Администрирование · 11 мин
1С: невозможно исключить пользователя из группы, так как он включён в неё косвенно
Почему 1С не даёт исключить пользователя из группы доступа: косвенное включение через профиль или иерархию. Пошаговое решение и проверка прав.
При попытке удалить сотрудника из группы доступа или группы пользователей 1С выдаёт сообщение: «Невозможно исключить пользователя из группы, так как он включён в неё косвенно». Это не сбой программы, а штатная защита механизма прав: пользователь попадает в группу не напрямую, а через другой объект — профиль групп доступа, вышестоящую группу или подчинённый элемент иерархии. Пока существует этот «верхний» источник включения, ручное исключение из состава группы заблокировано.
Ошибка чаще всего встречается в конфигурациях на базе Библиотеки стандартных подсистем (Управление торговлей, ERP, ЗУП, Бухгалтерия предприятия) при работе со справочниками «Группы доступа» и «Группы пользователей», а также в механизме групп доступа контрагентов, номенклатуры и физических лиц. Логика везде одинаковая: система различает прямое и косвенное членство и запрещает редактировать то, что вычисляется автоматически.
Решение всегда сводится к одному: найти источник косвенного включения и изменить его, а не бороться с самим сообщением. Ниже разобрано, как устроено косвенное членство, где искать источник в типовых конфигурациях и как безопасно убрать пользователя, не сломав права остальных сотрудников.
Что означает косвенное включение в группу
В подсистеме управления доступом 1С состав группы складывается из двух частей: участники, добавленные вручную (прямое включение), и участники, попавшие туда автоматически (косвенное включение). Косвенное членство вычисляется платформой при каждом обращении к правам и не хранится как самостоятельная запись, которую можно отредактировать.
Типичные источники косвенного включения: профиль групп доступа, назначенный пользователю лично или через группу пользователей; вышестоящая группа в иерархии справочника; настройка «все пользователи» в составе группы доступа; роли, выданные напрямую в конфигураторе. Пока действует хотя бы один такой источник, пользователь остаётся членом группы, и попытка удалить строку в табличной части приводит к описанной ошибке.
Важно понимать: сообщение об ошибке — это подсказка, а не препятствие. Оно указывает, что редактировать нужно не текущую форму, а связанный объект. Попытки обойти ограничение через обработки или прямую запись в базу приводят к рассинхронизации прав и непредсказуемым отказам в доступе у других сотрудников.
Где искать источник включения: профили групп доступа
Самая частая причина в конфигурациях ERP, УТ и ЗУП — профиль групп доступа. Схема такая: администратор создаёт профиль (набор ролей и разрешений), назначает его пользователю, а профиль в свою очередь связан с группой доступа. В результате пользователь числится в группе «через профиль», и из состава самой группы его не удалить.
Порядок проверки: откройте карточку пользователя (раздел «Администрирование» → «Пользователи» или «Настройка прав и пользователей») и посмотрите список назначенных профилей. Если среди них есть профиль, связанный с нужной группой доступа, — это и есть источник. Снимите пометку с профиля или удалите строку, запишите пользователя, после чего членство в группе исчезнет автоматически.
- 1Откройте карточку пользователя в разделе администрирования
- 2Проверьте список назначенных профилей групп доступа
- 3Снимите профиль, связанный с группой, или измените его состав
- 4Запишите пользователя и обновите список участников группы
- 5Проверьте, что пользователь исчез из состава группы
Если профиль назначен через группу пользователей
Отдельный случай — профиль назначен не лично, а группе пользователей, в которую входит сотрудник. В карточке пользователя такой профиль может отображаться как унаследованный и не давать снять отметку. Тогда изменять нужно состав группы пользователей: либо исключить сотрудника из неё, либо убрать профиль у всей группы, если это не нарушит права остальных участников.
Иерархия групп и вышестоящие элементы
Вторая типовая причина — иерархия справочника. Если группа доступа является подчинённой по отношению к другой группе, участники вышестоящей группы могут автоматически считаться участниками всех нижестоящих. Пользователь, добавленный в «родительскую» группу, окажется косвенно включённым в каждую дочернюю.
Чтобы это проверить, откройте группу и посмотрите поле «Родитель» или положение элемента в дереве. Если родительская группа существует, откройте её состав: скорее всего, пользователь добавлен туда напрямую. Исключение из вышестоящей группы снимет членство и во всех подчинённых.
Аналогично работает и обратная ситуация с иерархическими справочниками объектов доступа (контрагенты, номенклатура): если пользователю разрешена группа контрагентов верхнего уровня, попытка «закрыть» ему отдельную подгруппу ничего не даст — разрешение наследуется сверху вниз.
Как выбрать действие
Особые случаи: «все пользователи» и роли конфигуратора
В некоторых группах доступа предусмотрен признак, делающий участниками всех пользователей информационной базы (например, предопределённые группы или настройка «Все пользователи»). Пока признак установлен, любой пользователь считается косвенным участником, и исключить отдельного человека невозможно в принципе. Решение — снять настройку в карточке группы и перейти на явное управление составом через профили.
Ещё один источник путаницы — роли, выданные напрямую в конфигураторе (раздел «Администрирование» → «Пользователи», вкладка «Прочие» или список ролей). Они не создают членства в группах доступа, но дают права, из-за которых администратор ошибочно считает, что пользователь «сидит» в группе. Если после снятия всех профилей и исключения из групп права у сотрудника сохраняются — проверьте роли в конфигураторе.
Как проверить результат после изменений
После снятия профиля или исключения из вышестоящей группы обновите форму группы доступа: пользователь должен исчезнуть из списка участников. Если строка осталась — значит, существует ещё один источник косвенного включения, который не был найден. Вернитесь к карточке пользователя и проверьте все профили и членство в группах пользователей повторно.
Финальная проверка — от лица самого пользователя. Попросите сотрудника перезайти в программу (сеанс кэширует права, поэтому без перезапуска изменения могут не примениться) и убедитесь, что доступ к объектам группы закрыт, а остальные права не пострадали. В файловой базе права обычно применяются сразу после перезапуска сеанса; в клиент-серверном варианте может потребоваться обновление кэша.
Как проверить результат
Пользователь отсутствует в списке участников
Строка осталась — есть второй источник включения
Доступ к объектам группы закрыт, остальная работа не нарушена
Пропали и другие права — снят лишний профиль
Остались только нужные профили
Профиль отображается серым и не снимается — назначен через группу пользователей
Типичные ошибки администраторов
Чаще всего проблема затягивается из-за действий, которые не устраняют источник включения. Первая ошибка — попытка многократно удалить строку из табличной части группы в надежде, что «с очередного раза получится»: сообщение будет повторяться, пока существует косвенный источник. Вторая — снятие у пользователя всех профилей «на всякий случай», из-за чего сотрудник теряет права, не связанные с этой группой.
Третья распространённая ошибка — игнорирование перезапуска сеанса при проверке. Администратор всё настроил верно, но пользователь проверяет доступ в старом сеансе и сообщает, что «ничего не изменилось». Четвёртая — редактирование типового профиля вместо создания отдельного: изменение затрагивает всех, кому этот профиль назначен.
Удобный приём: перед изменениями зафиксируйте текущие профили и группы пользователя скриншотом или списком. Если после исключения из группы у сотрудника пропадёт что-то лишнее, вы быстро восстановите исходное состояние, а не будете вспоминать настройки по памяти.
Если ничего не помогло
Если все профили сняты, из вышестоящих групп пользователь исключён, а строка в составе группы по-прежнему не удаляется, проверьте, не является ли группа предопределённой с особыми правилами заполнения, и нет ли в конфигурации доработок, переопределяющих состав участников. В доработанных конфигурациях косвенное включение может формироваться программно — тогда потребуется анализ кода разработчиком.
Также имеет смысл выполнить тестирование и исправление информационной базы с проверкой логической целостности, если есть подозрение на повреждение данных. Перед этим обязательно создайте резервную копию. В типовых конфигурациях без доработок описанная ситуация практически всегда решается поиском профиля или вышестоящей группы.
Что важно запомнить
Сообщение о косвенном включении означает, что пользователь попал в группу через профиль, вышестоящую группу или настройку «все пользователи». Исключать его нужно из источника, а не из группы. После изменений проверьте состав группы и права пользователя в новом сеансе, а перед массовыми правками сделайте копию базы.
Частые вопросы
Можно ли исключить пользователя из группы, не снимая профиль?
Нет, если членство возникает именно через профиль. Группа лишь отражает состав, вычисленный из профилей. Альтернатива — создать для сотрудника отдельный профиль без связи с этой группой и назначить его вместо текущего.
Почему профиль в карточке пользователя отображается серым и не снимается?
Это признак того, что профиль назначен не лично, а через группу пользователей, в которую входит сотрудник. Снимать его нужно в карточке группы пользователей либо исключать сотрудника из её состава.
Изменения внесены, но пользователь по-прежнему видит документы группы. Что не так?
Скорее всего, сеанс пользователя не перезапущен и работает со старым кэшем прав. Попросите сотрудника полностью выйти из программы и зайти заново. Если доступ сохранился и после этого — проверьте роли в конфигураторе и другие профили.
Опасно ли снимать профиль у пользователя?
Само по себе безопасно, но профиль может давать и другие права, помимо членства в нужной группе. Перед снятием зафиксируйте текущий список профилей и после изменения проверьте, что повседневная работа сотрудника не нарушена.
Что делать, если в группу включены «все пользователи», а исключить нужно одного?
Штатного способа исключить одного при включённом признаке «все пользователи» нет. Отключите эту настройку и управляйте составом явно — через профили или прямое добавление участников.
Можно ли решить проблему через конфигуратор или обработку?
Технически возможно, но делать этого не стоит: штатные механизмы обновления ключей доступа рассчитаны на изменения через интерфейс. Прямая запись в базу часто приводит к рассинхронизации прав и ошибкам доступа у других пользователей.