Из чего складываются права пользователя 1С 8.3: роли, профили, ограничения на записи
Содержание
Роль в 1С 8.3 — это набор разрешений на объекты конфигурации: что пользователь может читать, создавать, изменять, проводить и удалять, а также какие общие функции ему доступны (запуск клиента, внешние обработки, журнал регистрации, администрирование). Права из всех ролей пользователя складываются, запретов в механизме нет. В типовых конфигурациях роли вручную не раздают: их собирают в профили групп доступа в разделе Администрирование → Настройки пользователей и прав.
Есть два способа выдать права, и выбирают их по типу конфигурации. Конфигуратор и флажки ролей в карточке пользователя — для самописных баз и баз без Библиотеки стандартных подсистем (БСП). Группы и профили доступа в режиме Предприятия — для БП 3.0, ЗУП 3.1, УТ 11 и других типовых решений: там правка ролей в конфигураторе перезаписывается программой.
Как работает ролевая модель 1С
Платформа проверяет каждое действие пользователя по ролям, которые ему назначены. Логика простая:
- ✅ Права только разрешают. Если хотя бы одна роль даёт право «Изменение» на документ, пользователь его изменит, даже если в остальных ролях право снято.
- 🚫 Запрещающих прав нет. Отобрать доступ можно только одним способом — убрать право из всех ролей пользователя.
- 🔗 Права зависят друг от друга. Без «Чтения» не бывает «Изменения», без «Изменения» — «Удаления». Конфигуратор сам ставит или снимает зависимые флажки.
- 🧩 Роль — объект конфигурации. Её видно в ветке
Общие → Роли, у неё есть имя, синоним и таблица прав по всем объектам метаданных.
Отсюда главный практический вывод. Роль с широкими правами «перекрывает» все ограничения других ролей. Если бухгалтеру добавили роль «Полные права» «на время», настройка его ограниченного профиля перестаёт что-либо значить.
Пустой список пользователей — особый случай. Пока в базе нет ни одного пользователя, любой входит без пароля с полными правами. Как только появляется первый пользователь, у кого-то должно быть право «Администрирование», иначе базой некому будет управлять.
Какие права входят в роль
Права в роли делятся на две группы: общие права на всю конфигурацию и права на конкретные объекты (справочники, документы, регистры, отчёты, обработки).
Права на конфигурацию в целом
Их видно, если в редакторе роли выделить корень дерева — саму конфигурацию.
| Право | Что даёт |
|---|---|
| Администрирование | Управление пользователями, полный доступ к администрированию базы |
| Администрирование данных | Административные действия с данными без права менять список пользователей |
| Обновление конфигурации базы данных | Применение изменённой конфигурации к базе |
| Монопольный режим | Вход в базу в монопольном режиме |
| Активные пользователи | Просмотр списка работающих сеансов |
| Журнал регистрации | Просмотр журнала регистрации |
| Тонкий клиент / Веб-клиент / Толстый клиент | Запуск базы в соответствующем клиенте |
| Внешнее соединение, Automation | Подключение к базе из внешних программ |
| Интерактивное открытие внешних обработок и отчётов | Открытие файлов .epf и .erf через Файл → Открыть |
| Вывод | Печать, запись и копирование данных в буфер обмена |
| Сохранение данных пользователя | Запоминание настроек форм и отчётов |
Право «Вывод» часто недооценивают. Если его снять, пользователь видит данные на экране, но не может распечатать отчёт или сохранить его в файл.
Права на объекты
Для каждого объекта набор свой. У документа, например, есть:
- Основные права — «Чтение», «Добавление», «Изменение», «Удаление», «Проведение», «Отмена проведения». Они действуют при любом обращении к данным, в том числе из кода обработок и обменов.
- Интерактивные права — «Просмотр», «Редактирование», «Интерактивное добавление», «Интерактивная пометка удаления», «Интерактивное проведение» и другие. Они управляют только действиями человека в формах.
Разница важна на практике. Можно дать «Изменение», но убрать «Редактирование»: пользователь не исправит документ руками, а обработка, которую он запускает, сможет записать изменения.
У регистров накопления и сведений набор беднее: «Чтение», «Изменение», «Просмотр», «Редактирование», «Итоги». У отчётов и обработок — по сути одно право «Использование» и интерактивное «Просмотр».
Стандартные роли и профили в типовых конфигурациях
В БП 3.0, ЗУП 3.1 и УТ 11 ролей десятки, иногда сотни. Они мелкие: одна роль — одна функция, например «Добавление и изменение банковских счетов» или «Запуск тонкого клиента ». Пользователю их по одной не назначают. Роли объединены в профили групп доступа, а профиль подключается через группу доступа.
Цепочка выглядит так: Пользователь → Группа доступа → Профиль → Набор ролей.
В Бухгалтерии предприятия 3.0 поставляются готовые профили. Основные из них:
| Профиль | Для кого |
|---|---|
| Администратор | Полный доступ, управление пользователями и настройками |
| Главный бухгалтер | Весь учёт, закрытие периода, регламентированная отчётность |
| Бухгалтер | Ввод и проведение документов, отчёты, без администрирования |
| Менеджер по продажам | Покупатели, продажи, счета |
| Менеджер по закупкам | Поставщики, поступления |
| Только просмотр | Чтение данных без права изменения |
Две служебные роли в типовых конфигурациях на БСП ведут себя особо:
- 🔑 Полные права — даёт доступ ко всем данным без ограничений на уровне записей. Входит в профиль «Администратор».
- 🛠 Администратор системы — администрирование базы: пользователи, обновление, монопольный режим. Её назначают только тем, кто реально обслуживает базу.
Поставляемые профили менять нельзя: при обновлении конфигурации их состав восстанавливается. Если нужен свой набор, профиль копируют и правят копию.
Настройка прав в конфигураторе
Конфигуратор нужен в двух случаях: база без БСП или нужна новая роль, которой нет в типовой поставке.
Назначить роль пользователю
- Откройте базу в конфигураторе.
- Перейдите в
Администрирование → Пользователи. - Откройте пользователя и перейдите на вкладку «Прочие».
- Отметьте флажками нужные роли и нажмите «ОК».
В типовой конфигурации на БСП так делать не стоит. При следующей записи группы доступа программа приведёт роли пользователя в соответствие с профилями, и ручные флажки исчезнут.
Создать свою роль без снятия с поддержки
Опытные администраторы не правят роли типовой конфигурации: это снимает её с поддержки и усложняет каждое обновление. Свою роль добавляют в расширение конфигурации :
- Откройте
Конфигурация → Расширения конфигурациии создайте расширение (или используйте существующее). - В дереве расширения в ветке
Общие → Ролидобавьте роль. - Заимствуйте в расширение нужные объекты и отметьте права на них в новой роли.
- Обновите расширение в базе.
- В режиме Предприятия добавьте эту роль в свой профиль групп доступа.
Свойства роли, о которых забывают
В палитре свойств роли есть три флажка:
- «Устанавливать права для новых объектов» — новые справочники и документы сразу получат все права в этой роли. Для узких ролей флажок лучше снять.
- «Устанавливать права для реквизитов и табличных частей по умолчанию» — реквизиты наследуют права объекта.
- «Независимые права подчиненных объектов» — позволяет закрыть отдельный реквизит, оставив сам объект доступным.
Сводную картину по всем ролям даёт команда «Все роли» в контекстном меню ветки «Роли». Она показывает матрицу «объект — роль — право» и помогает найти, какая роль открывает доступ к конкретному документу.
Перед правкой ролей в рабочей базе сделайте выгрузку Администрирование → Выгрузить информационную базу и согласуйте изменения с тем, кто отвечает за доработки.
Ограничение доступа на уровне записей (RLS)
Роль отвечает на вопрос «можно ли работать с документами реализации». RLS отвечает на другой: «с какими именно». Например, менеджер видит только реализации своей организации или своего склада.
Как это устроено в платформе
В роли для прав «Чтение», «Добавление», «Изменение» и «Удаление» можно задать условие на языке запросов. Запись, не прошедшая условие, для пользователя как будто не существует: её нет в списках и отчётах. Повторяющиеся условия выносят в шаблоны ограничений роли — их имена начинаются с символа #.
Ключевая особенность: условия разных ролей объединяются через «ИЛИ». Если у пользователя две роли и в одной из них на документ нет ограничения, он видит все документы. Это частая причина того, что «ограничение по организации не работает ».
Как включить в типовой конфигурации
В БП 3.0 код писать не нужно:
- Откройте
Администрирование → Настройки пользователей и прав. - Включите флажок «Ограничивать доступ на уровне записей».
- Откройте группу доступа нужных сотрудников.
- На вкладке ограничений выберите вид доступа (например, «Организации») и отметьте разрешённые значения.
- Запишите группу доступа.
После включения RLS программа заполняет служебные данные для ограничения доступа регламентным заданием. В большой базе это занимает время, и первые минуты пользователи могут видеть не всё.
Включённый RLS замедляет списки и отчёты: к каждому запросу добавляется проверка. В базе на десятки тысяч документов это заметно. Включайте его, только если ограничение по записям действительно нужно.
Группы доступа и упрощённая настройка прав
Профиль говорит, что можно делать. Группа доступа говорит, кому и с какими данными. Один профиль «Бухгалтер» может использоваться в двух группах: «Бухгалтеры ООО Альфа» и «Бухгалтеры ООО Бета», с разными ограничениями по организациям.
Как выдать доступ новому сотруднику
Администрирование → Настройки пользователей и прав → Пользователи— создайте пользователя, задайте вход (пароль 1С или вход через Windows).- В карточке пользователя перейдите по ссылке «Права доступа ».
- Включите пользователя в нужные группы доступа.
- Сотрудник перезапускает 1С, чтобы права применились.
Удобный приём — пользователь-шаблон. Создайте недействительного пользователя «Шаблон бухгалтера» с нужными группами, а новых сотрудников заводите копированием. Группы доступа скопируются вместе с карточкой.
Упрощённый режим
В части типовых решений для малого бизнеса включена упрощённая настройка прав. Групп доступа на экране нет: профили отмечают флажками прямо в карточке пользователя, а программа сама создаёт персональные группы. Механизм тот же, просто скрыт промежуточный уровень. Переключение режима делают при внедрении: потом настройки придётся переносить.
Почему не хватает прав и как это найти
Классическое сообщение платформы — Нарушение прав доступа!. Чаще его видно при попытке открыть форму, провести документ
или записать элемент справочника. В тексте подробностей обычно указано, к какому объекту и какое право нужно.
Порядок поиска причины:
- Прочитайте подробности ошибки целиком: в них часто есть имя таблицы, например
Документ.РеализацияТоваровУслуг. - Откройте
Администрирование → Настройки пользователей и прав → Пользователи, затем карточку пользователя и ссылку «Права доступа». Там видны все его группы доступа. - Сравните с коллегой, у которого всё работает. Разница почти всегда в одной группе.
- Если ошибка возникает только на части документов — дело в RLS, а не в ролях.
- В конфигураторе найдите объект и через «Все роли» посмотрите, какие роли дают нужное право.
Если не помогло
Бывает, что права настроены верно, а ошибка остаётся. Помогают три проверки:
- 🔄 Пользователь не перезапускал 1С после изменения групп доступа. Права читаются при входе.
- 🧾 Ошибку даёт не форма, а код доработки: внешняя обработка или расширение обращается к объекту, к которому у пользователя нет основного права. Здесь нужно править роль расширения или код.
- 📋 Посмотрите журнал регистрации с отбором по пользователю и событиям ошибок: там видно точное время и объект.