Как устроен доступ пользователей в программах на БСП и как его настроить без ошибок

Базовые права пользователей в 1С на БСП дают не роли, отмеченные галочками в Конфигураторе, а профили групп доступа: в БП 3.0 и ЗУП 3.1 они настраиваются в Администрирование → Настройки пользователей и прав, в УТ 11 — в НСИ и администрирование → Настройки пользователей и прав. Роль «Базовые права БСП» программа добавляет пользователю сама, руками её назначать не нужно.

Схема простая: профиль описывает, что можно делать, группа доступа — кому и с какими данными, а пользователь просто включается в одну или несколько групп. Когда администратор пытается обойти эту схему и правит роли напрямую, начинаются «плавающие» отказы в доступе.

Как устроена система прав в типовых конфигурациях на БСП

Библиотека стандартных подсистем (БСП) лежит в основе Бухгалтерии 3.0, ЗУП 3.1, УТ 11, КА, ERP и УНФ. Права в них строятся одинаково, поэтому механизм достаточно освоить один раз.

Уровни доступа, от нижнего к верхнему:

• 🧱 Роль — объект конфигурации. Описывает права на объекты метаданных: читать справочник, проводить документ, открывать отчёт. Создаётся разработчиком, администратор её не меняет.
• 📦 Профиль группы доступа — набор ролей под должность («Бухгалтер», «Кадровик»), плюс список видов доступа, по которым можно ограничивать данные.
• 👥 Группа доступа — профиль + участники + конкретные значения ограничений (например, только организация «Альфа»).
• 👤 Пользователь — участник одной или нескольких групп. Его итоговые права — сумма прав всех групп.

Роль «Базовые права БСП» отвечает за минимум, без которого программа вообще не работает у обычного пользователя: чтение служебных данных, сохранение своих настроек, работу общих механизмов библиотеки. Для внешних пользователей (контрагентов с доступом к порталу) есть отдельная роль «Базовые права внешнего пользователя БСП».

Где хранятся настройки

Не назначайте роли в списке пользователей Конфигуратора в конфигурации на БСП. Подсистема управления доступом сама пересчитывает роли пользователя по его группам, и ручные изменения разойдутся с тем, что видно в режиме Предприятия.

Типовые профили групп доступа и когда их брать

Поставляемые профили закрывают большинство должностей. Конкретный список зависит от конфигурации, но логика одна: профиль равен рабочему месту.

Примеры в Бухгалтерии 3.0:

• 🛡️ Администратор — полные права, включая роли «Полные права» и «Администратор системы». Только для тех, кто отвечает за базу.
• 📒 Главный бухгалтер — весь учёт плюс закрытие периода и настройки учётной политики.
• 🧾 Бухгалтер — ввод и проведение документов, отчёты.
• 👀 Только просмотр — чтение без изменения: для аудитора или руководителя.
• 🧩 Дополнительные профили — узкие права, которые добавляют к основному: открытие внешних отчётов и обработок, синхронизация данных с другими программами и подобные.

Поставляемый профиль нельзя изменить напрямую: при обновлении конфигурации он перезаписывается. Если нужен свой вариант, откройте список профилей, выделите подходящий и скопируйте его (F9 или команда копирования). Копия получит собственное имя, и её роли можно править.

Свой профиль: что включать

1. Начинайте с копии ближайшего типового профиля, а не с пустого.
2. На вкладке ролей снимайте лишнее, а не набирайте с нуля: среди ролей много служебных, без которых ломаются отдельные формы.
3. Роли с префиксом «Добавление и изменение …» дают запись, роли «Чтение …» — только просмотр. Не смешивайте их без нужды.
4. На вкладке ограничений доступа отметьте виды доступа, которые будут настраиваться в группе: «Организации», «Склады», «Группы физических лиц» и т. п.

Как выдать права новому сотруднику

Порядок такой: сначала группа доступа, потом пользователь. Тогда человек получает права с первого входа.

Шаг 1. Проверьте или создайте группу доступа

Откройте Настройки пользователей и прав → Группы доступа. Если группа под должность уже есть (например, «Бухгалтеры ООО Альфа»), переходите к шагу 2.

Если нет — создайте новую:

1. Укажите наименование, понятное без расшифровки.
2. Выберите профиль.
3. Если в профиле есть виды доступа, на вкладке ограничений задайте значения: «Все разрешены» с исключениями или «Все запрещены» с разрешёнными значениями.

Шаг 2. Создайте пользователя

1. Откройте Настройки пользователей и прав → Пользователи и создайте элемент.
2. Заполните полное имя и, если нужно, свяжите с физическим лицом.
3. Отметьте флажок «Вход в программу разрешен».
4. Задайте имя для входа и пароль — или включите аутентификацию операционной системы и выберите доменную учётную запись.
5. Запишите элемент.

Шаг 3. Включите в группы доступа

В карточке пользователя откройте права доступа и отметьте нужные группы. Альтернатива — добавить его в состав участников из самой группы доступа. Результат одинаковый.

Шаг 4. Перенесите настройки

Если у нового сотрудника те же задачи, что у коллеги, скопируйте ему настройки интерфейса и отчётов через «Копирование настроек» в том же разделе. Права это не переносит — только внешний вид и сохранённые варианты.

Первый администратор в новой базе

Пока список пользователей пуст, платформа пускает в базу любого без пароля. Поэтому первым в режиме Предприятия создают администратора: БСП сама включит его в группу «Администраторы» с профилем «Администратор». Только после этого заводят остальных.

Проверьте, что у этого пользователя задан пароль и что он не единственный, кто знает его. Если администратор один и пароль потерян, восстановить вход штатными средствами без резервной копии сложно.

Группы пользователей

Когда сотрудников больше 15-20, удобнее включать в группы доступа не каждого человека, а группу пользователей: «Бухгалтерия», «Склад», «Отдел продаж». Использование групп включается флажком в Настройки пользователей и прав.

Новый бухгалтер тогда добавляется в одну группу пользователей и сразу получает все права отдела. При переводе в другой отдел его достаточно переместить, а не перебирать группы доступа по одной.

Ограничения на уровне записей: доступ к данным, а не к объектам

Роли отвечают на вопрос «может ли человек открыть документ». Ограничение на уровне записей (RLS) отвечает на другой: «какие именно документы он увидит». Например, бухгалтер видит реализации только своей организации.

Включается механизм отдельно, в Настройки пользователей и прав: флажок «Ограничивать доступ на уровне записей». Пока он выключен, виды доступа в профилях и значения в группах ничего не делают.

Что меняется после включения:

• 🔒 Списки показывают только разрешённые записи, запрещённые просто не видны.
• 📊 Отчёты строятся по разрешённым данным, итоги могут не совпасть с тем, что видит администратор.
• ⏳ Программа запускает фоновое обновление доступа. На большой базе оно идёт часами, и пока оно не закончено, у части пользователей данные видны не полностью.
• 🐢 Растёт нагрузка на сервер при открытии списков и формировании отчётов.

Включайте RLS вне рабочего времени и предупредите пользователей: до завершения обновления доступа возможны жалобы «пропали документы».

Безопасная работа с данными

• 🔑 Администраторов держите столько, сколько реально нужно: обычно один-два человека. Остальным полные права не нужны даже «на всякий случай».
• 🚪 Уволенному сотруднику снимите флажок «Вход в программу разрешен», а не удаляйте пользователя: его имя остаётся в истории изменений документов.
• 📂 Право на открытие внешних обработок выдавайте только через отдельный дополнительный профиль и тем, кому оно нужно. Внешняя обработка выполняет любой код с правами пользователя.
• 🧾 Включите журнал регистрации с уровнем «Ошибки» как минимум: по нему потом видно, кто и когда получил отказ.
• 🗂️ Перед массовой перестройкой групп сделайте резервную копию базы .

Почему пользователю не хватает прав и как это найти

Типичный текст платформы — Нарушение прав доступа!. В БСП-конфигурациях часто встречается и Недостаточно прав для выполнения операции. Ещё один вариант: ошибки нет, но документа или раздела просто не видно.

Порядок диагностики:

1. Откройте отчёт «Права доступа» из карточки пользователя. Он показывает итог: в каких группах человек состоит, какие роли получает и на какие объекты есть права.
2. Проверьте, что вход разрешён и пользователь состоит хотя бы в одной группе. Пустой состав групп — частая причина после переноса базы.
3. Сравните с работающим коллегой. Тот же отчёт по человеку, у которого всё открывается, сразу покажет разницу в группах.
4. Проверьте ограничения в группе. Если документ «пропал», скорее всего, его организация или склад не входят в разрешённые значения.
5. Посмотрите журнал регистрации с отбором по пользователю и событию отказа: там видно, на каком объекте сработал запрет.
6. Попросите перезайти. Изменения прав не применяются к уже открытому сеансу.

Если отказ появляется только в одной обработке или отчёте, а остальное открывается, причина почти всегда в роли конкретного объекта. Если же пользователь не видит часть данных в разных местах — ищите ограничение на уровне записей. Так сразу понятно, куда смотреть: в первом случае смотрите профиль, во втором — значения видов доступа в группе.

Если стандартных профилей не хватает

Иногда нужна комбинация, которой нет в поставке: например, кладовщику разрешить только печать накладных, но не изменение цен.

Варианты по нарастанию сложности:

Последний вариант — работа разработчика: роль добавляют в расширение, после установки расширения она становится доступна в списке ролей профиля. Основную конфигурацию снимать с поддержки ради одной роли не нужно.

Частые вопросы