Добрый день. У меня следующая беда, весь мозг сломал:

Мне надо сотрудникам дать разные права на создание разных объектов в разных ветках организационной структуры. Отдельные ветки - это отдельные БЕ.
В данный момент используется P_ORGIN с доступными разделами персонала, PLOGI со *, так как в одной ветке(БЕ) сотрудник может совершать любые операции с любыми объектами. Ограничивается все профилем структурных полномочий в OOSB.
Теперь появилась необходимость ряду сотрудников разрешить в другой ветке(другой БЕ) создавать записи

ИТ1001 S A008 US
ИТ1001 S A210 S и только их.

Можно включить P_ORGINCON, но по типу объектов ограничение там не ставятся. Идеально бы использовать PLOG_CON, но в документации написано, что он не работает.
Буду рад любому совету.

для другой ветки БЕ создаете отдельный профиль структурных полномочий.
в бади hrbasinfty читайте перечень объектов структурных полномочий, и ищите кобинацию вашего профиля и объекта.
Нашли значит операцию пропускаем.
Если не нашли, ну наверное надо из буфера обновления удалить и выдать какой-то мессадж.

На уровне полномочий не сможете сделать.

Если же эта ветка - есть отдельная БЕ (всегда)
Тогда профиль не нужен. проверяйте в БАДи БЕ для изменяемого объекта.

А какой объект полномочий использовать для списка объектов? PLOG? так он не подходит, так как им не "рулятся" полномочия на разные БЕ(ветки структуры).
Так как в другой ветке у пользователя, максимальные полномочия.

У пользователя будут максимальные полномочия.
А это будет АБАП костыль на отдельную БЕ.

Спасибо, за помощь так и сделал примернно:
1. Создал 2 профиля для этой ветки с O,S,P,US - один на просмотр, другой на редактирование (с пропуском O и P). Тем самым я могу редактировать любые ИТ для S и US.
Поэтому редактировать соединения S и US можно, S и S также можно, а S c P( даже разрешенное в объекте полномочий A008) и S с O уже нет.

Далее в ZHRBAS00INFTY - AFTER_input
2. Читаю контировку для S и узнаю раздел персонала.
3. Проверяю P_ORGIN(в нем по разделу персонала разрешаю ИТ 1001 с подтипом A008, А210 и В210) по разделу персонала, ИТ и подтипу - получается, что другие ИТ для S вести запрещено.

Решение на мой взгляд не красивое(очень хочется рабочий PLOG_CON), но рабочее.