Где посмотреть роли и доступы сотрудника в 1С 8.3
Содержание
Права пользователя в типовой 1С 8.3 проверяют не в Конфигураторе, а в самой программе: Администрирование → Настройки пользователей и прав → Пользователи, карточка сотрудника, ссылка Права доступа
. Там видно, в какие группы доступа он входит и какие профили (наборы ролей) из этого следуют.
Частая ошибка — открыть список пользователей в Конфигураторе, поставить нужную роль галочкой и считать вопрос закрытым. В конфигурациях на БСП (Бухгалтерия 3.0, ЗУП 3.1, УТ 11, КА, ERP) роли назначаются через группы доступа, и ручная галочка слетит при следующей записи пользователя или группы. Конфигуратор нужен для другого: понять, что именно разрешает каждая роль.
Из чего складываются права пользователя в 1С
Прежде чем что-то проверять, полезно держать в голове три слоя. Ошибка «нет доступа» почти всегда сидит в одном из них.
| Слой | Где задаётся | Что решает |
|---|---|---|
| Роли | Конфигурация (метаданные) | Можно ли вообще читать, добавлять, изменять, проводить объект |
| Группы доступа и профили | Режим 1С:Предприятие (БСП) | Какие роли получит конкретный человек |
| Ограничения на уровне записей (RLS) | Тексты ограничений в ролях + настройки групп доступа | Какие именно строки он увидит: свои организации, склады, подразделения |
Отсюда простое правило диагностики:
- 🔑 если пользователь не видит раздел или документ целиком — не хватает роли;
- 📄 если видит список, но не все записи или получает отказ на конкретном документе — работает RLS;
- 🚪 если не может войти вовсе — смотрите свойства пользователя: вход запрещён, нет права на нужный клиент, не та аутентификация.
Права в 1С только разрешают. Запрещающих ролей нет: итоговый набор — объединение всех ролей пользователя. Поэтому «лишнее» право убирают, снимая роль, а не добавляя новую.
Как проверить права пользователя через карточку в интерфейсе «Такси»
Это основной способ для типовых конфигураций. Нужны права администратора (роль Полные права или профиль «Администратор»).
Пошагово
- Откройте
Администрирование → Настройки пользователей и прав. - Перейдите по ссылке Пользователи и откройте карточку сотрудника.
- Проверьте флажок Вход в программу разрешён. Без него остальное не имеет значения.
- В верхней панели карточки нажмите Права доступа. Откроется список групп доступа, в которые входит пользователь.
- Откройте каждую группу и посмотрите её профиль: именно профиль содержит перечень ролей.
- В группе доступа загляните на вкладку с ограничениями: там указано, к каким организациям, складам или подразделениям у группы есть доступ (если в базе включено ограничение на уровне записей).
Обратный путь тоже полезен: Администрирование → Настройки пользователей и прав → Группы доступа. Открываете группу и видите всех её участников. Так удобно проверять, кто ещё получил права главного бухгалтера.
Где это меню в разных конфигурациях
| Конфигурация | Путь к пользователям и группам доступа |
|---|---|
| Бухгалтерия предприятия 3.0 | Администрирование → Настройки пользователей и прав |
| ЗУП 3.1 | Администрирование → Настройки пользователей и прав |
| УТ 11, КА 2, ERP 2 | НСИ и администрирование → Настройки пользователей и прав |
В Бухгалтерии 3.0 часто включена упрощённая настройка прав. Тогда в карточке вместо групп доступа виден прямой список профилей с флажками. Логика та же, просто без промежуточного уровня.
Отчёт по правам пользователя
Из карточки пользователя и из списка пользователей доступен отчёт по правам доступа. Он раскладывает права по объектам: какой справочник или документ сотрудник может читать, изменять, добавлять. В свежих релизах БСП есть отдельный отчёт Анализ прав доступа, где можно выбрать таблицу (например, документ «Реализация товаров и услуг») и увидеть всех, у кого есть к ней доступ, с ограничениями.
Это быстрее, чем открывать роли по одной: отчёт сразу показывает итог после объединения всех профилей.
Диагностика отказа: вход под пользователем и журнал регистрации
Карточка говорит, какие права должны быть. Чтобы понять, что видит человек на самом деле, нужно воспроизвести ситуацию.
Вход под пользователем
- Узнайте или временно задайте пароль сотрудника (согласуйте это с ним — после проверки пусть сменит).
- Запустите базу под его учётной записью в отдельном окне.
- Повторите действие, на котором он получает ошибку, и запишите текст сообщения дословно.
Самое частое сообщение — Нарушение прав доступа!. Оно говорит, что у пользователя нет права на операцию с объектом, но объект в тексте не называет. Подробности ищите в журнале.
Не меняйте пароль сотрудника молча посреди рабочего дня: если у него открыт сеанс с сохранённым паролем, следующий вход не пройдёт. Лучше создать копию пользователя для тестов через команду копирования в списке пользователей — она переносит группы доступа.
Журнал регистрации
Журнал открывается в разделе Администрирование → Обслуживание. Что делать дальше:
- Нажмите Установить отбор, укажите пользователя и интервал, когда случилась ошибка.
- В отборе по важности оставьте Ошибка.
- Найдите события в момент отказа. В комментарии обычно есть полное имя объекта метаданных и вид права, например
Документ.ПоступлениеТоваровУслуг, право «Изменение». - Обратите внимание на события группы «Доступ»: часть из них платформа пишет только при соответствующей настройке регистрации.
Журнал бывает отключён или ведётся с уровнем «Не регистрировать». Тогда сначала включите регистрацию хотя бы ошибок в настройках журнала, затем воспроизведите проблему ещё раз.
Проверка ролей и прав в режиме Конфигуратор
Конфигуратор нужен, когда надо понять содержание роли или найти, какая роль даёт конкретное право. Назначать роли здесь в типовой конфигурации на БСП не стоит — см. начало.
Список пользователей и их роли
Администрирование → Пользователи в меню Конфигуратора. Откройте пользователя, вкладка Прочие — там отмечены роли. В базе на БСП этот список заполняется автоматически из профилей групп доступа, поэтому он годится для сверки, но не для правки.
Здесь же на вкладке Основные видно:
- 🔐 способы аутентификации: 1С:Предприятие, операционная система, OpenID;
- 👁 показывается ли пользователь в списке выбора при входе;
- ⚙️ основной режим запуска.
Матрица «Все роли»
Самый недооценённый инструмент. В дереве конфигурации раскройте Общие → Роли, щёлкните правой кнопкой по ветке Роли и выберите Все роли. Откроется таблица: строки — объекты метаданных, колонки — роли, в ячейках — установленные права.
Так за минуту находят ответ на вопрос «какая роль даёт право изменять регистр сведений X». Встаньте на объект и пройдитесь по колонкам.
Свойства отдельной роли
Двойной щелчок по роли открывает редактор прав. Внизу окна три флажка, о которых часто забывают:
- Устанавливать права для новых объектов — новые объекты метаданных сразу получат права этой роли;
- Устанавливать права для реквизитов и табличных частей по умолчанию — права на объект распространяются на его реквизиты;
- Независимые права подчинённых объектов — права на реквизиты задаются отдельно.
Если в доработанной конфигурации пользователь видит документ, но не видит одно поле, причина часто здесь: у реквизита снято право просмотра.
Для выгрузки всех прав в текст есть Конфигурация → Отчёт по конфигурации. В настройках отчёта отметьте роли, и получите документ, по которому удобно сравнивать права между релизами доработанной базы.
Запуск отладки под нужным пользователем
В Сервис → Параметры → Запуск 1С:Предприятия можно указать пользователя и пароль, под которыми Конфигуратор будет открывать режим предприятия при отладке (F5). Удобно, когда разработчику надо повторить ошибку прав и сразу встать в отладчик.
Роли, ограничения на уровне записей и конфликты прав
«Конфликт прав» в 1С почти всегда выглядит так: у человека две группы доступа, и результат не тот, которого ждали. Разберём, как платформа складывает права.
Как объединяются роли
- ➕ Права на объект из разных ролей складываются. Если хоть одна роль разрешает изменение — изменение разрешено.
- ➕ Ограничения на уровне записей из разных ролей объединяются через «ИЛИ»: если одна роль открывает организацию «Альфа», а другая — все организации, пользователь увидит все.
- 🚫 Запретить что-то дополнительной ролью нельзя.
Пример. Бухгалтер входит в группу «Бухгалтер — ООО Альфа» с ограничением по организации. Чтобы он сверил остатки, его добавили в группу «Только просмотр» без ограничений. Итог: он видит документы всех организаций холдинга. Правильно было ограничить вторую группу той же организацией.
Включено ли ограничение на уровне записей
В Бухгалтерии 3.0 есть флажок Ограничивать доступ на уровне записей в Администрирование → Настройки пользователей и прав. Пока он снят, вкладки ограничений в группах доступа не действуют, и пользователи видят все организации.
После включения флажка платформа пересчитывает ключи доступа, и на большой базе это идёт заметное время. Включайте его вне рабочих часов и предупредите пользователей, что первые часы списки могут открываться медленнее.
Полные права и администратор системы
Роль Полные права снимает ограничения на уровне записей. Роль Администратор системы даёт право на административные функции платформы: управление пользователями, монопольный режим, работу с журналом. Если при проверке пользователь «видит всё», первым делом убедитесь, что ему случайно не выдали профиль «Администратор».
Права на веб-клиент, тонкий клиент и внешние обработки
Бывает, что в тонком клиенте всё работает, а через браузер пользователь не может зайти или открыть обработку. Причина — отдельные права на уровне корня конфигурации.
| Право в роли | Что разрешает |
|---|---|
| Тонкий клиент | Запуск через 1cv8c |
| Веб-клиент | Работа через браузер по опубликованной базе |
| Толстый клиент | Запуск 1cv8 в режиме толстого клиента |
| Мобильный клиент | Подключение из мобильного клиента |
| Внешнее соединение | Подключение через COM из внешних программ |
| Интерактивное открытие внешних обработок / отчётов | Открытие .epf и .erf через Файл → Открыть |
В типовых конфигурациях права на клиенты входят в базовые роли, и проблема возникает в доработанных базах или при самописных профилях. Проверка — в Конфигураторе: откройте роль, встаньте на корень дерева (имя конфигурации) и посмотрите флажки справа.
Особенности веб-клиента
- 🌐 При публикации с аутентификацией операционной системы у пользователя в 1С должна быть указана доменная учётная запись в формате
\\ДОМЕН\логин. - 🧩 Внешние обработки в веб-клиенте открываются только через справочник Дополнительные отчёты и обработки, а не через открытие файла. Нужны права на этот справочник и на использование дополнительных обработок.
- 🛡 Для обработок, работающих с файлами и внешними ресурсами, БСП запрашивает разрешения безопасного режима. Если администратор их не подтвердил, обработка падает у всех, независимо от ролей.
Проверка прав кодом и сторонними обработками
Когда нужно проверить права массово или встроить проверку в доработку, на помощь приходят функции платформы.
Функции встроенного языка
// Есть ли у текущего пользователя роль
Если РольДоступна("ПолныеПрава") Тогда
Сообщить("У пользователя есть полные права");
КонецЕсли;
// Есть ли у конкретного пользователя право на объект
Пользователь = ПользователиИнформационнойБазы.НайтиПоИмени("Иванова");
Если Пользователь <> Неопределено Тогда
Право = ПравоДоступа("Изменение", Метаданные.Документы.ПоступлениеТоваровУслуг, Пользователь);
Сообщить("Изменение поступлений: " + ?(Право, "разрешено", "запрещено"));
КонецЕсли;
ПравоДоступа() проверяет права на уровне ролей. Ограничения на уровне записей она не учитывает: функция ответит «разрешено», даже если конкретный документ чужой организации пользователь не увидит.
Выполнить такой код можно в отладчике через Вычислить выражение (Shift+F9) или во внешней обработке произвольного кода, запущенной под администратором.
Внешние обработки для аудита прав
Для аудита часто используют внешние обработки, которые выгружают таблицу «пользователь — роль — объект — право» в табличный документ или Excel. Перед запуском:
- Откройте модуль обработки и прочитайте, что она делает: обработка с правами администратора может менять данные.
- Запускайте её в копии базы, а не в рабочей.
- Подключайте через Дополнительные отчёты и обработки, чтобы не выдавать пользователям право интерактивного открытия внешних файлов.