Как изменить права в 1С в конфигураторе

Управление правами в 1С строится на ролях: каждому пользователю назначается одна или несколько ролей, а внутри роли задаётся набор разрешений на объекты конфигурации — справочники, документы, регистры, отчёты. Изменить права можно двумя способами: через конфигуратор, редактируя сами роли, или через режим предприятия, назначая пользователю другой набор ролей. Первый способ даёт полный контроль, но требует аккуратности: ошибка в роли затронет всех, кому она назначена.

В типовых конфигурациях (1С:Бухгалтерия, Управление торговлей, ЗУП) роли уже созданы разработчиками, и чаще всего задача сводится к правильному назначению существующих ролей. Но если нужно ограничить доступ нестандартно — например, запретить проведение конкретного вида документов или открыть отчёт только одному отделу — придётся редактировать роли в конфигураторе или создавать собственные.

Перед любыми изменениями сделайте резервную копию информационной базы. Для файловой базы достаточно скопировать файл 1Cv8.1CD при завершённых сеансах, для клиент-серверной — выполнить выгрузку в dt через конфигуратор или средствами СУБД. Это позволит откатить конфигурацию, если изменение прав нарушит работу пользователей.

Как устроена система прав в 1С

Роль — это именованный набор прав на объекты конфигурации. Для каждого объекта (справочника, документа, регистра, отчёта) внутри роли можно разрешить или запретить конкретные действия: чтение, добавление, изменение, удаление, проведение, использование и другие. Итоговые права пользователя складываются как объединение прав всех назначенных ему ролей — запрет одной роли не отменяет разрешение другой.

Важно понимать разницу между правами и доступом к интерфейсу. Даже если пользователю разрешено чтение документов, он может не видеть соответствующий пункт меню, если роль не включает права на подсистему или команду интерфейса. Обратная ситуация тоже возможна: пункт меню виден, но при открытии появляется сообщение о нарушении прав доступа.

Как открыть и отредактировать роль в конфигураторе

Запустите конфигуратор и откройте конфигурацию через меню «Конфигурация» → «Открыть конфигурацию». Если конфигурация находится на поддержке без возможности изменения, сначала включите возможность изменения: «Конфигурация» → «Поддержка» → «Настройка поддержки» → «Включить возможность изменения». Учтите, что снятие с полной поддержки усложнит будущие обновления типовой конфигурации.

В дереве конфигурации раскройте ветку «Общие» → «Роли». Дважды щёлкните по нужной роли — откроется окно редактирования прав. Слева находится список всех объектов конфигурации, справа — таблица прав с галочками. Отметьте или снимите нужные разрешения: например, для справочника «Номенклатура» можно разрешить чтение, но запретить добавление и изменение.

Для документов обратите внимание на отдельные права «Проведение» и «Отмена проведения» — они задаются независимо от права изменения. Для регистров сведений и накопления ключевыми являются «Чтение», «Добавление» и «Изменение». После настройки сохраните конфигурацию (F7) и обновите конфигурацию базы данных (F5 или «Конфигурация» → «Обновить конфигурацию базы данных»).

1. 1
   Сделайте резервную копию базы данных
2. 2
   Откройте конфигуратор и конфигурацию, при необходимости включите возможность изменения
3. 3
   В дереве конфигурации откройте «Общие» → «Роли» и выберите нужную роль
4. 4
   Установите или снимите галочки прав на объекты в окне редактирования
5. 5
   Сохраните конфигурацию и обновите конфигурацию базы данных
6. 6
   Назначьте роль пользователю и проверьте доступ под его учётной записью

Создание новой роли вместо изменения типовой

Если конфигурация типовая и обновляется регулярно, безопаснее не трогать типовые роли, а создать собственную. При обновлении конфигурации изменения в типовых ролях могут быть затёрты или вызвать конфликты при объединении. Собственная роль с префиксом (например, «Доп_МенеджерПоЗакупкам») сохранится при обновлении.

Чтобы создать роль, щёлкните правой кнопкой по ветке «Роли» и выберите «Добавить». Задайте имя и синоним, затем расставьте права. Быстрый способ — скопировать существующую роль (правой кнопкой → «Копировать») и убрать лишние разрешения. Так вы гарантированно не забудете права на служебные объекты, без которых роль может оказаться неработоспособной.

Не забывайте о базовых правах: пользователю нужны разрешения на запуск толстого или тонкого клиента, работу с сеансами, чтение служебных констант и функциональных опций. Проще всего включить в состав пользователя типовую роль с минимальными правами (в типовых конфигурациях она обычно называется «Базовые права») и добавить к ней свою роль с нужными разрешениями.

Назначение роли пользователю

Изменённая или новая роль начнёт действовать только после назначения её пользователю. В конфигураторе откройте «Администрирование» → «Пользователи», выберите нужного пользователя и перейдите на вкладку «Прочие». В списке «Доступные роли» отметьте нужные роли галочками и сохраните изменения.

Альтернативный путь — режим предприятия: раздел «Администрирование» → «Настройки пользователей и прав» → «Пользователи». В типовых конфигурациях там часто используются группы доступа и профили, которые под капотом назначают те же роли. Если конфигурация использует механизм профилей групп доступа, назначайте права именно через профили, иначе ручные изменения ролей могут конфликтовать с настройками в режиме предприятия.

Изменения прав применяются при следующем входе пользователя в базу. Если пользователь уже работает, попросите его завершить сеанс и войти заново, либо завершите сеанс принудительно через «Администрирование» → «Активные пользователи» (для файловой базы) или консоль кластера (для клиент-серверной).

Ограничение доступа на уровне записей (RLS)

Обычные галочки в роли действуют на весь объект целиком: либо пользователь видит все документы данного вида, либо ни одного. Если нужно, чтобы менеджер видел только свои документы или документы своей организации, используется механизм ограничения доступа на уровне записей (RLS). В окне редактирования роли для права «Чтение» (и других прав) есть колонка «Ограничение доступа», где задаётся шаблон условия.

Настройка RLS требует понимания языка запросов и параметров сеанса и в типовых конфигурациях обычно уже реализована через профили групп доступа. Самостоятельно менять шаблоны RLS стоит только при чётком понимании механизма: ошибка в шаблоне может либо открыть лишние данные, либо заблокировать работу пользователей и замедлить запросы к базе.

Проверка результата и типичные ошибки

После настройки обязательно проверьте права от имени целевого пользователя: войдите в базу под его учётной записью и выполните типовые операции — откройте нужные документы, попробуйте провести, изменить и удалить объект. Убедитесь, что разрешённые действия работают, а запрещённые выдают сообщение о нарушении прав.

Если что-то пошло не так, чаще всего виноваты несколько типовых причин. Первая — забытое обновление конфигурации базы данных: роль изменена в конфигураторе, но в рабочей базе осталась старая версия. Вторая — конфликт ролей: другая назначенная роль разрешает то, что вы пытаетесь запретить. Третья — использование профилей групп доступа в типовой конфигурации, которые перекрывают ручные назначения.

Контрольные точки

Как проверить результат

Вход под учётной записью пользователя

Норма

Пользователь входит, интерфейс загружается, нужные разделы доступны

Тревожный признак

Ошибка запуска или пустой интерфейс — не хватает базовых прав

Выполнение разрешённых операций

Норма

Документы открываются, проводятся, отчёты формируются

Тревожный признак

Сообщение «Нарушение прав доступа» на разрешённое действие

Попытка выполнить запрещённое действие

Норма

Система выдаёт отказ в доступе

Тревожный признак

Действие выполняется — запрет настроен не во всех ролях

Часто задаваемые вопросы

Можно ли изменить права без конфигуратора?

Да, если задача — назначить пользователю уже существующие роли. В типовых конфигурациях это делается в режиме предприятия через «Администрирование» → «Настройки пользователей и прав». Конфигуратор нужен только для создания новых ролей или изменения набора прав внутри роли.

Почему пользователь всё равно видит запрещённые документы?

Права складываются по всем назначенным ролям: если хотя бы одна роль разрешает чтение объекта, пользователь его видит. Проверьте полный список ролей пользователя, а также профили групп доступа, если конфигурация их использует. Дополнительно убедитесь, что конфигурация базы данных была обновлена после изменения роли.

Что будет с изменёнными ролями при обновлении типовой конфигурации?

Изменённые типовые роли могут быть заменены версией из обновления или вызвать конфликты при сравнении и объединении конфигураций. Поэтому рекомендуется создавать собственные роли и добавлять их пользователям вместе с типовыми, не меняя сами типовые объекты.

Как быстро узнать, какие роли дают доступ к конкретному объекту?

В окне редактирования конфигурации можно воспользоваться отчётом по правам: щёлкните правой кнопкой по объекту в дереве конфигурации и выберите поиск ссылок в ролях, либо откройте роль и найдите объект в списке. Также в конфигураторе доступен отчёт «Права доступа» через меню «Администрирование» → «Отчёт по правам доступа» в ряде версий платформы.

Нужно ли перезапускать сервер 1С после изменения ролей?

Нет, перезапуск сервера не требуется. Достаточно обновить конфигурацию базы данных в конфигураторе. Изменения применятся к пользователям при их следующем входе в базу; активные сеансы нужно завершить и открыть заново.

Можно ли выгрузить настройку прав для переноса в другую базу?

Роли являются частью конфигурации и переносятся вместе с ней через выгрузку конфигурации в файл или через механизм сравнения и объединения. Назначение ролей пользователям — это данные информационной базы, которые переносятся отдельно, например выгрузкой пользователей через конфигуратор или настройкой в целевой базе вручную.