Rola — czym jest i jak liczą się uprawnienia

Rola to zestaw zgód, przypisany do firmy. Nie jest globalna: każda firma ma własne role, nawet jeśli nazywają się tak samo. Nie ma szablonów ani ról współdzielonych między firmami.

Rola trzyma dwie rzeczy

1. Uprawnienia modułów — co widzisz i co możesz robić w danym obszarze systemu (Uprawnienia modułów — odczyt, zapis, tworzenie).
2. Uprawnienia do pól — dostęp do konkretnych pól i pojedynczych czynności (Uprawnienia do pól — pojedyncze pola i pojedyncze czynności).

Plus przełącznik administratora firmy, który zastępuje jedno i drugie (Administrator firmy i superadministrator — kto co omija).

Kilka ról naraz — i sumowanie

Użytkownik może mieć dowolnie wiele ról w jednej firmie. Uprawnienia z nich się sumują.

To jest najważniejsza zasada w całym module, więc powiedzmy ją wprost:

Nie istnieje uprawnienie odmawiające. Rola może tylko dawać. Nadanie kolejnej roli może dostęp wyłącznie poszerzyć — nigdy zawęzić.

Praktyczny wniosek: żeby komuś coś odebrać, trzeba to odebrać we wszystkich jego rolach. Dołożenie roli „ograniczonej" niczego nie ograniczy. Jeśli ktoś widzi za dużo, sprawdź komplet jego ról, nie tę ostatnio nadaną.

Role są per firma

Ta sama osoba może być administratorem w jednej firmie i operatorem w drugiej. System liczy uprawnienia wyłącznie względem firmy aktywnej (Moje firmy — aktywna firma i przełączanie kontekstu).

Stąd typowe zgłoszenie: „u nas ma dostęp, a mówi, że nie widzi" — bo pracuje z przełączoną firmą.

Nazwa roli musi być unikalna w firmie

Dwie role o tej samej nazwie w jednej firmie nie istnieją. W dwóch różnych firmach — jak najbardziej.

Usunięcie roli działa kaskadowo

Skasowanie roli usuwa jej uprawnienia modułów, uprawnienia do pól oraz przypisania do użytkowników. Okno potwierdzenia ostrzega, jeśli rola jest komuś przypisana — potraktuj to ostrzeżenie poważnie, bo cofnąć się nie da.