Как добавить роль в профиль групп доступа в 1С

Профиль групп доступа в 1С — это набор ролей и разрешений, который назначается пользователям через группы доступа. Когда сотруднику не хватает прав на документ, справочник или отчёт, правильный путь — не выдавать ему полные права, а добавить нужную роль в профиль, к которому он подключён. Так права остаются управляемыми и прозрачными.

Настройка выполняется в разделе администрирования типовой конфигурации (БСП — библиотека стандартных подсистем): Администрирование → Настройки пользователей и прав → Профили групп доступа. Для изменения профилей нужны права администратора. Если роли нет в списке доступных, потребуется доработка в конфигураторе — об этом тоже расскажем ниже.

Что такое профиль групп доступа и как он связан с ролями

В типовых конфигурациях 1С (Управление торговлей, ERP, Бухгалтерия, ЗУП и других на базе БСП) доступ устроен двухуровнево. На нижнем уровне лежат роли — они зашиты в конфигурации и определяют, какие объекты метаданных можно читать, добавлять, изменять. На верхнем уровне — профили групп доступа, которые объединяют роли в осмысленные наборы: «Кассир», «Менеджер по продажам», «Бухгалтер».

Пользователь не получает роли напрямую. Он включается в группу доступа, а группе назначается профиль. Поэтому добавление роли в профиль меняет права сразу у всех сотрудников, подключённых через соответствующие группы. Это удобно для централизованного управления, но требует осторожности: одно изменение затрагивает многих.

Подготовка: что проверить перед изменением профиля

Перед тем как менять профиль, убедитесь в трёх вещах. Во-первых, у вас есть права администратора в информационной базе — без них раздел профилей будет недоступен или откроется только на просмотр. Во-вторых, вы точно знаете, какая роль нужна: название роли в конфигураторе можно посмотреть через поиск по объекту метаданных (правая кнопка на объекте → «Права» покажет, какие роли дают доступ).

В-третьих, проверьте, кто ещё использует этот профиль. Откройте профиль и посмотрите связанные группы доступа и их участников. Если профиль назначен десяткам пользователей, а роль нужна одному сотруднику, безопаснее создать отдельный профиль или отдельную группу доступа, а не расширять общую.

Добавление роли в профиль: пошаговая инструкция

Основной сценарий выполняется в режиме 1С:Предприятие и не требует изменения конфигурации. Последовательность одинакова для большинства типовых решений на БСП.

1. 1
   Откройте раздел «Администрирование» → «Настройки пользователей и прав» → «Профили групп доступа».
2. 2
   Найдите и откройте нужный профиль (например, «Менеджер по продажам»).
3. 3
   Перейдите на вкладку «Роли» (в некоторых конфигурациях — «Разрешения (роли)»).
4. 4
   В списке доступных ролей найдите нужную — используйте строку поиска по названию.
5. 5
   Установите флажок напротив роли.
6. 6
   Нажмите «Записать и закрыть».
7. 7
   Попросите пользователя перезайти в базу и проверьте результат.

Обратите внимание: список ролей в профиле показывает только те роли, которые конфигурация разрешила выдавать через профили. Роли с признаком, запрещающим назначение через интерфейс (обычно системные и служебные), в списке не появятся. Если нужной роли нет — переходите к разделу про конфигуратор.

После сохранения права применяются не мгновенно для активных сеансов. Пользователь должен завершить сеанс и войти заново — тогда новая роль вступит в силу. В файловых базах иногда достаточно перезапуска клиента, в клиент-серверных — сеанс обновляется при повторном входе.

Если роли нет в списке доступных

Типовая конфигурация намеренно ограничивает набор ролей, видимых в профилях, чтобы администратор случайно не выдал разрушительные права. Если нужная роль отсутствует, есть два варианта.

Первый вариант — подобрать поставляемый профиль, который уже содержит эту роль. Многие конфигурации включают десятки готовых профилей, и часто задача решается добавлением пользователя в дополнительную группу доступа с готовым профилем, а не редактированием существующего.

Второй вариант — доработка в конфигураторе. Нужно открыть роль и в её свойствах проверить/снять ограничение на назначение через профили (в БСП видимость роли в профилях определяется настройками подсистемы управления доступом и составом общих ролей). Такая доработка требует снятия конфигурации с полной поддержки и понимания архитектуры БСП. Если вы не уверены, поручите это разработчику 1С — ошибка здесь влияет на всю модель безопасности базы.

Проверка результата после добавления роли

Никогда не считайте задачу выполненной сразу после нажатия «Записать». Проверка занимает пару минут и защищает от ситуации «вроде добавил, но не работает».

Контрольные точки

Как проверить результат

Роль отмечена в профиле

Норма

Флажок стоит, профиль записан без ошибок

Тревожный признак

Флажок сбрасывается после записи — проверьте права администратора

Доступ у пользователя

Норма

После повторного входа объект открывается и доступна нужная операция

Тревожный признак

Ошибка «Нарушение прав доступа» сохраняется

Отчёт о правах

Норма

В отчёте «Права доступа» (Анализ прав доступа) роль присутствует у пользователя

Тревожный признак

Роли нет — пользователь не входит в группу доступа с этим профилем

Для диагностики используйте встроенный отчёт «Анализ прав доступа» (или «Права доступа») в разделе администрирования. Он показывает, какие роли фактически действуют для конкретного пользователя и откуда они получены. Это самый быстрый способ понять, почему доступ не появился: чаще всего пользователь просто не включён в группу доступа с изменённым профилем.

Типичные ошибки и ограничения

Отдельно упомянем ограничение доступа на уровне записей (RLS). Даже если роль добавлена корректно, пользователь может не видеть конкретные документы или элементы справочников, потому что в группе доступа заданы ограничения по видам доступа (организации, склады, контрагенты). В этом случае проблема решается не ролями, а настройкой значений доступа в карточке группы доступа или пользователя.

Ещё одно ограничение: в тонком и веб-клиенте раздел администрирования доступен так же, как в толстом, но часть сервисных функций (например, работа конфигуратора) требует отдельного запуска. Само добавление роли в профиль от клиента не зависит.

Когда профиль менять не нужно: альтернативы

Сравнение вариантов

Добавить роль в существующий профиль

Подходит, когда права нужны всем участникам групп с этим профилем. Ограничение: влияет сразу на всех.

Создать копию профиля с дополнительной ролью

Подходит, когда права нужны части сотрудников. Требует создать новую группу доступа, но не трогает остальных.

Добавить пользователя в другую группу доступа

Подходит, если подходящий профиль уже существует. Самый безопасный вариант — ничего не редактируется.

Доработка роли в конфигураторе

Подходит, когда типовых ролей не хватает по составу прав. Требует компетенций разработчика и снятия с поддержки.

Практическое правило: сначала ищите готовый профиль, затем создавайте копию профиля, и только в последнюю очередь редактируйте существующий или лезьте в конфигуратор. Такой порядок минимизирует риск сломать права у работающих пользователей и упрощает сопровождение при обновлениях конфигурации.

Удобно называть собственные профили с префиксом компании или пометкой «(доп.)» — тогда при обновлении конфигурации сразу видно, какие профили типовые, а какие созданы вручную и требуют контроля.

FAQ: частые вопросы о ролях и профилях

Роль добавлена, но пользователь всё равно видит ошибку «Нарушение прав доступа». Что делать?

Сначала убедитесь, что пользователь перезашёл в базу. Затем откройте отчёт «Анализ прав доступа» и проверьте, действует ли роль для него. Если роли нет — пользователь не состоит в группе доступа с этим профилем. Если роль есть, а доступа нет — вероятно, срабатывает ограничение на уровне записей (RLS), и нужно настраивать значения доступа, а не роли.

Можно ли добавить роль конкретному пользователю, минуя профиль?

В типовых конфигурациях на БСП — нет, права назначаются только через профили и группы доступа. Обходной путь: создать отдельный профиль с нужной ролью и отдельную группу доступа, в которую включить только этого пользователя.

Что произойдёт с изменённым профилем при обновлении конфигурации?

Поставляемые (типовые) профили могут быть перезаписаны при обновлении, если поставщик изменил их состав. Поэтому для собственных наборов прав рекомендуется создавать копии профилей, а не править типовые.

Как узнать, какая роль даёт доступ к нужному объекту?

В конфигураторе откройте объект метаданных (например, документ), вызовите контекстное меню и выберите «Права» — откроется матрица, где видно, какие роли дают чтение, добавление и изменение. Также помогает отчёт «Анализ прав доступа» в режиме предприятия.

Почему нужной роли нет в списке на вкладке «Роли» профиля?

Конфигурация скрывает системные и служебные роли от назначения через профили, чтобы защитить базу от случайной выдачи опасных прав. Выдать такую роль можно только через доработку в конфигураторе, что требует квалификации разработчика и резервной копии.

Нужно ли перезапускать сервер 1С после изменения профиля?

Нет, перезапуск сервера не требуется. Достаточно, чтобы затронутые пользователи завершили текущий сеанс и вошли заново — новый состав ролей подхватится при входе.