Администрирование · 13 мин
Как отключить RLS в 1С: практическое руководство
Как отключить RLS в 1С: отключение ограничения доступа на уровне записей через роли, конфигуратор и параметры. Риски, проверка результата, типичные ошибки.
RLS (Record Level Security) — механизм ограничения доступа на уровне записей, который фильтрует данные в запросах: пользователь видит не все документы или элементы справочников, а только разрешённые ему строки. Отключить RLS полностью «одной галочкой» в типовых конфигурациях нельзя — механизм зашит в роли и шаблоны ограничений. Однако есть несколько рабочих способов снять ограничения для конкретных пользователей или всей базы.
Прежде чем отключать RLS, важно понять, зачем это нужно. Чаще всего причина — падение производительности: запросы с ограничениями становятся тяжёлыми, списки открываются медленно, отчёты строятся долго. Вторая причина — ошибки настройки прав, из-за которых пользователи не видят нужные данные. В обоих случаях полное отключение RLS — не единственный и не всегда лучший вариант.
В этой статье разобраны основные способы отключения RLS: через роли и права пользователей, через настройки функциональности, через доработку конфигурации. Для каждого способа указаны условия применения, риски и способ проверить результат.
Что такое RLS и где он применяется в 1С
RLS — это механизм платформы 1С:Предприятие, который автоматически добавляет условия отбора во все запросы к таблицам, для которых в ролях заданы шаблоны ограничений. Например, менеджер видит только документы своей организации или своего склада, хотя физически в базе хранятся данные всех подразделений.
Ограничения настраиваются в конфигураторе на уровне ролей: для каждого права (чтение, добавление, изменение, удаление) можно указать шаблон RLS с условием отбора. В типовых конфигурациях (Управление торговлей, ERP, ЗУП, Бухгалтерия) механизм активно используется для разграничения доступа по организациям, складам, подразделениям, контрагентам и физическим лицам.
Важно понимать: RLS работает незаметно для пользователя. Если данные «пропали», это может быть следствием как корректно работающего ограничения, так и ошибки в настройке групп доступа. Поэтому перед отключением стоит убедиться, что проблема действительно в RLS, а не в правах на объекты или в отборах в самих формах списков.
Способ 1. Дать пользователю полные права
Самый простой и безопасный способ снять ограничения для конкретного пользователя — назначить ему роль «Полные права» (в клиент-серверном и файловом варианте она обычно называется «ПолныеПрава» или «Администратор системы»). Роль с полными правами в типовых конфигурациях не содержит шаблонов RLS, поэтому запросы выполняются без дополнительных условий.
Порядок действий зависит от конфигурации. В управляемых приложениях (УТ 11, ERP, КА) откройте раздел «Администрирование» → «Настройки прав и пользователей» → «Пользователи», выберите нужного пользователя и проверьте входящие в его профиль группы доступа. Если пользователю нужен полный доступ, проще добавить его в профиль «Администраторы» или выдать полные права через конфигуратор.
- 1Сделайте резервную копию базы или убедитесь, что настроено регулярное резервное копирование.
- 2Откройте Администрирование → Настройки прав и пользователей → Пользователи.
- 3Найдите пользователя и проверьте, в какие группы доступа он входит.
- 4Добавьте пользователя в профиль с полными правами или назначьте роль ПолныеПрава через конфигуратор.
- 5Попросите пользователя перезайти в базу и проверьте видимость данных.
Ограничение способа очевидно: полные права открывают доступ не только к данным, но и к административным функциям — настройкам, удалению объектов, изменению прав других пользователей. Для обычных пользователей это неприемлемо, поэтому способ подходит только для администраторов, руководителей или для временной диагностики.
Способ 2. Отключить функциональную опцию ограничения доступа
Во многих типовых конфигурациях работа RLS управляется функциональной опцией. Например, в конфигурациях на базе Библиотеки стандартных подсистем (БСП) есть настройка «Ограничивать доступ на уровне записей». Если её отключить, механизм групп доступа перестаёт применять ограничения, и запросы выполняются без дополнительных условий.
Путь к настройке обычно такой: «Администрирование» → «Настройки прав и пользователей» → снять флаг «Ограничивать доступ на уровне записей» (точное название зависит от версии конфигурации). После отключения пользователям может потребоваться перезайти в программу, а в некоторых случаях — перезапустить сеансы на сервере.
Учтите, что отключение опции не удаляет сами шаблоны RLS из ролей — оно лишь отключает программную логику применения ограничений в типовой конфигурации. Если в вашей конфигурации есть собственные доработки, которые читают параметры сеанса и применяют отборы вручную, они продолжат работать независимо от этой настройки.
Способ 3. Убрать ограничения в ролях через конфигуратор
Если нужно отключить RLS выборочно — например, только для справочника «Номенклатура» или только для документов поступления, — придётся править роли в конфигураторе. Это уже доработка конфигурации, поэтому потребуется снять объекты с полной поддержки или работать через расширение.
Откройте конфигуратор, найдите нужную роль (например, «ДобавлениеИзменениеДокументовПродажи»), перейдите на закладку «Права», выберите объект и для права «Чтение» (или другого) удалите ограничение доступа к данным — поле «Ограничение доступа» должно быть пустым. Повторите для всех прав и объектов, где нужно снять ограничения.
Более безопасная альтернатива — расширение конфигурации. В расширении можно добавить собственную роль без ограничений RLS и назначить её нужным пользователям вместо изменения типовых ролей. При обновлении конфигурации расширение обычно продолжает работать, хотя совместимость всё равно нужно проверять.
Способ 4. Настроить группы доступа вместо отключения
Часто за запросом «отключить RLS» стоит реальная задача: пользователь не видит нужные данные. Полное отключение ограничений здесь избыточно — достаточно правильно настроить группы доступа. В типовых конфигурациях разрешённые значения (организации, склады, контрагенты) задаются в профилях групп доступа и в карточках самих групп.
Проверьте профиль пользователя: «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». Откройте профиль и посмотрите закладку с разрешёнными значениями — если там стоит ограничение по видам доступа, но список разрешённых значений пуст или неполон, пользователь не увидит данные. Добавьте нужные значения или установите режим «Все разрешены» для соответствующего вида доступа.
Как выбрать действие
Такой подход сохраняет управляемость: доступ остаётся прозрачным, его можно объяснить аудитору и быстро изменить без доработок. Полное отключение RLS оправдано только в небольших компаниях, где все сотрудники и так имеют доступ ко всем данным.
Как проверить, что RLS отключён
После любого изменения прав обязательно проверьте результат под учётной записью целевого пользователя, а не под администратором. Администратор с полными правами не заметит ограничений в любом случае — это самая частая ошибка при проверке.
Признаки того, что ограничения сняты: пользователь видит полные списки документов и справочников без дополнительных отборов, отчёты показывают данные по всем организациям и подразделениям, в журнале регистрации нет ошибок доступа. Если данные по-прежнему не видны, проверьте, не применяются ли отборы в самих формах списков или настройках вариантов отчётов — они работают независимо от RLS.
Как проверить результат
Пользователь видит все документы и элементы справочников, которые должен видеть
Часть записей скрыта — ограничения или отборы формы продолжают действовать
Отчёты строятся по всем организациям и периодам без пропусков
Суммы в отчётах меньше ожидаемых — RLS или отборы варианта отчёта ещё работают
Списки и отчёты открываются заметно быстрее после снятия ограничений
Производительность не изменилась — проблема была не в RLS, а в индексах или объёме данных
У обычных пользователей нет доступа к настройкам и удалению данных
После выдачи полных прав пользователи видят административные разделы — права выданы избыточно
Производительность и типичные ошибки
Отключение RLS действительно ускоряет запросы: платформе не нужно подставлять сложные условия соединений с таблицами групп доступа и параметров сеанса. Особенно заметен эффект на больших базах с сотнями тысяч документов и сложной структурой прав. Однако если списки тормозят из-за отсутствия индексов, большого объёма данных или неоптимальных запросов в доработках, отключение RLS проблему не решит.
Ещё одна ошибка — путать RLS с обычными правами на объекты. Если у пользователя нет права «Чтение» на документ, никакие настройки RLS не помогут: сначала проверяются права на уровне объекта, и только потом — ограничения на уровне записей. Диагностику начинайте с простого: есть ли у роли пользователя право чтения нужного объекта.
Перед отключением RLS ради производительности снимите замер запроса через консоль запросов или технологический журнал. Часто оказывается, что узкое место — конкретный шаблон ограничения по одному виду доступа, и достаточно упростить именно его, а не отключать ограничения полностью.
Риски и границы безопасной работы
Отключение RLS — это всегда снижение уровня защиты данных. После снятия ограничений любой пользователь с правом чтения объекта увидит все записи: зарплату сотрудников, взаиморасчёты со всеми контрагентами, документы всех организаций в многофирменной базе. В конфигурациях вроде ЗУП это может означать нарушение требований к защите персональных данных.
Поэтому безопасные границы самостоятельной работы такие: выдача полных прав отдельным пользователям и отключение функциональной опции — обратимые операции, которые можно выполнять самостоятельно после резервного копирования. Правка ролей в конфигураторе и создание расширений требуют навыков разработки и тестирования на копии базы — в рабочей базе без проверки на копии такие изменения вносить не стоит.
Что важно запомнить
RLS в 1С не отключается одной кнопкой: ограничения снимаются через полные права, функциональную опцию, настройку групп доступа или доработку ролей. Выбирайте способ под задачу, делайте резервную копию, проверяйте результат под учётной записью пользователя и помните, что снятие ограничений открывает доступ ко всем данным базы.
FAQ
Можно ли отключить RLS только для одного документа или справочника?
Да, но только через доработку: нужно в конфигураторе или расширении убрать шаблон ограничения из прав конкретного объекта в используемых ролях. Штатными настройками групп доступа точечно по объектам ограничения не снимаются — там управление идёт по видам доступа (организации, склады и т.п.).
Почему после отключения опции «Ограничивать доступ на уровне записей» пользователи всё равно не видят данные?
Чаще всего причина в том, что пользователи не перезашли в базу — параметры сеанса кэшируются. Реже проблема в отборах, заданных в самих формах списков или вариантах отчётов: они работают независимо от RLS. Также проверьте, есть ли у пользователя базовое право «Чтение» на нужный объект.
Ускорит ли отключение RLS работу базы?
Запросы без ограничений выполняются быстрее, особенно на больших таблицах и сложных схемах прав. Но если медленная работа вызвана нехваткой индексов, большим объёмом данных или неоптимальным кодом доработок, эффект будет незначительным. Сначала стоит проанализировать реальный запрос, а потом принимать решение.
Что будет с правами при обновлении конфигурации, если я правил роли?
Изменённые типовые роли попадут в объединение при обновлении: платформа предложит сравнить и объединить изменения, и ваши правки придётся переносить вручную или подтверждать. Если роли менялись через расширение, типовая конфигурация обновится штатно, но работоспособность расширения после обновления нужно проверить.
Как временно отключить RLS для диагностики, не меняя настройки?
Самый простой способ — зайти под пользователем с полными правами: для них ограничения не применяются. Если нужно проверить поведение именно под конкретным пользователем, временно добавьте его в профиль администраторов, выполните проверку и сразу верните исходный профиль. Не оставляйте расширенные права дольше, чем нужно для диагностики.
Опасно ли отключать RLS в ЗУП или базе с персональными данными?
Да. В ЗУП ограничения закрывают доступ к зарплате и кадровым данным сотрудников. Снятие RLS означает, что любой пользователь с правом чтения увидит эти сведения, что может нарушать требования законодательства о персональных данных. В таких конфигурациях предпочтительна точечная настройка групп доступа, а не отключение ограничений.