# Как выдавать и отзывать доступы сотрудникам

> Сценарий Пачки. Администратор добавляет сотрудника в «Участники», бот «Доступы» публикует чек-лист доступов в беседу «Доступы», и каждый доступ закрывается кнопкой «Выдал». При деактивации или удалении сотрудника бот присылает карточку «Отзыв доступов» с тем же списком.

> Это Markdown-версия страницы https://pachca.com/scenarios/dostupy-sotrudnikam для ИИ-агентов. Методы API, которые здесь названы, описаны в https://dev.pachca.com/llms.txt — открой его, прежде чем вызывать API. Остальные сценарии — в https://pachca.com/llms.txt.

## Что получится

1. HR приглашает сотрудника в разделе «Участники» и заполняет в профиле отдел и групповой тег.
2. Бот получает событие об участниках пространства и публикует в беседе «Доступы» карточку с чек-листом по отделу или тегу, упоминанием @админы и кнопками «Выдал» и «Уточнить».
3. Админ нажимает «Выдал», когда закрыт весь чек-лист. В карточке появляется «Выдано: имя, время».
4. HR деактивирует или удаляет участника. Бот присылает карточку «Отзыв доступов» с тем же списком.

Вариантов три. А: без бота, HR пишет сообщение по шаблону. Б: обработчик в n8n без кода. В: свой код.

## Что нужно до начала

- Права администратора в Пачке.
- Доступ к Пачке со скоупами `chats:create`, `chat_members:write`, `bots:write`, `messages:create`. Для шагов настройки и проверки нужны ещё `search:users`, `group_tags:read`, `messages:read`. Вход описан в правилах ниже.
- Для варианта Б — n8n с узлом Пачки: https://dev.pachca.com/guides/n8n/setup.md

## Если ты ИИ-агент: правила работы

### Кто что делает

- Всё, для чего в инструкции назван метод API, делаешь ты. Не проси пользователя создать беседу, бота или сообщение руками.
- Пользователя проси только о входе в Пачку и о том, что есть в разделе «Попроси пользователя сделать руками».
- Если терминала у тебя нет, скажи об этом сразу и не делай вид, что настроил. Проведи пользователя по шагам для человека со страницы сценария и помоги с шаблоном или кодом обработчика.

### Как говорить с пользователем

- Пользователь не разработчик. Пиши коротко и простыми словами. Не называй методы API, скоупы, коды ответов, `id` и профили CLI. Вместо «скоупы» говори «права», вместо «обработчик» — «программа, которая отвечает за бота».
- О своих проверках не рассказывай. В сообщении только три вещи: что уже готово, что нужно от пользователя, что ты сделаешь дальше.
- Не спрашивай то, что можешь узнать сам через API или что легко поменять позже. Возьми значение из инструкции и назови его.
- Тексты сообщений бота бери из инструкции или напиши сам и продолжай. Покажи их в итоговом сообщении и предложи поменять. Подтверждения не жди.
- Вопросы из раздела «Спроси у пользователя» задавай теми же словами.

### Первое сообщение пользователю

Оно состоит из трёх частей. Первые две вместе занимают не больше пяти строк.

1. Что получится: одна-две строки.
2. Что ты создашь сам: беседа, бот, сообщения с названиями из инструкции. То, что зависит от выбора пользователя, называй условно: «если выберете бота, создам ещё…».
3. «От вас нужно»: вход в Пачку, если его ещё нет, и вопросы из раздела «Спроси у пользователя». Если сценарию или одному из вариантов нужен n8n, здесь же спроси, есть ли он у пользователя, и сразу попроси доступ словами из раздела «n8n» ниже: «если n8n есть, пришлите…».

Если часть результата появится только после ручного шага пользователя, скажи об этом одной строкой: «вопросы ретро по расписанию настроите сами, я подскажу как».

Ответ пользователя на вопросы — это согласие с планом. После него настраивай сразу, второго подтверждения не проси.

### Доступ к Пачке

- Токен выпускать и присылать в чат не нужно. Перед первым сообщением проверь вход: `npx -y @pachca/cli@latest auth status`. Если входа нет, попроси пользователя выполнить в своём терминале `npx -y @pachca/cli@latest auth login`. CLI покажет код, пользователь введёт его в браузере и подтвердит доступ. Пиши команды с `@latest`: без него может запуститься старая версия CLI из кэша, она вместо входа через браузер просит вставить токен.
- Права такого входа равны правам роли пользователя. Сам сверь их со скоупами из раздела «Что нужно до начала»: скоупы показывает `npx -y @pachca/cli@latest api GET /oauth/token/info`. Если прав не хватает, скажи простыми словами, чего ты не сможешь сделать, например «не смогу отправлять сообщения». Путей два: добавить это право токену в Пачке, в разделе «Автоматизации» → «API», или войти заново под владельцем или администратором пространства.
- Если `auth status` показывает `scopes: null`, это не значит, что прав нет: смотри `GET /oauth/token/info`. Для проверок из этих правил нужны ещё `search:chats`, `bots:read` и `profile:read`.
- Когда пользователь говорит «я», это владелец входа. Его `id` и ник отдаёт `GET /profile`.
- API вызывай через `npx -y @pachca/cli@latest api <МЕТОД> <путь> -o json`. Команду пиши целиком в каждом вызове, в переменную оболочки её не клади.
- Параметры запроса передавай как `--query ключ=значение`, например `--query query=Закупки`. Параметр без ключа CLI молча отбрасывает и возвращает весь список: легко решить, что нужная беседа уже есть.
- Тело запроса передавай через `--data` или `--input`. Почти у каждого метода записи тело обёрнуто в объект: `chat` у `POST /chats`, `message` у `POST /messages`, `task` у `POST /tasks`, `group_tag` у `POST /group_tags`, `user` у `PUT /users/{id}`, `webhook` у ботов. Обёртку показывает `--describe`, путь в нём пиши с `{id}`, а не с числом. Без обёртки `POST /chats` создаст беседу, но молча не добавит участников.
- Токены и адреса входящих вебхуков ботов в чат не выводи. Токен бота показывают один раз, при создании: сохрани его в файл.

### n8n

- Если n8n у пользователя нет, скажи, что его берут в облаке n8n Cloud или ставят на свой сервер, и дай ссылку на установку узлов Пачки: https://dev.pachca.com/guides/n8n/setup.md. Как ставить n8n, эта инструкция не описывает. Если в ней есть вариант без n8n, предложи начать с него, а к боту вернуться, когда n8n появится.
- Если n8n есть, попроси доступ к нему этими словами: «Пришлите адрес вашего n8n: ссылку, по которой вы открываете его в браузере. Ключ в чат не присылайте. В n8n откройте Settings → n8n API → Create an API key и скопируйте ключ. Сразу после этого выполните в терминале команду ниже как есть, вписывать в неё ничего не нужно. Она сохранит скопированный ключ в файл, на экране ничего не появится. Потом напишите мне „ключ сохранил“». Команда для macOS: `pbpaste > ~/n8n-key.txt`. Для другой системы подбери свою.
- Всё, что собираешь в n8n, делай на официальных узлах Пачки `n8n-nodes-pachca`. Узел `HTTP Request` для вызовов API Пачки не бери.

### Настройка

- Методы API бери из https://dev.pachca.com/llms.txt, на память не полагайся. Схему метода показывает команда `npx -y @pachca/cli@latest api <МЕТОД> <путь> --describe`.
- Порядок вызовов и разбор ошибок для чатов, ботов и форм есть в скиллах Пачки: `npx skills add pachca/openapi`. Ставь их, когда понадобятся, пользователя об этом не спрашивай.
- Перед созданием проверь, нет ли уже такой беседы и такого бота: `GET /search/chats`, `GET /bots`. Если есть, спроси, настраивать их или создать новые.
- `POST /group_tags` создаёт пустой тег. Сотруднику его назначает `PUT /users/{id}` с `list_tags`, нужен скоуп `users:update`. Поле заменяет набор тегов целиком: сначала прочитай текущие теги сотрудника через `GET /users/{id}` и передай их вместе с новым. Пока в теге никого нет, его упоминание никого не уведомит.
- Если метод ответил ошибкой, остановись и скажи пользователю простыми словами, что не получилось и что нужно, чтобы продолжить.
- Сообщения, которые публикуешь сам или которые отправляет бот, должны легко читаться с экрана, без перебора с отступами и выделением. Заголовок выдели жирным, текст под ним начинай со следующей строки. Связный текст пиши одним абзацем. Правила и шаги ставь нумерованными строками одна под другой и отдели их от вступления одной пустой строкой. Больше пустых строк в коротком сообщении не нужно. В карточке подписи полей выдели жирным, поля ставь строка под строкой. Жирным выделяй только заголовок и подписи полей. Списков и таблиц в разметке Пачки нет: цифры в начале строк остаются обычным текстом. Образец:

  ```text
  **Правила ретро**
  В последний день спринта сюда приходит сообщение с вопросами. Отвечаем в треде под ним.

  1. Каждый пункт пишем отдельным сообщением.
  2. Ставим 👍 тому, что важно обсудить.
  3. Итоги ведущий пишет одним сообщением и закрепляет его.
  ```
- Закрепление через API не проверить: его подтверждает только успешный ответ `POST /messages/{id}/pin`.
- Если для проверки бота ты отправлял в беседу служебные сообщения, например `/start`, удали их: `DELETE /messages/{id}`. Сообщения с правилами и шаблонами не удаляй.
- В конце напиши, что создано, что осталось сделать пользователю руками и как проверить, что сценарий работает.
- Откатить настройку: `DELETE /bots/{id}` удаляет бота, `PUT /chats/{id}/archive` отправляет беседу в архив.

## Как настроить сценарий вместе с пользователем

### 1. Спроси у пользователя

Задай эти вопросы этими словами:

1. Как HR будет сообщать о новом сотруднике? Сообщением по шаблону в беседе «Доступы»: заработает сразу. Или бот сам опубликует карточку с чек-листом, когда HR пригласит сотрудника: для него нужен n8n. У вас есть n8n? Если нет или не уверены, начнём с простого варианта, а бота добавим потом.
2. Кто выдаёт доступы и кто HR? Напишите имена, добавлю их в беседу.
3. Какие сервисы нужны каждому отделу? Например, продажам CRM и телефония, разработке репозиторий и VPN.
4. Какой набор выдавать, если отдел у сотрудника не указан?

### 2. Сделай сам через API Пачки

1. Найди `id` админов и HR: `GET /search/users` или `GET /users`.
2. Создай беседу: `POST /chats` с `name: "Доступы"` и `member_ids`. Сохрани `id` беседы из ответа, он нужен обработчику.
3. Проверь, есть ли тег «админы»: `GET /group_tags` с `names`.
4. Для варианта А предложи опубликовать в беседе шаблон: `POST /messages`. Шаблон со страницы:

```
@админы новый сотрудник: Иван Петров · Продажи · выход 05.10
☐ Почта   ☐ CRM   ☐ VPN   ☐ Телефония
Выдали — ставьте ✅ и пишите в тред, что сделано
```

В день увольнения HR копирует то же сообщение с заголовком «Отзыв доступов». Для варианта А дальше ничего не нужно.

Для вариантов Б и В:

5. Создай бота: `POST /bots` с `name: "Доступы"`, ником на `_bot` и `events: ["company_member_invite", "company_member_confirm", "company_member_suspend", "company_member_delete", "button_click"]`. Сохрани `id` бота и `access_token`: токен показывают один раз, им обработчик публикует карточки.
6. Добавь бота в беседу: `POST /chats/{id}/members` с `id` бота в `member_ids`. Событие об участниках приходит боту без добавления в чат, но карточки он публикует только в беседе, где состоит.
7. Когда у обработчика появится адрес, пропиши его в исходящий вебхук: `PUT /bots/{id}` с `outgoing_url` личным токеном или `PUT /bot/webhook` токеном бота.

### 3. Обработчик для вариантов Б и В

Спецификация со страницы:

- Принимает событие об участниках пространства: приглашение, подтверждение, приостановка, удаление.
- По `id` из события получает сотрудника: имя, отдел, теги. По отделу или тегу выбирает набор сервисов.
- На приглашение публикует в беседе «Доступы» карточку с чек-листом, упоминанием @админы и кнопками «Выдал» и «Уточнить».
- На приостановку и удаление публикует такую же карточку с заголовком «Отзыв доступов».
- На нажатие «Выдал» редактирует сообщение и дописывает «Выдано: имя».
- Вопросы по карточке идут в тред под ней. HR туда зовёт бот упоминанием.

Вариант Б в n8n: узел Webhook принимает событие, узел Пачки получает сотрудника, узел Switch по отделу выбирает набор сервисов, узел Пачки отправляет сообщение. Второй маршрут: нажатие «Выдал» → редактирование сообщения. Credential для узла Пачки настраивается как в статье про бота отпусков: https://pachca.com/blog/avtomatizaciya-pachka-n8n-zayavki-na-otpusk. В исходящий вебхук бота нужен Production URL узла Webhook. Test URL не подойдёт.

Вариант В: свой код по этой спецификации. Код в инструкцию не входит.

### Обработчик в n8n

Собери обработчик на узлах Пачки `n8n-nodes-pachca` второй версии. Они должны стоять в n8n пользователя: https://dev.pachca.com/guides/n8n/setup.md

Готовый рабочий воркфлоу с формой, кнопками и ответами в тред: https://pachca.com/scenarios-agent/propusk-bot-n8n.json. Возьми его за основу и замени под свой сценарий поля формы, кнопки, тексты и ветки. В файле стоят заглушки: `CHAT_ID`, `MANAGERS`, `CREDENTIAL_ID` и `NEW-UUID`. Имена параметров узлов бери из него и из списка ниже. В примерах на dev.pachca.com часть имён другая, по ним воркфлоу не соберётся.

Из чего собирать:

- `Pachca Trigger` принимает события бота. В воркфлоу он один: у бота один адрес вебхука. Параметр `event` принимает одно значение, поставь `*`, это все события. `webhookSetup` поставь `manual`: адрес боту ты пропишешь сам. Узлу нужен свой `webhookId`, новый UUID.
- Узел `Code` после триггера разбирает событие и выбирает ветку. Новое сообщение: `type: "message"`, `event: "new"`, текст в `content`. Нажатие кнопки: `type: "button"`, значение кнопки в `data`, рядом `trigger_id` и `message_id`. Отправка формы: `type: "view"`, `event: "submit"`, `callback_id` формы, значения полей в `data` по именам полей. Кто действовал, показывает `user_id`. Поля событий: https://dev.pachca.com/guides/webhook/events.md
- `Switch` делит события по ветке из узла `Code`.
- Форма: узел `Pachca`, `resource: "form"`, `operation: "create"`. Заголовок в `formTitle`, `triggerId` из события нажатия кнопки, он действует три секунды. `formBuilderMode: "json"`, поля в `formBlocks` JSON-строкой. `callbackId`, `submitText` и `closeText` лежат внутри `additionalFields`. Типы блоков: https://dev.pachca.com/guides/forms/blocks.md
- Сообщение: `resource: "message"`, `operation: "create"`, `entityType` и `entityId`, текст в `content`. В беседу пишут с `entityType: "discussion"`, сотруднику в личные сообщения — с `entityType: "user"` и его `user_id` в `entityId`. В образце кнопка после `/start` уходит в беседу: если по сценарию бот отвечает в личке, поменяй это. Кнопки: `buttonLayout: "raw_json"` и `rawJsonButtons` JSON-строкой. Это массив строк, в каждой строке массив кнопок с `text` и `data`. Сотрудника упоминай как `<@user_id>`.
- Ответ в тред под сообщением. Сначала `resource: "thread"`, `operation: "create"` с `threadMessageId`: это `message_id` сообщения, под которым нужен тред. Узел вернёт `id` треда. Затем сообщение с `entityType: "thread"` и этим `id` в `entityId`.
- Нажатие кнопки внутри треда приносит `chat_id` треда, а для ответа нужен `id` треда. Клади `id` треда в `data` кнопок, которые публикуешь в треде.
- Если нажимать кнопку вправе не все, сравни `user_id` из события со списком из описания обработчика и на чужое нажатие ничего не отправляй.

- Участники беседы: `resource: "member"`, `operation: "getAll"`, беседа в параметре `id`, `returnAll: true`, `simplify: false`. Бот сам есть в этом списке с признаком `bot`: отфильтруй его.
- Расписание запускает узел `Schedule Trigger` с правилом `cronExpression`.

Образец ничего не хранит: всё, что нужно для ответа, лежит в `data` кнопок, это действие и `id` автора. Если сценарию нужно помнить немного данных, например счётчик номеров заявок или кто уже ответил, бери статические данные воркфлоу: `$getWorkflowStaticData('global')` в узле `Code`. Они сохраняются только при запусках включённого воркфлоу, при ручном запуске в редакторе не сохраняются. Назови это решение пользователю в итоговом сообщении. Расписание переговорок, реестры и всё, что должно пережить пересоздание воркфлоу, храни во внешней таблице: её выбери вместе с пользователем.

Порядок работы:

1. Собери файл воркфлоу. Оставь в нём только `name`, `nodes`, `connections` и `settings`: остальные поля n8n через API не примет. Проверь, что JSON валиден, а имена узлов в `connections` и в выражениях совпадают с именами в `nodes`.
2. Получи адрес n8n и ключ API, как сказано в правилах выше. Запросы к API n8n идут с заголовком `X-N8N-API-KEY`.
3. Создай в n8n Credential для Пачки: `POST /api/v1/credentials` с `type: "pachcaApi"`. В `data` положи `accessToken` с токеном бота и `baseUrl` со значением `https://api.pachca.com/api/shared/v1`. Остальные обязательные поля покажет `GET /api/v1/credentials/schema/pachcaApi`. Если среди них есть `allowedHttpRequestDomains`, поставь `all`. Впиши `id` и имя этого Credential во все узлы Пачки в файле.
4. Загрузи воркфлоу: `POST /api/v1/workflows`. Включи его: `POST /api/v1/workflows/{id}/activate`.
5. Пропиши боту адрес вебхука: `PUT /bots/{id}` с `outgoing_url`. Адрес собирается так: адрес n8n, затем `/webhook/`, `webhookId` узла `Pachca Trigger` и `/webhook`.
6. Чтобы проверить запуск по расписанию, не дожидаясь срока, временно поставь расписание на ближайшую минуту, дождись запуска и верни как было.
7. Если ключа API n8n нет или шаг не прошёл, отдай файл пользователю. Он вставит его содержимое в новый воркфлоу, создаст Credential с токеном бота, выберет его во всех узлах Пачки и включит воркфлоу. Попроси Production URL узла `Pachca Trigger` и пропиши его боту сам.

### 4. Попроси пользователя сделать руками

- Создать тег «админы», если его нет: Участники → табличный вид → отметить админов → иконка добавления тега → тег «админы».
- Если адрес обработчика вписывают в интерфейсе: в настройках бота открыть раздел «Исходящий вебхук», вставить адрес, отметить событие изменения состава участников пространства и нажатия кнопок.
- Договориться в команде. HR приглашает сотрудника заранее и сразу заполняет в профиле отдел и групповой тег. Админ нажимает «Выдал», когда закрыт весь чек-лист, а частичную выдачу и вопросы пишет в тред. В день увольнения HR деактивирует или удаляет участника: Участники → три точки у сотрудника → Деактивировать или Удалить. Эти правила можно опубликовать в беседе через `POST /messages`.

### 5. Проверь

1. Попроси пользователя пригласить тестового сотрудника: Участники → Добавить участника, по почте или ссылкой.
2. Убедись, что карточка появилась в беседе: `GET /messages` по беседе «Доступы».
3. Попроси нажать «Выдал» и проверь, что в карточке появилось «Выдано: имя».

## Что сценарий не умеет

Бот ведёт журнал, а доступы выдаёт человек. Создать ящик или пригласить в репозиторий может n8n или свой скрипт, это отдельная доработка.

## Если не работает

- Карточка не появляется после приглашения. В исходящем вебхуке не отмечено событие об участниках пространства, бот не добавлен в беседу «Доступы», или в n8n вставлен Test URL вместо Production URL.
- В карточке не тот набор сервисов или пустой. В профиле сотрудника не заполнен отдел или тег, и обработчик подставил набор по умолчанию. Попроси заполнить профиль и уточнить список в треде.
- «Выдал» не срабатывает. В исходящем вебхуке бота не отмечены нажатия кнопок: проверь `button_click` в `events`.

## Ссылки

- Страница сценария с демо и инструкцией для человека: https://pachca.com/scenarios/dostupy-sotrudnikam
- Credential n8n на примере бота отпусков: https://pachca.com/blog/avtomatizaciya-pachka-n8n-zayavki-na-otpusk
- SSO заполняет отдел и теги из каталога: https://pachca.com/help-center/administration/sso
- Приём и увольнение через API администрирования: https://pachca.com/help-center/administration/prodvinutoe-administrirovanie-po-api
- Кнопки в чат-ботах: https://pachca.com/help-center/integrations/knopki-v-chat-botah
- Исходящие вебхуки: https://pachca.com/help-center/integrations/ishodyashchie-webhook-kak-nastroit
- Типы событий для разработчиков: https://dev.pachca.com/guides/webhook/events.md
- Кнопки для разработчиков: https://dev.pachca.com/guides/buttons.md