Обороткабаза знаний по 1С 8.3

Добавление роли в 1С: создание в Конфигураторе и назначение пользователю

· 9 мин

Содержание

Добавить роль в 1С можно двумя разными действиями, и важно не путать их. Разработчик создаёт новую роль в Конфигураторе — это объект метаданных с набором прав на справочники, документы и отчёты. Администратор же назначает готовую роль конкретному пользователю, и в типовых конфигурациях (Бухгалтерия, ЗУП, УТ) делает это не напрямую, а через профили групп доступа в режиме 1С:Предприятие.

Короткий ориентир по путям: новая роль — Конфигуратор → дерево конфигурации → ветка Роли → Добавить; выдать роль человеку в типовой базе — НСИ и администрирование (или Администрирование) → Настройки пользователей и прав → Профили групп доступа.

Ниже разберём оба сценария, настройку прав внутри роли, ограничение данных по организациям, особенности роли «Полные права» и что делать, когда доступ не срабатывает.

Роль как объект метаданных и как право пользователя

Роль — это именованный список разрешений. Для каждого объекта конфигурации (справочника, документа, регистра, отчёта, обработки) роль задаёт, что с ним можно делать: читать, добавлять, изменять, удалять, проводить и так далее. Пользователь получает доступ только к тому, что разрешено хотя бы одной из его ролей — права складываются по принципу объединения.

Отсюда и два уровня работы:

  • 🧩 Уровень конфигурации. Сами роли живут в метаданных. Их создают и правят в Конфигураторе. Это задача разработчика или внедренца.
  • 👤 Уровень пользователя. Готовые роли выдают сотрудникам. В типовых решениях на базе Библиотеки стандартных подсистем для этого служат профили и группы доступа, а не прямое проставление галочек у пользователя.

Если база типовая и снимать её с поддержки не хочется, почти всё администрирование прав делается в режиме 1С:Предприятие через профили групп доступа — в Конфигуратор заходить не нужно.

Создание новой роли в Конфигураторе

Новая роль нужна, когда штатных ролей и профилей не хватает: например, требуется доступ к одному журналу документов без остального учёта.

  1. Откройте базу в режиме Конфигуратор.
  2. В дереве конфигурации найдите ветку Общие → Роли.
  3. Нажмите правой кнопкой → Добавить (или клавишу Insert).
  4. Задайте имя латиницей без пробелов — например, ПросмотрПродаж. В свойстве Синоним впишите понятное название на русском, оно будет видно пользователям.
  5. Откроется редактор роли: слева дерево объектов метаданных, справа — набор прав для выделенного объекта.

Не собирайте роль с нуля, если рядом есть похожая. Выделите подходящую роль, Правка → Копировать, затем Вставить — получите копию со всеми правами, которую останется только подрезать под задачу. Так меньше шансов забыть нужный объект.

Правка ролей меняет конфигурацию. Если база на поддержке поставщика, прямое редактирование потребует включить возможность изменения (снять с поддержки) либо оформить роль через расширение — об этом ниже. Снятие с поддержки усложнит будущие обновления, поэтому для типовой базы предпочтительнее расширение.

Добавление роли через расширение конфигурации

Расширения появились в платформе 8.3.6 и позволяют дописывать объекты, не трогая основную конфигурацию и не снимая её с поддержки. Это аккуратный способ добавить роль в типовую базу.

  1. В Конфигураторе: Конфигурация → Расширения конфигурации.
  2. Создайте расширение (назначение Дополнение), откройте его конфигурацию.
  3. В дереве расширения добавьте роль так же, как в основной конфигурации.
  4. Сохраните и обновите конфигурацию базы данных.

После этого роль появится в списке и её можно включить в профиль групп доступа наравне со штатными.

Настройка прав доступа внутри роли

Когда роль создана, нужно разрешить ей конкретные действия. Выделите объект метаданных слева — справа станут активны флажки прав.

Основные права, которые проставляют чаще всего:

  • Чтение — видеть данные объекта.
  • Добавление — создавать новые элементы или документы.
  • Изменение — редактировать существующие.
  • Удаление — помечать на удаление и удалять.
  • Проведение / Отмена проведения — для документов.
  • Интерактивное… (интерактивное добавление, изменение и т. д.) — те же действия, но инициированные пользователем через форму. Без интерактивных прав объект может меняться программно, но кнопки у пользователя будут недоступны.

Для рабочего места сотрудника почти всегда нужны и обычное право, и его интерактивная пара. Разрешили «Изменение», но забыли «Интерактивное изменение» — пользователь увидит данные, но не сможет их править из формы.

Кроме прав на справочники и документы, в самом верху дерева объектов стоит строка с именем конфигурации — это права на систему в целом. Среди них есть права запуска клиентов: Тонкий клиент, Толстый клиент, Веб-клиент. Если роль не даёт ни одного права запуска, пользователь с такой ролью просто не сможет войти в базу — программа сообщит, что у него нет прав на запуск. Поэтому у «рабочей» роли всегда должно быть разрешено хотя бы то, чем люди реально заходят (обычно тонкий клиент). Эти же права отвечают за доступ к административным функциям и монопольному режиму — их рядовым ролям не выдают.

Под списком объектов есть флажок Устанавливать права для новых объектов. Если он включён, роль автоматически получит права на объекты, добавленные в конфигурацию позже. Для узкой роли его обычно снимают, чтобы права не «расползались».

После правки прав роль не начнёт действовать, пока вы не примете изменения через Конфигурация → Обновить конфигурацию базы данных (F7). Добавление роли и смена галочек прав, как правило, применяются без монопольного режима. Но если платформа запросит монопольный доступ, выполняйте обновление, когда в базе никто не работает , — иначе сеансы пользователей прервутся.

Назначение роли пользователю через профили групп доступа

В типовых конфигурациях роли пользователям напрямую не раздают. Между ролью и человеком стоят два понятия:

  • Профиль групп доступа — именованный набор ролей (например, «Бухгалтер», «Кладовщик», «Только просмотр»).
  • Группа доступа — связывает профиль с конкретными пользователями и, при необходимости, с разрешёнными значениями (организациями, складами).

Порядок действий в режиме 1С:Предприятие:

  1. Откройте Администрирование (или НСИ и администрирование) → Настройки пользователей и прав.
  2. Если профиль с нужным набором ролей уже есть — переходите к шагу 4. Если нет, откройте Профили групп доступа и создайте новый.
  3. В профиле отметьте роли, которые должны в него входить. Здесь же появятся роли из вашего расширения, если вы его добавили.
  4. Перейдите к пользователю: Пользователи → карточка сотрудника → Права доступа.
  5. Включите пользователя в нужную группу доступа (или создайте группу на основе профиля) и запишите.
Каким способом добавить роль в вашем случае?

Меняли состав профиля — права у пользователей применятся при следующем входе. Если сотрудник в этот момент в базе, попросите его перезайти.

Ограничение доступа по организациям и подразделениям

Роль отвечает за то, что можно делать с объектом. А вот ограничить доступ к конкретным данным — показать бухгалтеру только его организацию или кладовщику только его склад — помогает механизм ограничения на уровне записей (RLS).

Чтобы он заработал в типовой базе:

  1. Включите ограничение: Администрирование → Настройки пользователей и прав → Ограничивать доступ на уровне записей.
  2. Откройте группу доступа пользователя.
  3. В разделе разрешённых значений выберите вид доступа (Организации, Склады, Группы пользователей и т. п.) и укажите конкретные значения.

Теперь пользователь в рамках своих прав увидит документы и справочники только по разрешённым организациям или складам.

Ограничение на уровне записей заметно нагружает систему: каждый запрос дополняется проверкой прав. На больших базах включайте только нужные виды доступа и не плодите лишние группы — иначе отчёты и списки начнут открываться медленнее.

Если вы создаёте собственную роль в Конфигураторе и хотите наложить на неё такое ограничение, права на данные настраиваются в нижней части редактора роли (Ограничения доступа к данным) с помощью шаблонов. Это уже уровень разработки: в типовой базе почти всегда достаточно штатных видов доступа.

Роль «Полные права»: что она даёт и чего не закрывает

«Полные права» — это роль, которая разрешает все действия со всеми прикладными объектами. Её часто ошибочно считают «ролью администратора», но это не совсем так.

Важные особенности:

  • Роль снимает ограничения на уровне записей: пользователь с полными правами видит данные по всем организациям независимо от групп доступа.
  • Сама по себе она не даёт административных функций — управления пользователями, настройками программы, региональными параметрами. За это в типовых конфигурациях отвечает отдельная роль (условно «Администратор системы») и профиль «Администратор», куда входят обе роли.
  • Профиль «Администратор» в типовой базе, как правило, нельзя изменить — он поставляется поставщиком. Это защита от случайного урезания прав администратора.

Не выдавайте «Полные права» рядовым сотрудникам «чтобы не возиться с настройкой». Такой пользователь сможет удалять проведённые документы, править закрытые периоды и видеть все организации. Для расширенного, но ограниченного доступа заведите отдельный профиль с нужным набором ролей.

В базе всегда должен оставаться хотя бы один пользователь с профилем «Администратор». Если его случайно лишить прав, настройками будет некому управлять.

Если доступ не работает: разбор проблем

Самые частые жалобы — «не хватает прав» или, наоборот, «сотрудник видит лишнее». Прежде чем править роли, проверьте, на каком уровне проблема.

Диагностика: выберите симптом

Полезные инструменты диагностики:

  • 🔍 В типовых конфигурациях есть штатный отчёт по правам доступа — он показывает, какие роли и профили есть у пользователя и что они разрешают. Его можно найти через настройки пользователей и прав; точное название пункта зависит от конфигурации.
  • 🧭 В Конфигураторе состав прав по всем ролям удобно смотреть через окно редактирования роли с переключением объектов — так видно, какая роль даёт доступ к спорному объекту.
Проверка перед выдачей роли
Выполнено: 0 / 6

Частые вопросы

Можно ли добавить роль пользователю без Конфигуратора?
Да, если подходящая роль уже есть в конфигурации. В режиме 1С:Предприятие включите её в профиль групп доступа и добавьте пользователя в соответствующую группу. Конфигуратор нужен только для создания новой роли.
Чем профиль групп доступа отличается от роли?
Роль — это набор разрешённых действий над объектами. Профиль — это набор ролей под конкретную должность. Пользователю выдают профиль (через группу доступа), а не отдельные роли, чтобы права было проще сопровождать.
Почему новая роль не действует сразу после создания?
Роль — часть конфигурации. Пока вы не примете изменения через «Обновить конфигурацию базы данных» (F7), в рабочей базе её не будет. После этого роль нужно ещё включить в профиль и выдать пользователю.
Что выбрать: снять базу с поддержки или сделать расширение?
Для типовой базы почти всегда лучше расширение: оно добавляет роль, не мешая будущим обновлениям. Снятие с поддержки оправдано, только если вы и так ведёте доработки основной конфигурации.
Как ограничить доступ сотрудника только своей организацией?
Это делается не ролью, а ограничением на уровне записей. Включите его в настройках прав и укажите разрешённые организации в группе доступа сотрудника.