Цитата:
Сообщение от
sbonus
Весьма смело, я не решился бы давать управление группами и вообще права админа не обученному человеку, хотя всем всегда приходится с чего-то начинать.
Я подразумевал - делегирование процедуры назначения прав человеку, на которого ляжет ответственность за доступ к различным функциям в системе (без вдавания в подробности). Это рутина (люди приходят и уходят; обязанности меняются; на время отпуска проиходит замещение и т.п.). В то время - как расстановка галок и создание самих групп - это разовое занятие (настроил и все - при условии некардинальных модификаций конечно)
Цитата:
Сообщение от
sbonus
Да и приходится вести систему именования групп, а так как функционал у них минимальный, то групп должно быть много (я правильно понял?).
Ага, совершенно верно - вот почему я и заговорил о дереве групп прав - для группировки.
Цитата:
Сообщение от
sbonus
Но вопрос (!), как поведут себя права доступа к какому-либо полю (к примеру), если в одной группе они только для чтения, а в другой возможна правка (а так же в какой группе менять право доступа, если определённому юзеру их надо именно сменить)? А юзера надо сделать именно членом этих групп. То есть вопрос пересчения прав доступа. ИМХО, должны быть выставлены максимальные права. Но так ли это всегда?
Это так всегда - однако необходимо учитывать такой факт: в 3.0 права можно давать как на ключики, так и на менюайтемы и контролы. Это приводит к тому - что для разрешения к примеру пункта меню - должен быть доступ на менюайтем и на ключик, который указан в свойствах менюайтема. Ну и про контролы не надо забывать, тем более - что это механизм может сбойнуть при модификации формы. (если сменится ID контрола в форме)
Цитата:
Сообщение от
sbonus
А непредсказуемости я просто боюсь и стараюсь её всегда избегать. Мне проще создать несколько базовых групп, а потом от них (почти как наследованием, жаль что в Аксапте нету механизма наследования прав) экспортом уже создавать новые эксклюзивные группы, которые наделять только им присущими правами, и уже в эти группы включать пользователей.
Абсолютно согласен - что если не дошли руки чтобы залезть внутрь - то именно так и надо поступать. Непредсказуемости нужно избегать. В Вашем случае спокойствие важнее. Однако - как человек, поковыряшийся в правах (когда делал всякие утилитки нашим консалтам) - могу предположить с большой долей уверенностью - где возможно искать подводные камни при настройке прав. Более того - возможно (и весьма несложно напрограммировать и будет быстро работать) - получить информацию - о том, какая группа разрешает тот или иной ключик.