ERP-система хранит ваши цены, зарплаты, списки клиентов и банковские реквизиты в одном месте. Это делает её очень полезной, но также означает, что небрежная настройка доступа может раскрыть конфиденциальные данные или позволить одному человеку делать то, что требует второй пары глаз. Odoo 19 предлагает для этого многоуровневый набор средств контроля. При правильном использовании они позволяют каждому сотруднику выполнять свою работу, не видя и не изменяя больше, чем нужно.
Об источниках: руководство основано на официальной документации Odoo для версии 19.0. Названия меню и параметры могут различаться в зависимости от версии, редакции и установленных приложений, поэтому проверяйте каждый шаг в тестовой базе данных или её копии, прежде чем применять его в рабочей системе.
Сначала разберитесь с типами пользователей
В Odoo есть три типа пользователей. Внутренние пользователи — это сотрудники, работающие в базе данных. Пользователи портала — внешние лица, например клиенты или поставщики, которые просматривают свои записи через портал. Публичные пользователи — посетители сайта.
Официальная документация также описывает администраторов как внутренних пользователей с расширенными правами, например на технические функции и экспорт данных. Рассматривайте роль администратора как привилегию для небольшого числа доверенных лиц, а не как удобство для всех.
С пользователями портала Odoo работает иначе, чем с внутренними. Odoo не позволяет задавать для пользователя портала права доступа к приложениям. Вместо этого пользователи портала получают предустановленные правила записей и ограниченные меню, а в документации указано, что они имеют к документам в базе данных доступ только для чтения или просмотра.
Типичные сценарии использования портала: отслеживание и оплата заказов, загрузка и оплата счетов, управление способами оплаты и подписками, обновление адресов.
Как устроены уровни контроля доступа в Odoo
Доступ в Odoo удобно представлять как набор последовательных фильтров. Тип пользователя задаёт общую границу. Уровни доступа к приложениям в карточке пользователя определяют, какими приложениями человек может пользоваться и в каком объёме. За этими уровнями стоят группы, которые несут права на уровне моделей: чтение, запись, создание и удаление. Правила записей затем сужают круг отдельных записей, доступных группе. Сверх этого можно скрывать отдельные поля от определённых групп, ограничивать компании, которые пользователь может открывать, и усиливать защиту самого входа в систему.
Создание пользователей и назначение доступа к приложениям
Чтобы добавить внутреннего пользователя, откройте приложение «Настройки», перейдите в раздел «Пользователи», нажмите «Управление пользователями», а затем «Создать». Заполните форму, включая адрес электронной почты.
На вкладке «Права доступа» выберите уровень для каждого приложения. Здесь отображаются только приложения, установленные в базе данных. Распространённые уровни — пустое значение (нет доступа), «Пользователь: только свои документы», «Пользователь: все документы» и «Администратор», но конкретные варианты зависят от приложения.
Сохраните пользователя. Odoo отправит приглашение на адрес электронной почты из формы, и человек должен принять его, чтобы создать учётную запись. На экране «Управление пользователями» фильтры «Внутренний пользователь» и «Пользователь портала» помогают просматривать каждый тип отдельно.
Назначайте каждому новому пользователю минимальный уровень, позволяющий выполнять его работу, и расширяйте доступ только при явной необходимости. Отнять доступ позже всегда сложнее, чем изначально выдать его аккуратно.
Группы, правила записей и защита полей
Уровни, которые вы выбираете на вкладке «Права доступа», в фоновом режиме соответствуют группам. Чтобы увидеть их, включите режим разработчика в разделе «Инструменты разработчика» приложения «Настройки». После этого можно открыть вкладку «Технические права доступа» пользователя, где перечислены выбранные группы и группы, добавленные автоматически, поскольку их подразумевают другие группы.
На этой вкладке зелёным отмечено право, уже предоставленное другим разрешением, красным — права, которые конфликтуют и не могут действовать одновременно, а курсивом — права, подразумеваемые выбранной группой. Удаление выбранной группы может изменить и автоматически добавленные группы, поэтому проверяйте результат после каждого изменения.
При включённом режиме разработчика группы перечислены в меню «Настройки» → «Пользователи и компании» → «Группы». Форма каждой группы показывает её пользователей, наследуемые группы, меню, представления, права доступа на уровне моделей с параметрами чтения, записи, создания и удаления, а также правила записей.
Правила записей — это фильтры на уровне строк, записанные в виде доменов, то есть условий отбора для записи. Каждое правило может отдельно применяться к чтению, записи, созданию и удалению. Именно так Odoo, например, ограничивает продавца его собственными документами.
Документация Odoo предупреждает, что изменять права доступа могут только администраторы и что неосторожные изменения могут оставить базу данных без пользователя, способного их исправить. Перед прямым редактированием групп или правил записей рекомендуется привлечь опытного аналитика. На практике отдавайте предпочтение стандартным уровням на вкладке «Права доступа» и трогайте группы и правила только тогда, когда стандартные варианты действительно не подходят.
Раздел «Администрирование» на вкладке «Права доступа» пользователя определяет, кто может управлять самой системой. Значение «Права доступа» позволяет человеку управлять доступом других пользователей, а «Настройки» даёт более широкий доступ к конфигурации.
Режим суперпользователя, доступный в меню отладки в режиме разработчика пользователям с доступом к настройкам, полностью обходит правила записей и права доступа. Используйте его только в экстренных случаях и для диагностики, никогда — для повседневной работы, и выходите из сеанса суперпользователя сразу после завершения.
Иногда человек должен работать с записью, но не видеть одно из её полей, например себестоимость или размер зарплаты. В Odoo Studio свойства поля включают «Разрешить видимость группам», «Запретить видимость группам» и «Только для чтения», что позволяет ограничить круг тех, кто видит или изменяет конкретное поле.
Studio также позволяет настраивать правила утверждения и корректировать правила безопасности. Studio входит в Odoo Enterprise и недоступен в Community, а в документации отмечено, что его установка может повлиять на ваш тарифный план, поэтому проверьте это заранее.
В Odoo Community базовая система безопасности — группы, права доступа к моделям и правила записей — сохраняется. Без Studio изменения на уровне полей и собственные правила обычно реализует разработчик в виде собственного модуля.
Доступ в нескольких компаниях
Одна база данных Odoo может содержать несколько компаний. В карточке пользователя область «Несколько компаний» на вкладке «Права доступа» задаёт «Разрешённые компании», в которых пользователь может работать, и «Компанию по умолчанию», в которую он попадает при входе.
Пользователи переключаются между разрешёнными компаниями с помощью переключателя компаний в правом верхнем углу и могут отметить несколько компаний, чтобы работать с ними одновременно.
Видимостью записи управляет её поле «Компания». Пустое поле делает запись доступной всем компаниям, а конкретная компания ограничивает её пользователями, вошедшими в эту компанию. Такие документы, как коммерческие предложения, счета клиентам и счета поставщиков, отображаются только при входе в соответствующую компанию. Новые товары и контакты по умолчанию общие, если не указать для них компанию.
Документация предупреждает, что неверные настройки нескольких компаний могут привести к непоследовательному поведению системы, поэтому менять их должны только опытные администраторы. Для групп компаний заранее решите, какие данные общие, а какие относятся к конкретной компании, и протестируйте межкорпоративные процессы до запуска.
Двухфакторная аутентификация и политика паролей
Каждый пользователь может включить двухфакторную аутентификацию в разделе «Мои настройки» на вкладке «Безопасность», нажав «Включить 2FA». После подтверждения пароля он сканирует QR-код в приложении-аутентификаторе и вводит код подтверждения.
Администраторы могут сделать двухфакторную аутентификацию обязательной в разделе «Разрешения» приложения «Настройки», отметив «Обязательная двухфакторная аутентификация» и выбрав «Только сотрудники» или «Все пользователи». Вариант «Все пользователи» распространяется и на пользователей портала.
Если пользователь потерял доступ к аутентификатору, администратор должен отключить двухфакторную аутентификацию для этой учётной записи, прежде чем пользователь сможет снова войти. Включите этот шаг восстановления в процедуру поддержки, чтобы он выполнялся с надлежащей проверкой личности.
Для паролей установите модуль Password Policy и задайте «Минимальную длину пароля» в разделе «Разрешения» настроек. В том же разделе параметр «Сброс пароля» позволяет решить, могут ли пользователи сами сбрасывать пароль со страницы входа.
Если установлен модуль тайм-аута сеанса, в формах групп появляется вкладка «Тайм-ауты». Там можно настроить блокировку экрана при бездействии и завершение сеанса, при необходимости в сочетании с двухфакторной аутентификацией.
Прослеживаемость: чат записи и журнал аудита бухгалтерии
Чат (chatter) почти в каждой записи ведёт непрерывную историю. Когда запись меняется, Odoo регистрирует заметку с подробностями изменения и отметкой времени, а изменения, внесённые через импорт или системные действия, приписываются OdooBot. Внутренние заметки видны только внутренним пользователям.
В бухгалтерии журнал аудита отслеживает изменения полей, влияющих на учёт, включая дату и время, пользователя, тип изменения, а также прежнее и новое значения. Он доступен в меню «Бухгалтерия» → «Проверка» → «Журнал аудита».
Дополнительный параметр «Строгий журнал аудита» в разделе «Отчётность» настроек бухгалтерии запрещает удаление отслеживаемых записей. Их можно только отменить или архивировать, благодаря чему история сохраняется полностью.
Примеры разделения обязанностей
Разделение обязанностей означает, что ни один человек не контролирует весь чувствительный процесс от начала до конца. Уровни доступа к приложениям, группы и правила утверждения в Odoo позволяют распределить эти шаги между разными людьми.
- Тот, кто создаёт поставщиков и их банковские реквизиты, не должен быть тем же человеком, который регистрирует и отправляет платежи.
- Сотрудники закупок создают заявки и заказы, а руководитель с более высокими правами утверждает заказы сверх согласованного лимита.
- Сотрудники склада подтверждают поступления и отгрузки, а корректировки запасов утверждает человек вне складской команды.
- Подготовка и утверждение расчёта заработной платы закреплены за разными людьми, а поля с зарплатой скрыты от пользователей, которым они не нужны.
- Уровень администрирования «Права доступа» есть только у небольшой группы ИТ или администраторов, и никто не утверждает изменения собственного доступа.
В небольших компаниях, где полное разделение невозможно, компенсируйте это проверками: используйте историю в чате записей и журнал аудита бухгалтерии, чтобы регулярно проверять чувствительные изменения.
Лучшие практики и периодическая проверка
- Предоставляйте минимально необходимый доступ и документируйте, почему у каждого пользователя тот или иной уровень.
- Ограничьте администраторов коротким именным списком и избегайте общих учётных записей.
- Сделайте обязательными двухфакторную аутентификацию и минимальную длину пароля.
- Своевременно архивируйте уволившихся пользователей и отзывайте доступ к порталу у контактов, которым он больше не нужен.
- Проверяйте каждое изменение доступа на тестовом пользователе в копии базы данных, прежде чем применять его в рабочей системе.
- Проверяйте пользователей, группы и разрешённые компании по фиксированному графику, например ежеквартально, а также после каждой реорганизации.
Чтобы архивировать пользователя, выберите его в разделе «Управление пользователями», откройте меню действий и выберите «Архивировать». Чтобы отозвать доступ к порталу, откройте контакт, выберите в меню действий «Предоставить доступ к порталу» и нажмите «Отозвать доступ».
Периодическая проверка должна сопоставлять каждого активного пользователя с его текущими обязанностями, выявлять, у кого есть уровни «Администратор» или «Права доступа», подтверждать разрешённые компании и просматривать недавние чувствительные изменения в чате записей и журнале аудита. Ведите краткий протокол каждой проверки, чтобы предъявить его аудиторам.
Чем может помочь 1CBMS
1CBMS проектирует и внедряет модели доступа в Odoo 19 для компаний в Египте и Ираке. Мы переносим вашу организационную структуру и политику утверждения на пользователей, группы, правила записей и настройки нескольких компаний, настраиваем двухфакторную аутентификацию и правила паролей, встраиваем разделение обязанностей в повседневные процессы, тестируем всё в staging-базе данных и обучаем вашу команду регулярно проверять доступ. Свяжитесь с нами через www.1cbms.com, чтобы проверить или защитить вашу базу данных Odoo.