Роли и права пользователей 1С 8.3: от конфигуратора до групп доступа

Роль в 1С настраивают в конфигураторе: ветка Общие → Роли, затем вкладка прав на объекты и галочки по каждому действию. Но в типовой базе (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) так делать почти никогда не нужно: там пользователю выдают не роль, а группу доступа с профилем, и всё делается в режиме 1С:Предприятие через Администрирование → Настройки пользователей и прав.

Частое заблуждение администратора — что ролью можно что-то запретить. Нельзя. Роль только разрешает, а права всех ролей пользователя складываются. Отсюда и большая часть проблем «настроил запрет, а он не работает ».

Как устроена система прав доступа в 1С

У платформы 1С:Предприятие 8.3 три уровня управления доступом. Их полезно разделить сразу, иначе настройка превращается в перебор галочек.

Ключевые принципы:

• ✅ Права только разрешающие. Запретить что-то можно, лишь убрав это право из всех ролей пользователя.
• ➕ Права ролей объединяются. Если одна роль даёт чтение справочника, а другая — изменение, пользователь сможет изменять.
• 👁 Скрытая команда — не запрет. Убранная из меню кнопка не мешает открыть объект другим путём, например через ссылку или отчёт.
• 🔒 Без ролей нет входа. Пользователь, у которого не отмечена ни одна роль, в базу не попадёт.

Создаём новую роль в конфигураторе пошагово

Этот путь нужен для собственной конфигурации или для доработки, которую вы сопровождаете сами.

1. Откройте базу в режиме Конфигуратор и откройте конфигурацию (Конфигурация → Открыть конфигурацию).
2. В дереве раскройте Общие → Роли.
3. Правой кнопкой по ветке Роли → Добавить.
4. Задайте имя латиницей или кириллицей без пробелов, например ОператорСклада, и понятный синоним: «Оператор склада». Синоним пользователь увидит в списке ролей.
5. Откроется редактор роли: слева дерево всех объектов конфигурации, справа список прав для выделенного объекта.
6. Отметьте нужные права (подробно — в следующем разделе).
7. Сохраните конфигурацию и выполните Конфигурация → Обновить конфигурацию базы данных (F7).
8. Назначьте роль пользователю: Администрирование → Пользователи, карточка пользователя, вкладка Прочие.

Пользователи увидят новые права после перезапуска сеанса. Обновление структуры базы, если оно потребуется, идёт с монопольным доступом: работающих в базе придётся попросить выйти.

Три флажка внизу редактора роли

Внизу окна роли есть три настройки. От них зависит, как роль поведёт себя после следующих доработок.

Настраиваем права на объекты метаданных

Начните с корня дерева — объекта «Конфигурация». Там права уровня всей базы. Минимальный набор для обычного пользователя:

• 🖥 Тонкий клиент и/или Веб-клиент — без права на тип клиента зайти не получится;
• 💾 Сохранение данных пользователя — иначе не будут запоминаться настройки форм и отчётов;
• 🖨 Вывод — печать и сохранение в файл;
• 📄 Интерактивное открытие внешних обработок и …отчетов — только если пользователь действительно ими пользуется.

Права Администрирование, Администрирование данных, Монопольный режим, Обновление конфигурации базы данных обычным ролям не нужны.

Права на справочники и документы

Права делятся на две группы. «Программные» (Чтение, Добавление, Изменение, Удаление) работают для кода и запросов. «Интерактивные» (Просмотр, Интерактивное добавление, Редактирование, Интерактивное удаление) — для действий пользователя на форме.

Интерактивное право не работает без программного. Просмотр без Чтения не поставить: платформа сама снимет зависимые галочки.

Типовой набор для документа, который пользователь создаёт и проводит:

💡 Не забудьте регистры, в которые документ делает движения. Для проведения нужны права на запись в эти регистры. Иначе при проведении пользователь получит Нарушение прав доступа!.

Ограничение доступа к записям (RLS)

Когда оператор должен видеть только свои документы, нужна RLS. Выделите объект, отметьте право Чтение и в нижней части окна в колонке ограничения доступа к данным напишите условие на языке запросов:

ТекущаяТаблица ГДЕ ТекущаяТаблица.Ответственный = &ТекущийПользователь

&ТекущийПользователь — параметр сеанса. Его нужно создать в ветке Общие → Параметры сеанса и заполнить в модуле сеанса, в обработчике УстановкаПараметровСеанса.

RLS накладывается только на права Чтение, Добавление, Изменение, Удаление. В отчётах, где запрос написан без слова РАЗРЕШЕННЫЕ, пользователь получит ошибку доступа вместо урезанной выборки.

Мини-пример: роль «Оператор склада»

Задача: сотрудник оформляет поступления и перемещения, видит остатки, но не видит цены закупки и не трогает справочник номенклатуры.

• 📦 Документы поступления и перемещения — полный набор из таблицы выше, кроме удаления.
• 📚 Справочники «Номенклатура», «Склады», «Контрагенты» — только Чтение и Просмотр. Выбирать в документе можно, создавать и править нельзя.
• 📊 Регистры остатков — Чтение для отчётов и запись, необходимая для проведения.
• 💰 Регистр цен закупки — без прав вовсе. Колонка цены в документе закрывается через независимые права реквизита.
• 🖥 Конфигурация — Тонкий клиент, Сохранение данных пользователя, Вывод.

Такую роль удобно держать узкой и комбинировать с базовой ролью «Пользователь», где собраны общие права: справочник пользователей , настройки, служебные регистры.

Скрываем лишнее в интерфейсе по ролям

Если у пользователя нет права Просмотр на объект, команда открытия списка из интерфейса пропадает сама. Отдельно настраивать её не нужно.

Ручная настройка видимости нужна, когда право есть, но команда мешает:

1. Разделы и команды. Откройте корень конфигурации → Открыть командный интерфейс конфигурации или командный интерфейс подсистемы. В таблице команд есть колонки видимости: общая и по каждой роли. Снимите галочку в колонке нужной роли.
2. Поля и кнопки формы. В редакторе формы у элемента есть свойства Просмотр и Редактирование с настройкой по ролям. Так можно скрыть, например, поле с закупочной ценой.
3. Отдельный реквизит целиком. Включите в роли Независимые права подчиненных объектов и снимите Просмотр у реквизита. Это уже настоящее ограничение, а не косметика.

Роли в типовой конфигурации: профили и группы доступа

В типовых решениях на БСП роли напрямую почти не назначают. Цепочка такая:

Роли → Профиль группы доступа → Группа доступа → Пользователи

Профиль — набор ролей под должность («Бухгалтер», «Кадровик», «Менеджер по продажам»). Группа доступа связывает профиль с конкретными людьми и, если нужно, с ограничениями: какие организации, склады или физлица видит группа.

Как настроить профиль и группу доступа

1. Перейдите в Администрирование → Настройки пользователей и прав.
2. Откройте Профили групп доступа. Поставляемые профили отмечены значком, их состав ролей менять нельзя.
3. Выделите близкий профиль и скопируйте его. В копии отметьте или снимите роли.
4. Если нужен доступ только к части данных, в профиле на вкладке видов доступа укажите, какие виды ограничивать (например, «Организации»).
5. Откройте Группы доступа, создайте группу, выберите профиль, добавьте участников.
6. Если в профиле есть ограничения, заполните в группе значения: какие именно организации разрешены.

Для работы ограничений по организациям и другим видам доступа в Настройках пользователей и прав должен быть включён флажок ограничения доступа на уровне записей.

Если поставляемых ролей не хватает

Не правьте типовые роли в основной конфигурации: это снимет её с поддержки и усложнит каждое обновление. Создайте расширение (Конфигурация → Расширения конфигурации), добавьте в него собственную роль с недостающими правами и включите её в свой профиль.

Проверка роли перед выдачей пользователям

Права, проверенные под администратором, не проверены вовсе: у администратора есть всё. Порядок проверки:

1. Тестовый пользователь. Заведите пользователя Тест_ОператорСклада с одной проверяемой ролью (или одной группой доступа) и войдите под ним в отдельном сеансе.
2. Сценарий целиком. Пройдите реальный день: создать документ , провести, распечатать, сформировать нужные отчёты. Ошибка часто вылезает не на открытии, а на проведении или в печатной форме.
3. Журнал регистрации. Отказы в доступе фиксируются в журнале (событие «Доступ. Отказ в доступе»). Отберите по тестовому пользователю — увидите, на какой объект не хватило прав.
4. Сводная таблица ролей. В конфигураторе правой кнопкой по ветке Роли → Все роли. Откроется матрица «объект × роль»: удобно найти, какая роль даёт лишнее право.
5. Отчёт о правах в типовой. В карточке пользователя в Настройках пользователей и прав доступен отчёт о правах доступа: какие права и через какие группы получил сотрудник.

Ошибки, на которых спотыкаются при настройке прав

• 🔁 Пытаются ограничить, добавив роль. Добавленная роль только расширяет доступ. Чтобы забрать право, ищите роль, которая его даёт, и убирайте её у пользователя.
• 🧩 Дали право на документ, забыли про регистры и справочники. Документ открывается, но не проводится. Смотрите, в какие регистры он пишет и какие справочники выбираются в реквизитах.
• 🛠 Выдали «Полные права» «на время». Временное остаётся навсегда. Лучше потратить час на отдельную роль или профиль.
• 🔄 Правят роли в типовой без расширения. При следующем обновлении придётся сравнивать и объединять каждую изменённую роль.
• 🙈 Скрыли кнопку вместо запрета. Пользователь откроет объект из отчёта или по навигационной ссылке.

Частые вопросы