S> Автор: Sinix
S> Заранее извиняюсь за "многа букф".
S>
S> Проектируется каталог документов, он предназначен в первую очередь
S> для просмотра различной управленческой документации, правка этой
S> документации является второстепенной задачей и будет выполняться
S> узким кругом лиц.
S>
S> Необходимо ограничивать доступ пользователей к различным документам,
S> количество документов большое, они относительно легко группируются
S> по различным категориям и подкатегориям, причём некоторые документы
S> подпадают под множество категорий.
S>
S> Уже работает система авторизации, существуют пользователи и дерево
S> групп, так что с этой стороны всё нормально.
S>
S> Как организовать управление доступом к документам?
S>
S> Мы пошли следующим путём:
S>
S> Создали дерево папок, которое представляет собой структуру
S> документации. Считается, что документы, расположенные в одной папке,
S> принадлежат к одной категории и управлять доступом непосредственно к
S> документам не нужно.
S>
S> Поскольку каждый документ может располагаться в нескольких папках,
S> создали связи между документом и папкой (папками).
S>
S> Создали систему разрешений на папки: ID пользователя/группы, ID
S> папки, биты дотустимых операций. Разрешения наследуются подпапками,
S> различные разрешения на одну и ту же папку для одного и того же
S> пользователя суммируются.
S>
S> Выделили возможные разрешения:
S> - на просмотр структуры папки без возможности читать документы;
S> - + возможность читать документы;
S> - + возможность создавать/удалять/изменять связи между документами и
S> этой папкой; - + возможность изменения структуры папок и назначения
S> разрешений (администрирование папки).
S>
S> Предположили, что если пользователь имеет разрешение на папку, в
S> котором указано, что он может просматривать файлики, лежащие в этой
S> папке, то он может просматривать эти файлики)
S>
S> В принципе всё просто, но тут вмешался заказчик с требованием, чтобы
S> после того, как документ был опубликован в какой-нибудь папке, можно
S> было в любой момент прекратить к документу доступ.
S>
S> При этом он по-прежнему хочет, чтобы документ мог располагаться в
S> нескольких папках, чтобы было множество администраторов каталога,
S> которые отвечают за свои папки и ещё больше людей, которые публикуют
S> эти документы в эти папки.
S>
S> Было предложены 2 варианта:
S> 1: тот, кто вносит документ в каталог сам определяет тех, кто может
S> его просматривать 2: предположить, что документ может располагаться
S> только в одной папке и создавать ярлыки на этот документ в других
S> папках (да, это несколько конфлитует с первоначальной идеей, но что
S> делать?).
S>
S> Подскажите, может мы что-то упустили?

Ещё два варианта:

(1) Расширить систему разрешений на папки до:
ID пользователя/группы, ID папки, STATUS документа, биты дотустимых
операций.

(2) Ввести систему запрещений папки, которая "перебивает" разрешения:
ID пользователя/группы, ID папки, биты запрещенных операций.


Posted via ActualForum NNTP Server 1.4