Администрирование · 12 мин
Базовые права БСП в 1С 8.3: что это и как настроить
Базовые права БСП в 1С 8.3 — что это за роли, чем отличаются от полных прав, как назначить пользователю и проверить результат. Практическое руководство по настройке.
Базовые права БСП — это набор ролей из Библиотеки стандартных подсистем (БСП), которые дают пользователю минимально необходимый доступ к конфигурации: запуск сеанса, работу с интерфейсом, чтение системных данных и использование базовых подсистем вроде печати, дополнительных отчетов и обмена данными. Без этих ролей пользователь с «прикладными» правами (например, только на документы продажи) часто не может даже войти в программу или видеть нужные разделы.
БСП — это каркас, на котором построены типовые конфигурации «1С:Бухгалтерия», «1С:Управление торговлей», «1С:Зарплата и управление персоналом» и другие. Разработчики библиотеки вынесли весь служебный доступ в отдельные роли, чтобы администратор мог гибко комбинировать их с ролями прикладных объектов. Поэтому в списке ролей типовой конфигурации вы встретите «Базовые права», «Базовые права (внешний пользователь)» и похожие названия.
Понимание того, какие роли относятся к базовым и за что отвечают, избавляет от типичных проблем: ошибок «Нарушение прав доступа» при входе, пустого интерфейса у нового сотрудника, невозможности распечатать документ или сохранить настройки отчета. Ниже разобрано, из чего состоят базовые права, как их назначить через группы доступа и конфигуратор, и как проверить, что всё работает.
Из чего состоят базовые права в типовых конфигурациях
В конфигурациях на БСП базовые роли названы по единому шаблону. Основные из них: «Базовые права» (в новых версиях библиотеки — «Базовые права БСП»), «Базовые права внешнего пользователя БСП» и ряд ролей с префиксом «Чтение...» и «Добавление изменение...» для служебных объектов. Точный состав зависит от версии БСП, поэтому сверяйтесь с ролями именно вашей конфигурации в конфигураторе.
Что фактически дают эти роли:
- право на запуск тонкого и веб-клиента, работу с системными таблицами сеанса;
- чтение констант, системных перечислений и общих реквизитов;
- доступ к подсистемам: печать, варианты отчетов, настройки пользователя, дополнительные отчеты и обработки, присоединенные файлы;
- работу с датами запрета изменения данных, версионированием, заметками и напоминаниями;
- чтение информации о программе, текущих делах и служебных уведомлений.
Важно понимать: базовые права не включают доступ к прикладным объектам — документам, справочникам номенклатуры, контрагентам, регистрам учета. За это отвечают отдельные роли и профили групп доступа. Базовые права — это «фундамент», без которого прикладные роли работают некорректно.
Чем базовые права отличаются от полных прав
Полные права (роль «Полные права») открывают доступ ко всем объектам конфигурации без ограничений — на уровне СУБД это фактически чтение и изменение любых данных. Такой режим подходит только администраторам и разработчикам: пользователь с полными правами может удалить любые документы, изменить учетные данные и обойти большинство контрольных механизмов.
Базовые права, напротив, максимально ограничены: они дают только служебный минимум. Между ними находятся прикладные роли — «Менеджер по продажам», «Бухгалтер», «Кадровик» и профили групп доступа, которые и определяют рабочий функционал сотрудника.
| Критерий | Базовые права БСП | Полные права |
|---|---|---|
| Доступ к документам и справочникам | Нет, только служебные объекты | Полный, без ограничений |
| Запуск программы | Да | Да |
| Изменение настроек учета | Нет | Да |
| Кому назначать | Всем пользователям | Только администраторам |
| Риск при ошибке пользователя | Минимальный | Критический |
Правильная схема назначения выглядит так: пользователь получает базовые права плюс один или несколько прикладных профилей. Полные права выдаются точечно и фиксируются внутренним регламентом — это снижает риск случайной порчи данных.
Как назначить базовые права через группы доступа
В типовых конфигурациях с включенным механизмом групп доступа роли напрямую в конфигураторе назначать не нужно — используются профили групп доступа. Это безопаснее: настройки хранятся в базе, видны администратору и не требуют обновления конфигурации.
Порядок действий в режиме «Предприятие»:
- Откройте раздел «Администрирование» → «Настройки прав и пользователей».
- Перейдите в «Профили групп доступа» и откройте нужный профиль (например, «Менеджер по продажам»).
- Проверьте, что в составе ролей профиля присутствует базовая роль — в типовых профилях она включена по умолчанию.
- Откройте «Группы доступа», добавьте пользователя в группу с нужным профилем.
- Попросите пользователя перезайти в программу — права применяются при новом сеансе.
- 1Откройте «Администрирование» → «Пользователи» и найдите сотрудника
- 2Убедитесь, что пользователь включен хотя бы в одну группу доступа
- 3Проверьте состав профиля: базовая роль БСП должна присутствовать
- 4Перезапустите сеанс пользователя
- 5Войдите под этим пользователем и откройте его рабочие разделы
Если пользователь состоит в нескольких группах доступа, права суммируются: действует объединение разрешений. Это удобно для совместителей, но требует аккуратности — лишняя группа может незаметно расширить доступ.
Назначение ролей через конфигуратор
В небольших базах без групп доступа или при работе с внешними пользователями роли назначаются напрямую. Для этого нужны права администратора и понимание, что изменения применяются ко всей базе.
Порядок: откройте конфигуратор, перейдите в «Администрирование» → «Пользователи», выберите пользователя и на вкладке «Прочие» отметьте нужные роли. Для обычного пользователя минимально необходимы базовая роль БСП и роли прикладных подсистем. После сохранения пользователь должен перезапустить сеанс.
Если требуется массовая настройка, удобнее выгрузить список пользователей обработкой или настроить роли через типовой механизм профилей — ручное назначение десяткам сотрудников неизбежно приводит к расхождениям и ошибкам.
Типичные проблемы и их диагностика
Самая частая ситуация — пользователь входит в программу, но видит пустой интерфейс или получает «Нарушение прав доступа» при открытии документа. Причина почти всегда в отсутствии либо базовой роли, либо прикладной роли на конкретный объект.
Диагностика выполняется так: воспроизведите ошибку под пользователем, затем откройте журнал регистрации (Администрирование → Обслуживание → Журнал регистрации) и отфильтруйте события «Доступ. Отказ в доступе». В записи будет указан объект, к которому не хватает прав, — по нему определяется нужная роль.
Второй инструмент — отчет «Анализ прав доступа» (в разделе настроек пользователей и прав). Он показывает, какие роли и группы доступа действуют на пользователя и какие объекты ему доступны. Это быстрее, чем перебирать роли вручную.
Как проверить результат
Пользователь входит без ошибок, видит свои разделы
Ошибка «Нарушение прав доступа» сразу при запуске — нет базовой роли
Документ открывается и проводится
Отказ при записи — не хватает прикладной роли на объект
Печатная форма формируется
Пустая или недоступная печать — нет прав на подсистему печати
Нет событий отказа в доступе
Повторяющиеся отказы — права назначены не полностью
Ограничения и частые ошибки при настройке
Базовые права не заменяют прикладные роли и не «чинят» сами по себе. Если сотруднику не назначен профиль на его участок работы, базовые роли дадут ему только вход в пустую программу. Обратная крайность — выдача полных прав вместо поиска недостающей роли — создает угрозу целостности данных.
Ещё одно ограничение — внешние пользователи (контрагенты, физлица в личном кабинете) работают под отдельной ролью «Базовые права внешнего пользователя БСП». Назначать им обычные базовые права нельзя: механизм внешних пользователей построен на другом принципе идентификации.
Отдельно стоит упомянуть RLS — ограничение доступа на уровне записей. Даже при правильных ролях пользователь может не видеть «чужие» документы, если в профиле настроены ограничения по организации, складу или контрагенту. Это нормальное поведение, а не ошибка прав.
Когда нужны доработки ролей
Типовых профилей и базовых ролей хватает в большинстве внедрений. Доработка требуется, когда должность сотрудника не совпадает ни с одним стандартным профилем — например, нужен доступ только к отчетам без изменения документов, или узкая роль для аудитора с чтением всех данных.
Безопасный путь — не править типовые роли, а создать в конфигураторе собственные роли-наследники или собрать новый профиль из существующих ролей в режиме «Предприятие». Изменение типовых ролей усложнит обновления конфигурации: при каждом обновлении придется сравнивать изменения вручную.
Как выбрать действие
После любых изменений прав фиксируйте, кому и что назначено. Простой учет в виде таблицы «сотрудник — профиль — дата назначения» экономит часы при разборе инцидентов и при увольнении сотрудников, когда доступ нужно своевременно отозвать.
Что важно запомнить
Базовые права БСП — это служебный минимум для входа и работы стандартных подсистем, они назначаются всем пользователям вместе с прикладными профилями. Настройка ведется через группы доступа, диагностика — через журнал регистрации и анализ прав. Полные права выдаются только администраторам, типовые роли не изменяются.
Частые вопросы о базовых правах БСП
Можно ли работать в 1С вообще без базовых прав БСП?
Нет. Без базовой роли пользователь, скорее всего, получит ошибку доступа уже при запуске сеанса, потому что подсистемы ядра БСП (настройки, печать, варианты отчетов) проверяют права при старте. Базовая роль должна быть у каждого пользователя независимо от должности.
Дают ли базовые права доступ к проведению документов?
Нет. Базовые роли покрывают только служебные механизмы. Доступ к документам, справочникам и регистрам определяется прикладными ролями и профилями групп доступа — их нужно назначать отдельно под задачи сотрудника.
Почему после обновления конфигурации у пользователей пропал доступ?
При обновлении БСП иногда добавляет новые роли или разделяет существующие. Если профили собраны вручную, новые роли в них не попадают автоматически. Откройте профили групп доступа и сравните состав ролей с типовой поставкой, затем добавьте недостающие.
Чем отличается роль для внешних пользователей?
Роль «Базовые права внешнего пользователя БСП» рассчитана на контрагентов и физических лиц, которые работают с базой через узкий набор функций (например, личный кабинет). Она жестче ограничивает доступ и привязана к механизму внешних пользователей — заменять её обычной базовой ролью нельзя.
Как быстро узнать, каких прав не хватает пользователю?
Откройте журнал регистрации и отфильтруйте события отказа в доступе по этому пользователю — в записи будет указан конкретный объект. Альтернатива — отчет «Анализ прав доступа», который показывает действующие роли и доступные объекты без воспроизведения ошибки.
Нужно ли перезапускать сервер после изменения ролей?
Нет, сервер перезапускать не требуется. Достаточно, чтобы пользователь завершил сеанс и вошел заново — права считываются при старте сеанса. Если ошибка сохраняется после перезахода, причина в неправильном составе ролей, а не в кэше сервера.