Роли и права
JWT выдаёт только struna-iam. MES валидирует токен через gRPC и проверяет
роли домена site:<id>. Платформенный admin (пустой домен) имеет полный
доступ ко всем площадкам.
Роли
| Роль | Домен | Назначение |
|---|---|---|
| admin | пустой | платформа, все площадки, мастер-данные |
| mes_admin | site:<id> | настройка площадки, роли, мастер-данные |
| mes_planner | site:<id> | заказы, наряды, планирование |
| mes_master | site:<id> | наряды, допуски, выполнение, качество |
| mes_operator | site:<id> | факт выполнения, NCR |
| mes_qc | site:<id> | ОТК, диспозиции, прослеживаемость |
| mes_storekeeper | site:<id> | склад, приход/расход, отгрузка |
Матрица действий
| Действие | admin | mes_admin | planner | master | operator | qc | storekeeper |
|---|---|---|---|---|---|---|---|
| Создать площадку | да | — | — | — | — | — | — |
| Настроить площадку | да | да | — | — | — | — | — |
| Выдать роль | да | да | — | — | — | — | — |
| Оргструктура, РЦ, смены | да | да | — | — | — | — | — |
| Работники | да | да | — | — | — | — | — |
| Мастер-данные | да | да | — | да | — | — | — |
| Заказ клиента | да | да | да | — | — | — | — |
| Производственный заказ | да | да | да | — | — | — | — |
| Release | да | да | да | — | — | — | — |
| Наряд | да | да | да | да | — | — | — |
| Допуск | да | да | — | да | — | — | — |
| Факт выполнения | да | да | да | да | да | — | — |
| Reconciliation | да | да | — | да | — | да | — |
| Инспекция ОТК | да | да | — | да | — | да | — |
| Возбудить NCR | да | да | — | да | да | да | — |
| Диспозиция NCR | да | да | — | да | — | да | — |
| Склад: справочник | да | да | — | — | — | — | да |
| Склад: приход | да | да | — | да | — | — | да |
| Склад: расход | да | да | — | да | да | — | да |
| Отгрузка: сборка | да | да | да | — | — | — | да |
| Отгрузка: dispatch | да | да | — | да | — | — | да |
| Отгрузка: расхождения | да | да | — | да | — | да | — |
| Журнал: чтение | да | да | да | да | да | да | да |
| Входящие: приём | да | да | — | да | — | — | — |
Матрица отражает RBAC-guard'ы v1. Отдельные действия внутри раздела могут
требовать более узкой роли — например, scrap сверх порога доступен только
mes_master/mes_admin.
Проверено на MES 0.1.0. Если интерфейс отличается, проверьте актуальность данных и сообщите об ошибке.