Користувачі

Список користувачів

Налаштування користувачів

Обмеження доступу до інформації

Список користувачів

Формування списку користувачів має здійснюватися IT-фахівцями під час розгортання інформаційної системи. Під час визначення складу користувачів та їхніх повноважень у системі необхідно враховувати два основні фактори:

• поточну рольову структуру, що склалася на підприємстві,

• прийняту в прикладному рішенні систему ролей користувачів.

У разі, коли однозначної відповідності знайти не можна (один співробітник виконує кілька не пов'язаних функцій), користувачеві може бути призначено одночасно кілька ролей.

З іншого боку, у типовій конфігурації передбачено засоби та механізми обмеження доступу користувачів до інформації. Це забезпечує певний ступінь інформаційної безпеки підприємства й полегшує роботу користувачам інформаційної системи. Управління логікою обмежень також здійснюється через механізм ролей. Отже, у роботі з опису користувачів і визначення їхніх ролей в інформаційній системі має брати участь представник керівництва підприємства.

Додатково в прикладному рішенні передбачено механізми "тонкого" налаштування профілів користувачів, що дають змогу врахувати низку додаткових умов зовнішнього та внутрішнього середовища підприємства. Таке "тонке" налаштування здійснюється за допомогою механізму "Налаштування користувачів".

Налаштування користувачів

Налаштування користувачів дають змогу керувати поведінкою прикладного рішення виходячи з тієї ролі, яку описуваний користувач відіграє на підприємстві. Важливо розуміти, що визначені в налаштуваннях користувача параметри можуть істотно змінювати поведінку типових механізмів і їхніх реквізитів. Усі налаштування користувачів зберігаються у двох "точках" прикладного рішення:

• довіднику "Користувачі",

• регістрі відомостей "Значення додаткових прав користувача".

Відмінність між механізмами полягає в тому, що додаткові права користувачів можна визначати не лише для окремих користувачів, а й для груп користувачів. Використовувати групи користувачів зручно під час опису груп співробітників, які виконують на підприємстві схожі функції або групи функцій. В обох механізмах налаштування об'єднані за функціональним призначенням у відповідні групи параметрів.

У довіднику "Користувачі" на вкладці "Налаштування" встановлюються індивідуальні налаштування цього користувача. Рекомендується відразу ж їх визначити, оскільки саме вони багато в чому визначають поведінку системи для всіх користувачів:

• параметри з груп "Взаєморозрахунки", "Замовлення", "Запаси", "Ціноутворення" керують поведінкою прикладного рішення у відповідних розділах,

• параметри з груп "Вбудований поштовий клієнт" і "Календар користувача, Події, Завдання" керують поведінкою поштового клієнта для конкретного користувача. Поштовий клієнт, вбудований у прикладне рішення, є альтернативою зовнішнім програмам роботи з поштою (MS Outlook, The Bat тощо). Необхідність його включення до типового функціоналу пояснюється тим, що в прикладному рішенні реалізовано функціональність управління відносинами з клієнтами, для якої поштовий клієнт є центральною механікою,

• параметри з групи "Інші налаштування" керують налаштуваннями сеансу для описуваного користувача. Слід звернути увагу, що ці налаштування можуть істотно змінювати логіку поведінки реквізитів і стандартних механізмів прикладного рішення,

• параметри з групи "Основні значення для підстановки в документи та довідники" гарантують підстановку відповідних значень в однакові реквізити документів, довідників, звітів та обробок прикладного рішення. За правильного використання цього механізму істотно зменшується час роботи користувачів з об'єктами інформаційної системи, виключаються багато видів помилок введення; Установлювати значення параметрів у цій групі рекомендується після того, як буде заповнено відповідні довідники,

• параметри з групи "Панель функцій" керують поведінкою сервісного механізму "Панель функцій", за допомогою якого можна виконувати швидку навігацію розділами інформаційної системи та отримувати контекстну довідку. Особливо корисним є використання механізму на початку роботи;

• параметри з групи "Роздрібна торгівля та торгове обладнання" дають змогу визначити логіку поведінки системи під час підключення до неї торгового обладнання.

На вкладці "Адреси та телефони" вноситься інформація про контактні дані користувача: адреса, телефон, адреса електронної пошти тощо. Ця функціональність універсальна — так само здійснюється накопичення контактної інформації і про контрагентів підприємства, і про фізичних осіб.

У механізмі налаштування додаткових прав визначаються параметри, що керують поведінкою документів прикладного рішення, інтерфейсу касира та формування зведеного звіту "Рапорт керівнику".

Механізм налаштування додаткових прав користувачів і груп користувачів (що спирається на регістр відомостей "Значення додаткових прав користувача") дає змогу керувати логікою обмежень і налаштуваннями комплексного звітного механізму "Рапорт керівнику". Важливо пам'ятати, що часто "непрацездатність" інформаційної системи є наслідком неуважності або непродуманості визначення цих додаткових налаштувань користувача.

Обмеження доступу до інформації

У типовій конфігурації передбачено засоби та механізми обмеження доступу користувачів до інформації. З одного боку, це гарантує певний ступінь інформаційної безпеки підприємства, з іншого — полегшує роботу користувачам інформаційної системи. Ці механізми досить широкі й розвинені, причому побудовані вони одночасно і на механізмах прикладного рішення, і на системних можливостях технологічної платформи " 1С:Підприємство 8". Таке поєднання засобів дає змогу забезпечити дуже гнучке управління доступом користувачів до інформації. Питаннями обмеження прав користувачів під час розгортання інформаційної системи зазвичай займаються фахівці з упровадження або IT-фахівці. Важливо розуміти, що з плином часу завжди є можливість зміни налаштувань, установлених на етапі розгортання системи.

Умовно кажучи, доступ користувачів до інформації обмежується двома базовими механізмами платформи:

• ролями користувачів,

• інтерфейсами.

У першому випадку йдеться про реальний захист, коли доступ конкретних користувачів або груп користувачів до будь-якої інформації обмежується явним чином. У разі використання для захисту інформації механізму інтерфейсів можна говорити про неявний захист — користувач не бачить якихось довідників або документів у своєму інтерфейсі, а до інших інтерфейсів він доступу не має. У типовому рішенні остання можливість не використовується, будь-який користувач може увімкнути будь-який інтерфейс, оскільки заздалегідь невідомо, які функції виконуватиме конкретний користувач на конкретному підприємстві. Якщо ж ролі та структура підприємства визначені, цей варіант є найбільш "дешевим" з погляду реалізації та зрозумілим з позиції використання.

Під час використання ролей виконується обмеження прав користувачів на рівні записів у таблицях інформаційної бази. Необхідно відрізняти дві технології захисту інформації, що підтримуються в конфігурації:

• захист на рівні таблиць бази даних;

• захист на рівні окремих записів таблиць бази даних (RLS).

За обмеження прав користувача на рівні реальних таблиць інформаційної бази (довідників, документів, регістрів) такий користувач не зможе виконувати будь-які дії одночасно з усім вмістом таблиці (читання, перегляд, запис, змінення, використання записів тощо). Логіка такого обмеження реалізується розробниками на етапі конфігурування прикладного рішення шляхом визначення складу відповідних ролей \ налаштування їхніх властивостей. У прикладному рішенні передбачено низку спеціальних ролей, кожна з яких окремо або в поєднанні з іншими ролями може бути використана під час опису повноважень кожного користувача інформаційної системи:

• "Менеджер із закупівель",

• "Менеджер із продажів",

• "Касир" — роль касира,

• "Завідувач складом",

• "Комірник",

• "Адміністратор ККМ",

• "Оператор ККМ",

• "Інтернет-користувач управління замовленнями".

Крім того, є дві службові ролі, одна з яких має бути обов'язково призначена одночасно з будь-яким поєднанням спеціальних ролей:

• Користувач — для звичайних користувачів інформаційної системи.

• Повні права — для користувачів, які виконують функції адміністратора бази даних.

Важливо пам'ятати, що для цієї ролі не діють жодні обмеження. Роль призначена для вирішення технологічних або критичних питань, тому використовувати її в поточній роботі не рекомендується.

Призначати всім користувачам підряд усі ролі ("про всяк пожежний випадок") не рекомендується, оскільки таке містке обмеження істотно сповільнить роботу користувачів з інформаційною базою.

Для кожної із зазначених ролей передбачено відповідну логіку захисту інформації на рівні таблиць інформаційної бази. Наприклад, якщо для якоїсь ролі на етапі конфігурування прикладного рішення заборонити інтерактивне позначення на видалення в довіднику "Організації", певний користувач інформаційної системи, якому буде призначено таку роль, не зможе видалити жоден елемент довідника "Організації". Водночас йому можуть бути доступні інші операції з довідником, наприклад, перегляд, створення нових елементів, вибір наявних елементів тощо. Склад дій, що допускаються для різних об'єктів метаданих (довідників, документів, звітів та обробок, регістрів), хоч і відрізняється, але відносно невеликий.

Але за такого підходу неможливо, наприклад, приховати від користувача частину "зайвої" для нього інформації в "загальних" масивах інформації. Для вирішення подібних завдань застосовують механізм обмеження прав доступу на рівні записів (Record Level Security - RLS), що дає змогу обмежувати користувача в "загальних" масивах інформації за набором критеріїв. У прикладному рішенні можливо частково обмежити доступ користувачів до:

• даних за організаціями,

• даних за контрагентами,

• зовнішніх щодо конфігурації механізмів.

У разі використання RLS користувачі не зможуть оперувати не лише з відповідними елементами довідників "Організації" та "Контрагенти", а й з усіма пов'язаними з ними документами, оскільки реквізити "Організація" та "Контрагент" є практично в кожному документі прикладного рішення. Оскільки груп користувачів з різною логікою обмежень у будь-якій організації буде менше, ніж користувачів інформаційної системи, для опису таких груп у прикладному рішенні передбачено довідник "Групи користувачів". Саме в ньому визначається:

• склад користувачів кожної групи,

• логіка обмеження доступу групи до даних за організаціями, контрагентами та до зовнішніх механізмів,

• додаткові налаштування групи.

Технологічно описаний механізм є універсальним. Тому, якщо є потреба, ним можна скористатися під час доопрацювання конфігурації для обмеження прав користувачів відповідно до умов певного завдання. Наприклад, передбачити які-небудь обмеження в доступі до елементів довідника номенклатури.

Незалежно від налаштувань доступу та визначених ролей на етапі конфігурування, дані про всі дії користувачів під час роботи з інформаційною базою можуть відображатися в журналі реєстрації (механізм має бути увімкнений під час розгортання системи). Журнал реєстрації відкривається з пункту меню "Сервіс - Журнал реєстрації". Докладний опис роботи з журналом реєстрації викладено в книзі "Посібник користувача".