Пользователю не хватает прав в 1С: от группы доступа до своей роли в расширении
Содержание
Чтобы расширить права пользователю в типовой конфигурации 1С 8.3 (Бухгалтерия 3.0, ЗУП 3.1, УТ 11), откройте Администрирование → Настройки пользователей и прав → Группы доступа и включите пользователя в группу с нужным профилем. Если подходящего профиля нет, скопируйте поставляемый, добавьте в копию роли и создайте под неё новую группу. Править роли через Конфигуратор приходится, только когда нужного права нет ни в одной роли конфигурации.
Способы различаются по цене ошибки. Группа доступа — это пять минут и ноль риска для обновлений. Своя роль в расширении — уже работа программиста, зато типовая конфигурация остаётся на поддержке. Правка ролей прямо в основной конфигурации — крайний вариант: она снимает базу с поддержки и усложняет каждое обновление.
| Способ | Когда выбирать | Кто делает | Риски |
|---|---|---|---|
| Добавить в группу доступа | Нужный профиль уже есть | Администратор базы | Минимальные |
| Копия профиля с доп. ролями | Нужны права из разных профилей | Администратор базы | Лишние права, если взять «тяжёлую» роль |
| Своя роль в расширении | Права нет ни в одной роли | Программист | Проверять после обновлений |
| Правка роли в конфигурации | Нетиповая или самописная база | Программист | Снятие с поддержки, сложные обновления |
Как устроены права в 1С: пользователь, роль, профиль, группа
На уровне платформы всё просто: у пользователя информационной базы есть список ролей. Роль — это набор прав на объекты: чтение справочника, добавление документа, проведение, интерактивное удаление и так далее. Права ролей складываются. Если хотя бы одна роль разрешает действие, оно разрешено.
Типовые конфигурации на Библиотеке стандартных подсистем (БСП) добавляют над ролями ещё два слоя:
- 🧩 Профиль групп доступа — шаблон из нескольких ролей под должность: «Бухгалтер», «Кадровик», «Только просмотр» и т. п.;
- 👥 Группа доступа — профиль плюс конкретные участники и, при необходимости, ограничения по значениям (организациям, складам, подразделениям);
- 🙍 Пользователь — запись справочника «Пользователи», связанная с пользователем информационной базы.
Механика такая: программа сама собирает роли пользователя из всех групп, в которые он входит, и записывает их в пользователя информационной базы. Отсюда главное правило практика.
В типовой конфигурации на БСП не назначайте роли вручную в Конфигураторе через Администрирование → Пользователи. При ближайшем изменении групп доступа или обновлении программа перезапишет список ролей по группам, и ваши галочки пропадут.
Посмотреть, какие роли и права у пользователя уже есть, можно в его карточке: Администрирование → Настройки пользователей и прав → Пользователи, откройте пользователя и перейдите по ссылке «Права доступа
». Там видны группы, в которые он входит, и отчёт по правам на объекты.
Расширение прав в пользовательском режиме: группы и профили доступа
Это основной путь, и он закрывает почти все бытовые просьбы вида «у бухгалтера нет кнопки» или «кладовщик не видит отчёт».
Добавить пользователя в существующую группу
- Зайдите в базу под пользователем с правами администратора.
- Откройте
Администрирование → Настройки пользователей и прав → Группы доступа. - Откройте группу с подходящим профилем.
- На вкладке участников нажмите «Подобрать» и выберите пользователя.
- Нажмите «Записать и закрыть».
- Попросите пользователя перезапустить сеанс 1С: новые роли применяются при следующем входе.
Пользователь может состоять в нескольких группах сразу. Права из них суммируются, поэтому «бухгалтер + доступ к кадровым документам» — это просто членство в двух группах.
Собрать свой профиль из копии поставляемого
Поставляемые профили («Бухгалтер», «Главный бухгалтер» и другие) изменить нельзя: форма открывается только для просмотра. Это сделано специально, чтобы обновление могло их перезаписать. Свой набор ролей собирают так:
- Откройте
Администрирование → Настройки пользователей и прав → Профили групп доступа. - Выделите ближайший по смыслу поставляемый профиль и скопируйте его (команда копирования в списке или клавиша
F9). - Дайте копии понятное имя, например «Бухгалтер + кадры».
- На вкладке ролей отметьте недостающие роли. Чтобы не листать список, включите отображение только выбранных или воспользуйтесь поиском по имени роли.
- Запишите профиль.
- Создайте группу доступа на основе этого профиля и включите в неё пользователей.
Если не знаете, какая роль даёт нужное право, найдите поставляемый профиль, у которого это действие работает, и сравните его роли с вашими. Разница обычно сводится к одной-двум ролям.
Роль «Полные права» добавлять в рабочие профили не стоит. Она снимает все ограничения разом, включая ограничения на уровне записей, и человек получает доступ к зарплатам, настройкам и чужим организациям.
Новое право через Конфигуратор: своя роль и расширение
Бывает, что действие не разрешено ни одной ролью конфигурации. Например, в базу добавили отчёт или обработку, а роли для неё нет. Тогда право создают в Конфигураторе.
Свойства роли, которые стоит знать
Откройте Конфигурация → Открыть конфигурацию, ветку «Общие → Роли». У каждой роли есть флаги:
- ✅ «Устанавливать права для новых объектов» — новые объекты конфигурации автоматически получают права в этой роли. Для узких ролей флаг лучше снять;
- ✅ «Права для реквизитов и табличных частей по умолчанию» — реквизиты наследуют права объекта;
- ✅ «Независимые права подчиненных объектов» — права на реквизиты настраиваются отдельно от объекта.
Права на объект ставятся галочками в правой части окна роли: «Чтение», «Добавление», «Изменение», «Удаление», «Просмотр», «Интерактивное добавление», «Редактирование» и другие, набор зависит от типа объекта. «Интерактивные» права относятся к действиям через формы, неинтерактивные — к работе кода.
Почему лучше расширение, а не правка конфигурации
Расширения конфигурации появились в платформе 8.3.6. В расширении можно создать собственную роль, заимствовать нужные объекты основной конфигурации и выдать на них права. Основная конфигурация при этом не снимается с поддержки.
Порядок такой:
Конфигурация → Расширения конфигурации, добавьте новое расширение.- Заимствуйте объект, на который нужно право (контекстное меню объекта в основной конфигурации → «Добавить в расширение»).
- Создайте в расширении роль и отметьте права на заимствованный объект.
- Обновите конфигурацию базы данных расширения.
- В пользовательском режиме роль из расширения появится в списке ролей профиля. Добавьте её в свой профиль.
Готовое расширение можно сохранить в файл .cfe и подключить в пользовательском режиме: Администрирование → Печатные формы, отчеты и обработки → Расширения. Загрузка файла и применение изменений базы — разные шаги; после подключения перезапустите сеанс.
Правка ролей в самой конфигурации оправдана только в нетиповой или уже снятой с поддержки базе. В типовой базе каждая такая правка превращает обновление в сравнение и объединение.
Права на уровне записей (RLS): как дать доступ к части данных
Обычная роль отвечает на вопрос «может ли пользователь читать документы реализации». Ограничение доступа на уровне записей отвечает на вопрос «какие именно документы» — например, только по своей организации или складу.
RLS в типовой конфигурации
В конфигурациях на БСП ограничение включается флагом «Ограничивать доступ на уровне записей» в Администрирование → Настройки пользователей и прав. После этого в профилях появляются виды доступа (организации, склады, подразделения и т. д., набор зависит от конфигурации), а в группах доступа — их значения.
Чтобы расширить доступ пользователя к записям:
- Откройте его группу доступа.
- Перейдите к настройке ограничений по видам доступа.
- Для нужного вида выберите режим «Все разрешены» или добавьте конкретные значения в список разрешённых.
- Запишите группу.
Если вид доступа в профиле настроен как «Все запрещены» с явным списком разрешённых, то новая организация или склад сами в список не попадут. Это частая причина жалобы «вчера всё было, а новую организацию не видно».
Как выглядит RLS в Конфигураторе
В самописных базах ограничение пишут вручную. В роли на объект ставят право «Чтение» и в колонке «Ограничение доступа к данным» задают условие на языке запросов:
ГДЕ Ответственный = &ТекущийПользователь
Здесь ТекущийПользователь — параметр сеанса, который заполняется при входе. Условие отбирает только записи, где пользователь указан ответственным. Чтобы расширить такой доступ, меняют условие или добавляют пользователю вторую роль без ограничения на этот объект: права ролей складываются, и роль без ограничения откроет все записи.
RLS с тяжёлыми условиями замедляет списки и отчёты. Перед выпуском в рабочую базу проверьте скорость открытия больших журналов под пользователем с ограничениями.
Точечные права: дополнительные роли и отборы в группах доступа
Не всякую просьбу нужно решать новым профилем. В типовых профилях часть возможностей вынесена в отдельные узкие роли. Их и добавляют в копию профиля, не раздувая права.
Типичные точечные задачи:
- 📝 разрешить изменять закрытый период или проведённые документы — отдельные роли и настройки даты запрета изменения;
- 📊 открыть один отчёт или обработку — роль на этот отчёт;
- 🏢 дать доступ ко второй организации, не трогая остальные права — значение вида доступа «Организации» в группе;
- 🔍 разрешить просмотр без редактирования — группа с профилем только на чтение рядом с основной.
Дата запрета изменения настраивается отдельно от ролей: в БП это Администрирование → Проведение документов, раздел дат запрета. Если бухгалтер с полным набором ролей не может исправить документ прошлого месяца, причина почти всегда здесь, а не в правах.
Когда права не применились: частые ошибки
Платформа сообщает о нехватке прав одинаково: Нарушение прав доступа! или Недостаточно прав для просмотра. По тексту причину не определить, поэтому проверяйте по списку.
- 🔁 Пользователь не перезашёл. Роли применяются при начале сеанса. Открытая весь день 1С новых прав не видит.
- ✍️ Роли назначены в Конфигураторе, а не через группы. Программа их перезаписала. Решение — только группы доступа.
- 🧱 Изменён профиль, а не группа. Профиль без группы и участников ни на кого не действует.
- 🗂 Срабатывает RLS. Ролей хватает, но запись не входит в разрешённые значения. Особенно часто — с новыми организациями.
- 📅 Дата запрета изменения. Документ открывается, но не записывается.
- ⚙️ Не включена функциональность. Раздела нет в меню, потому что выключена соответствующая опция в настройках «Функциональности», а не из-за прав.
- 🧩 Расширение отключено или применено не к той базе. Роль из расширения не видна в профиле.
Быстрая проверка: временно включите пользователя в группу «Администраторы» в тестовой копии базы. Если проблема ушла — дело в правах; если нет — в настройках или данных.
Аудит прав: кто, когда и что поменял
Расширение прав — операция, которую потом спрашивают аудиторы и служба безопасности. Следы остаются в двух местах.
Отчёты по правам. Из карточки пользователя по ссылке «Права доступа» открывается отчёт: в каких группах человек состоит и какие действия ему доступны по каждому объекту. Его удобно сохранять при ежеквартальной проверке.
Журнал регистрации. Откройте Администрирование → Обслуживание → Журнал регистрации. Отберите по событиям:
- изменения пользователей информационной базы — видно, кому и когда менялся список ролей;
- изменения данных справочников «Группы доступа» и «Профили групп доступа» — кто добавил участника или роль.
Журнал хранит записи столько, сколько задано в его настройках. Если для аудита нужна история за год, проверьте срок хранения заранее.
Практика, которая окупается:
- Раз в квартал выгружайте список групп доступа с участниками.
- Сверяйте его со штатом: уволенные должны быть отключены, а не просто лишены ролей.
- Держите правило: права выдаются только по заявке, роль «Полные права» — только администраторам.