Галактика в вопросах и ответах

Прошу высказать свои мнения по поводу наиболее эффективного разграничения прав доступа. Рассматривается не только PROTECT, но также РМП и иже с ним. 3 года использования PROTECT и переходы между версиями и релизами привели к пониманию что надо что-то делать...

Исходные данные:
Версия 7.12
Кол-во пользователей: около 200
Рабочих станций: около 70.

привели к пониманию что надо что-то делать...

Я пришел к тому, что в Protect'е удобно назначать права на БД и на меню отдельно разным группам, а потом эти группы комбинировать. Таким образом, у меня пользователь может входить в несколько групп - одну по БД и несколько по меню - в зависимости от его полномочий.
Жаль, что таким же образом нельзя варьировать доступ по дескрипторам рабочих групп - например, иметь все права в рамках нескольких дескрипторов.

Аналогично
Четыре вида групп:
1. Общее меню и таблицы. Определяется доступ ко всем таблицам и "нейтральным" пунктам меню модуля Настройка, конкретно: Список пользователей и всякое барахло из меню "=". Группа одна.
2. Группы типа "Контур/модуль_Администратор" - максимально возможный доступ к меню каждого из выделенных контуров/модулей. Групп несколько, по числу модулей.
3. Группы типа Контур_Модуль_Меню_ПодМеню. Нарезка пунктов меню вплоть до единичных пунктов (по необходимости). Групп много.
4. Администратор. Это supervisor и его "сменщик". Естественно, открыто все. Никакие ограничения их не касаются. Группа одна.

Для 3 вида получается много групп, но это себя оправдывает.
Все ограничения на таблицы прописываются в 1 группе. Например, всем закрыт доступ на модификацию таблицы "Классификатор видов оплат", но открыт для группы Зарплата_Администратор.
Или: всем закрыт доступ на модификацию каталога ТХО, но открыт для Бух_Администратор
и т. п.
P.S. А вообще PROTECT во многом неудобный и глючный. Если бы такого типа модули были бы у пользователей, они давно бы взвыли. Спасает то, что пользуются им админы. А они ко всему привычны.

Ага. Я как-то заметил, что поменял права пользователя, входящего в несколько групп. И группы волшебным образом это ограничение, вернее, добавленное разрешение на себя приняли.

Ни разу такого не было ...