Группы доступа в 1С: как привести права пользователей в актуальное состояние

Обновить группы доступа в 1С можно тремя путями. Программа делает это сама при первом запуске после обновления конфигурации. Администратор запускает обновление вручную из раздела администрирования. Либо пересчёт идёт фоном по регламентному заданию. Какой путь выбрать, зависит от причины: сменилась версия конфигурации, поменяли профиль или права «поехали» после загрузки базы.

Речь о типовых конфигурациях на библиотеке стандартных подсистем (Бухгалтерия, ЗУП, УТ, ERP и другие). В самописных базах без подсистемы управления доступом групп доступа может не быть вовсе.

Что именно «обновляется» и когда это нужно

Слово «обновить» в связке с группами доступа означает три разные вещи. Их часто путают, и от этого правят не то.

Отдельно стоит случай, когда пользователь жалуется «не вижу документ, хотя роль есть». Причина обычно в третьей строке таблицы: роли выданы, а данные для ограничения по записям ещё не пересчитаны.

Подготовка перед изменением прав

Группы доступа влияют на всех пользователей сразу. Ошибка в профиле может закрыть бухгалтерам нужные документы или, наоборот, открыть лишнее.

Что сделать заранее:

1. Сделайте выгрузку информационной базы (.dt) или копию файловой базы .
2. Убедитесь, что вы входите под пользователем с полными правами. Нужна роль администратора, а не просто «полные права» по отдельным разделам.
3. Закройте работу остальных пользователей, если планируете массовое обновление профилей.
4. Запишите, какие профили были настроены вручную. Поставляемые профили при обновлении перезаписываются, и ручные правки в них можно потерять.

Не правьте поставляемые профили напрямую. Скопируйте профиль и меняйте копию. Тогда обновление конфигурации не затрёт ваши настройки.

Отдельно про время. Массовое обновление профилей лучше назначать на вечер или выходные, когда в базе никто не работает . Если база клиент-серверная, предупредите коллег заранее: пользователи, оставшиеся в сеансе, мешают завершению обновления и могут удерживать блокировки.

Ещё одна мелочь, которая экономит нервы: после обновления профилей проверьте не только «рабочие» группы, но и служебные. У пользователей, запускающих обмены с банком, ЭДО или регламентные задания, часто стоят отдельные группы с узким набором ролей. Именно их забывают проверить, а потом удивляются, почему перестала проходить выгрузка.

Автоматическое обновление при первом запуске после смены релиза

Когда вы ставите новый релиз конфигурации и открываете базу в режиме «1С:Предприятие», программа сама выполняет обработку обновления информационной базы. В ней есть шаги по управлению доступом: обновляются поставляемые профили и связанные с ними группы доступа.

Как это выглядит на практике:

• запускаете базу под администратором;
• видите окно с ходом обновления («Выполняется обновление информационной базы»);
• ждёте окончания и не закрываете окно, даже если прогресс стоит несколько минут.

На большой базе первый запуск после обновления занимает от 10–15 минут до часа. Если закрыть окно, обновление прервётся, и придётся начинать заново.

Что при этом происходит с правами:

• в поставляемые профили добавляются новые роли, нужные новому функционалу;
• убираются роли удалённых объектов;
• группы доступа, созданные на основе профилей, получают новый набор ролей автоматически.

Если профиль настроен вручную (без привязки к поставляемому), обновление его не трогает. Это удобно, но тогда новые роли придётся добавлять самим.

Ручное обновление через интерфейс программы

Если автоматика не сработала или вы изменили профиль и хотите применить его сразу, действуйте из раздела администрирования.

Обновление профилей

1. Откройте раздел «Администрирование» и найдите пункт «Настройки пользователей и прав».
2. Перейдите в «Профили групп доступа».
3. Откройте нужный профиль и проверьте набор ролей. Кнопки «Записать и закрыть» достаточно, чтобы изменения профиля ушли в связанные группы доступа.
4. В списке профилей ищите команду обновления поставляемых профилей. Её название и положение отличаются в разных релизах, поэтому проще всего воспользоваться командой «Все действия» и поиском по форме.

После записи профиля программа обновляет роли у всех пользователей, входящих в его группы доступа. Отдельно «применять» ничего не нужно.

Обновление состава группы доступа

1. В том же разделе откройте «Группы доступа».
2. Выберите группу и перейдите на вкладку с участниками.
3. Добавьте нового пользователя или группу пользователей. Лишних уберите.
4. Запишите группу.

Права меняются сразу после записи. Но у человека, уже работающего в базе, новые роли подхватятся только после перезапуска сеанса. Попросите его выйти и зайти снова.

Пересчёт ограничений на уровне записей

Если ограничение доступа по записям включено, права по организациям, складам или контрагентам хранятся в служебных регистрах. Они пересчитываются отдельным заданием.

Настройка находится в администрировании, в разделе настроек пользователей и прав. Там есть флажок ограничения доступа на уровне записей и сведения о ходе обновления доступа. Если вы только что включили флажок, пересчёт запустится фоном. На базе с миллионом документов это может занять несколько часов.

Пока пересчёт идёт, часть пользователей может не видеть данные, которые им положены. Это временное состояние, а не ошибка настройки.

Что меняется при работе в режиме Конфигуратор

В Конфигураторе нет интерфейса групп доступа. Конфигуратор работает с метаданными и ролями, а не с группами. Поэтому управлять составом групп отсюда не получится. Но именно Конфигуратор влияет на то, что потом придётся обновлять.

Три ситуации:

• Вы изменили роль или добавили новую. Новая роль не попадёт в профили сама. Её нужно вручную включить в профиль в режиме «1С:Предприятие».
• Вы обновили конфигурацию базы данных (F7). Информационную базу при этом запускают в обычном режиме, и обработка обновления пройдёт при первом входе под администратором.
• Вы загрузили .dt из другой базы. Роли и профили приедут вместе с данными. Состав пользователей может не совпасть с тем, что есть в вашей среде, и группы придётся пересмотреть.

Если вы доработали конфигурацию и хотите, чтобы изменения в правах работали, после обновления БД зайдите в режим «1С:Предприятие» и проверьте профили. Для базы на поддержке поставщика отдельные правки ролей обычно приходится вносить в профили вручную, потому что поставляемый профиль о них не знает.

Если обновление застряло или права не применились

Разберём типичные симптомы и что с ними делать.

Что не помогло — следующий шаг

Если всё выше проверено, а права по-прежнему не те:

• сравните профиль в вашей базе с профилем в чистой копии той же конфигурации;
• посмотрите журнал регистрации: ошибки обновления записываются с пометкой «Управление доступом»;
• проверьте, нет ли у пользователя конфликтующих групп доступа. Права по группам суммируются, а запретов в них нет, поэтому «лишний» доступ чаще появляется из-за второй группы, чем «пропавший»;
• как крайняя мера: удалите ручную группу доступа и создайте её заново из профиля.

Как убедиться, что права обновились верно

После любых изменений полезно проверить результат, а не поверить на слово.

Что проверяет администратор:

1. Отчёт по правам. В разделе администрирования есть отчёт, показывающий, какие права есть у выбранного пользователя и из каких групп они пришли. Найти его можно через поиск по форме.
2. Вход под тестовым пользователем. Создайте учётку с нужным профилем и пройдите типичный сценарий: открыть список документов, провести документ, сформировать отчёт.
3. Журнал регистрации. Отфильтруйте события по пользователю и по уровню «Ошибка». Отказ в доступе виден сразу.
4. Проверка избыточных прав. Пройдитесь по пользователям с профилем «Администратор». Их должно быть мало: обычно один-два человека.

Для регулярного контроля удобно раз в квартал выгружать список пользователей и их групп. Лишних людей в группе с широким доступом (например, с правом на удаление данных) так находят быстрее всего.

Частые вопросы