Какие права есть у сотрудника в 1С 8.3: пять способов это узнать

Проверить роль пользователя в 1С 8.3 быстрее всего в карточке пользователя: Администрирование → Настройки пользователей и прав → Пользователи, откройте сотрудника и перейдите по ссылке «Права доступа ». Там видно, в какие группы доступа он входит и какие профили ему назначены.

Частое заблуждение — смотреть роли только в Конфигураторе. В типовых конфигурациях на БСП (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) роли собираются из профилей групп доступа. Конфигуратор покажет итоговый набор ролей, но не объяснит, откуда каждая взялась. А если поменять роли там вручную, программа перезапишет их при следующем изменении группы доступа.

Что нужно знать до проверки

Права в 1С устроены в три слоя. Если путать их, проверка заходит в тупик.

• 🧩 Роль — объект конфигурации. В ней разработчик задал, что можно делать с каждым справочником, документом, отчётом: читать, добавлять, изменять, проводить.
• 📦 Профиль группы доступа — набор ролей под должность: «Бухгалтер», «Кадровик», «Менеджер по продажам».
• 👥 Группа доступа — профиль плюс конкретные люди и, при необходимости, ограничения: по организациям, складам, видам контрагентов.

Пользователь получает объединение ролей всех групп, в которые входит. Права в 1С только складываются: отдельной «запрещающей» роли не бывает. Если сотрудник видит лишнее, ищите группу, которая это даёт, а не роль, которая «забыла запретить».

Ещё один слой — ограничение доступа на уровне записей (RLS). Роль может разрешать документ «Реализация», но пользователь увидит только документы своей организации. Такие ограничения включаются флажком «Ограничивать доступ на уровне записей» в разделе настроек пользователей и прав.

Для проверки нужны права администратора. Обычный пользователь не видит чужих карточек и не откроет список пользователей информационной базы.

Проверка роли пользователя в режиме 1С:Предприятие

Это основной способ для типовых конфигураций. Путь к списку пользователей зависит от программы:

Шаг 1. Карточка пользователя

1. Откройте список пользователей по пути из таблицы.
2. Найдите сотрудника и откройте его карточку двойным щелчком.
3. Проверьте флажки «Вход в программу разрешён» и способ аутентификации. Если вход запрещён, роли можно не смотреть — человек просто не войдёт.
4. Перейдите по ссылке «Права доступа» в карточке.

Откроется список групп доступа, в которые входит пользователь. Галочкой отмечены те, где он участник напрямую или через группу пользователей.

Шаг 2. Группы и профили

Перейдите в саму группу доступа. На закладке участников видно, кто ещё в неё входит. В поле «Профиль» — какой профиль даёт набор ролей.

Откройте профиль. На закладке ролей перечислены все роли этого профиля. Поставленные галочки — это и есть роли, которые получит каждый участник группы.

Шаг 3. Ограничения в группе

Если RLS включено, в группе доступа есть закладка с видами доступа: организации, склады, группы контрагентов. Значение «Все разрешены» или «Все запрещены» и список исключений определяют, какие записи увидит человек.

Типичная картина: роль на документ есть, но список пуст. Тогда смотреть надо именно сюда, а не в роли.

Пользователь без групп

Если в карточке не отмечена ни одна группа, у человека нет ролей вообще. Он может войти, но увидит пустое окно или получит сообщение о нарушении прав. Так бывает, когда пользователя создали в Конфигураторе, а в программе не включили ни в одну группу.

Отчёты по правам: кто что может

Просматривать группы по одной долго, если пользователей десятки. Для этого в БСП есть отчёты.

Отчёт «Права доступа»

Строится по одному пользователю и открывается прямо из его карточки — через команду отчётов в командной панели. Показывает, к каким объектам у пользователя есть доступ на чтение, добавление и изменение, и через какие группы доступа этот доступ получен.

Удобно, когда нужно ответить на вопрос «почему Иванова может удалять контрагентов»: в отчёте видно, какая группа дала это право.

Отчёт «Анализ прав доступа»

Есть в актуальных релизах БП 3.0, ЗУП 3.1, УТ 11. Работает в двух направлениях:

• 👤 от пользователя — все таблицы, к которым у него есть доступ, с уровнем: чтение, изменение, ограничение записей;
• 📄 от объекта — кто из пользователей может читать или менять конкретный справочник или документ.

Второй вариант незаменим при аудите. Например, нужно показать проверяющему, кто имеет доступ к справочнику «Физические лица» с персональными данными. Выбираете таблицу — получаете список людей.

Найти отчёт проще всего из карточки пользователя: в командной панели среди отчётов. В отчёте можно отобрать нужного пользователя или таблицу и выгрузить результат в Excel кнопкой сохранения.

Режим «Все функции»

Если конфигурация не на БСП или карточки пользователя недостаточно, есть платформенный список.

1. Включите Главное меню → Сервис → Параметры → Режим технического специалиста.
2. Откройте Главное меню → Функции для технического специалиста.
3. В ветке «Стандартные» выберите «Управление пользователями».

Здесь видны все пользователи информационной базы и роли, отмеченные у каждого. Это тот же список, что в Конфигураторе, только доступный без его запуска.

Анализ прав в Конфигураторе

Конфигуратор показывает итог: какие роли платформа реально выдаст при входе. Это полезно, когда в программе всё выглядит правильно, а ошибка доступа остаётся.

Роли конкретного пользователя

1. Запустите Конфигуратор под администратором.
2. Откройте Администрирование → Пользователи.
3. Откройте нужного пользователя и перейдите на закладку «Прочие».

Там список всех ролей конфигурации с флажками. Отмеченные — назначены. Сравните с тем, что ожидали увидеть по группам доступа.

Что разрешает сама роль

1. В дереве конфигурации раскройте ветку «Общие → Роли».
2. Откройте нужную роль. Слева — дерево объектов, справа — права на выделенный объект.
3. Чтобы увидеть шаблоны ограничения записей, откройте у роли закладку шаблонов ограничений.

Флажок «Устанавливать права для новых объектов» в роли означает, что новые объекты при доработке получат права автоматически. Отсюда частая находка при аудите: после обновления конфигурации у роли появился доступ к новому документу, о котором никто не думал.

Сводная матрица «Все роли»

Щёлкните правой кнопкой по ветке «Роли» и выберите «Все роли». Откроется таблица: строки — объекты, колонки — роли. Так видно, какие роли дают право, например, на проведение одного документа. Это самый быстрый способ найти роль под конкретную ошибку «нет прав на …».

Пустой список пользователей

Если в Конфигураторе список пользователей пуст, аутентификация не запрашивается вовсе. Любой, кто откроет базу, получает роли из свойства конфигурации «Основные роли» — в типовых это полные права. Проверка ролей в такой базе теряет смысл: сначала заведите хотя бы одного администратора.

Проверка ролей кодом и запросами

Когда пользователей много или проверку нужно встроить в доработку, помогают встроенный язык и запросы.

Роли пользователя информационной базы

Код выполняется на сервере, например в серверной процедуре внешней обработки. Запускать его нужно под пользователем с правом администрирования.

&НаСервереБезКонтекста
Процедура ПоказатьРолиНаСервере(ИмяПользователя)

    ПользовательИБ = ПользователиИнформационнойБазы.НайтиПоИмени(ИмяПользователя);
    Если ПользовательИБ = Неопределено Тогда
        Сообщить("Пользователь не найден: " + ИмяПользователя);
        Возврат;
    КонецЕсли;

    Для Каждого Роль Из ПользовательИБ.Роли Цикл
        Сообщить(Роль.Имя + " — " + Роль.Синоним);
    КонецЦикла;

КонецПроцедуры

НайтиПоИмени ищет по имени для входа, а не по полному имени из карточки. Если сотрудник входит как «ivanov», передавайте именно эту строку.

Есть ли право на конкретный объект

Функция ПравоДоступа отвечает на вопрос «может ли этот пользователь проводить документ». Третьим параметром передают роль или пользователя информационной базы:

ПользовательИБ = ПользователиИнформационнойБазы.НайтиПоИмени("ivanov");
МожноПроводить = ПравоДоступа("Проведение",
    Метаданные.Документы.РеализацияТоваровУслуг, ПользовательИБ);
Сообщить("Право на проведение: " + ?(МожноПроводить, "есть", "нет"));

Для текущего пользователя есть короче: РольДоступна("ПолныеПрава") вернёт Истина, если роль назначена. В доработках типовых конфигураций вместо прямой проверки ролей принято вызывать функции общего модуля Пользователи из БСП, например Пользователи.ЭтоПолноправныйПользователь().

Запрос: в каких группах доступа пользователь

Список пользователей информационной базы запросом не прочитать — это не таблица базы. Зато группы доступа БСП хранятся в справочнике, и их можно выбрать запросом:

ВЫБРАТЬ
    ГруппыДоступаПользователи.Ссылка КАК ГруппаДоступа,
    ГруппыДоступаПользователи.Ссылка.Профиль КАК Профиль
ИЗ
    Справочник.ГруппыДоступа.Пользователи КАК ГруппыДоступаПользователи
ГДЕ
    ГруппыДоступаПользователи.Пользователь = &Пользователь

Параметр &Пользователь — ссылка на элемент справочника «Пользователи». Учтите: участником группы может быть не только человек, но и группа пользователей. Если сотрудник включён через группу, этот запрос его не найдёт — добавьте условие по группам пользователей или смотрите отчёт «Права доступа».

Командная строка

Отдельной команды 1cv8, которая выводит роли пользователей, нет. Из командной строки можно выгрузить конфигурацию в файлы (/DumpConfigToFiles) и изучить описания ролей как XML — это удобно для сравнения прав между двумя версиями конфигурации в системе контроля версий. Назначение ролей пользователям в выгрузку конфигурации не входит: оно хранится в самой информационной базе.

Ошибки доступа: как найти причину

Ниже — что обычно стоит за типовыми сообщениями и куда смотреть в первую очередь.

Порядок диагностики, который экономит время:

1. Точно запишите текст ошибки и объект, на котором она появилась.
2. Найдите в «Все роли», какие роли дают нужное право.
3. Посмотрите в отчёте «Права доступа», есть ли у пользователя хотя бы одна из них.
4. Если роль есть — ищите ограничение записей в группе доступа.
5. Попросите пользователя перезайти и повторить действие.

Не давайте полные права «на время, чтобы заработало». Такие права обычно остаются навсегда, а проблема с ролями прячется до следующего аудита.

Особенности версий платформы и конфигураций

Механизм ролей одинаков во всех версиях платформы 8.3: роли, права на объекты и ограничения записей работают на любом релизе. Различается интерфейс вокруг.

• 🖥 Режим «Все функции». В интерфейсе «Такси» он скрыт по умолчанию и включается флажком режима технического специалиста. Без этого флажка пункта в главном меню нет.
• 📊 Отчёт «Анализ прав доступа». Появился в БСП позже отчёта «Права доступа». В старых релизах типовых конфигураций его может не быть — тогда используйте «Права доступа» и матрицу «Все роли» в Конфигураторе.
• 🔐 Упрощённая настройка прав. В части конфигураций (например, в Бухгалтерии) при небольшом числе пользователей права можно назначать без отдельных групп, выбором профилей прямо в карточке пользователя. Проверка тогда сводится к списку профилей в той же карточке.
• ☁️ Облако (1С:Фреш). Роли и группы смотрите в программе так же, а Конфигуратор недоступен. Управление пользователями частично вынесено в менеджер сервиса.

Если конфигурация не типовая и не на БСП, групп доступа и профилей в ней может не быть. Тогда источник правды — роли в Конфигураторе или в режиме «Все функции».

Частые вопросы