Администрирование · 10 мин
Как прописать роли в 1С: практическое руководство
Как прописать роли в 1С: создание профилей групп доступа, назначение прав пользователям, типовые и собственные роли, проверка результата и типичные ошибки.
Роли в 1С определяют, какие объекты информационной базы видит пользователь и какие операции он может выполнять: чтение, добавление, изменение, удаление. Без корректно настроенных ролей сотрудник либо получает избыточный доступ к чувствительным данным (зарплата, регламентированная отчётность, движение денежных средств), либо не может выполнять свою работу из-за постоянных ошибок «Нарушение прав доступа».
Способ назначения прав зависит от конфигурации. В типовых решениях на платформе 1С:Предприятие 8.3 (Бухгалтерия предприятия, Зарплата и управление персоналом, Управление торговлей, ERP) используется механизм профилей групп доступа — это надстройка над «чистыми» ролями конфигуратора, которая позволяет управлять правами без изменения конфигурации. В самописных и старых конфигурациях роли назначаются напрямую через конфигуратор или консоль управления пользователями.
Материал охватывает оба подхода: работу через профили групп доступа в пользовательском режиме «Предприятие» и прямое назначение ролей в конфигураторе. Также разобраны проверка результата, типовые ошибки и случаи, когда стандартных механизмов недостаточно.
Где в 1С хранятся и назначаются роли
Роль — это объект метаданных конфигурации. Она содержит набор прав на объекты: справочники, документы, регистры, отчёты, обработки. Одна роль обычно отвечает за узкую область, например «Добавление и изменение документов реализации» или «Чтение регистра расчётов зарплаты». Пользователю может быть назначено любое количество ролей, итоговые права складываются как объединение.
В типовых конфигурациях поверх ролей работает подсистема управления доступом (входит в Библиотеку стандартных подсистем). Она группирует роли в профили: «Бухгалтер», «Кадровик», «Менеджер по продажам» и так далее. Администратор в пользовательском режиме оперирует именно профилями, а состав ролей внутри профиля уже задан разработчиком конфигурации.
Назначение прав через профили групп доступа
Основной сценарий для типовых конфигураций. Откройте раздел «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». Здесь отображается список поставляемых профилей. Откройте нужный профиль и посмотрите, какие роли и разрешения в него входят — в типовых решениях состав доступен на закладках профиля.
Чтобы дать права пользователю, перейдите в «Группы доступа» (тот же раздел настроек). Найдите группу, связанную с нужным профилем, откройте вкладку «Участники» и добавьте пользователя. Альтернатива — открыть карточку пользователя в справочнике «Пользователи» и на закладке «Права доступа» включить его в нужную группу.
- 1Откройте Администрирование → Настройки прав и пользователей → Группы доступа
- 2Найдите группу доступа с нужным профилем, например «Бухгалтеры»
- 3На вкладке «Участники» добавьте пользователя из справочника
- 4Попросите пользователя перезайти в программу или обновить сеанс
- 5Проверьте доступ под учётной записью пользователя: откройте ключевой документ и попробуйте его провести
Если ни один типовой профиль не подходит, создайте копию ближайшего по составу профиля и скорректируйте её: снимите лишние разрешения или добавьте недостающие. Копирование предпочтительнее изменения поставляемого профиля — при обновлении конфигурации типовые профили могут перезаписываться, а пользовательские сохраняются.
Прямое назначение ролей в конфигураторе
Этот способ нужен для нетиповых конфигураций, сервисных учётных записей (например, пользователя под обмен данными или веб-сервисы) и ситуаций, когда подсистема профилей в конфигурации отсутствует или отключена. Откройте конфигуратор под учётной записью с правами администратора.
Перейдите в меню «Администрирование» → «Пользователи». Откройте нужного пользователя (или создайте нового) и перейдите на вкладку «Прочие». В списке «Доступные роли» отметьте флажками требуемые роли. Сохраните изменения — они вступят в силу при следующем входе пользователя в базу.
Для файловых баз список пользователей хранится внутри базы, для клиент-серверных — в кластере серверов 1С. В клиент-серверном варианте тот же список доступен через консоль администрирования серверов, но редактировать роли удобнее именно из конфигуратора.
Как понять, каких ролей не хватает пользователю
Классическая ситуация: пользователь жалуется на сообщение «Нарушение прав доступа» при открытии документа или проведении. Не нужно угадывать роль перебором. В типовых конфигурациях воспользуйтесь отчётом «Права доступа» (раздел «Администрирование» → «Обслуживание» или «Настройки прав и пользователей», состав зависит от конфигурации): он показывает, какие права на конкретный объект есть у пользователя и через какие профили они предоставлены.
Дополнительный инструмент — журнал регистрации. Включите в его настройках отбор по событию «Доступ. Отказ в доступе» и воспроизведите ошибку под учётной записью пользователя. В журнале будет видно, к какому именно объекту метаданных и с каким видом доступа (чтение, изменение, интерактивное удаление) был отказ. По имени объекта можно найти подходящую роль в конфигураторе через поиск по правам.
Как проверить результат настройки
Программа открывается, в интерфейсе видны только нужные разделы
Ошибки доступа при входе или пустой интерфейс без разделов
Документ открывается, проводится, печатается
Сообщение «Нарушение прав доступа» при записи или проведении
На нужные объекты права предоставлены ожидаемым профилем
Права отсутствуют или даны лишним профилем с избыточным доступом
Ограничение доступа на уровне записей (RLS)
Роли ограничивают доступ к типам объектов целиком: например, «чтение всех документов реализации». Если нужно, чтобы менеджер видел только документы своей организации или своего склада, применяется механизм ограничения доступа на уровне записей. В типовых конфигурациях он настраивается в профилях и группах доступа через «Виды ограничений доступа» — по организациям, складам, контрагентам, подразделениям и другим измерениям, поддерживаемым конкретной конфигурацией.
Учтите ограничение: RLS работает через добавление условий к запросам, поэтому заметно нагружает базу на больших объёмах данных. Включайте ограничения только там, где это действительно требуется, и проверяйте скорость открытия списков и формирования отчётов под учётной записью ограниченного пользователя.
Типичные ошибки при настройке ролей
Первая распространённая ошибка — смешивание двух механизмов. Если в типовой конфигурации назначить роль напрямую через конфигуратор, а параллельно работают профили групп доступа, поведение прав становится неочевидным: часть прав приходит из профилей, часть — из конфигуратора, и разобраться в источнике конкретного разрешения сложно. Выберите один основной механизм — в типовых решениях это профили.
Вторая ошибка — изменение типовых ролей и профилей вместо создания копий. При обновлении конфигурации такие изменения могут быть затёрты, и права пользователей неожиданно изменятся. Третья — назначение прав «всем подряд» без тестирования под реальной учётной записью: администратор видит базу иначе, и проверка «у меня работает» ничего не доказывает.
Когда нужен разработчик или изменение конфигурации
Стандартных средств недостаточно, если требуется роль, которой нет в конфигурации: например, «только просмотр цен закупки без возможности видеть наценку» или доступ к самописному регистру. В этом случае роль создаётся в конфигураторе: в дереве конфигурации откройте ветку «Общие» → «Роли», добавьте новую роль и разметьте права на объекты в редакторе. Для тонкой настройки используется редактор ограничений доступа с шаблонами RLS.
Если конфигурация находится на поддержке без возможности изменения, добавление роли потребует включения возможности изменений. Это усложняет последующие обновления, поэтому перед доработкой оцените, нельзя ли решить задачу существующими профилями и ограничениями на уровне записей. Любые изменения ролей сначала отрабатывайте на копии базы.
Что важно запомнить
В типовых конфигурациях права назначайте через профили и группы доступа, в нетиповых — через конфигуратор на вкладке «Прочие» карточки пользователя. Недостающие права ищите через отчёт «Права доступа» и журнал регистрации, а не перебором. Результат всегда проверяйте под учётной записью самого пользователя после перезапуска его сеанса.
Частые вопросы
Можно ли назначить пользователю несколько профилей доступа?
Да. Пользователь может входить в несколько групп доступа одновременно, итоговые права складываются как объединение. Это удобно для совместителей: например, сотруднику можно дать профили «Кассир» и «Менеджер по продажам» вместо создания отдельного комбинированного профиля.
Почему после назначения роли у пользователя ничего не изменилось?
Чаще всего сеанс пользователя работает со старым набором прав. Попросите его полностью выйти из программы и зайти снова. Если не помогло — проверьте, что пользователь добавлен именно в группу доступа (а не просто создан профиль), и что в карточке пользователя не стоит блокировка входа.
Как быстро скопировать права от одного пользователя другому?
В типовых конфигурациях проще всего добавить нового пользователя в те же группы доступа, в которых состоит образцовый сотрудник. Откройте карточку образцового пользователя, посмотрите список его групп на закладке «Права доступа» и включите в них нового сотрудника.
Чем роль отличается от профиля групп доступа?
Роль — объект конфигурации, набор технических прав на объекты метаданных, задаётся разработчиком. Профиль — пользовательская настройка в типовых конфигурациях, которая объединяет роли и дополнительные разрешения в понятный набор вроде «Бухгалтер». Администратор в режиме «Предприятие» работает с профилями, роли напрямую редактируются только в конфигураторе.
Опасно ли давать пользователю роль «Полные права» временно?
Да. Такой пользователь может изменять и удалять любые данные, включая закрытые периоды и настройки учёта, а также видеть зарплату и другую конфиденциальную информацию. Если временный доступ всё же необходим, зафиксируйте срок отзыва и контролируйте его через напоминание, а по возможности используйте отдельную учётную запись.
Как узнать, какие роли входят в конкретный профиль?
Откройте профиль в разделе «Профили групп доступа» — состав ролей и разрешений отображается на его закладках. Для детального анализа используйте отчёт «Права доступа» с отбором по профилю: он покажет права на конкретные объекты, которые даёт этот профиль.