Добавление роли и настройка прав доступа в 1С:Управление торговлей 11

Чтобы добавить роль в 1С:Управление торговлей 11, в режиме «1С:Предприятие» вы работаете не с самой ролью, а с профилем групп доступа — именно профиль включает в себя набор готовых ролей и ограничения. Путь: НСИ и администрирование → Настройки пользователей и прав → Профили групп доступа → Создать.

Готовую, типовую роль достаточно включить в профиль галочкой. А вот совершенно новая роль, которой нет в поставке, добавляется только в Конфигураторе — и удобнее всего делать это через расширение конфигурации , не снимая основную конфигурацию с поддержки.

Ниже — как устроены права в УТ 11, как собрать профиль из ролей и ограничений, как при необходимости создать собственную роль и как проверить, что всё работает.

Роль, профиль и группа доступа: кто за что отвечает

В УТ 11 (как и в других типовых на базе БСП) права выдаются не напрямую, а по трёхуровневой схеме. Путать эти понятия — главная причина, почему «роль добавили, а доступ не изменился».

Проще говоря: роль — это «что в принципе можно делать с документами и справочниками», профиль — «готовый набор таких разрешений под должность», группа доступа — «каким сотрудникам этот профиль выдан и по каким организациям и складам».

Пример из практики. Нужно, чтобы менеджер оформлял продажи, но не трогал закупки и не видел себестоимость. Отдельную роль ради этого не создают: берут профиль «Менеджер по продажам», при необходимости копируют его и убирают лишние роли, а затем через группу доступа ограничивают менеджера своей организацией. Три уровня работают вместе — и каждый отвечает за свою часть доступа.

Поэтому для рядовой задачи «дать сотруднику нужные права» новая роль в Конфигураторе почти никогда не требуется: собираете профиль из уже существующих ролей и назначаете его через группу доступа.

Что подготовить перед настройкой прав

Перед тем как трогать профили, проверьте три вещи.

• 🔑 Права администратора. Настройка профилей и групп доступа доступна пользователю с ролью «Полные права» (или входящему в группу «Администраторы»). Без этого разделы настроек просто не видны.
• 🧩 Нужны ли ограничения по записям. Если планируете разграничивать доступ по организациям, складам или партнёрам, заранее включите флажок Ограничивать доступ на уровне записей в разделе НСИ и администрирование → Настройки пользователей и прав. Без него ограничения в профиле настроить не получится.
• 💾 Резервная копия. Если дело дойдёт до создания собственной роли в Конфигураторе — сделайте копию базы до изменений в конфигурации.

Определиться с подходом помогает простой вопрос — что именно вам нужно:

Как создать профиль групп доступа и включить в него роли

Это основной сценарий «добавления роли» в УТ 11. По шагам:

1. Откройте НСИ и администрирование → Настройки пользователей и прав → Профили групп доступа.
2. Решите, создаёте профиль с нуля или на основе существующего. Если берёте за образец типовой (например, «Менеджер по продажам»), выделите его и нажмите Создать новый элемент копированием текущего (клавиша F9). Копия будет вашей, её можно свободно менять.
3. В новом профиле задайте понятное имя — например, «Менеджер по продажам (без удаления документов)».
4. Перейдите на закладку с разрешёнными действиями (ролями). Это таблица со всеми ролями конфигурации и галочками.
5. Отметьте нужные роли. Как правило, в основу берут роль базовых прав (общий запуск и просмотр) и добавляют роли по участкам работы: продажи, закупки, склад, отчёты.
6. Запишите и закройте профиль.

На этом новая «роль» (в понимании пользователя — набор прав) готова к выдаче. Остаётся связать её с сотрудниками.

Настройка состава ролей и ограничений доступа

Форма профиля — это и есть «конструктор прав» в пользовательском режиме. В ней две ключевые части.

Состав ролей. На закладке разрешённых действий вы галочками собираете из ролей нужный набор. Снятая галочка убирает возможность целиком; например, если убрать роль, отвечающую за удаление, пользователи профиля не смогут помечать документы на удаление независимо от прочих настроек.

Ограничения доступа (RLS). На отдельной закладке настраиваются виды доступа — по каким измерениям резать данные. В УТ 11 это чаще всего:

• 🏢 организации;
• 🏬 склады;
• 🤝 партнёры и их группы.

Для каждого вида доступа задаётся правило по принципу «все разрешены, кроме…» или «все запрещены, кроме…», а конкретные разрешённые организации и склады подставляются уже в группе доступа. Такая детализация позволяет одному и тому же профилю работать по-разному: один менеджер видит склад в Москве, другой — в Казани.

Какой режим выбрать, зависит от того, чего в учёте больше:

• «Все запрещены, кроме…» — когда сотруднику нужен доступ к небольшому списку объектов. Так настраивают менеджера на один-два склада: по умолчанию закрыто всё, разрешаете точечно.
• «Все разрешены, кроме…» — когда проще перечислить исключения. Подходит, например, для бухгалтера, который ведёт все организации, кроме одной обособленной.

На практике для рядовых сотрудников безопаснее первый режим: новая организация или склад, появившиеся в базе, по умолчанию останутся закрытыми, пока их явно не добавят в группу доступа. Это защищает от случайной «протечки» прав при росте компании.

Если после настройки раздел всё равно не виден пользователю — дело часто не в правах, а в функциональных опциях: отключённая опция прячет целые разделы у всех. Проверьте соответствующие настройки в НСИ и администрирование.

Как создать собственную роль через расширение

Если ни одна типовая роль не даёт нужной комбинации прав (например, «видеть отчёт, но не видеть себестоимость»), придётся создавать роль в Конфигураторе. Безопасный способ — расширение конфигурации: оно появилось на платформе 8.3.6 и позволяет добавить свою роль, не снимая основную конфигурацию с поддержки и не ломая автообновления.

Порядок действий:

1. Войдите в базу через Конфигуратор.
2. Откройте Конфигурация → Расширения конфигурации, создайте новое расширение.
3. В расширении добавьте объект типа «Роль».
4. Откройте редактор роли — это таблица «объекты метаданных × права»: чтение, добавление, изменение, удаление, просмотр, редактирование. Отметьте только те права, которые нужны.
5. Сохраните расширение и обновите конфигурацию базы данных.

После этого новая роль появится в списке на закладке ролей профиля групп доступа — и дальше работает как любая типовая.

Редактор прав в Конфигураторе и есть полноценный конструктор: здесь задаётся не только доступ к объектам, но и ограничения на уровне записей через шаблоны ограничений. Если вы не уверены в синтаксисе ограничений — начните с прав на объекты, а RLS настройте через механизм профилей в пользовательском режиме.

Важно понимать границу: роль открывает доступ к данным (справочнику, документу, отчёту), но сама по себе не всегда выводит команду в интерфейс. Если после добавления роли нужная команда не появилась в разделе, проверьте, включена ли она в состав командного интерфейса, — настройка видимости команд в типовой конфигурации отделена от прав. Поэтому минимальный рабочий профиль почти всегда содержит, помимо прикладных ролей, роль базовых прав и роль запуска клиента — без них пользователь не сможет даже войти в программу.

Как назначить профиль сотруднику

Профиль сам по себе прав не выдаёт — он должен попасть к пользователю через группу доступа. Два пути:

• Через НСИ и администрирование → Настройки пользователей и прав → Группы доступа: создаёте группу, указываете профиль, добавляете участников и — если включён RLS — конкретные значения доступа (организации, склады).
• Через карточку пользователя: откройте Пользователи, выберите сотрудника и в его правах доступа отметьте нужные профили.

Для разграничения по организациям/складам удобнее первый путь: одна группа доступа = один профиль + один набор разрешённых значений. Сотрудников с одинаковыми правами группируйте, чтобы не настраивать каждого отдельно.

Не раздавайте профиль каждому пользователю персонально, если прав у них одинаковый набор. Одна группа доступа на отдел проще в сопровождении: при приёме нового менеджера достаточно добавить его в участники группы, а не воспроизводить всю настройку заново. А когда права меняются для всего отдела, вы правите один профиль — изменения получат сразу все его участники.

Как проверить, что права настроены верно

Самая надёжная проверка — войти в базу под тестовым пользователем с новым профилем и пройтись по сценариям его работы: открываются ли нужные разделы, видны ли только разрешённые организации и склады, срабатывает ли запрет там, где он должен.

Если что-то не сходится, проверяйте по цепочке «от общего к частному»: функциональная опция включена → роль добавлена в профиль → профиль назначен через группу доступа → в группе указаны нужные значения доступа. Ошибка почти всегда на одном из этих четырёх уровней.

Частые ошибки при настройке прав

• ❌ Правят поставляемый профиль, а не копию. При обновлении изменения теряются. Всегда копируйте типовой профиль и настраивайте копию.
• ❌ Ждут эффекта от ограничений, не включив RLS. Без флажка Ограничивать доступ на уровне записей разграничение по организациям и складам просто не работает .
• ❌ Путают права и функциональные опции. Роль выдана, а раздела нет — потому что выключена функциональная опция, которая прячет его у всех сразу.
• ❌ Выдают «Полные права» вместо узкого профиля. Это снимает любой контроль: сотрудник сможет менять учётную политику и удалять документы. Собирайте профиль под конкретную должность.
• ❌ Создают роль в основной конфигурации, сняв её с поддержки. После этого обновления требуют ручного сравнения-объединения. Для своей роли используйте расширение.

Частые вопросы