Администрирование · 12 мин
Как определить, каких прав не хватает пользователю в 1С
Способы выяснить, каких прав не хватает в 1С: журнал регистрации, отчёт о правах доступа, конфигуратор, анализ ролей. Пошаговые инструкции и типичные ошибки.
Ошибка «Нарушение прав доступа» — самая частая жалоба пользователей типовых конфигураций 1С: Бухгалтерии, Управления торговлей, ERP и ЗУП. Проблема в том, что стандартное сообщение не всегда показывает, какого именно объекта или действия не хватает, особенно если запрет срабатывает глубоко внутри проведения документа или при обращении к связанным регистрам. Права в 1С устроены по принципу объединения: пользователю доступно то, что разрешено хотя бы одной из назначенных ему ролей, а ограничения на уровне записей (RLS) дополнительно фильтруют данные внутри разрешённых объектов.
Определить недостающие права можно несколькими способами: через журнал регистрации, встроенный отчёт о правах доступа, анализ ролей в конфигураторе и тестирование под копией учётной записи. Выбор способа зависит от того, видна ли ошибка явно, возникает ли она у всех пользователей группы или только у одного, и есть ли у вас доступ администратора. Ниже разобраны рабочие методы от простого к сложному, с признаками результата и типичными ошибками.
Как устроены права в 1С и почему возникает отказ
В типовых конфигурациях на БСП (Библиотека стандартных подсистем) доступ строится из трёх уровней. Первый — роли и профили групп доступа: каждый профиль содержит набор ролей, а пользователь получает сумму прав всех своих профилей. Второй — группы доступа к конкретным объектам (контрагентам, складам, организациям), которые ограничивают видимость данных внутри разрешённых документов. Третий — RLS, ограничение доступа на уровне записей, вшитое в роли конфигурации.
Отказ возникает в трёх типичных ситуациях: у пользователя нет роли с нужным правом на объект, объект попадает под запрещённую группу доступа, либо RLS отсекает конкретные записи. Важно различать эти случаи, потому что лечатся они по-разному: первый — добавлением роли или профиля, второй — настройкой групп доступа, третий — проверкой значений, по которым настроено ограничение (организация, склад, подразделение).
Метод 1. Журнал регистрации — основной инструмент диагностики
Журнал регистрации фиксирует отказы в доступе с точным указанием объекта, действия и пользователя. Откройте его из раздела «Администрирование → Обслуживание → Журнал регистрации» (в режиме предприятия) или через меню «Администрирование» в конфигураторе. Установите отбор: пользователь — тот, у кого возникла ошибка, события — группа «Доступ» (событие «Отказ в доступе»), период — момент воспроизведения ошибки.
Попросите пользователя повторить действие, которое вызывает ошибку, и сразу обновите журнал. В строке события будет указано: объект метаданных (например, «РегистрНакопления.ТоварыНаСкладах»), действие (Добавление, Изменение, Чтение, Проведение) и иногда конкретное поле или шаблон RLS. Этого достаточно, чтобы понять, какую роль искать.
- 1Откройте журнал регистрации и настройте отбор по пользователю и событию «Отказ в доступе»
- 2Попросите пользователя повторить операцию, вызывающую ошибку
- 3Обновите журнал и откройте запись о событии — выпишите объект и действие
- 4Найдите роль, содержащую это право, через поиск по метаданным в конфигураторе
- 5Добавьте подходящий профиль пользователю и проверьте повторно
Если в журнале отказа нет, а операция всё равно не выполняется, вероятны две причины: запрет реализован программно в коде конфигурации (проверка функциональных опций или подписок на события) либо ошибка маскируется обработчиком, который перехватывает исключение. В таком случае переходите к анализу под отладчиком или к отчёту о правах.
Метод 2. Отчёт «Анализ прав доступа»
В конфигурациях на БСП есть встроенный отчёт, который показывает, какие права есть у пользователя и откуда они взялись. Он находится в разделе «Администрирование → Настройки прав и пользователей → Отчёты по правам» (в некоторых конфигурациях — «Анализ прав доступа» или «Права доступа»). Отчёт строится по пользователю и показывает дерево: объект метаданных → разрешённые действия → профиль, через который выдано право.
Логика работы обратная: вы не ищете отказ, а проверяете, есть ли у пользователя право на конкретный объект. Например, кассир не может провести «Расходный кассовый ордер» — строите отчёт по этому пользователю, находите в дереве документ и смотрите, стоит ли разрешение на проведение. Если права нет, отчёт подскажет, какие профили вообще содержат роли с доступом к этому документу.
Ограничение метода: отчёт показывает права на объекты, но не всегда наглядно отражает действие RLS и групп доступа на конкретные записи. Если право на документ есть, а часть документов пользователь не видит — проблема в ограничениях по данным, а не в ролях.
Способы найти недостающие права
Лучший выбор, когда ошибка воспроизводится: показывает точный объект и действие. Не помогает при программных запретах в коде.
Подходит для профилактической проверки и сравнения пользователей. Не показывает RLS по конкретным записям.
Нужен при программных запретах и нестандартных доработках. Требует навыков разработки и осторожности.
Универсальная проверка «глазами пользователя». Требует времени и тестовой базы для безопасности.
Метод 3. Анализ ролей в конфигураторе
Когда известен объект и действие, нужно понять, какая роль это право даёт. Откройте конфигуратор, найдите объект метаданных через поиск (Ctrl+Shift+F по дереву конфигурации или «Правка → Найти»). Затем откройте ветку «Общие → Роли» и для каждой подозрительной роли проверьте вкладку «Права»: найдите объект и посмотрите установленные флажки (Чтение, Добавление, Изменение, Проведение, Интерактивное удаление и т.д.).
Ускорить поиск помогает окно «Все роли» (в типовых: Администрирование → Настройки прав и пользователей, либо через конфигуратор с отбором по объекту). В конфигураторе также удобно использовать отчёт «Права доступа» (меню «Администрирование»), который выводит сводную таблицу прав выбранного пользователя по всем объектам конфигурации.
Обратите внимание на разницу между правами «Изменение» и «Интерактивное изменение», «Проведение» и «Интерактивное проведение». Частая ситуация: роль даёт право на проведение, но не даёт интерактивного проведения — программно документ проводится, а кнопкой из формы — нет. Для работы пользователя в интерфейсе нужны именно интерактивные варианты прав.
Метод 4. Проверка под копией учётной записи
Самый наглядный способ — воспроизвести проблему самостоятельно. Создайте в тестовой копии базы пользователя с теми же профилями и группами доступа, что у «страдающего» сотрудника, войдите под ним и повторите операцию. Вы увидите ошибку в том виде, в каком её видит пользователь, и сможете пошагово сузить причину: убирая и добавляя профили по одному.
Метод бисекции работает так: выдайте тестовому пользователю полные права — если ошибка исчезла, проблема точно в ролях. Затем верните штатные профили и добавляйте роли по одной, пока операция снова не заработает. Последняя добавленная роль — искомая. Это дольше, чем журнал регистрации, но надёжно при программных запретах, которые в журнал не пишутся.
Если права есть, а данных не видно: RLS и группы доступа
Ситуация «документ есть в списке у одного пользователя и отсутствует у другого с теми же профилями» почти всегда означает ограничение по данным. Проверьте настройку «Группы доступа» в карточке пользователя и разрешенные значения: организации, склады, подразделения, контрагенты. В типовых конфигурациях это раздел «Администрирование → Настройки прав и пользователей → Группы доступа».
Диагностика RLS сложнее: ограничение зашито в текст роли на языке запросов (шаблоны вида «#ПоЗначениям»). В конфигураторе откройте роль, вкладку «Шаблоны ограничений», и посмотрите, по каким полям строится отбор. Затем сопоставьте с тем, что разрешено пользователю в группах доступа. Типичный признак RLS-проблемы: пользователь видит пустой список без всякой ошибки — отказ в доступе не фиксируется, записи просто отфильтровываются запросом.
Как отличить тип проблемы
Проблема в ролях — ищите объект в журнале регистрации
Если сообщения нет, а данных не видно — это не роли, а RLS
Нормально, если документов действительно нет за период
Документы есть у других — проверяйте группы доступа и значения ограничений
Отличаются его индивидуальные группы доступа или профили
Профили идентичны, но результат разный — проверяйте персональные настройки и подразделение
Программные запреты и нестандартные доработки
Не всякий запрет в 1С — это права. Типовые и доработанные конфигурации часто проверяют условия в коде: функциональные опции (например, отключённая опция «Валютный учёт» скрывает документы), подписки на события «При записи» с явным отказом, проверки дат запрета изменения данных. Такие запреты выдают собственные сообщения и в журнале регистрации как отказ в доступе не фиксируются.
Признак программного запрета: текст ошибки сформулирован по-деловому («Запрещено изменение данных за период до...», «Операция недоступна для вашей организации»), а не стандартное «Нарушение прав доступа». Для диагностики установите точку останова в отладчике на строке, где вызывается исключение, или найдите текст сообщения через глобальный поиск по модулям конфигурации (Ctrl+Shift+F) — это покажет условие, при котором запрет срабатывает.
Проверка результата и закрепление настройки
После добавления профиля или роли пользователь должен перезайти в программу — сеанс кэширует права при входе, и без перезапуска изменения могут не подействовать. Попросите пользователя повторить исходную операцию полностью: открыть список, открыть документ, провести его, сформировать связанный отчёт. Часто исправление одного права обнажает следующее: документ открылся, но не проводится из-за регистра, к которому у пользователя нет доступа.
Зафиксируйте итоговый набор профилей письменно: какой профиль за что отвечает и почему добавлен. Это избавит от повторной диагностики при приёме нового сотрудника на ту же должность и при аудите прав. Проверьте также, что новый профиль не дал лишнего: откройте отчёт по правам и убедитесь, что критичные объекты (зарплата, касса, регламентные операции) остались закрытыми, если они не нужны для работы.
Что важно запомнить
Начинайте с журнала регистрации — он показывает точный объект и действие при отказе. Если данных просто не видно без ошибки — проверяйте группы доступа и RLS, а не роли. Все эксперименты выполняйте в копии базы, а типовые профили не редактируйте, а копируйте.
Частые вопросы
Почему пользователь с полными правами всё равно получает отказ?
Право «Полные права» не отменяет программные запреты в коде, даты запрета изменения данных и проверки в подписках на события. Также в файловых базах возможна ситуация, когда у пользователя флаг «Полные права» установлен, но не назначен ни один профиль групп доступа — тогда срабатывают ограничения на уровне данных. Проверьте текст ошибки: если он нестандартный, ищите источник запрета в коде конфигурации.
Как быстро сравнить права двух пользователей?
Используйте отчёт о правах доступа для каждого пользователя и сравните списки профилей и групп доступа. В типовых конфигурациях карточка пользователя показывает все назначенные профили — часто разница видна уже там. Если профили совпадают, сравнивайте разрешённые значения в группах доступа: организации, склады, подразделения.
Ошибка возникает только при проведении, документ открывается нормально. Что искать?
При проведении документ записывает движения в регистры, и право на сам документ не даёт автоматически прав на них. В журнале регистрации найдите событие отказа — там будет указан конкретный регистр накопления, сведений или бухгалтерии. Ищите роль, дающую право «Изменение» на этот регистр.
Можно ли узнать недостающие права без доступа администратора?
Частично. Обычный пользователь видит текст ошибки и может сообщить его администратору вместе с описанием действия. Журнал регистрации, отчёты по правам и конфигуратор доступны только с правами администрирования, поэтому полноценная диагностика без них невозможна — это осознанное ограничение безопасности.
Что делать, если после обновления конфигурации у пользователей пропал доступ?
При обновлении могут добавиться новые роли и объекты, на которые у существующих профилей нет прав, либо типовые профили перезаписываются. Снимите отказ через журнал регистрации, найдите новый объект и добавьте соответствующую роль в копию профиля. Чтобы проблема не повторялась, не редактируйте типовые профили напрямую — создавайте собственные на их основе.