يحتفظ نظام ERP بأسعارك ورواتبك وقوائم عملائك وبياناتك البنكية في مكان واحد. وهذا ما يجعله مفيدًا للغاية، لكنه يعني أيضًا أن أي إعداد متهاون للصلاحيات قد يكشف بيانات حساسة أو يسمح لشخص واحد بتنفيذ أمور تستلزم مراجعة من شخص آخر. ويمنحك Odoo 19 مجموعة متدرجة من الضوابط لهذا الغرض، وعند استخدامها جيدًا تتيح لكل شخص أداء عمله دون أن يرى أو يعدّل أكثر مما ينبغي.
ملاحظة حول المصادر: يستند هذا الدليل إلى وثائق Odoo الرسمية للإصدار 19.0. وقد تتغير أسماء القوائم والخيارات بين الإصدارات والطبعات والتطبيقات المثبتة، لذا تحقق من كل خطوة في قاعدة بيانات تجريبية أو منسوخة قبل تطبيقها على نظامك الفعلي.
تعرّف على أنواع المستخدمين أولًا
يتضمن Odoo ثلاثة أنواع من المستخدمين. المستخدمون الداخليون هم الموظفون الذين يعملون داخل قاعدة البيانات. ومستخدمو البوابة أشخاص من خارج الشركة، مثل العملاء أو الموردين، يطّلعون على سجلاتهم الخاصة عبر البوابة. أما المستخدمون العامون فهم زوار واجهة الموقع الإلكتروني.
تصف الوثائق الرسمية أيضًا المسؤولين بأنهم مستخدمون داخليون يتمتعون بصلاحيات متقدمة، مثل الميزات التقنية وتصدير البيانات. تعامل مع دور المسؤول كامتياز يُمنح لعدد قليل من الأشخاص الموثوقين، لا كوسيلة لتسهيل العمل على الجميع.
يُعامَل مستخدمو البوابة بشكل مختلف عن المستخدمين الداخليين. فلا يتيح Odoo تحديد حقوق الوصول إلى التطبيقات لمستخدم البوابة، بل يحصل مستخدمو البوابة على قواعد سجلات مُعدّة مسبقًا وقوائم مقيدة، وتنص الوثائق على أن مستخدمي البوابة لا يملكون سوى صلاحية القراءة أو الاطلاع على المستندات في قاعدة البيانات.
من الاستخدامات النموذجية للبوابة متابعة الطلبات ودفع قيمتها، وتنزيل الفواتير وسدادها، وإدارة طرق الدفع والاشتراكات، وتحديث العناوين.
كيف يرتب Odoo طبقات التحكم في الوصول
من المفيد أن تنظر إلى الوصول في Odoo باعتباره مجموعة متراكبة من المرشحات. فنوع المستخدم يحدد الإطار العام. ومستويات الوصول إلى التطبيقات في نموذج المستخدم تحدد التطبيقات التي يمكن للشخص استخدامها ومدى ذلك. وخلف هذه المستويات توجد المجموعات، التي تحمل صلاحيات على مستوى النموذج للقراءة والكتابة والإنشاء والحذف. ثم تضيّق قواعد السجلات نطاق السجلات الفردية التي يمكن للمجموعة التعامل معها. وفوق ذلك يمكنك إخفاء حقول بعينها عن مجموعات معينة، وتقييد الشركات التي يمكن للمستخدم فتحها، وتعزيز أمان تسجيل الدخول نفسه.
أنشئ المستخدمين وحدد وصولهم إلى التطبيقات
لإضافة مستخدم داخلي، افتح تطبيق الإعدادات، وانتقل إلى قسم المستخدمين، وانقر على إدارة المستخدمين ثم جديد. املأ النموذج، بما في ذلك عنوان البريد الإلكتروني.
في تبويب حقوق الوصول، اختر مستوى لكل تطبيق. ولا تظهر هنا إلا التطبيقات المثبتة في قاعدة البيانات. ومن المستويات الشائعة: فارغ (دون وصول)، ومستخدم: مستنداته فقط، ومستخدم: كافة المستندات، ومسؤول، لكن الخيارات الدقيقة تختلف من تطبيق لآخر.
احفظ المستخدم. يرسل Odoo دعوة إلى عنوان البريد الإلكتروني المسجل في النموذج، ويجب على الشخص قبولها لإنشاء بيانات دخوله. وفي شاشة إدارة المستخدمين، يساعدك مرشحا المستخدم الداخلي ومستخدم البوابة على مراجعة كل نوع على حدة.
ابدأ مع كل مستخدم جديد بأدنى مستوى يتيح له أداء عمله، ثم أضف صلاحيات عندما تظهر حاجة واضحة. فسحب الصلاحيات لاحقًا أصعب دائمًا من منحها بعناية منذ البداية.
المجموعات وقواعد السجلات وأمان الحقول
ترتبط المستويات التي تختارها في تبويب حقوق الوصول بمجموعات في الخلفية. ولرؤيتها، فعّل وضع المطور من قسم أدوات المطور في تطبيق الإعدادات. يمكنك بعدها فتح تبويب حقوق الوصول التقنية للمستخدم، الذي يسرد المجموعات المختارة والمجموعات المضافة تلقائيًا لأن مجموعات أخرى تستلزمها.
في هذا التبويب، يشير اللون الأخضر إلى صلاحية توفرها صلاحية أخرى بالفعل، ويشير اللون الأحمر إلى صلاحيات متعارضة لا يمكن أن تكون مفعّلة معًا، ويشير الخط المائل إلى صلاحيات تستلزمها مجموعة مختارة. وقد يؤدي حذف مجموعة مختارة أيضًا إلى تغيير المجموعات المضافة تلقائيًا، لذا راجع النتيجة بعد كل تغيير.
عند تفعيل وضع المطور، تُعرض المجموعات ضمن الإعدادات، ثم المستخدمون والشركات، ثم المجموعات. ويعرض نموذج كل مجموعة مستخدميها، والمجموعات الموروثة، والقوائم، وطرق العرض، وصلاحيات الوصول على مستوى النموذج مع خيارات القراءة والكتابة والإنشاء والحذف، وقواعد السجلات.
قواعد السجلات مرشحات على مستوى الصفوف تُكتب في صورة نطاقات (domains)، وهي شروط تصفية على السجل. ويمكن أن تنطبق كل قاعدة على القراءة والكتابة والإنشاء والحذف كلٌّ على حدة. وبها يقيّد Odoo، على سبيل المثال، مندوب المبيعات بمستنداته فقط.
تحذر وثائق Odoo من أن المسؤولين وحدهم يمكنهم تغيير حقوق الوصول، وأن التغييرات غير المدروسة قد تترك قاعدة البيانات دون أي مستخدم قادر على إصلاحها. وتوصي بإشراك محلل متمرس قبل تعديل المجموعات أو قواعد السجلات مباشرة. وعمليًا، فضّل المستويات القياسية في تبويب حقوق الوصول، ولا تلمس المجموعات والقواعد إلا عندما لا تناسبك الخيارات القياسية فعلًا.
يتحكم قسم الإدارة في تبويب حقوق الوصول للمستخدم في من يمكنه إدارة النظام نفسه. فاختيار حقوق الوصول يتيح للشخص إدارة صلاحيات المستخدمين الآخرين، بينما يمنح خيار الإعدادات وصولًا أوسع إلى التهيئة.
وضع المستخدم الفائق، المتاح من قائمة التصحيح في وضع المطور للمستخدمين الذين لديهم صلاحية الإعدادات، يتجاوز قواعد السجلات وحقوق الوصول بالكامل. لا تستخدمه إلا في حالات الطوارئ واستكشاف الأخطاء وإصلاحها، ولا تستخدمه أبدًا في العمل اليومي، واخرج من جلسة المستخدم الفائق فور انتهائك.
أحيانًا ينبغي لشخص ما استخدام سجل دون رؤية حقل معين فيه، مثل التكلفة أو الراتب. ففي Odoo Studio، تتضمن خصائص الحقل خيارات السماح بالظهور للمجموعات، ومنع الظهور للمجموعات، وللقراءة فقط، بحيث يمكنك تقييد من يرى حقلًا معينًا أو يعدّله.
يمكن لـ Studio أيضًا إعداد قواعد الاعتماد وتعديل قواعد الأمان. وStudio جزء من Odoo Enterprise وغير متاح في Community، وتشير الوثائق إلى أن تثبيته قد يؤثر على خطة اشتراكك، لذا تحقق من ذلك قبل أن تبدأ.
في Odoo Community، يظل إطار الأمان الأساسي المكوّن من المجموعات وصلاحيات الوصول على مستوى النموذج وقواعد السجلات موجودًا. ومن دون Studio، تُنفَّذ التغييرات على مستوى الحقول والقواعد المخصصة عادةً على يد مطور من خلال وحدة مخصصة.
الوصول في بيئة الشركات المتعددة
يمكن لقاعدة بيانات Odoo واحدة أن تضم عدة شركات. وفي نموذج المستخدم، تحدد منطقة الشركات المتعددة في تبويب حقوق الوصول الشركات المسموح بها التي يمكن للمستخدم العمل فيها، والشركة الافتراضية التي يدخل إليها عند تسجيل الدخول.
ينتقل المستخدمون بين الشركات المسموح لهم بها باستخدام محدد الشركات في أعلى يمين الشريط العلوي، ويمكنهم تحديد عدة شركات للعمل عليها في الوقت نفسه.
يتحكم حقل الشركة في السجل في ظهوره. فترك حقل الشركة فارغًا يجعل السجل متاحًا لجميع الشركات، بينما يقصر تحديد شركة بعينها ظهوره على المستخدمين المسجلين في تلك الشركة. وتظهر المستندات مثل عروض الأسعار والفواتير وفواتير الموردين فقط عندما تكون مسجلًا في الشركة التابعة لها. والمنتجات وجهات الاتصال الجديدة مشتركة افتراضيًا ما لم تحدد لها شركة.
تحذر الوثائق من أن إعدادات الشركات المتعددة غير الصحيحة قد تسبب سلوكًا غير متسق، لذا لا ينبغي أن يغيّرها إلا مسؤولون متمرسون. وبالنسبة لهياكل المجموعات، حدد مبكرًا البيانات المشتركة والبيانات الخاصة بكل شركة، واختبر التدفقات بين الشركات قبل التشغيل الفعلي.
المصادقة الثنائية وسياسة كلمات المرور
يمكن لكل مستخدم تفعيل المصادقة الثنائية من تفضيلاتي، في تبويب الأمان، بالنقر على تفعيل المصادقة الثنائية. وبعد تأكيد كلمة المرور، يمسح رمز QR باستخدام تطبيق مصادقة ويُدخل رمز التحقق.
يمكن للمسؤولين فرض المصادقة الثنائية من قسم الصلاحيات في تطبيق الإعدادات بتحديد خيار فرض المصادقة الثنائية واختيار الموظفين فقط أو جميع المستخدمين. ويشمل خيار جميع المستخدمين مستخدمي البوابة أيضًا.
إذا فقد مستخدم إمكانية الوصول إلى تطبيق المصادقة، فيجب على المسؤول إلغاء تفعيل المصادقة الثنائية على حسابه قبل أن يتمكن من تسجيل الدخول مرة أخرى. أدرج خطوة الاسترداد هذه في إجراءات الدعم لديك حتى تُنفَّذ مع التحقق السليم من الهوية.
بالنسبة لكلمات المرور، ثبّت وحدة سياسة كلمات المرور وحدد الحد الأدنى لطول كلمة المرور في قسم الصلاحيات بالإعدادات. ويمكنك أيضًا تحديد ما إذا كان يُسمح للمستخدمين بإعادة تعيين كلمات مرورهم بأنفسهم من صفحة تسجيل الدخول عبر خيار إعادة تعيين كلمة المرور في القسم نفسه.
عند تثبيت وحدة مهلة الجلسة، يظهر في نماذج المجموعات تبويب للمهلات. ويمكنك من خلاله ضبط قفل الشاشة عند عدم النشاط وتسجيل الخروج من الجلسة، مع إمكانية دمج ذلك بالمصادقة الثنائية.
إمكانية التتبع: سجل الرسائل وسجل التدقيق المحاسبي
يوفر سجل الرسائل (chatter) في كل السجلات تقريبًا تاريخًا متواصلًا للتغييرات. فعندما يتغير سجل، يدوّن Odoo ملاحظة بتفاصيل التغيير وتوقيته، وتُنسب التغييرات التي تتم عبر الاستيراد أو إجراءات النظام إلى OdooBot. والملاحظات المدوّنة لا يراها إلا المستخدمون الداخليون.
بالنسبة للمحاسبة، يتتبع سجل التدقيق التغييرات على الحقول التي تؤثر على الدفاتر، بما في ذلك التاريخ والوقت والمستخدم ونوع التغيير والقيمتان السابقة والجديدة. وهو متاح ضمن المحاسبة، ثم المراجعة، ثم سجل التدقيق.
يمنع الإعداد الاختياري لسجل التدقيق المقيِّد، الموجود في قسم إعداد التقارير بإعدادات المحاسبة، حذف السجلات المتتبَّعة. فلا يمكن سوى إلغاؤها أو أرشفتها، مما يحافظ على السجل التاريخي سليمًا.
أمثلة على الفصل بين المهام
الفصل بين المهام يعني ألا يتحكم شخص واحد في عملية حساسة بالكامل من بدايتها إلى نهايتها. وتتيح لك مستويات الوصول إلى التطبيقات والمجموعات وقواعد الاعتماد في Odoo توزيع هذه الخطوات على عدة أشخاص.
- الشخص الذي ينشئ الموردين وبياناتهم البنكية لا ينبغي أن يكون هو نفسه من يسجّل الدفعات ويرسلها.
- موظفو المشتريات ينشئون الطلبات وأوامر الشراء، بينما يعتمد مدير ذو صلاحيات أعلى الأوامر التي تتجاوز حدًا متفقًا عليه.
- موظفو المستودع يصادقون على الاستلامات والتسليمات، بينما يعتمد تعديلات المخزون شخص من خارج فريق المستودع.
- إعداد الرواتب واعتمادها يتولاهما شخصان مختلفان، وتُخفى حقول الرواتب عن المستخدمين الذين لا يحتاجون إليها.
- لا يملك مستوى إدارة حقوق الوصول إلا مجموعة صغيرة من فريق تقنية المعلومات أو الإدارة، ولا يعتمد أحد التغييرات على صلاحياته الخاصة.
في الشركات الصغيرة التي يتعذر فيها الفصل الكامل، عوّض ذلك بالمراجعة: استخدم سجل الرسائل وسجل التدقيق المحاسبي لفحص التغييرات الحساسة وفق جدول منتظم.
أفضل الممارسات والمراجعة الدورية
- امنح الحد الأدنى من الصلاحيات اللازمة، ووثّق سبب حصول كل مستخدم على كل مستوى.
- اقصر المسؤولين على قائمة قصيرة بأسماء محددة، وتجنب الحسابات المشتركة.
- افرض المصادقة الثنائية وحدًا أدنى لطول كلمة المرور.
- أرشف المستخدمين فور مغادرتهم، واسحب صلاحية البوابة من جهات الاتصال التي لم تعد تحتاج إليها.
- اختبر كل تغيير في الصلاحيات بمستخدم تجريبي في قاعدة بيانات منسوخة قبل تطبيقه على النظام الفعلي.
- راجع المستخدمين والمجموعات والشركات المسموح بها وفق جدول ثابت، كل ربع سنة مثلًا، وبعد كل إعادة هيكلة.
لأرشفة مستخدم، حدده في إدارة المستخدمين، وافتح قائمة الإجراءات واختر أرشفة. ولإزالة صلاحية البوابة، افتح جهة الاتصال، واختر منح صلاحية البوابة من قائمة الإجراءات، ثم انقر على سحب الصلاحية.
ينبغي أن تقارن المراجعة الدورية كل مستخدم نشط بوظيفته الحالية، وأن تتحقق ممن يملكون مستوى المسؤول أو حقوق الوصول، وأن تؤكد الشركات المسموح بها، وأن تطّلع على التغييرات الحساسة الأخيرة في سجل الرسائل وسجل التدقيق. واحتفظ بسجل موجز لكل مراجعة حتى تتمكن من عرضه على المدققين.
كيف يمكن أن تساعدك 1CBMS
تصمم 1CBMS نماذج الوصول في Odoo 19 وتطبقها للشركات في مصر والعراق. فنحن نطابق هيكلك التنظيمي وسياسات الاعتماد لديك مع المستخدمين والمجموعات وقواعد السجلات وإعدادات الشركات المتعددة، ونُعد المصادقة الثنائية وقواعد كلمات المرور، وندمج الفصل بين المهام في سير عملك اليومي، ونختبر كل شيء في قاعدة بيانات مرحلية، وندرّب فريقك على إجراء مراجعات منتظمة للصلاحيات. تواصل معنا عبر www.1cbms.com لمراجعة قاعدة بيانات Odoo الخاصة بك أو تأمينها.