پاسخ کوتاه: سطح دسترسی کاربران در اودوو یعنی مشخص کنید هر کاربر کدام منو را ببیند، روی هر نوع سند چه کاری بکند، کدام رکوردها را ببیند و کدام فیلدها برایش پنهان باشد. اودوو این کار را با گروه امنیتی و قانون رکورد انجام می‌دهد و تنظیمش فنی است. استودیو دسترسی ابرک همین را با فرم و قالب آمادهٔ نقش در اختیار مدیر کسب‌وکار می‌گذارد و محدودیت را روی سرور اجرا می‌کند.
این راهنما برای مدیر یا صاحب کسب‌وکاری است که اودوو دارد و می‌خواهد بداند هر کارمند دقیقاً به چه چیزی دست دارد. برنامه‌نویسی لازم نیست.
سطح دسترسی یعنی چه و چرا مهم است؟
وقتی همهٔ شرکت در یک نرم‌افزار کار می‌کنند، همهٔ داده هم یک‌جا است: قیمت خرید، سود هر فاکتور، حقوق کارکنان، فهرست مشتریان. اگر دسترسی تنظیم نشود، تقریباً هر کاربر همه را می‌بیند. بیشتر مدیران وقتی سراغ این موضوع می‌آیند که اتفاقی افتاده باشد: فروشنده‌ای رفته و فهرست مشتریان را با خودش برده، یا سندی پاک شده و کسی حاضر نیست مسئولیتش را بپذیرد.
سطح دسترسی درست دو فایده دارد. دادهٔ حساس فقط دست کسی است که به آن نیاز دارد. صفحهٔ هر کارمند هم خلوت‌تر می‌شود و فقط کار خودش را می‌بیند، پس کمتر اشتباه می‌کند.
اودوو دسترسی را در چند لایه می‌سنجد؟
چهار لایه. دانستنش کمک می‌کند بدانید هر مشکل را کجا باید حل کرد.
لایهٔ اول: اپ و منو
اینکه کاربر اصلاً کدام اپ و کدام منو را در صفحه‌اش ببیند. پنهان بودن منو کار را ساده می‌کند، ولی به‌تنهایی امنیت نیست.
لایهٔ دوم: عملیات روی هر مدل
مدل یعنی نوع سند: فاکتور، سفارش فروش، مخاطب، کالا. برای هر مدل مشخص می‌شود کاربر بتواند بخواند، بسازد، ویرایش کند یا حذف کند. کارهایی مثل بایگانی، تکثیر، برون‌بری به اکسل، درون‌ریزی و چاپ هم در عمل به همین اندازه مهم‌اند.
لایهٔ سوم: رکورد
کاربر اجازهٔ دیدن سفارش فروش را دارد، ولی کدام سفارش‌ها؟ همه، یا فقط مال خودش؟ اودوو این را با «قانون رکورد» (ir.rule) می‌سنجد.
لایهٔ چهارم: فیلد
کاربر کالا را می‌بیند، ولی قیمت خریدش را نه. یا فیلدی را می‌بیند و نمی‌تواند تغییرش بدهد.
تنظیم دستی در اودوو چه سختی‌هایی دارد؟
اودوو همهٔ این لایه‌ها را دارد و سازوکارش محکم است. سختی در تنظیم است. برای پنهان کردن یک منو باید حالت توسعه‌دهنده را روشن کنید و گروه امنیتی بسازید. برای «فقط رکوردهای خودم» باید شرط را به زبان دامنهٔ اودوو بنویسید. برای پنهان کردن یک فیلد یا دکمه از یک نقش، نما باید تغییر کند. هر کدام از این‌ها کار کسی است که اودوو را از درون می‌شناسد.
نتیجه این است که مدیر برای هر تغییر کوچک منتظر برنامه‌نویس می‌ماند، یا دسترسی‌ها همان‌طور باز می‌ماند.
هر نقش چه چیزی را باید ببیند؟
جدول زیر نقطهٔ شروع است، نه نسخهٔ قطعی. هر شرکت روال خودش را دارد.
| نقش | می‌بیند | بهتر است نبیند یا نتواند |
|---|---|---|
| فروشنده | مشتریان و سفارش‌های خودش، قیمت فروش، موجودی | قیمت خرید و سود، مشتریان همکاران، برون‌بری فهرست مشتریان |
| حسابدار | فاکتورها، پرداخت‌ها، گزارش‌های مالی | حذف سند تأییدشده، تنظیمات فنی |
| انباردار | رسید و حواله، موجودی انبار خودش | قیمت‌ها، حسابداری، حذف انتقال انجام‌شده |
| صندوق‌دار | صندوق فروش و جلسهٔ خودش | منوهای پشت صحنه، تغییر قیمت، گزارش سود |
| مدیر | همه‌چیز در حوزهٔ خودش و زیرمجموعه‌اش | تنظیمات فنی سیستم، اگر مسئول فنی نیست |
| حسابرس یا شریک | همهٔ سندهای لازم | هر نوع تغییر؛ فقط‌خواندنی |
استودیو دسترسی ابرک این کار را چطور ساده می‌کند؟
استودیو دسترسی ابرک روی همان سازوکار بومی اودوو ۱۹ می‌نشیند و تنظیم را به «پروفایل دسترسی» تبدیل می‌کند. در هر پروفایل کاربران، گروه‌ها و شرکت‌ها را انتخاب می‌کنید و قواعد را از فهرست برمی‌دارید.
- منو و اپ: اپ، منو و زیرمنو را برای پروفایل پنهان می‌کنید.
- عملیات: ساخت، ویرایش، حذف، بایگانی، تکثیر، برون‌بری، درون‌ریزی و چاپ گزارش را به تفکیک مدل می‌بندید. شرط اختیاری هم دارد.
- رکورد: «فقط رکوردهای خودم» یا «خودم و زیرمجموعه‌ام». این قاعده به قانون رکورد بومی اودوو ترجمه می‌شود. با گزینهٔ آبشاری، پنهان بودن یک طرف حساب سندهای وابسته به او را هم می‌پوشاند.
- فیلد: نادیدنی، فقط‌خواندنی یا اجباری، هم در نما و هم در سرور.
- جزئیات صفحه: دکمه، برگه، فیلتر و گروه‌بندی را پنهان می‌کنید و ارسال پیام، یادداشت و فعالیت پای سند را جدا می‌بندید.
- ارث‌بری: پروفایل فرزند قواعد پروفایل والد را می‌گیرد و فقط تفاوت را اضافه می‌کند.
پنج قالب آماده هم دارد: حسابدار، فروشنده، انباردار، صندوق‌دار و مدیر. بیشتر شرکت‌ها با همین‌ها شروع می‌کنند و بعد چند قاعده را عوض می‌کنند.
پنهان کردن کافی است یا باید سمت سرور هم بسته شود؟
پنهان کردن کافی نیست. اگر دکمهٔ حذف فقط از صفحه برداشته شود، کاربری که کمی فنی باشد می‌تواند همان درخواست را مستقیم به سرور بفرستد. محدودیت واقعی آن است که سرور خودش درخواست را رد کند.
در استودیو دسترسی، بستن عملیات و قاعدهٔ فیلد سمت سرور اجرا می‌شود. فراخوان مستقیم RPC و صندوق فروش هم از همان قواعد پیروی می‌کنند. می‌توانید حالت توسعه‌دهنده را هم برای کاربران عادی ببندید تا به تنظیمات فنی نرسند.
چطور مطمئن شوم تنظیم درست است؟
سه ابزار برای همین کار هست.
- دیدن به چشم این کاربر: پیش‌نمایشی که نشان می‌دهد صفحهٔ آن کاربر با این قواعد چه شکلی است. دیگر لازم نیست رمز کارمند را بگیرید یا یک کاربر آزمایشی بسازید.
- گزارش ممیزی: هر تغییر دسترسی با نام تغییردهنده و تاریخ شمسی ثبت می‌شود. وقتی کسی می‌پرسد «این دسترسی را کی باز کرد؟» پاسخ آماده است.
- چرا این کاربر دسترسی ندارد: ابزاری برای سرور MCP ابرک که دلیل بسته بودن یک دسترسی را پیدا می‌کند. وقتی کارمند می‌گوید «فاکتور را نمی‌بینم»، لازم نیست دنبال قاعدهٔ مسئول در همهٔ پروفایل‌ها بروید.
خطاهای پرتکرار در تنظیم سطح دسترسی
- دادن دسترسی مدیر به همه: ساده‌ترین راه برای رفع «نمی‌توانم ببینم» است و بدترین راه. به‌جایش ببینید دقیقاً کدام دسترسی کم است.
- بستن منو و باز گذاشتن برون‌بری: کاربری که فهرست مشتریان را می‌بیند با یک برون‌بری همه را بیرون می‌برد. برون‌بری را جدا ببندید.
- فراموش کردن سندهای وابسته: مشتری پنهان است، ولی فاکتورش دیده می‌شود. گزینهٔ آبشاری برای همین است.
- تنظیم کاربر به کاربر: با ده کارمند جواب می‌دهد و با پنجاه نفر نه. نقش بسازید و کاربر را به نقش بدهید.
- سنجش نکردن: قاعده را می‌گذارند و فردا صبح نیمی از تیم نمی‌تواند کار کند. اول پیش‌نمایش را ببینید.
هزینهٔ استودیو دسترسی چقدر است؟
ماهانه ۲٬۵۰۰٬۰۰۰ ریال (۲۵۰ هزار تومان) به ازای هر کاربر. جزئیات پلن‌ها در صفحهٔ قیمت‌ها است و از ثبت‌نام می‌توانید شروع کنید.
برای انجام کار روی سیستم خودتان، آموزش گام‌به‌گام تنظیم سطح دسترسی کاربران در اودوو را بخوانید.
پرسش‌های پرتکرار
آیا مدیر سیستم ممکن است خودش را قفل کند؟
خیر. مدیر سیستم هرگز با قواعد استودیو دسترسی قفل نمی‌شود.
فروشنده می‌تواند فقط سفارش‌های خودش را ببیند؟
بله. قاعدهٔ رکورد «فقط رکوردهای خودم» را در پروفایل فروشنده بگذارید. برای سرپرست، «خودم و زیرمجموعه‌ام» را انتخاب کنید.
می‌شود قیمت خرید را فقط از یک نقش پنهان کرد؟
کافی است فیلد را در پروفایل همان نقش نادیدنی کنید؛ بقیهٔ نقش‌ها آن را مثل قبل می‌بینند.
این قواعد در صندوق فروش هم کار می‌کند؟
محدودیت‌ها در صندوق فروش و فراخوان مستقیم RPC هم اعمال می‌شود.
با ارتقای اودوو تنظیم‌ها از بین می‌رود؟
خیر. ارتقا بی حذف ماژول انجام می‌شود و پروفایل‌ها سر جایشان می‌مانند.
چند شرکت در یک پایگاه داده داریم. قواعد جدا می‌شود؟
هر پروفایل را می‌توان به شرکت‌های مشخصی محدود کرد.
