Автоматическое назначение прав доступа сотрудникам в 1С:ЗУП

Ситуация

За помощью в Имплекс обратился поставщик автомобильных запчастей.

Сеть предприятия охватывает всю страну, компания располагает внушительным штатом сотрудников с интенсивным движением кадров. Специалисты HR-службы ежедневно оформляют десятки кадровых документов. Каждому новому сотруднику и члену персонала с изменившимся кругом обязанностей нужно без промедления настроить доступ в Active Directory. До обращения к нам этим занималась техподдержка: сотрудники подавали заявку, операторы её обрабатывали вручную. Такой подход постоянно давал сбои: одним выдавали не те права, другие и вовсе подолгу оставались без нужных доступов.

Чтобы понять масштаб последствий, достаточно представить такую картину: кладовщик вышел на смену и должен прямо сейчас отгрузить товар сотням клиентов — но войти в рабочую программу не может. Это и прямые финансовые потери, и серьёзный удар по репутации компании.

Задача

Сложившаяся ситуация чётко обозначила главную цель: выстроить автоматизированную систему назначения прав доступа персоналу в программных средах 1С. В рамках этой цели были сформулированы три конкретные подзадачи:

• 1С:ЗУП должна передавать в самописную систему сигнал о каждом кадровом событии — приёме сотрудника, его переводе или освобождении от должности.
• Самописная система должна на основании полученных данных определять, какой объём прав необходим конкретному работнику.
• После определения прав конфигурация должна самостоятельно запускать скрипты Active Directory и предоставлять сотруднику соответствующий доступ.

Решение

Наши разработчики спроектировали архитектуру, в которой все три подзадачи решаются автоматически и последовательно. Ниже — описание каждого этапа реализации.

Этап 1. Проектирование архитектуры и передача кадровых событий

Триггером для всей цепочки служит проведение кадрового документа в 1С:ЗУП. Как только оно произошло, система формирует пакет данных об изменениях и через брокера сообщений RabbitMQ направляет его в самописную конфигурацию. Такой подход позволяет передавать события в режиме реального времени, не нагружая основную базу.

Этап 2. Обработка входящих пакетов и обновление справочника

Самописная конфигурация принимает входящий пакет и на его основе создаёт новую запись о физическом лице либо обновляет уже существующую в своём справочнике. Именно момент обновления справочника служит стартовой точкой для следующего шага — определения объёма прав сотрудника.

Этап 3. Определение прав и назначение доступов через PowerShell

По итогам анализа кадрового события конфигурация устанавливает, какие группы и права необходимы данному сотруднику. Затем она автоматически запускает скрипты PowerShell, которые назначают нужные права непосредственно в Active Directory — без какого-либо участия оператора.

Этап 4. Разработка и доработка компонентов системы

В ходе реализации проекта специалисты выполнили следующий комплекс мероприятий:

• расширили пакет по физлицу дополнительными полями и разработали отдельный пакет с данными о кадровых перестановках;
• в принимающей конфигурации скорректировали процесс обработки пакета по физлицу и разработали новую процедуру для приёма пакетов по персоналу;
• разработали инструмент, проверяющий наличие пользователя и его групп в системе;
• написали процедуры для работы со сценариями PowerShell;
• разработали инструмент автоматического определения групп, нужных для конкретного пользователя.

Этап 5. Соблюдение стандартов разработки и тестирование

Все работы велись в соответствии с внутренними правилами создания программного обеспечения клиента: средой разработки послужила EDT, а хранилищем конфигурации – Git. По завершении работы команда актуализировала текущие автоматизированные тесты, написанные на языке Gherkin.

Результат

По окончании проекта заказчик приобрёл полностью автоматизированный механизм управления правами доступа в Active Directory: они назначаются при проведении кадрового документа, без обращений в службу технической поддержки и риска человеческой ошибки. Новый работник приступает к своим обязанностям сразу — с нужными доступами и без простоев.