Администрирование · 11 мин
Что такое роли в 1С и как они управляют доступом пользователей
Роли в 1С: что это такое, как работают права доступа, виды ролей, настройка в конфигураторе и режиме предприятия, типичные ошибки и проверка результата.
Роль в 1С — это набор прав, который определяет, какие объекты информационной базы пользователь может видеть, изменять, создавать и удалять. Без назначенной роли пользователь технически может войти в систему, но не получит доступа ни к одному документу, справочнику или отчёту. Роли — основной механизм разграничения доступа во всех конфигурациях на платформе «1С:Предприятие».
Права в 1С не назначаются пользователям напрямую «в лоб» по каждому объекту. Вместо этого разработчик или поставщик конфигурации описывает роли: например, «Кассир», «Менеджер по продажам», «Администратор». Администратор базы затем присваивает пользователю одну или несколько ролей, и система автоматически вычисляет итоговый набор разрешений.
Понимание механизма ролей важно не только программистам, но и администраторам, внедренцам и руководителям, которые отвечают за безопасность учётных данных. Ошибки в настройке ролей приводят либо к избыточным правам (сотрудник видит зарплату коллег или может удалить документы), либо к избыточным ограничениям (пользователь не может выполнить свою работу).
Как устроен механизм ролей в 1С
Каждая роль описывается в конфигураторе как отдельный объект метаданных. Внутри роли для каждого объекта конфигурации проставляются конкретные права: чтение, добавление, изменение, удаление, проведение документа, использование отчёта или обработки и другие. Набор доступных прав зависит от типа объекта — у документа есть право «Проведение», у справочника его нет.
Итоговые права пользователя вычисляются как объединение прав всех назначенных ему ролей. Это ключевой принцип: 1С работает по модели «только разрешения», запретов в классическом смысле нет. Если в одной роли право на удаление документов есть, а в другой нет — пользователь получит это право. Поэтому нельзя «отнять» право добавлением ещё одной роли, его можно только не давать ни в одной из ролей.
Кроме ролей, на доступ влияют и другие механизмы: функциональные опции (скрывают целые разделы интерфейса), ограничение доступа на уровне записей (RLS) и права на уровне СУБД. Но роли — базовый и обязательный слой: без них остальные механизмы не имеют смысла.
Какие виды ролей встречаются в типовых конфигурациях
В типовых решениях («1С:Бухгалтерия», «1С:Управление торговлей», «1С:ERP») роли условно делятся на несколько групп. Полные роли дают все права на раздел учёта — например, «Добавление и изменение документов по продажам». Роли «только чтение» позволяют просматривать данные без возможности изменить их. Служебные роли обеспечивают запуск системы, работу с интерфейсом и базовые функции.
Особое место занимают административные роли — «Полные права» / «Администратор системы». Они дают неограниченный доступ ко всем объектам, включая настройку пользователей, регламентные операции и изменение конфигурации. Такие роли должны быть минимум у двух сотрудников (на случай отсутствия одного), но не более того — каждый лишний администратор это риск.
Во многих конфигурациях на «Библиотеке стандартных подсистем» (БСП) используется профильно-ролевой подход: администратор работает не с отдельными ролями, а с профилями групп доступа, которые уже включают готовые наборы ролей. Это снижает риск ошибки, потому что состав ролей в профиле подобран разработчиком конфигурации.
Подходы к назначению прав
Гибкая точная настройка, но легко ошибиться в сочетаниях. Подходит для нестандартных ситуаций и опытных администраторов.
Готовые наборы ролей от поставщика конфигурации. Проще и безопаснее, рекомендуется для типовой работы.
Быстрый способ для однотипных должностей, но переносит и чужие ошибки — требует проверки результата.
Какие права включает роль: основные виды доступа
Для большинства объектов конфигурации роль определяет стандартный набор прав. Чтение — возможность видеть данные. Добавление — создание новых объектов. Изменение — редактирование существующих. Удаление — пометка на удаление и непосредственное удаление. Для документов дополнительно есть права на проведение и отмену проведения, для регистров — на чтение и изменение записей.
Есть и интерактивные права, которые отличаются от «технических». Например, право «Интерактивное удаление» управляет возможностью удалить объект через интерфейс, а право «Удаление» — самой операцией на уровне данных. Право «Просмотр» определяет, виден ли объект в интерфейсе вообще. Из-за этого разделения бывают ситуации, когда отчёт формируется, но не показывает данные — не хватает права «Просмотр» у используемых объектов.
Отдельно стоит упомянуть RLS — ограничение доступа на уровне записей. Это механизм внутри роли, который фильтрует не объекты целиком, а отдельные строки: например, менеджер видит только документы своей организации или своего склада. RLS настраивается через шаблоны ограничений и существенно усложняет конфигурацию, поэтому применяется там, где простого разграничения по объектам недостаточно.
Как назначить роли пользователю
Порядок действий зависит от того, работаете ли вы в конфигураторе или в режиме «Предприятие». В файловых базах и простых случаях роли назначаются через конфигуратор: меню «Администрирование» → «Пользователи», открыть пользователя и на вкладке «Прочие» отметить нужные роли. После сохранения пользователю нужно перезайти в базу, чтобы права применились.
В типовых конфигурациях на БСП роли назначаются прямо в режиме «Предприятие» через раздел «Администрирование» → «Настройки пользователей и прав» → «Пользователи» (или «Профили групп доступа»). Это предпочтительный способ: он не требует доступа к конфигуратору и работает с профилями, а не с сырыми ролями.
- 1Откройте раздел «Администрирование» → «Настройка пользователей и прав».
- 2Создайте пользователя или откройте существующего.
- 3Включите пользователя в группу доступа с подходящим профилем (например, «Менеджер по продажам»).
- 4Проверьте состав ролей профиля, если требуется нестандартное сочетание прав.
- 5Попросите пользователя перезайти в базу и проверьте доступ к нужным документам и отчётам.
После назначения ролей всегда проверяйте результат под учётной записью самого пользователя, а не под администратором. Администратор с полными правами не увидит ни одной проблемы доступа, потому что у него разрешено всё.
Как проверить, что права настроены правильно
Проверка сводится к трём направлениям: пользователь может выполнять свои рабочие операции, не видит лишних данных и не может совершать опасные действия. Пройдитесь по типовому сценарию работы сотрудника: создать документ, провести его, сформировать отчёт, распечатать форму. Каждая ошибка «Нарушение прав доступа» указывает на недостающую роль.
Обратную сторону — избыточные права — проверить сложнее. Полезно открыть под пользователем разделы, к которым у него не должно быть доступа: зарплату, банковские выписки, настройки обменов. Если разделы видны и данные открываются — набор ролей избыточен.
Контрольные точки после настройки
Пользователь входит и видит свой рабочий стол
Пустой интерфейс или ошибки доступа при входе
Документы создаются, проводятся, отчёты формируются
Сообщение «Нарушение прав доступа» при типовых действиях
Чужие разделы скрыты или доступны только на чтение
Открываются зарплата, касса, настройки без служебной необходимости
Удаление и отмена проведения недоступны рядовым пользователям
Пользователь может удалить или распровести чужие документы
Типичные ошибки и риски при работе с ролями
Самая распространённая ошибка — выдача полных прав «на всякий случай», чтобы сотрудник не обращался с проблемами доступа. Это снимает вопрос в моменте, но создаёт угрозу: случайное удаление данных, изменение настроек обмена, доступ к конфиденциальной информации. Восстановление удалённых данных возможно только из резервной копии, которой в нужный момент может не оказаться.
Вторая ошибка — изменение типовых ролей в конфигураторе. При обновлении конфигурации такие изменения либо затрутся, либо заблокируют обновление. Правильный путь — создать собственную роль или расширение, оставив типовые объекты нетронутыми.
Ещё один риск связан с внешними пользователями — контрагентами и физлицами, которым открывают доступ через личный кабинет. Для них действуют те же механизмы ролей, и ошибка в настройке может открыть посторонним доступ к внутренним данным компании.
Когда стандартных ролей недостаточно
Типовые профили покрывают большинство должностей, но встречаются нестандартные ситуации: сотрудник совмещает функции двух ролей, нужен доступ «только к одному отчёту» или требуется скрыть конкретный реквизит. В таких случаях есть три пути: скомбинировать несколько типовых профилей, создать свой профиль с точным набором ролей или заказать разработку новой роли через расширение конфигурации.
Как выбрать действие
Разработку новых ролей лучше поручать специалисту: ошибка в роли может быть незаметна месяцами, пока не обнаружится утечка данных или невозможность провести документ в критический момент. Самостоятельно безопасно работать на уровне профилей и групп доступа в режиме «Предприятие».
Частые вопросы о ролях в 1С
Можно ли назначить пользователю несколько ролей одновременно?
Да, это нормальная практика. Итоговые права вычисляются как объединение прав всех ролей: если действие разрешено хотя бы в одной роли, оно доступно пользователю. Поэтому роли подбирают так, чтобы ни одна из них не содержала лишних разрешений.
Почему пользователь видит ошибку «Нарушение прав доступа», хотя роль назначена?
Чаще всего пользователь не перезашёл в базу после изменения настроек — права применяются при новом сеансе. Также проверьте, что роль назначена именно этому пользователю, а не другому, и что операция не требует дополнительного права (например, «Проведение» в дополнение к «Изменение»).
Чем роль отличается от профиля групп доступа?
Роль — технический объект конфигурации с набором прав на объекты. Профиль групп доступа — удобная «упаковка» из нескольких ролей, созданная для администрирования в режиме «Предприятие». Администратору проще работать с профилями, чем подбирать роли вручную.
Опасно ли давать пользователю роль «Полные права»?
Да. Полные права позволяют удалять любые данные, менять настройки системы и управлять пользователями. Такую роль стоит давать только администраторам базы, причём их должно быть как минимум двое, но не больше необходимого.
Что делать, если права пропали после обновления конфигурации?
Проверьте, не редактировались ли типовые роли в конфигураторе — при обновлении такие изменения могут быть заменены на типовые. Восстановите нужные настройки через профили групп доступа, а кастомизацию в дальнейшем выполняйте через расширения или собственные роли.
Можно ли ограничить доступ к данным только одной организации в базе?
Да, для этого используются группы доступа и механизм ограничения на уровне записей (RLS). В типовых конфигурациях это настраивается через профили и значения доступа без доработки конфигурации, но настройка требует внимательности и проверки на тестовом пользователе.
Что важно запомнить
Роль — это набор прав доступа к объектам 1С, а итоговые права пользователя складываются из всех назначенных ролей. Работайте через профили групп доступа, не редактируйте типовые роли, не раздавайте полные права без необходимости и всегда проверяйте результат под учётной записью самого пользователя.