма не прив'язує його до жодної групи. Це протилежність тому, чого зазвичай чекають: не «бачить усе», а «не бачить нічого». Людина ввійде в програму, але жодне вікно їй не відкриється, поки в картці не проставлений відділ.

Тому перше, що робить адміністратор після заведення людини, — відкриває її картку, секцію «Групи доступу», і ставить «Активність» навпроти потрібного відділу. Група «Відділ управління, керівники» — та сама, що має повний доступ; видавати її новачку варто тільки свідомо.

Кілька відділів складаються

Прив'язати людину до кількох відділів можна. Права при цьому складаються об'єднанням: людина бачить усе, що дозволено хоча б одному з її відділів. Заборона в одному відділі не переважує дозвіл у другому — вимкнена галочка діє лише тоді, коли вона вимкнена в усіх відділах людини.

Практичний наслідок один: звужуючи доступ, дивіться на весь список відділів у картці, а не на той, який ви вважаєте головним. Зняли галочку в одному, а доступ лишився — перевірте, чи немає в людини другого відділу, у якому та сама галочка стоїть.

З чого складається право

Рівнів п'ять, і вони не вкладені один в одного — кожен ведеться своїм списком і перевіряється окремо.

Невкладеність рівнів має практичний наслідок: право на блок лишається живим у групи, якій закрили доступ до самого вікна. Марним воно стає тільки тому, що вікно вже не відкрити. Отже, знімати галочки з блоків, закриваючи людині вікно, не потрібно — але й розраховувати, що вони автоматично зникли, теж не варто: відкриєте вікно назад — кнопки повернуться такими, якими були.

Галочки читаються з бази при кожному відкритті вікна, без кешу й без запису в сесію. Тому зміни набувають чинності одразу: співробітнику досить закрити й відкрити вікно або оновити сторінку, виходити з програми й заходити знову не потрібно. А от список відділів, до яких належить людина, кешується — переведення в інший відділ може подіяти з затримкою.

«Список підсистем»: головна галочка

Друга колонка вікна прав — перелік усіх вікон програми, які взагалі можна обмежити. У ньому дві колонки: «Доступ» із галочкою і «Назва», а рядків стільки, скільки вікон у реєстрі, — 220.

1

Список груп

2

Список підсистем

3

Вкладки «Головне меню» / «Таблиці» / «Блоки»

1. Список груп — тут обирають групу користувачів, права якої переглядають чи змінюють.
2. Список підсистем — розділи програми з колонкою «Доступ»: чи бачить група розділ узагалі.
3. Три вкладки праворуч деталізують доступ обраної групи: пункти меню, таблиці або окремі блоки інтерфейсу.

Галочка зберігається одразу після клацання, окремої кнопки «Зберегти» у вікні немає. Бургер над списком дає дві масові дії — «Активувати доступ для всіх підсистем» і «Прибрати доступ з усіх підсистем»: обидві переписують усі рядки обраної групи одним запитом. Перед цим програма перепитує, називаючи групу й напрямок операції, — бо відкотити переписані рядки нічим.

З коробки в усіх тринадцяти відділів цей список майже однаковий. Заводська відмінність рівно одна: вікно «Оновлення платформи» вимкнене у відділів категорійного менеджменту, продажів і контенту. Усе інше адміністратор налаштовує сам.

Вкладка «Головне меню»

Праворуч у вікні три вкладки: «Головне меню» (відкрита за замовчуванням), «Таблиці» і «Блоки». Перша показує «Список пунктів меню» — усі пункти з повним шляхом через скісну риску, наприклад Довідники / Контакти / Організаційна структура. Колонки ті самі: «Доступ» і «Назва». Бургер дає масові «Активувати доступ до всіх пунктів меню» і «Прибрати доступ з усіх пунктів меню».

Пам'ятайте про правило двох галочок: сам по собі відмічений пункт меню нічого не показує, поки не відмічене вікно.

«Блоки»: кнопки й вкладки всередині вікна

Третій рівень дозволяє не закривати вікно цілком, а прибрати з нього окремі елементи. Виберіть групу ліворуч, вікно в «Список підсистем» — і вкладка «Блоки» покаже, що в цьому вікні можна ховати. Назви тут людські, не технічні:

• Кнопка "Додати категорію", Кнопка "Видалити категорію";
• Вкладка "Основні дані" — і окремо Вкладка "Основні дані": опис повний, тобто одне поле всередині вкладки;
• Прапор "Активність категорії";
• Бічна панель: ціни конкурентів, Бічна панель: атрибути товару.

1

Колонка «Доступ»

2

Кнопка «Додати категорію»

3

Вкладка «Основні дані»: опис повний

1. Колонка «Доступ» тут працює так само, як і в інших списках, — але вже на рівні окремих кнопок і полів картки.
2. Кнопка «Додати категорію» — приклад доступу до конкретної дії у вікні картки категорії.
3. Поле «Опис повний» на вкладці «Основні дані» — приклад доступу до окремого поля картки.

Блоки заведені не у всіх вікон. З 220 вікон реєстру блоки є у 25; решту 195 дробити всередині нічим — у них є тільки галочка «відкрити чи ні». Усього визначень блоків сто. Найбільше їх у прайс-листів (15), категорій (14) і товарів (8); у більшості інших — один-два.

Це головне обмеження третього рівня, і про нього краще дізнатися заздалегідь. Якщо завдання звучить як «нехай контент-менеджер редагує товари, але не бачить закупівельних цін», спершу подивіться, чи є в потрібного вікна потрібний блок. Немає — розділити не вийде, і шукати відповідну галочку марно: її не існує.

«Таблиці»: колонки й значення

Вкладка «Таблиці» ділиться на три частини. «Список таблиць» перелічує таблиці обраного вікна — їх у програмі всього дванадцять на одинадцять вікон, тож у більшості вікон список порожній. «Список полів» дає для кожної колонки таблиці два прапорці: «Перегляд» і «Зміна». Третя частина, «Фільтр за значеннями таблиці», — конструктор умов з кнопками «Очистити умову» і «Зберегти умову».

• Зняли «Перегляд» — значення в комірці стирається у видачі, і колонка приходить порожньою. Так працює у семи вікнах: товари, контрагенти, документи (і список, і склад документа), виробники, товари прайс-листа, список співробітників і підтримка. В інших сітках значення лишається на місці — стирати його нікому.
• Зняли «Зміна» — колонка в сітці стає нередагованою, і це працює в будь-якій сітці, де взагалі є рядки прав. На боці сервера правку відхиляють п'ять сіток: товари, контрагенти, документи, виробники й товари прайс-листа. У решті це захист інтерфейсу, а не даних.
• Обов'язкові колонки прапорець «Перегляд» ігнорують. Якщо колонка позначена в системі як обов'язкова, знята галочка не приховає її значення. Зовні це виглядає як несправність механізму, хоча так задумано.
• Конструктор «Фільтр за значеннями таблиці» лишається без застосування. Правило в ньому збирається й зберігається, але на робочий інструмент він поки не тягне.

Що галочка не закриває

Галочка в «Список підсистем» закриває вікно тільки там, де вікно її перевіряє. Перевіряють не всі, і причин цьому дві.

Вікна, яких немає в списку

Право існує лише в того вікна, що записане в реєстр. Вікон, які відкриваються кнопкою з іншого вікна й у реєстрі не значаться, — 74: це ті, чий код записаний у виклику прямо. Рядка в «Список підсистем» у них немає, галочки немає, обмежити їх нічим. Серед них не самі дрібниці:

Чотири найнебезпечніші вікна цей список залишили: «Об'єднання контрагентів», «Відновлення сайту з копії», «SQL-запити до бази сайту» і «Створення ТТН служби доставки» заведені в реєстр і тепер відмовляють за власною галочкою. Доступ до них роздано ввімкненим усім відділам — щоб оновлення нікому не зупинило роботу, — тож звужувати його треба самому.

Вікно, у якому роздаються права, тепер теж закрите власною галочкою: без неї «Керування групами користувачів» показує екран відмови, і те саме роблять маршрути, якими зберігаються правки прав. Право на вікно «Користувачі (співробітники)» і блок «Кнопка "Керування групами користувачів"» додатково ховають кнопку в тулбарі.

Вікна, які галочку не перевіряють

Друга частина тієї самої проблеми: вікно в реєстрі є, галочка є, а код вікна її не читає. Прогін по всіх 220 вікнах реєстру дає таку картину:

Друга група — це органайзер (проєкти, задачі, нотатки, презентації, документи, таблиці, форми) і журнал парсера: кілька рядків реєстру на один екран. Знімати галочку там треба з усієї групи, інакше екран відкриється за сусіднім правом.

Третя група — не завжди дефект: для дочірнього вікна розумно питати право батька. «Кошик товарів» гейтиться правом на «Товари», «Замовлення» — правом на «Документи», «Картка постачальника» — правом на «Каталог постачальників». Але бувають і випадкові пари: «Відгуки, коментарі» закриваються правом на «Шаблони листів». Знімете галочку з «Відгуки, коментарі» — не зміниться нічого; знімете з «Шаблони листів» — разом із шаблонами зникнуть і відгуки.

Остання група — 82 вікна, у яких галочка не робить нічого. Чотири з них мають пункт меню, одне — ярлик робочого столу: для цих пʼятьох знята галочка все-таки працює як маскування, бо меню й робочий стіл будуються з урахуванням прав. Але пряме посилання виду index.php?route=…&token=… проходить, і кнопка із сусіднього вікна теж. Решта 77 вікон не мають ні пункту меню, ні ярлика — їх відкривають виключно кнопкою з батьківського вікна, і галочка для них не значить взагалі нічого.

Вікна, у якого перевірка написана, але закоментована, серед 220 записів реєстру більше немає. У коді такі заглушки ще трапляються — сорок чотири штуки, — але всі вони належать вікнам, яких у реєстрі немає, тож галочки в них однаково не існує.

Прайс-листи з цієї групи вийшли: «Зіставлення категорій прайс-листа», «Порядок застосування операцій», «Види ціноутворення» і «Визначення категорій у прайс-листі» тепер відмовляють за власними галочками. Перше з них, крім своєї, читає ще й право вікна «Категорії», але вже не заради відмови, а щоб вирішити, які блоки показати.

Чого механізм не робить

• Не ділить дані між юридичними особами. Виміру «компанія» немає в жодній з п'яти таблиць прав. Усередині системи всі юрособи видно кожному, у кого є право на вікно.
• Не ділить дані між співробітниками. Права відповідають на питання «яке вікно відкрити», а не «чиї записи в ньому показати». Звузити списки контрагентів і документів своїм піддеревом уміє окремий режим в організаційній структурі, і до прав груп він стосунку не має.
• Не має режиму «тільки читання» для вікна. Рівень вікна двійковий: відкрити або не відкрити. Розділити перегляд і правку можна лише там, де заведені блоки, тобто у 25 вікнах із 220.
• Не веде журнал змін прав. Хто й коли зняв галочку, програма не записує. Відновити картину «до» нічим.
• Не попереджає про неповне налаштування. Ні про пункт меню без права на вікно, ні про блок у вікні, яке групі закрите, ні про поле в таблиці, права на яку не читаються. Усе це доводиться тримати в голові.
• Не закриває дочірні вікна. Галочка знята, а вікно відкривається кнопкою із сусіднього — так влаштовано у 77 вікнах.

Розбір частих проблем

Що зробити

Останній пункт не формальність. Права збираються з п'яти окремих списків, попереджень про неповне налаштування програма не дає, і єдиний надійний спосіб дізнатися, що саме бачить людина, — подивитися її очима.

Часті запитання

Кому видаються права — конкретній людині чи відділу?

Відділу. Список груп у вікні прав — це довідник відділів компанії, тринадцять заводських. Окремій людині права не видаються взагалі. Прив'язати її до кількох відділів можна, і тоді права складаються об'єднанням: людина бачить усе, що дозволено хоча б одному з її відділів. Тому, звужуючи доступ, дивіться на весь список відділів у картці.

Поставив галочку на пункті меню, а пункт не з'явився. Чому?

Тому що галочок потрібно дві: на сам пункт у вкладці «Головне меню» і на вікно, куди пункт веде, у «Список підсистем». Ці два права ведуться окремими списками, і пункт без права на вікно не показується. Повідомлення про це немає — просто нічого не змінюється. Поставте другу галочку й оновіть сторінку.

Чи можна створити свою групу під конкретну задачу?

Так. Бургер над списком груп у вікні прав дає пункти «Додати групу» і «Видалити групу»; те саме робиться у вікні «Відділи та підрозділи компанії», яке відкривається з бургер-меню списку контрагентів, — це одна й та сама таблиця. Нова група заводиться без прав: усі галочки зняті, і роздати їх треба самому.

Новий співробітник не бачить нічого. Це нормально?

Так, це поведінка за замовчуванням: під час створення програма не прив'язує людину до жодного відділу, а права видаються тільки відділу. Відкрийте картку співробітника, секцію «Групи доступу», і поставте потрібний відділ. Група «Відділ управління, керівники» — та, що має повний доступ.

Чи можна дати доступ «тільки перегляд» на ціле вікно?

Ні. Рівень вікна двійковий: відкрити або не відкрити. Розділити перегляд і правку можна лише в тих 25 вікнах із 220, де заведені блоки: там ховаються окремі кнопки, вкладки й поля. У решті вікон такої можливості немає, і шукати відповідну галочку марно.

Я зняв доступ до вікна, а співробітник усе одно туди заходить. Як так?

Вікно, найімовірніше, відкривається кнопкою із сусіднього, а частина дочірніх вікон свій код доступу не перевіряє. З 220 вікон реєстру власну галочку відпрацьовують 100, ще девʼять ділять екран із сусідами й пускають за правом будь-якого з них, 25 відмовляють за правом іншого вікна, а 82 не перевіряють нічого — і 77 із цих 82 не мають ні пункту меню, ні ярлика. Закривати треба батьківське вікно, з якого йде кнопка.

Коли зміни прав набувають чинності — треба перезаходити?

Ні. Галочки читаються з бази при кожному відкритті вікна, без кешу: співробітнику досить закрити й відкрити вікно або оновити сторінку клавішею F5. Уже відкрите вікно свої права не перечитує — тому й потрібне оновлення. Виняток один: зміна відділу в картці співробітника може подіяти не одразу, бо список відділів людини програма кешує. Якщо після переведення в інший відділ нічого не змінилося, перевірте ще раз пізніше.

Чи можна подивитися, хто і коли змінював права?

Ні, журналу змін прав програма не веде. Хто зняв галочку і коли — не записується ніде, і відновити попередній стан нічим. Саме тому масові дії «Прибрати доступ з усіх підсистем» перепитують і називають групу: відкотити переписані рядки буде нічим.

Суміжні теми

• Обліковий запис і адміністрування — розділ керівництва, до якого належить ця стаття.
• Організаційна структура компанії — відділи, керівники й режим «свій відділ і нижче» для списків контрагентів і документів.
• Картка товару — вікно, у якому найбільше блоків після прайс-листів і категорій.
• Сітка «Базовий каталог» — таблиця, у якій працюють права на колонки «Перегляд» і «Зміна».
• Завантаження прайсу постачальника — вікно прайс-листів, у якого блоків 15.