Для чего нужны роли в 1С и как ими управлять

Роли в 1С — это основной механизм разграничения прав доступа к данным и функциям программы. Каждая роль определяет, какие объекты конфигурации (документы, справочники, отчёты, регистры) пользователь может видеть, создавать, изменять или удалять. Без ролей все пользователи работали бы с одинаковыми полномочиями, что недопустимо ни для бухгалтерии, ни для торговли, ни для кадрового учёта.

Роль назначается не «вещи», а пользователю или группе пользователей. Например, кассиру достаточно права пробивать чеки и оформлять возвраты, а главному бухгалтеру нужен доступ к проводкам, регламентированной отчётности и закрытию периода. Роли позволяют выстроить эту границу технически: программа сама скроет лишние команды, заблокирует запись документов и откажет в доступе к чужим данным.

Важно понимать, что роли работают на уровне конфигурации: их состав задаёт разработчик в конфигураторе, а администратор в пользовательском режиме лишь назначает готовые роли конкретным людям. В типовых конфигурациях поверх ролей надстроены профили групп доступа — более удобный инструмент для ежедневного администрирования без изменения конфигурации.

Какие задачи решают роли на практике

Первая задача — защита данных от случайных и намеренных изменений. Если менеджер по продажам не имеет права на изменение регистра бухгалтерии, он физически не сможет испортить проводки, даже если случайно откроет не тот документ. Это снижает количество ошибок, которые потом приходится искать и исправлять при закрытии месяца.

Вторая задача — разделение ответственности. Когда у каждого сотрудника свой набор прав, по журналу регистрации всегда видно, кто создал или изменил документ. Это важно при разборе расхождений в учёте, внутренних проверках и аудите: ответственность персональна, а не размыта по всему отделу.

Третья задача — упрощение интерфейса. Пользователь с ограниченной ролью не видит лишних разделов, команд и отчётов. Кассир открывает программу и сразу попадает в рабочее место продажи, а не в общее меню из сотен пунктов. Это сокращает время обучения новичков и количество ошибочных действий.

Четвёртая задача — выполнение требований безопасности и законодательства. Доступ к персональным данным сотрудников, зарплате и финансовым документам должен быть ограничен кругом лиц, которым эти сведения необходимы по должности. Роли — техническая основа такого ограничения.

Как устроены права внутри роли

Каждая роль содержит матрицу прав по всем объектам конфигурации. Для справочников и документов это базовые операции: чтение, добавление, изменение, удаление. Для регистров — чтение и запись. Для отчётов и обработок — право использования. Отдельно выделяются интерактивные права (например, «интерактивное удаление») и административные функции.

Права разных ролей складываются по принципу объединения: если пользователю назначены две роли, он получает сумму их разрешений. Запретить что-то одной ролью, разрешённое другой, нельзя — в 1С действует правило «разрешено, если разрешено хотя бы одной ролью». Поэтому избыточное назначение ролей — главный источник дыр в безопасности.

Кроме простых прав существует механизм RLS (ограничение доступа на уровне записей). Он позволяет внутри одной роли показывать пользователю не все документы, а только относящиеся к его организации, складу или подразделению. RLS настраивается в роли на языке запросов и применяется в типовых конфигурациях через шаблоны ограничений.

Чем роли отличаются от профилей групп доступа

В типовых конфигурациях на платформе 8.3 (БСП — библиотека стандартных подсистем) поверх ролей работают профили групп доступа. Профиль — это набор ролей, который администратор собирает в режиме предприятия, не заходя в конфигуратор. Пользователю назначается профиль, а роли подставляются автоматически.

Практическая разница: роли меняются только при обновлении или доработке конфигурации, а профили можно создавать и корректировать в любой момент. Например, если нужен «старший кассир» с правом отмены чеков, администратор копирует типовой профиль кассира, добавляет нужную роль и сохраняет под новым именем — без привлечения разработчика.

Роли и профили: что использовать

Роли в конфигураторе

Подходят для разработчиков и при изменении логики доступа. Требуют обновления конфигурации и осторожности с типовым кодом.

Профили групп доступа

Подходят администраторам для ежедневной работы: создаются в режиме предприятия, не трогают конфигурацию, легко копируются.

Прямое назначение ролей пользователю

Допустимо в простых самописных конфигурациях без БСП. В типовых решениях лучше избегать — настройки сложнее контролировать.

Как назначить роли пользователю

В типовой конфигурации порядок такой: откройте раздел «Администрирование» → «Настройки прав и пользователей» → «Пользователи». Выберите сотрудника и на закладке прав укажите группы доступа или профиль. Если профилей недостаточно, создайте новый: скопируйте близкий по составу типовой профиль и скорректируйте список ролей.

В конфигурациях без механизма профилей роли назначаются напрямую: в режиме предприятия через «Администрирование» → «Пользователи» (закладка «Прочие» или «Роли», зависит от конфигурации) либо в конфигураторе через список пользователей. Там же задаются роли для внешних пользователей, если они используются.

После назначения прав пользователю нужно перезайти в программу или обновить сеанс — в ряде случаев новые права подхватываются только при повторном входе. Проверяйте результат под учётной записью самого пользователя, а не под администратором.

1. 1
   Определите должностные обязанности сотрудника и минимально необходимый набор операций
2. 2
   Найдите в типовой конфигурации подходящий профиль или создайте его копию
3. 3
   Назначьте профиль пользователю в разделе «Настройки прав и пользователей»
4. 4
   Войдите под учётной записью пользователя и проверьте доступ к нужным документам и отчётам
5. 5
   Проверьте, что лишние разделы и критичные операции (удаление, закрытие периода) недоступны

Как проверить, что права настроены правильно

Главный принцип проверки — тестирование под реальной учётной записью. Администратор видит всё, поэтому его сеанс ничего не покажет. Войдите под пользователем и пройдите его типовой рабочий сценарий: создайте документ, проведите его, сформируйте отчёт, попробуйте открыть закрытый раздел.

Обратите внимание на сообщения об ошибках вида «Нарушение прав доступа». Они означают, что роли не хватает — либо это ожидаемое ограничение, либо недораздача прав. Для диагностики в типовых конфигурациях есть отчёт «Права доступа», показывающий, какие роли и профили действуют на пользователя.

Полезно периодически проводить ревизию прав: выгрузить список пользователей с профилями и сверить с фактическими должностями. Уволенные сотрудники должны быть отключены, переведённые на другую должность — получить новый профиль вместо накопления старых прав.

Контрольные точки

Как проверить результат

Доступ к рабочим документам

Норма

Пользователь создаёт и проводит свои документы без ошибок

Тревожный признак

Ошибка «Нарушение прав доступа» при типовой операции

Доступ к чужим разделам

Норма

Закрытые разделы не отображаются или недоступны

Тревожный признак

Пользователь видит и может изменять документы других отделов

Критичные операции

Норма

Удаление, закрытие периода, обмены доступны только ответственным

Тревожный признак

Рядовой пользователь может удалить документ или изменить дату запрета

Типичные ошибки при работе с ролями

Самая частая ошибка — выдача полных прав «чтобы работало». Полные права отключают большинство проверок, включая ограничения RLS, и дают доступ к инструментам администрирования. Пользователь с полными правами может случайно удалить данные, изменить настройки обмена или снять дату запрета редактирования.

Вторая ошибка — накопление ролей при смене должности. Сотрудник переходит из отдела продаж в закупки, ему добавляют новый профиль, а старый не снимают. Через пару лет у человека права половины компании. Решение — при переводе сначала снимать старые профили, потом назначать новые.

Третья ошибка — изменение типовых ролей в конфигураторе. При очередном обновлении конфигурации доработанные роли либо затрутся, либо заблокируют автообновление. Правильный путь — создавать собственные роли или использовать расширения конфигурации и механизм профилей.

Ограничения и когда нужен специалист

Самостоятельно безопасно выполнять назначение типовых профилей, создание их копий, отключение пользователей и проверку прав. Эти операции обратимы и не затрагивают конфигурацию.

К специалисту стоит обращаться, когда нужны новые роли с настройкой RLS, доработка прав на самописные объекты, разбор конфликтов прав после обновления или аудит безопасности всей базы. Ошибка в шаблоне ограничения RLS может либо открыть лишние данные, либо резко замедлить запросы ко всей базе.

Перед любыми экспериментами с ролями на рабочей базе сделайте резервную копию или отработайте настройку на копии базы. Особенно это касается изменений в конфигураторе и массовых переназначений профилей.

Маршрут решения

Как выбрать действие

Нужно дать сотруднику стандартный набор правНазначьте типовой профиль групп доступа в режиме предприятия

Типовой профиль почти подходит, но не хватает одной операцииСкопируйте профиль и добавьте нужную роль в копию

Нужен доступ только к своей организации или складуИспользуйте профили с настроенными группами доступа и RLS, при необходимости привлеките специалиста

Нужна роль, которой нет в конфигурацииЗакажите доработку разработчику через новую роль или расширение, не меняя типовые объекты

Частые вопросы о ролях в 1С

Можно ли назначить пользователю несколько ролей одновременно?

Да, и это нормальная практика. Права всех назначенных ролей суммируются: пользователь получает объединение разрешений. Учитывайте, что запретить действие одной ролью, если оно разрешено другой, невозможно — поэтому лишние роли лучше снимать, а не пытаться «перекрыть».

Почему пользователь с нужной ролью всё равно получает ошибку доступа?

Частые причины: пользователь не перезашёл в программу после назначения прав; роль даёт право на документ, но не на связанный регистр или справочник; срабатывает ограничение RLS по организации или складу. Проверьте отчёт «Права доступа» и повторный вход в сеанс.

Чем полные права отличаются от роли администратора?

Полные права дают доступ ко всем данным и операциям прикладного решения, но не к настройке списка пользователей и некоторым сервисным функциям. Роль администратора системы добавляет управление пользователями и административные действия. В типовых конфигурациях для полноценного администрирования обычно нужны обе.

Что произойдёт с ролями при обновлении конфигурации?

Типовые роли будут приведены к состоянию нового релиза: ваши правки в них пропадут. Самостоятельно созданные роли и профили групп доступа сохранятся. Поэтому все доработки прав рекомендуется делать через собственные роли, расширения или профили, а не через изменение типовых объектов.

Как быстро отключить доступ уволенному сотруднику?

Откройте карточку пользователя в разделе «Настройки прав и пользователей» и снимите флаг «Вход в программу разрешён» (либо установите признак недействительности). Дополнительно завершите его активные сеансы через консоль кластера или список активных пользователей, чтобы доступ прекратился немедленно.

Можно ли выгрузить список ролей всех пользователей для проверки?

Да. В типовых конфигурациях используйте отчёт «Права доступа» или обработки анализа прав из состава БСП — они показывают, какие профили и роли действуют на каждого пользователя. Такую выгрузку удобно сверять со штатным расписанием при ревизии доступа.