Администрирование · 10 мин
1С УПП: как добавить роль и настроить права доступа
Как добавить роль в 1С УПП: создание новой роли в конфигураторе, назначение прав пользователю, настройка RLS, проверка результата и типичные ошибки.
Роли в 1С:УПП (Управление производственным предприятием) определяют, какие объекты конфигурации видит пользователь и какие операции он может выполнять: просмотр, добавление, изменение, удаление документов, справочников и отчётов. Задача «добавить роль» может означать два разных действия: назначить существующую роль конкретному пользователю информационной базы или создать новую роль в конфигураторе с собственным набором прав. Оба сценария рассмотрены ниже.
Назначение ролей пользователю выполняется в режиме 1С:Предприятие и не требует изменения конфигурации — это безопасная операция, доступная администратору базы. Создание новой роли — уже работа в конфигураторе: она требует монопольного доступа, обновления конфигурации базы данных и понимания структуры прав типовой УПП. Ошибки на этом этапе могут открыть лишний доступ к данным или, наоборот, заблокировать работу пользователей.
Как устроены роли в типовой УПП
В УПП права доступа реализованы через стандартный механизм ролей платформы 1С:Предприятие 8. Каждая роль — это набор разрешений на объекты метаданных: справочники, документы, регистры, отчёты, обработки. Пользователю можно назначить несколько ролей, итоговые права складываются по принципу объединения: если хотя бы одна роль разрешает действие, оно доступно.
Типовая конфигурация содержит десятки предопределённых ролей: «Бухгалтер», «Кадровик», «Менеджер по продажам», «Полные права» и другие. Перед созданием собственной роли проверьте, не покрывает ли задачу комбинация существующих — это проще в сопровождении и не ломается при обновлениях конфигурации.
Как назначить роль существующему пользователю
Это самый частый сценарий, который выполняется без конфигуратора. Войдите в базу под учётной записью с полными правами и откройте раздел «Администрирование» → «Пользователи и права доступа» → «Пользователи». В зависимости от релиза УПП путь может немного отличаться, но справочник пользователей присутствует всегда.
Откройте карточку нужного пользователя и перейдите на вкладку «Роли» (или нажмите кнопку настройки ролей в командной панели). В списке отметьте флажками требуемые роли и сохраните изменения. Новые права вступят в силу после перезапуска сеанса пользователя — попросите его выйти из программы и войти снова.
- 1Войдите в базу под учётной записью с полными правами
- 2Откройте Администрирование → Пользователи и права доступа → Пользователи
- 3Откройте карточку нужного пользователя
- 4На вкладке «Роли» отметьте флажками требуемые роли
- 5Запишите изменения и попросите пользователя перезайти в базу
- 6Проверьте доступ: нужные документы открываются, лишние разделы скрыты
Как создать новую роль в конфигураторе
Если типовых ролей не хватает, роль создают в конфигураторе. Откройте конфигуратор, выполните команду «Конфигурация → Открыть конфигурацию» и в дереве метаданных раскройте ветку «Общие → Роли». Через контекстное меню выберите «Добавить» и задайте имя роли, например «МенеджерПоЗакупкамРасширенный».
После создания автоматически откроется редактор прав: в левой части — список объектов конфигурации, в правой — права на выбранный объект (чтение, добавление, изменение, удаление, проведение, интерактивные операции). Отметьте только те объекты и действия, которые реально нужны. Принцип минимальных прав снижает риск случайной порчи данных.
Когда права настроены, сохраните конфигурацию и выполните «Конфигурация → Обновить конфигурацию базы данных». Для этого требуется монопольный доступ — все пользователи должны выйти из базы. После обновления новая роль появится в списке ролей при редактировании пользователей и её можно назначать стандартным способом.
Тонкая настройка: ограничение доступа на уровне записей (RLS)
Помимо обычных прав, в редакторе роли доступна вкладка «Шаблоны ограничений» — механизм RLS (Record Level Security). Он позволяет ограничить видимость не всего справочника или документа, а отдельных записей: например, менеджер видит только документы своей организации или своего склада.
Ограничение записывается на встроенном языке запросов в поле «Ограничение доступа» для конкретного права. Типовая УПП уже содержит шаблоны ограничений по организациям и подразделениям — их можно использовать как образец. Учтите, что RLS заметно усложняет текст запросов платформы и при избыточном применении снижает производительность списков и отчётов.
Проверка результата и контрольные точки
После назначения или создания роли обязательно проверьте фактический доступ от имени целевого пользователя. Самый надёжный способ — войти в базу под его учётной записью и пройти типовые операции: открыть нужный документ, создать новый, провести, попытаться открыть запрещённый раздел.
Как проверить результат
База открывается, интерфейс содержит только нужные разделы
Ошибка «Нарушение прав доступа» при входе или пустой рабочий стол
Документы создаются, проводятся, печатаются
Кнопки «Записать» или «Провести» недоступны, ошибки при сохранении
Чужие разделы не отображаются или выдают отказ в доступе
Пользователь видит и редактирует данные, которые должен только читать
Нужные отчёты формируются без ошибок
Отчёт пустой или падает с ошибкой из-за нехватки прав на регистры
Частая ситуация: документ открывается, но не проводится. Причина почти всегда в том, что роль даёт права на сам документ, но не на регистры, по которым он делает движения. Откройте редактор роли и добавьте права на связанные регистры накопления и сведений.
Типичные ошибки при работе с ролями
Отдельно предостережение про изменение типовых ролей. Если нужно расширить типовую роль «Бухгалтер», не редактируйте её напрямую: при обновлении конфигурации на поддержке ваши изменения будут перезаписаны. Правильный путь — создать новую роль с дополнительными правами и назначить её пользователю в дополнение к типовой: права ролей суммируются.
Альтернативные подходы и выбор решения
Как выбрать действие
Для массового назначения прав удобно использовать группы пользователей: роли назначаются группе, а пользователи включаются в неё. Это упрощает администрирование при приёме новых сотрудников и снижает количество ошибок ручной настройки.
Что важно запомнить
Назначение роли выполняется в справочнике «Пользователи» и требует только перезахода пользователя в базу. Новая роль создаётся в конфигураторе (Общие → Роли) с последующим обновлением конфигурации базы данных. Всегда давайте минимально необходимые права, не изменяйте типовые роли, тестируйте на копии базы и проверяйте доступ под учётной записью пользователя.
Частые вопросы
Почему пользователь не видит назначенную роль сразу после изменения?
Права применяются при установке сеанса. Если пользователь был в базе в момент изменения, его сеанс продолжает работать со старым набором ролей. Попросите его полностью выйти из программы и войти заново — после этого новые права вступят в силу.
Чем роль отличается от полных прав?
«Полные права» — специальная роль, дающая неограниченный доступ ко всем объектам и административным функциям. Обычная роль содержит явно перечисленные разрешения. Выдавать полные права рядовым пользователям небезопасно: они могут изменять настройки, удалять любые данные и управлять другими учётными записями.
Можно ли скопировать существующую роль и доработать её?
Да. В конфигураторе выделите нужную роль в ветке «Общие → Роли», скопируйте её через контекстное меню и вставьте с новым именем. Затем откорректируйте права в редакторе. Это быстрее, чем создавать роль с нуля, и безопаснее, чем править типовую.
Документ открывается, но выдаёт ошибку при проведении. В чём причина?
Почти наверняка у роли нет прав на регистры, по которым документ формирует движения. Откройте редактор роли, найдите связанные регистры накопления, сведений или бухгалтерии и установите на них права на добавление и изменение записей.
Нужно ли монопольное_access для назначения роли пользователю?
Нет. Назначение ролей через справочник пользователей выполняется в обычном режиме 1С:Предприятие без монопольного доступа. Монопольный режим требуется только для создания новой роли в конфигураторе, когда нужно обновить конфигурацию базы данных.
Что будет с моей ролью при обновлении конфигурации УПП?
Самостоятельно созданная роль при типовом обновлении сохраняется — обновление затрагивает только объекты поставщика. Однако если в новом релизе появятся новые объекты метаданных, прав на них у вашей роли не будет, и их нужно добавить вручную после обновления.