Как устроены базовые права пользователя в 1С 8.3 и что от них зависит
Содержание
Базовые права в 1С 8.3 — это минимальный набор разрешений, без которого пользователь вообще не может начать сеанс: запуск клиента, сохранение своих настроек, чтение общих справочников и констант. Их дают роль с базовыми правами (в типовых конфигурациях на БСП — «Базовые права БСП» и свои роли «Базовые права…» в прикладном решении) и права на корне конфигурации в редакторе ролей.
Если сотрудник видит Нарушение прав доступа! сразу после входа или вообще не может открыть базу
, проблема чаще всего не в лицензии, а в составе ролей. Отличить одно от другого просто: на нехватку лицензии платформа выдаёт отдельное сообщение, а на нехватку прав — отказ в доступе к действию или объекту.
Права доступа и лицензии: два разных замка
Новички часто путают эти понятия. На деле это два независимых механизма, и каждый может не пустить пользователя в базу.
| Механизм | Что решает | Где настраивается | Чем выражается отказ |
|---|---|---|---|
| 🔑 Лицензия | Сколько сеансов одновременно может работать | Программная или аппаратная защита, сервер 1С | Сообщение о том, что не найдена лицензия или исчерпано их число |
| 🛡 Права доступа | Что конкретный пользователь может делать в базе | Роли в конфигурации, профили и группы доступа | Нарушение прав доступа! или недоступные команды |
Отсюда несколько практических выводов:
- 📌 Лицензия не даёт прав. Даже если ключей хватает на всех, пользователь без ролей не войдёт.
- 📌 Права не дают лицензий. Пользователь с ролью «Полные права» не запустит базу, если свободных лицензий нет. Без лицензии платформа базу не запускает, «демо-режима» у рабочих версий нет (исключение — учебная версия).
- 📌 Число пользователей в списке базы не ограничено числом лицензий. Лицензия расходуется на сеанс, а не на учётную запись. Можно завести 50 пользователей при 10 лицензиях — одновременно войдут десять.
Проверить, сколько лицензий занято на сервере 1С, можно консолью кластера или утилитой rac: команда rac session list --licenses покажет сеансы вместе с выданными им лицензиями.
Предприятие и Конфигуратор: кому какой режим нужен
У базы 1С два основных режима запуска. Права на них выдаются по-разному.
Режим 1С:Предприятие
Это рабочий режим бухгалтера, кадровика, менеджера. Чтобы войти, пользователю нужно право на тот вид клиента, которым он запускается:
- 🖥 «Тонкий клиент» — основной способ работы в интерфейсе «Такси».
- 🌐 «Веб-клиент» — работа через браузер с опубликованной базой.
- 🧱 «Толстый клиент» — нужен редко, в основном для старых внешних обработок и отладки.
Если права на тонкий клиент нет, пользователь не войдёт, хотя все остальные роли у него есть. Это частая причина отказа при самостоятельно собранных ролях.
Режим Конфигуратор
Конфигуратор — инструмент разработчика и администратора: изменение конфигурации, обновление, выгрузка и загрузка базы, тестирование и исправление.
Без права «Администрирование» пользователь в Конфигуратор не попадёт. Обычному сотруднику этот режим не нужен, и давать его «на всякий случай» опасно: из Конфигуратора можно загрузить чужую базу поверх рабочей.
Если список пользователей базы пуст, платформа пускает любого без пароля и с полными правами — и в Предприятие, и в Конфигуратор. Поэтому первым пользователем всегда заводят администратора с ролью полных прав.
Монопольный доступ к базе нужен не для каждого входа в Конфигуратор, а для конкретных операций: обновления структуры базы данных, загрузки файла .dt, тестирования и исправления. Для этих операций пользователю нужно и право «Монопольный режим».
Роли и профили групп доступа: как собирается набор прав
Роль — кирпичик прав
Роль описывается в конфигурации. В ней по каждому объекту (справочнику, документу, регистру, отчёту) отмечено, какие действия разрешены. Роли только добавляют права: запрещающих ролей нет. Если одна роль разрешает изменение документа, а другая — нет, итог «можно».
В типовых решениях ролей десятки и сотни, поэтому руками их назначают редко. Для этого есть надстройка из Библиотеки стандартных подсистем.
Профиль группы доступа — готовый набор ролей
Профиль объединяет роли под должность: «бухгалтер по зарплате», «кладовщик», «только просмотр». В БП 3.0, ЗУП 3.1 и УТ 11 путь к ним одинаковый:
Администрирование → Настройки пользователей и прав → Профили групп доступа
Группа доступа связывает профиль с конкретными людьми, а при включённом ограничении по записям — ещё и с разрешёнными организациями, складами и другими значениями.
Администрирование → Настройки пользователей и прав → Группы доступа
Роль с базовыми правами обычно уже входит в поставляемые профили. Когда собираете свой профиль с нуля, проверьте её наличие первым делом — без неё пользователь упрётся в отказ на старте.
Почему нельзя назначать роли в Конфигураторе
В Конфигураторе есть свой список: Администрирование → Пользователи, в карточке на вкладке «Прочие» — флажки ролей. В конфигурациях на БСП роли, отмеченные там вручную, будут перезаписаны при следующем изменении групп доступа: подсистема сама пересобирает состав ролей по профилям.
Правило простое: в типовой конфигурации пользователей и права настраивают только в режиме Предприятие. Конфигуратор оставляют для первичного администратора и аварийных случаев.
Порядок настройки нового сотрудника
- Откройте
Администрирование → Настройки пользователей и прав → Пользователии создайте пользователя. - Включите флажок входа в программу, задайте имя для входа и пароль (или аутентификацию операционной системы).
- Добавьте пользователя в одну или несколько групп доступа под его обязанности.
- Если используется ограничение по записям — проверьте, что в группе указаны нужные организации или склады.
- Попросите сотрудника перезайти в базу: состав ролей применяется в начале сеанса, открытая программа изменений не увидит.
Какие права бывают и на что они влияют
Права в редакторе роли делятся на две группы: права на корень конфигурации (общие для всей базы) и права на отдельные объекты.
Права на корень конфигурации
| Право | Что разрешает | Кому давать |
|---|---|---|
| Администрирование | Полное управление базой, вход в Конфигуратор | Только администратору |
| Администрирование данных | Административные действия с данными без доступа к конфигурации | Ответственному за базу |
| Обновление конфигурации базы данных | Применить изменённую конфигурацию к базе | Администратору |
| Монопольный режим | Установить монопольный доступ | Администратору |
| Активные пользователи | Видеть список сеансов | Администратору, иногда руководителю |
| Журнал регистрации | Просматривать журнал событий | Администратору, аудитору |
| Тонкий клиент / Веб-клиент / Толстый клиент | Запуск соответствующего клиента | Всем, по способу работы |
| Внешнее соединение | Подключение к базе извне (COM) | Служебным учётным записям для обменов |
| Режим «Все функции» | Доступ к меню со всеми объектами базы | Опытным пользователям и администраторам |
| Интерактивное открытие внешних обработок / отчётов | Запуск файлов .epf и .erf с диска | По необходимости, с осторожностью |
| Сохранение данных пользователя | Запоминать настройки форм и отчётов | Всем |
| Вывод | Печать, запись в файл, копирование в буфер | Почти всем |
Право на открытие внешних обработок — самое недооценённое. Внешняя обработка выполняет любой код с правами пользователя. В типовых конфигурациях для этого есть отдельная роль, и выдавать её стоит только тем, кто действительно запускает такие файлы.
Права на объекты
Для документов и справочников основные права такие:
- 👁 «Чтение» и «Просмотр» — данные можно получить в программе и открыть в форме.
- ✏️ «Изменение» и «Редактирование» — можно менять существующие элементы.
- ➕ «Добавление» и «Интерактивное добавление» — можно создавать новые.
- 📄 «Проведение» и «Интерактивное проведение» — для документов.
- 🗑 «Интерактивная пометка удаления» и «Интерактивное удаление» — пометка и непосредственное удаление.
Слово «интерактивное» означает действие пользователя в форме. Право без этого слова работает на уровне данных — в том числе когда объект меняет код программы. Если у пользователя есть «Изменение», но нет «Редактирование», форма откроется только на просмотр.
В редакторе роли есть три флажка, которые влияют на всю роль: «Устанавливать права для новых объектов», «Устанавливать права для реквизитов и табличных частей по умолчанию» и «Независимые права подчиненных объектов». Первый особенно коварен: при обновлении конфигурации новые объекты автоматически получат права в такой роли, хотя вы их не планировали.
Ограничение доступа на уровне записей
Роль отвечает на вопрос «можно ли работать с документами реализации». Ограничение на уровне записей (RLS) уточняет: «с документами каких организаций или складов».
Как включить
- Откройте
Администрирование → Настройки пользователей и прав. - Установите флажок ограничения доступа на уровне записей.
- В профиле группы доступа откройте вкладку видов доступа и задайте правило по каждому виду: «Все разрешены» с исключениями или «Все запрещены» с разрешёнными значениями.
- В группе доступа укажите конкретные значения — например, одну организацию из трёх.
Что нужно знать заранее
- ⏳ После включения программа строит служебные данные для проверки доступа. В большой базе это занимает время, пользователи могут видеть неполные списки, пока процесс не завершится.
- 🐢 Ограничение по записям утяжеляет запросы. Чем больше видов доступа и значений, тем заметнее замедление отчётов.
- 🧩 Пользователь видит документ, только если ему разрешены все значения, по которым этот документ ограничен. Документ с запрещённым складом выпадет из списка, даже если организация разрешена.
- 🛑 Для администраторов ограничение не действует: роль полных прав видит всё.
Включайте RLS сначала в копии базы. Проверьте под пользователем с ограничениями, что формируются ключевые отчёты: оборотно-сальдовая ведомость, анализ субконто, ведомость по складам. Часть отчётов строится по регистрам, где ограничение работает по своим правилам.
Диагностика: почему не хватает прав и как найти причину
Отказ в доступе почти всегда сводится к одному из нескольких сценариев. Начните с журнала регистрации: Администрирование → Обслуживание → Журнал регистрации, отбор по пользователю и уровню «Ошибка». В событии будет видно, какое действие и над каким объектом не прошло.
Сервис → Параметры → Отображать команду «Все функции». Если флажка нет — у пользователя нет права на этот режим.Если не помогло
- 🔍 Создайте временного пользователя с тем же набором групп доступа и войдите под ним. Так вы увидите программу глазами сотрудника, не зная его пароля.
- 🧪 Добавьте пользователя в группу администраторов на пять минут. Если ошибка исчезла — дело точно в правах; если нет — ищите проблему в данных или в доработках конфигурации.
- 🧰 В доработанной конфигурации проверьте, не добавили ли разработчики свой объект без прав в типовых ролях. Тогда право нужно выдать через новую роль в расширении, а не правкой типовой роли.
Не оставляйте временные административные права «до завтра». Снимите их сразу после проверки — в журнале регистрации останутся все действия под этим доступом.