Администрирование · 11 мин
Как настроить права доступа в 1С:Управление торговлей
Как настроить права доступа в 1С:Управление торговлей: группы доступа, профили, роли, ограничение на уровне записей. Пошаговая инструкция и типичные ошибки.
Разграничение прав в 1С:Управление торговлей (УТ 11) строится на двух уровнях: роли определяют, какие объекты и операции доступны пользователю технически, а группы доступа ограничивают работу с конкретными данными — организациями, складами, контрагентами. Если просто назначить пользователю роли без настройки групп доступа, он увидит все документы всех подразделений, что для торговой компании обычно недопустимо.
Механизм прав в УТ 11 унаследован от Библиотеки стандартных подсистем (БСП), поэтому описанный порядок работает и в КА, ERP и других конфигурациях на той же платформе. Основные инструменты — профили групп доступа, группы доступа пользователей и ограничение доступа на уровне записей (RLS). Всё это настраивается в режиме предприятия, без изменения конфигурации.
Перед началом работы убедитесь, что у вас есть права администратора, а в базе создана резервная копия или хотя бы выгрузка. Ошибка в настройке ролей может заблокировать работу пользователей или, наоборот, открыть им лишние данные.
Как устроена модель прав в УТ 11
В конфигурации действуют три взаимосвязанных механизма. Первый — роли: наборы разрешений на чтение, добавление, изменение объектов (документы, справочники, отчёты). Роли задаются разработчиком конфигурации, но назначаются пользователю через профили, а не напрямую.
Второй уровень — профили групп доступа. Профиль объединяет несколько ролей под понятным названием: «Менеджер по продажам», «Кладовщик», «Бухгалтер». Пользователю назначается не роль, а профиль — так проще управлять правами типовых должностей.
Третий уровень — группы доступа и RLS (Record Level Security). Они отвечают на вопрос «какие именно данные видит пользователь»: например, менеджер работает только со своей организацией и только с оптовым складом. RLS фильтрует записи на уровне запросов к базе, поэтому обойти его через отчёты или подборы нельзя.
Включение механизма групп доступа
По умолчанию в свежей базе группы доступа могут быть отключены. Проверьте настройку: раздел «НСИ и администрирование» → «Настройка НСИ и разделов» → «Пользователи и права» (в некоторых версиях — «Настройки и справочники» → «Администрирование» → «Настройки прав и пользователей»).
Установите флажки «Группы доступа» и «Ограничивать доступ на уровне записей». После включения RLS программа предложит обновить параметры ограничения доступа — согласитесь и дождитесь завершения фонового задания. В больших базах обновление может занять заметное время, выполняйте его в нерабочие часы.
Создание и настройка профиля групп доступа
Откройте «НСИ и администрирование» → «Пользователи и права» → «Профили групп доступа». В типовой поставке уже есть готовые профили: «Менеджер по продажам», «Менеджер по закупкам», «Кладовщик», «Казначей» и другие. Проще всего скопировать подходящий типовой профиль и скорректировать его, чем собирать с нуля.
В форме профиля на закладке «Роли» отметьте нужные роли. Ориентируйтесь на названия: например, для менеджера по продажам нужны роли добавления и изменения заказов клиентов, реализаций, счетов на оплату, чтение справочников номенклатуры и контрагентов. Не назначайте роли «Полные права» и «Администратор системы» рядовым пользователям.
На закладке «Виды доступа» укажите, по каким измерениям будет ограничиваться профиль: организации, склады, подразделения, группы контрагентов. Для каждого включённого вида доступа выберите вариант — «Все разрешены» (ограничения нет) или «Все запрещены, исключения задаются в группах доступа». Второй вариант безопаснее: пользователь увидит только то, что ему явно разрешили.
- 1Откройте «Пользователи и права» → «Профили групп доступа»
- 2Скопируйте ближайший типовой профиль через «Создать копированием»
- 3На закладке «Роли» отметьте нужные роли, уберите лишние
- 4На закладке «Виды доступа» включите измерения: организации, склады
- 5Для каждого вида доступа выберите «Все запрещены» для строгого режима
- 6Сохраните профиль и проверьте его на тестовом пользователе
Назначение прав пользователю через группы доступа
Сам по себе профиль ничего не даёт — он начинает работать, когда пользователь входит в группу доступа с этим профилем. Откройте «Группы доступа» в том же разделе. Каждая группа связывает три вещи: профиль, список пользователей и конкретные значения разрешённых видов доступа.
Например, создайте группу «Менеджеры московского офиса»: профиль — «Менеджер по продажам», пользователи — Иванов и Петров, разрешённые значения — организация «Альфа», склад «Основной». Теперь Иванов и Петров видят документы только по этой организации и этому складу.
Один пользователь может входить в несколько групп доступа — тогда его права суммируются, а разрешённые значения объединяются. Это удобно, когда сотрудник совмещает функции: например, менеджер, который дополнительно оформляет перемещения между складами.
Ограничение доступа к конкретным данным
Набор видов доступа зависит от конфигурации. В УТ 11 типично доступны ограничения по организациям, складам, подразделениям, группам контрагентов и партнёров, кассам, видам цен. Включать все измерения подряд не стоит: каждое усложняет запросы RLS и замедляет работу базы.
Практичный минимум для торговой компании — ограничение по организациям и складам. Ограничение по группам контрагентов добавляйте только если менеджеры реально делят клиентскую базу и это требование бизнеса, а не «на всякий случай».
Учтите особенность: если документ проведён по складу, к которому у пользователя нет доступа, он не увидит этот документ целиком, даже если организация ему разрешена. Условия по разным видам доступа работают по логике «И» внутри документа.
Как выбрать уровень ограничений
Проверка результата и типовые проблемы
После настройки обязательно войдите в базу под учётной записью пользователя, а не администратора. Проверьте три вещи: открываются ли нужные документы и справочники, не видны ли лишние организации и склады, работают ли ключевые операции — проведение документа, печать, формирование отчёта.
Частая жалоба — «пустой список документов» после включения RLS. Причина почти всегда одна: в группе доступа не заполнены разрешённые значения, а в профиле стоит «Все запрещены». Пользователь формально всё настроен, но не имеет доступа ни к одной записи.
Вторая типичная ситуация — ошибка «Нарушение прав доступа» при проведении документа. Обычно у пользователя не хватает роли на изменение связанного объекта: например, реализация требует права на регистры взаиморасчётов и остатков, а в профиль включили только роль на сам документ. Ищите недостающую роль по тексту ошибки — там указан объект, к которому нет доступа.
Как проверить результат
Видны только документы разрешённых организаций и складов
Список пустой или видны документы всех организаций
Документ проводится без сообщений о правах
Ошибка «Нарушение прав доступа» с указанием объекта
Отчёт формируется и показывает только разрешённые данные
Отчёт пустой или содержит чужие организации
Печать доступна из документа
Команда печати недоступна или выдаёт ошибку
Обслуживание прав и обновление конфигурации
При обновлении УТ типовые профили могут дополняться новыми ролями. Если вы создавали собственные профили копированием, новые роли в них не появятся автоматически — после обновления проверьте, не появились ли у пользователей ошибки доступа к новым объектам, и при необходимости добавьте роли вручную.
Периодически пересматривайте состав групп доступа: уволенные сотрудники должны быть отключены (флажок «Недействителен» в карточке пользователя), а переведённые на другую должность — перенесены в соответствующую группу. Накопление «мёртвых» учётных записей с активными правами — типовой риск безопасности.
Для аудита используйте журнал регистрации: по нему видно, кто и когда изменял настройки прав, а также попытки нарушения доступа. В спорных ситуациях полезен отчёт «Права доступа» (если он есть в вашей версии) — он показывает итоговый набор ролей конкретного пользователя.
Что важно запомнить
Права в УТ 11 строятся цепочкой: профиль (набор ролей) → группа доступа (профиль + пользователи + разрешённые значения) → RLS (фильтрация данных). Копируйте типовые профили, включайте только нужные виды доступа, не давайте полные права рядовым пользователям и всегда проверяйте результат под учётной записью самого пользователя.
Частые вопросы
Можно ли назначить роли напрямую, минуя профили?
В УТ 11 штатный механизм — именно профили групп доступа, прямое назначение ролей пользователю в конфигураторе не рекомендуется: такие настройки не участвуют в механизме групп доступа и усложняют администрирование. Исключение — служебные роли для интеграций, которые назначаются отдельным техническим пользователям.
Почему пользователь видит документы в списке, но не может их открыть?
Обычно у него есть роль на чтение документа, но нет роли на чтение связанных объектов, которые форма подтягивает при открытии (например, договоры, соглашения или регистры). Текст ошибки указывает конкретный объект — добавьте соответствующую роль в профиль.
Влияет ли RLS на скорость работы базы?
Да, каждое включённое измерение добавляет условия во все запросы пользователя. На небольших базах эффект незаметен, но в крупных базах с десятками пользователей лишние виды доступа могут ощутимо замедлить списки и отчёты. Включайте только те измерения, которые реально нужны бизнесу.
Как быстро дать новому сотруднику такие же права, как у коллеги?
Добавьте его в те же группы доступа, в которых состоит коллега, — копировать профили не нужно. Откройте карточку коллеги, посмотрите список его групп доступа и включите в них нового пользователя.
Что делать, если после обновления у пользователей пропал доступ к привычным функциям?
Проверьте, не появились ли в типовых профилях новые роли, которые отсутствуют в ваших самодельных профилях. Сравните состав ролей своего профиля с типовым аналогом и добавьте недостающие. Заодно посмотрите журнал регистрации на предмет ошибок нарушения прав — они укажут конкретные объекты.
Можно ли ограничить доступ к отдельным отчётам?
Да. Права на отчёты тоже задаются ролями внутри профиля: уберите роль на конкретный отчёт или на раздел, и пользователь его не увидит. Дополнительно данные внутри отчёта фильтруются RLS, поэтому даже доступный отчёт покажет только разрешённые организации и склады.