Почему пользователь 1С видит не то, что администратор: пять уровней видимости
Содержание
Пользовательская видимость в 1С складывается из пяти слоёв: функциональные опции, права ролей, ограничения на уровне записей (RLS), видимость элементов формы и личные настройки интерфейса. Если сотрудник не видит поле, документ или целый раздел, причина почти всегда в одном из них, и проверять их удобно именно в таком порядке.
Типичная ситуация: главбух под своей учёткой видит все организации, а кладовщик открывает журнал поступлений и находит там три документа вместо трёхсот. Ошибки нет, программа не сломана. Работает механизм разграничения прав, который кто-то когда-то настроил. Ниже разобрано, как каждый слой работает, где его настраивать и как быстро найти виновника.
Из чего складывается видимость в 1С: пять уровней
Каждый уровень может скрыть объект независимо от остальных. Достаточно одного «запрета», чтобы пользователь ничего не увидел.
| Уровень | Что скрывает | Где настраивается | Кто меняет |
|---|---|---|---|
| Функциональные опции | Поля, документы, целые разделы для всех пользователей сразу | Администрирование → Функциональность (БП 3.0, ЗУП 3.1, УТ 11) | Администратор базы |
| Роли и права | Объекты метаданных целиком: справочник, документ, отчёт | Профили групп доступа в режиме «Предприятие», роли в Конфигураторе | Администратор, разработчик |
| RLS | Отдельные записи: документы чужой организации, склада | Виды доступа в группах доступа | Администратор |
| Видимость элементов формы | Конкретные поля и кнопки | Свойства формы в Конфигураторе, Ещё → Изменить форму | Разработчик, пользователь |
| Личные настройки | Разделы, панели, колонки списков | Настройки самого пользователя | Пользователь, администратор |
Функциональные опции часто путают с правами. Если поле «Склад» не видит вообще никто, включая администратора, дело не в ролях: учёт по складам выключен в настройках функциональности.
Механизм разграничения прав доступа: роли, профили и группы
На уровне платформы права задают роли. Роль — это набор разрешений на объекты конфигурации: чтение, добавление, изменение, удаление, проведение, просмотр, интерактивные действия. У пользователя может быть сколько угодно ролей, и права складываются.
Ключевой принцип: роли объединяются по «ИЛИ». Если одна роль запрещает чтение документа, а другая разрешает, пользователь документ увидит. Запретить что-то «поверх» выданной роли нельзя, можно только не выдавать лишнюю.
Как это устроено в типовых конфигурациях
В БП 3.0, ЗУП 3.1, УТ 11 и других конфигурациях на БСП роли напрямую пользователю не назначают. Работает цепочка:
- Профиль группы доступа — шаблон набора ролей: «Бухгалтер», «Кладовщик», «Только просмотр».
- Группа доступа — профиль плюс конкретные участники и значения ограничений.
- Пользователь входит в одну или несколько групп и получает роли всех своих профилей.
Путь в БП 3.0, ЗУП 3.1 и УТ 11 одинаковый: Администрирование → Настройки пользователей и прав. Там же находятся ссылки на списки «Пользователи», «Группы доступа» и «Профили групп доступа».
Пошагово: выдать сотруднику права на раздел
- Откройте
Администрирование → Настройки пользователей и прав → Профили групп доступа. - Найдите подходящий поставляемый профиль. Если его нет, скопируйте близкий и отредактируйте копию, а не оригинал.
- Перейдите в «Группы доступа», создайте группу на основе профиля.
- На вкладке участников добавьте пользователя.
- Запишите группу и попросите сотрудника перезапустить сеанс.
Поставляемые профили обновляются вместе с конфигурацией. Правки внутри них при обновлении могут потеряться, поэтому изменённые наборы ролей держите в собственных профилях-копиях.
Роль «Полные права» и администратор
Роль «Полные права» даёт доступ ко всем объектам без ограничений на уровне записей. Пользователь в группе «Администраторы» видит всё, поэтому проверять настройки видимости под своей админской учёткой бесполезно. Для проверки заведите тестового пользователя с тем же набором групп, что у сотрудника.
Ограничения на уровне записей (RLS): кто какие документы видит
Роль отвечает на вопрос «можно ли читать документы поступления вообще». RLS отвечает на вопрос «какие именно». Например, менеджер видит заказы только своей организации, кладовщик — движения только по своему складу.
Как включить ограничение по записям
- Откройте
Администрирование → Настройки пользователей и прав. - Включите флажок ограничения доступа на уровне записей.
- Откройте нужную группу доступа и перейдите на вкладку с описанием ограничений.
- Для каждого вида доступа выберите режим: «Все разрешены» с исключениями или «Все запрещены» с перечнем разрешённых значений.
- Запишите группу.
Набор видов доступа зависит от конфигурации. В БП 3.0 основной вид — «Организации». В ЗУП 3.1 к нему добавляются ограничения по группам физических лиц и подразделениям. В УТ 11 видов больше: склады, контрагенты, виды цен и другие.
Как RLS проявляется на экране
- 📋 В списках чужие записи просто не показываются. Ошибки нет, документов как будто не существует.
- 🔗 По ссылке из другого документа или отчёта открыть закрытую запись нельзя: платформа выдаёт сообщение
Нарушение прав доступа!. - 📊 В отчётах итоги считаются только по разрешённым записям. Два пользователя могут получить разные суммы по одному и тому же отчёту.
После включения RLS и смены состава групп платформа пересчитывает служебные данные для ограничения доступа. На больших базах это делает регламентное задание в фоне, и какое-то время пользователь может видеть меньше записей, чем должен. Если сразу после настройки документы «пропали», подождите окончания обновления доступа и только потом ищите ошибку.
Поскольку роли складываются по «ИЛИ», то же правило работает и с RLS. Если пользователь состоит в двух группах, и одна из них не ограничивает организации, он увидит все организации, как бы строго ни была настроена вторая группа.
Настройки интерфейса, формы и панели навигации пользователя
Даже при полных правах пользователь может не найти команду, потому что сам её скрыл или ему достались чужие настройки.
Разделы и панели
Набор разделов слева, расположение панелей и избранное хранятся у каждого пользователя отдельно. Панели меняют через Главное меню → Вид: там есть настройка панелей и команда возврата к стандартным настройкам. Состав команд внутри раздела настраивают через меню самого раздела (значок шестерёнки в правом верхнем углу), пункт настройки навигации.
Поля в формах: свойство «Пользовательская видимость»
Именно отсюда пошло название темы. У каждого элемента управляемой формы в Конфигураторе есть два разных свойства:
- Видимость — жёсткий флаг. Если разработчик выключил его или скрывает поле программно, пользователь поле не вернёт.
- Пользовательская видимость — видимость «по умолчанию», которую пользователь может переключить сам в
Ещё → Изменить форму. Её можно задать раздельно для каждой роли: бухгалтеру поле показывается сразу, кладовщику скрыто, но доступно в настройках формы.
Отсюда практическое правило. Если поле есть в Ещё → Изменить форму, но выключено, достаточно поставить флажок. Если поля в этом списке нет, его скрывает код, функциональная опция или отсутствие прав на реквизит.
Колонки списков
Колонки, отборы и сортировки в списках настраиваются через Ещё → Настроить список. Пользователь, который отключил отбор год назад и забыл о нём, видит «пустой» журнал при полных правах. Проверяйте строку отборов над таблицей.
Копирование и очистка настроек
В типовых конфигурациях на БСП в разделе Администрирование → Настройки пользователей и прав есть обработка персональных настроек пользователей. Она позволяет:
- скопировать настройки эталонного пользователя новому сотруднику;
- очистить внешний вид форм, панелей и отчётов у конкретного пользователя;
- посмотреть, какие настройки у него сохранены.
Видимость объектов и пользователей в режиме Конфигуратор
Конфигуратор отвечает за всё, что пользователь не может поменять в режиме «Предприятие».
Роли и права на объекты
В ветке «Общие → Роли» откройте роль: в редакторе слева дерево объектов, справа — права на выбранный объект. Для каждого права, допускающего ограничение (чтение, изменение, добавление, удаление), задаётся условие RLS. В типовых конфигурациях эти условия написаны через шаблоны и включаются настройками в режиме «Предприятие», править их руками без необходимости не стоит.
У роли есть флажки «Устанавливать права для новых объектов» и «Независимые права подчинённых объектов». Первый определяет, получит ли роль права на объекты, добавленные позже. Второй позволяет задать права на отдельные реквизиты и табличные части независимо от объекта-владельца.
Видимость команд по ролям
В редакторе командного интерфейса подсистемы у каждой команды есть колонка видимости по ролям. Так разработчик скрывает, например, команду «Банковские выписки» от кладовщика, не лишая его прав на сам документ.
Список пользователей информационной базы
Администрирование → Пользователи в Конфигураторе показывает пользователей информационной базы. Здесь два флажка влияют на видимость самого пользователя:
- «Показывать в списке выбора» — выводить ли имя в окне входа;
- «Аутентификация 1С:Предприятия» и «Аутентификация операционной системы» — каким способом пользователь входит.
В типовых конфигурациях на БСП пользователей заводят в режиме «Предприятие». Роли, выданные напрямую в Конфигураторе, перезапишутся при следующей записи групп доступа.
Для входа в Конфигуратор нужно право «Администрирование». Если пользователь видит в окне запуска кнопку «Конфигуратор», но не может войти, проверьте наличие роли с этим правом.
Режим «Все функции»
Через «Все функции» можно открыть любой объект, на который у пользователя есть права, даже если команды нет в разделах. Пункт включается в Главное меню → Сервис → Параметры флажком отображения команды «Все функции». Для работы режима роль должна давать соответствующее право.
Диагностика: почему пользователь не видит данные
Проверяйте уровни от самого общего к частному. Так не придётся перебирать роли там, где виновата функциональная опция.
Отчёт о правах пользователя
В карточке пользователя в типовых конфигурациях есть отчёт о правах доступа. Он показывает, какие роли и ограничения пользователь получил и из каких групп. Это самый быстрый способ найти «лишнюю» группу, которая открывает всё.
Очистка кэша клиента
Иногда после смены прав интерфейс остаётся прежним: клиент держит старые метаданные в кэше. Запустите 1С с параметром командной строки:
"C:\Program Files\1cv8\common\1cestart.exe" /ClearCache
Параметр /ClearCache можно также дописать в поле «Дополнительные параметры запуска» в свойствах базы в окне запуска. Сеансы других пользователей он не затрагивает.
Частые ошибки при настройке видимости
- 🔓 Лишняя группа открывает всё. Сотрудника добавили в «Администраторы» на день для разовой задачи и забыли убрать. Из-за сложения прав по «ИЛИ» любые ограничения других групп перестают действовать.
- 🧪 Проверка под админом. Настроили RLS, открыли журнал под своей учёткой, всё видно — решили, что не работает . Проверяйте под тестовым пользователем.
- ✏️ Правка поставляемого профиля. После обновления конфигурации изменения пропадают, у пользователей меняется набор прав.
- 🗂 Роли в Конфигураторе вместо групп доступа. На БСП это перезаписывается, на следующий день права «откатываются».
- 🔄 Нет перезапуска сеанса. Новые права применяются при следующем входе. Пока сотрудник не перезапустил 1С, он работает со старым набором.
- 🧩 Скрытие вместо запрета. Поле убрали из формы, но права на реквизит остались. Данные всё равно доступны через отчёты, списки и «Все функции». Видимость в интерфейсе — это удобство, а не защита.