Роль «Базовые права БТС»: зачем она каждому пользователю и где её искать
Содержание
«Базовые права БТС» — это служебная роль Библиотеки технологии сервиса (БТС), без которой пользователь конфигурации со встроенной БТС не может нормально работать. Она даёт минимальный набор прав к объектам самой библиотеки. Отдельно её никому не назначают: она приходит вместе с профилем группы доступа.
Типичная ситуация: администратор завёл нового сотрудника через Конфигуратор, поставил галочку на одной «рабочей» роли — и при входе тот получает Нарушение прав доступа! или сообщение о нехватке прав для входа. Причина почти всегда одна: у пользователя нет базовых ролей библиотек, в том числе базовых прав БТС. Разберём, что это за роль в 1С 8.3, как устроена схема прав и как настроить доступ так, чтобы такие сбои не повторялись.
Как устроены права в 1С 8.3 и при чём тут библиотеки
Права в 1С:Предприятии 8.3 держатся на трёх слоях. Платформа понимает только роли. Всё, что выше, — надстройка типовых библиотек.
| Слой | Где живёт | Что задаёт |
|---|---|---|
| Роль | Конфигурация (дерево Общие → Роли) | Права на объекты: чтение, добавление, изменение, проведение |
| Профиль группы доступа | Режим «Предприятие», механизм БСП | Набор ролей под должность |
| Группа доступа | Режим «Предприятие», механизм БСП | Кто из пользователей получает профиль и с какими ограничениями |
Роль — это объект метаданных. Её создаёт разработчик, а в типовой конфигурации она стоит на поддержке. Пользователь может иметь несколько ролей: права складываются, запретов «сверху» роль не накладывает.
Профили и группы доступа — механизм Библиотеки стандартных подсистем (БСП). Администратор не отмечает роли вручную. Он включает человека в группу, а БСП сама выставляет ему роли из профиля.
Что такое БТС
БТС — Библиотека технологии сервиса. На ней построена работа конфигураций в модели сервиса: облачные базы, разделение данных на области, обмен сообщениями между базами и менеджером сервиса. Её встраивают во многие типовые решения, в том числе в 1С:Бухгалтерию 3.0. Поэтому роль видна и в обычной коробочной базе, которая в облаке никогда не работала.
Каждая библиотека приносит с собой «базовую» роль:
- 🧩 Базовые права БСП — минимум для объектов стандартных подсистем;
- 🧩 Базовые права БТС — минимум для объектов технологии сервиса: служебных констант, регистров и общих модулей, к которым код библиотеки обращается в любом сеансе.
Если такой роли нет, код библиотеки при старте сеанса или при открытии формы упирается в объект, к которому у пользователя нет доступа.
Базовые права БТС среди стандартных ролей и профилей
Базовая роль не определяет, что человек видит в программе. Она лишь даёт «пропуск», без которого не работает остальное. Рабочие права приходят из других ролей профиля.
В типовой конфигурации на БСП картина такая:
| Что | Примеры | Кому |
|---|---|---|
| Базовые роли библиотек | «Базовые права БСП», «Базовые права БТС» | Всем пользователям |
| Административные роли | «Полные права», «Администратор системы» | Администраторам базы |
| Рабочие роли | Роли на добавление и изменение документов, чтение справочников | По профилю должности |
В списке ролей программа помечает базовые роли как служебные. В профиле группы доступа их обычно не видно среди отмечаемых: БСП добавляет их пользователю автоматически, когда он состоит хотя бы в одной группе доступа.
Отсюда простое правило: если пользователь не состоит ни в одной группе доступа, базовых ролей у него не будет. Даже если в Конфигураторе у него отмечена нужная рабочая роль.
Как проверить, есть ли БТС в вашей конфигурации
- Откройте базу в Конфигураторе.
- В дереве метаданных разверните
Общие → Роли. - Введите в строку поиска над деревом «БТС».
Если роль «Базовые права БТС» нашлась — библиотека встроена, и роль нужна всем пользователям. Если не нашлась — в конфигурации нет БТС, и разговор о ней неактуален: для неё хватает базовых ролей БСП.
Как настроить права пользователей с учётом базовых прав БТС
Права в типовой конфигурации настраивают в режиме «Предприятие», а не в Конфигураторе. Это главный приём, без которого базовые роли постоянно «теряются».
Раздел: Администрирование → Настройки пользователей и прав. Там лежат справочники «Пользователи», «Группы доступа» и «Профили групп доступа».
Шаг 1. Подберите или создайте профиль
- Откройте
Профили групп доступа. - Найдите поставляемый профиль, близкий к должности: например, «Бухгалтер» или «Только просмотр».
- Если поставляемый профиль подходит не полностью, не правьте его. Скопируйте и меняйте копию.
- На вкладке со списком ролей отметьте рабочие роли, которые нужны должности.
Поставляемые профили обновляются вместе с конфигурацией. Изменения в них при следующем обновлении могут вернуться к исходному состоянию. Копия остаётся вашей.
Шаг 2. Создайте группу доступа
- Откройте
Группы доступаи создайте группу. - Укажите профиль из шага 1.
- На вкладке участников добавьте пользователей.
- Если включено ограничение на уровне записей, заполните виды доступа: какие организации, склады или группы номенклатуры видит группа.
- Нажмите «Записать и закрыть».
При записи группы БСП пересчитывает роли всех её участников. Базовые права БСП и БТС они получают в этот момент.
Шаг 3. Заведите пользователя в режиме «Предприятие»
Новых сотрудников создавайте в справочнике Пользователи, а не через Администрирование → Пользователи в Конфигураторе.
- Создайте элемент справочника, укажите физлицо и подразделение.
- Отметьте флажок входа в программу, задайте имя для входа и пароль.
- Откройте права доступа пользователя из его карточки и включите его в нужные группы.
Пользователь, созданный так, сразу получает и рабочие, и базовые роли.
Если роли пользователю назначены вручную в Конфигураторе, БСП может перезаписать их при очередной записи группы доступа или при обновлении конфигурации. Ручная галочка в Конфигураторе в базе на БСП — временное решение, а не настройка.
Если пользователь уже заведён в Конфигураторе
Так бывает после загрузки базы из чужого .dt или когда пользователей создавали «по-быстрому». Порядок исправления:
- Зайдите в режим «Предприятие» под администратором.
- В справочнике «Пользователи» найдите сотрудника. Если его там нет, но он есть в списке пользователей информационной базы, программа предложит сопоставить или создать элемент.
- Включите пользователя в группу доступа и запишите её.
После этого роли выставятся заново, включая базовые права БТС.
Ограничение доступа к конфиденциальным данным
Базовые права БТС не дают доступа к бухгалтерским или кадровым данным. Конфиденциальность регулируют рабочие роли и ограничения на уровне записей.
Два уровня ограничений:
- 🔒 На уровне объектов. Нет роли на объект — пользователь не видит справочник или документ целиком. Например, бухгалтер по банку без кадровых ролей не открывает личные данные сотрудников.
- 🔒 На уровне записей (RLS). Объект доступен, но только часть строк: документы своей организации, свои склады, свои контрагенты.
Как включить ограничение на уровне записей
- Откройте
Администрирование → Настройки пользователей и прав. - Включите флажок ограничения доступа на уровне записей.
- В профиле группы доступа на вкладке видов доступа выберите, по чему ограничивать: например, «Организации».
- В каждой группе доступа укажите разрешённые значения.
- Дождитесь завершения обновления доступа: в том же разделе есть ссылка на ход обновления доступа на уровне записей.
Включение RLS в большой базе запускает пересчёт ключей доступа. Он идёт фоновым заданием и может занять от минут до нескольких часов. Включайте вечером или в выходной, предупредите пользователей о возможном замедлении.
Пока обновление не закончено, пользователь может видеть меньше данных, чем должен. Это не ошибка настройки: подождите окончания пересчёта.
Что не стоит делать ради конфиденциальности
- ❌ Убирать у пользователя базовые роли, чтобы «урезать» его. Он перестанет входить в программу, а доступ к данным не изменится.
- ❌ Править поставляемые роли в Конфигураторе. Конфигурация снимется с поддержки по этому объекту, и каждое обновление превратится в ручное сравнение.
Если типовых ролей не хватает, разработчик добавляет свою роль в расширение конфигурации . Тогда её можно включить в профиль, а типовые объекты остаются нетронутыми.
Типичные ошибки при работе с базовыми правами БТС
Ошибки здесь повторяются из базы в базу. Ниже — те, что встречаются чаще других у администраторов типовых конфигураций.
| Ошибка | Что получается | Как правильно |
|---|---|---|
| Пользователь создан в Конфигураторе с одной ролью | Не входит в программу или получает отказ в доступе при старте | Включить в группу доступа в режиме «Предприятие» |
| Пользователь не входит ни в одну группу доступа | Нет базовых ролей БСП и БТС | Добавить хотя бы в одну группу |
| Правка поставляемого профиля | Настройки слетают после обновления | Работать с копией профиля |
| «Полные права» всем, чтобы не разбираться | Любой сотрудник меняет настройки и закрытые периоды | Профили по должностям |
| Изменение самой роли «Базовые права БТС» | Конфигурация снимается с поддержки, обновления ломаются | Не трогать роль, дополнительные права — через расширение |
Отдельный случай — первый пользователь в пустой базе. Пока список пользователей пуст, платформа пускает любого с полными правами. Как только появляется первый пользователь, вход становится по списку, и этот первый пользователь должен иметь административные права. В типовой конфигурации им становится администратор с ролями «Полные права» и «Администратор системы».
Диагностика проблем с доступом
Если пользователь жалуется на отказ, идите от простого к сложному. Сначала выясните, на каком действии он падает: на входе в программу, при открытии раздела или при записи документа.
Где смотреть подробности
- Права пользователя. Из карточки пользователя откройте его права доступа: там видно, в каких группах он состоит и какие профили получает.
- Список ролей в Конфигураторе.
Администрирование → Пользователи, откройте пользователя, вкладка «Прочие». Здесь видно, отмечены ли «Базовые права БСП» и «Базовые права БТС». Смотрите, но не правьте: правильный путь — через группы доступа. - Журнал регистрации.
Администрирование → Обслуживание → Журнал регистрации. Отберите события по пользователю и времени сбоя. В тексте ошибки обычно видно объект, на котором сработал отказ, — по нему понятно, какой роли не хватает.
Быстрый тест: войдите под проблемным пользователем в копии базы и повторите действие. Если под администратором всё работает, а под пользователем нет — дело в правах, а не в данных или ошибке программы.
Если не помогло
Бывает, что группа доступа настроена правильно, а роли всё равно не выставляются. Что проверить:
- 🔁 Обновление конфигурации не завершено. После обновления типовая конфигурация выполняет обработчики обновления данных. Пока они не прошли, механизм доступа может работать неполно. Зайдите под администратором и дождитесь окончания.
- 🔁 Доработанная конфигурация. Если программисты меняли модули БСП или профили, автоматическое назначение базовых ролей могло сломаться. Сравните конфигурацию с поставкой и найдите изменения в подсистеме управления доступом.
- 🔁 Расширения. Отключите расширения на копии базы и проверьте вход. Если без расширения всё работает, проблема в нём.