Администрирование · 10 мин
1С: как понять, каких прав не хватает пользователю
Разбираем, как определить, каких прав не хватает в 1С: анализ ошибок доступа, журнал регистрации, настройка профилей групп доступа и типовые ошибки.
Пользователь 1С жалуется: документ не проводится, справочник не открывается, отчёт выдаёт пустой результат, а программа либо молча блокирует действие, либо показывает сообщение «Нарушение прав доступа». Задача администратора — быстро понять, какого именно права не хватает, и выдать его точечно, не раздавая лишнего. В типовых конфигурациях на управляемых формах (БСП) для этого есть штатные инструменты: журнал регистрации, отказ в доступе с указанием объекта, профили групп доступа и роли в конфигураторе.
Главный принцип диагностики: сначала воспроизводим ошибку под конкретным пользователем, затем смотрим, что именно зафиксировала система, и только потом меняем права. Менять роли «наугад» — плохая практика: так легко открыть лишний доступ к зарплате, банковским операциям или настройкам обмена.
Как выглядит нехватка прав: типичные симптомы
Нехватка прав проявляется по-разному, и симптом подсказывает, где искать причину. Самый явный случай — сообщение «Нарушение прав доступа!» при попытке открыть или записать объект. Более коварный вариант — «тихое» ограничение: документ открывается, но кнопка «Провести» недоступна; справочник виден, но пуст; отчёт формируется без данных. Это срабатывание RLS (ограничение доступа на уровне записей) или отсутствие права на конкретное действие.
Отдельная группа симптомов — исчезнувшие элементы интерфейса. Если у пользователя пропал пункт меню, раздел или кнопка, это почти всегда следствие того, что роль не даёт права «Просмотр» на соответствующий объект, и командный интерфейс автоматически скрывает недоступные команды.
Какой объект и действие указаны в тексте ошибки
Права «Добавление», «Изменение», «Проведение» у роли
Настройки ограничения доступа на уровне записей в профиле
Состав ролей пользователя и подсистемы в конфигураторе
Шаг 1. Анализируем текст ошибки и воспроизводим проблему
Начните с точной фиксации ситуации. Попросите пользователя показать последовательность действий и дословно сохранить текст сообщения об ошибке. В типовых конфигурациях сообщение часто содержит ключевую информацию: имя объекта метаданных (например, «Документ.РеализацияТоваровУслуг») и вид доступа (чтение, изменение, проведение).
Далее воспроизведите ошибку сами — либо под учётной записью пользователя на тестовой базе, либо попросив его выполнить действие, пока вы наблюдаете за журналом регистрации. Важно воспроизводить именно тот сценарий, который вызывает отказ: нехватка права может касаться не самого документа, а связанного объекта — например, при проведении реализации система обращается к регистрам, курсам валют или настройкам учётной политики.
Шаг 2. Читаем журнал регистрации: точный источник ответа
Журнал регистрации — основной инструмент диагностики. Откройте его через «Администрирование → Обслуживание → Журнал регистрации» (в типовых) или через меню «Администрирование → Журнал регистрации» в конфигураторе. Установите отбор: пользователь — тот, у кого проблема; период — момент воспроизведения ошибки; важность событий — включая ошибки и предупреждения.
Ищите события вида «Доступ. Отказ в доступе» или «Доступ. Отказ в доступе к данным». В комментарии события платформа указывает, к какому объекту и с каким видом доступа был отказ: например, «Документ.ПоступлениеТоваровУслуг: Изменение» или «РегистрНакопления.ТоварыНаСкладах: Чтение». Это и есть точный ответ на вопрос, какого права не хватает.
Если отказов в журнале нет, а данные всё равно не видны, проблема почти наверняка в RLS: записи отфильтровываются запросом на уровне СУБД, и платформа не считает это отказом в доступе. Тогда переходите к анализу настроек ограничения доступа в профиле пользователя.
Шаг 3. Определяем, какая роль даёт нужное право
Когда объект и вид доступа известны, нужно найти роль, которая это право предоставляет. Откройте конфигуратор, найдите объект метаданных, вызовите его свойства или используйте отчёт по правам: в меню «Администрирование» конфигуратора есть возможность посмотреть права ролей на объект. Практичный приём — открыть список ролей и для каждой проверить права на нужный объект через окно «Права».
В типовых конфигурациях БСП права обычно не назначают ролями напрямую пользователю — используются профили групп доступа. Откройте «Администрирование → Настройки пользователей и прав → Профили групп доступа», найдите профиль пользователя и посмотрите, какие роли в него входят. Часто достаточно добавить пользователя в дополнительную группу доступа или включить в профиль недостающую роль.
Если конфигурация самописная или без БСП
В конфигурациях без механизма профилей права назначаются напрямую: конфигуратор → «Администрирование → Пользователи» → закладка «Прочие» (или «Роли») у конкретного пользователя. Отметьте нужную роль, сохраните и обновите конфигурацию базы данных, если меняли сами роли. Помните: изменение ролей — это изменение конфигурации, оно требует прав разработчика и аккуратности при обновлении.
Шаг 4. Выдаём права точечно и безопасно
Золотое правило: выдавать минимально необходимый набор прав. Если пользователю не хватает права на проведение одного вида документов, не нужно давать ему профиль с полным доступом к разделу. В типовых конфигурациях удобно создать копию типового профиля, добавить в неё недостающую роль и назначить её конкретному пользователю или группе.
Избегайте соблазна выдать «Полные права» или роль «Администратор системы» «на время». Это открывает доступ ко всем данным, включая зарплату, кассовые операции и настройки обменов, а также позволяет менять конфигурацию. Если временное расширение прав всё же необходимо, зафиксируйте дату отзыва и контролируйте возврат к штатному профилю.
Особый случай: RLS — записи есть, но пользователь их не видит
Ограничение доступа на уровне записей (RLS) работает незаметно: пользователю не приходит ошибка, просто часть данных исчезает из списков и отчётов. Типичные признаки: менеджер видит только свои документы, кассир — только свою кассу, а руководитель жалуется, что отчёт по продажам «не сходится» с реальностью.
Чтобы понять, что виноват именно RLS, сравните результат под пользователем и под полными правами: если под полными правами данные появляются, а отказов в доступе в журнале нет — срабатывает ограничение записей. Проверьте в профиле группы доступа закладку «Ограничения доступа»: там задаются виды доступа (организации, склады, контрагенты, подразделения) и разрешённые значения. Часто проблема решается добавлением пользователю нужного значения — например, ещё одной организации или склада в список разрешённых.
Как проверить результат
Действие выполняется без сообщения об ошибке
Ошибка повторяется или появляется новая — на другой объект
Нет новых событий «Отказ в доступе» по этому пользователю
Отказы продолжаются — значит, права не хватает на связанный объект
Пользователь видит нужные записи и только их
Данные лишние (переизбыток прав) или часть записей всё ещё скрыта (RLS)
Типичные ошибки при раздаче прав
Ещё одна распространённая ошибка — диагностика «по телефону»: администратор меняет права, не воспроизведя проблему, и не проверяет журнал регистрации. В результате выдаётся лишнее, а исходная причина (например, незаполненное разрешённое значение в группе доступа) остаётся. Всегда завершайте работу проверкой: пользователь сам повторяет действие и подтверждает результат.
Что важно запомнить
Нехватку прав в 1С определяют по журналу регистрации: событие «Отказ в доступе» указывает объект и вид доступа. Права выдают точечно через профили групп доступа, избегая полных прав. Если ошибки нет, а данных не видно — проверяйте ограничения доступа на уровне записей (RLS).
Частые вопросы
Пользователь видит документ, но не может его провести. Какого права не хватает?
Чаще всего не хватает права «Изменение» на сам документ или прав на регистры, по которым документ делает движения. Откройте журнал регистрации в момент попытки проведения — событие отказа покажет конкретный объект. Если отказа нет, проверьте также функциональные опции и статус документа: иногда проведение блокируют не права, а настройки учёта.
Ошибки нет, но справочник для пользователя пустой. Что это?
Это типичный признак срабатывания RLS — ограничения доступа на уровне записей. Проверьте профиль группы доступа пользователя: какие виды доступа включены и какие значения (организации, склады, контрагенты) ему разрешены. Добавление нужного значения обычно решает проблему без изменения ролей.
Можно ли узнать нехватающие права без доступа к конфигуратору?
Да, в большинстве случаев достаточно режима предприятия: журнал регистрации доступен через раздел «Администрирование», а профили групп доступа настраиваются там же. Конфигуратор нужен только если требуется создать новую роль или изменить существующую — это уже доработка конфигурации.
После обновления конфигурации у пользователей пропали права. Что делать?
При обновлении типовые роли и профили могут перезаписаться, а пользовательские доработки ролей — конфликтовать с новыми. Проверьте профили групп доступа: часто достаточно заново включить нужные роли в профиль. Если менялись сами роли в конфигураторе, сравните их с типовыми из поставки и перенесите свои изменения в отдельную роль.
Как быстро дать пользователю временный доступ без риска?
Создайте отдельный профиль с минимально необходимыми ролями и назначьте его пользователю, зафиксировав срок отзыва. Не используйте «Полные права» даже временно: под ними пользователь видит все данные и может случайно изменить настройки. После завершения работ верните штатный профиль и проверьте журнал регистрации на предмет действий за этот период.