Как работают роли в 1С: права доступа простыми словами

Роль в 1С — это набор прав на объекты конфигурации: справочники, документы, регистры, отчёты. Каждому пользователю или группе пользователей назначается одна или несколько ролей, и система при каждом обращении к данным проверяет, разрешено ли действие хотя бы одной из назначенных ролей. Если ни одна роль не даёт нужного права, операция блокируется — пользователь не увидит объект в интерфейсе или получит ошибку при попытке записи.

Роли хранятся в конфигурации, а не в базе данных. Это значит, что состав ролей определяется разработчиком конфигурации (в типовых решениях — фирмой «1С»), а администратор в пользовательском режиме может только назначать уже существующие роли конкретным пользователям. Изменить состав прав внутри роли без конфигуратора нельзя — для этого нужны доработка конфигурации или механизм профилей групп доступа, если он предусмотрен в конфигурации.

Понимание механики ролей важно при приёме нового сотрудника, разграничении доступа к зарплате и финансам, а также при расследовании инцидентов — например, когда нужно выяснить, кто мог изменить документ. Ниже разобрано, какие права входят в роль, как назначить роли в типовых конфигурациях и файловых базах, как проверить результат и каких ошибок стоит избегать.

Из чего состоит роль: виды прав в 1С

Каждая роль содержит матрицу прав по всем объектам конфигурации. Для справочников и документов основные права — чтение, добавление, изменение и удаление. Для регистров — чтение и изменение (запись). Отдельно существуют права на интерактивные действия: «Интерактивное добавление», «Интерактивное удаление» и другие, которые управляют доступностью команд в интерфейсе.

Помимо базовых операций, в роли задаются права на проведение и отмену проведения документов, использование и просмотр отчётов и обработок, доступ к командам, а также право «Администрирование» для корневых объектов. Право «Просмотр» без права «Чтение» не работает: пользователь увидит команду, но данные не откроются — это частая причина путаницы.

Важно понимать принцип объединения: итоговые права пользователя — это логическое «ИЛИ» по всем назначенным ролям. Запретить то, что разрешено другой ролью, нельзя. Поэтому «ограничительных» ролей не существует — если сотруднику выдали роль кассира и роль администратора, он получит всё, что есть у администратора.

Какие роли бывают в типовых конфигурациях

В типовых решениях (1С:Бухгалтерия, Управление торговлей, ЗУП) роли делятся на несколько уровней. Базовые роли дают минимальный доступ: вход в систему, чтение нормативно-справочной информации, работу с личными настройками. Без базовой роли пользователь часто не сможет даже запустить сеанс нормально.

Прикладные роли соответствуют должностям и участкам работы: «Бухгалтер», «Кассир», «Менеджер по продажам», «Кадровик». Они дают права на документы и отчёты своего участка. Служебные роли — «Администратор системы», «Полные права», «Настройка синхронизации данных» — предназначены для обслуживания системы и выдают широкий доступ.

Роль «Полные права» фактически отключает большинство проверок и должна назначаться только ответственным специалистам. Выдача её «на всякий случай» — самая частая причина того, что сотрудники видят зарплату коллег или могут удалить документы прошлых периодов.

Как назначить роли пользователю

Порядок действий зависит от режима работы. В простых файловых базах без разделения доступа роли назначаются напрямую: в конфигураторе через «Администрирование — Пользователи» на вкладке «Прочие» или в режиме 1С:Предприятие в справочнике пользователей, где отмечаются доступные роли флажками.

В современных типовых конфигурациях на БСП (Библиотека стандартных подсистем) прямое назначение ролей заменено механизмом профилей групп доступа. Администратор включает пользователя в группу доступа (например, «Бухгалтеры»), а группа связана с профилем, который уже содержит набор ролей. Это удобнее: состав прав настраивается в одном месте и применяется ко всем участникам группы.

1. 1
   Откройте раздел «Администрирование» — «Настройки прав и пользователей» — «Пользователи».
2. 2
   Найдите или создайте пользователя и откройте его карточку.
3. 3
   Перейдите по ссылке «Права доступа» и включите пользователя в нужную группу доступа (например, «Кассиры»).
4. 4
   Если подходящей группы нет, создайте профиль в разделе «Профили групп доступа» и отметьте нужные роли.
5. 5
   Попросите пользователя перезайти в программу и проверьте доступ к нужным документам и отчётам.

Ограничение доступа на уровне записей (RLS)

Роли могут ограничивать не только «что можно делать», но и «с какими данными». Механизм RLS (Record Level Security) позволяет задать условие на уровне записей: например, менеджер видит только документы своей организации или своего склада, хотя право чтения документов у него есть в полном объёме.

Условия RLS описываются в роли на встроенном языке запросов и применяются автоматически при каждом обращении к таблице. В типовых конфигурациях RLS включается отдельной настройкой (ограничение доступа на уровне записей) и работает через группы доступа контрагентов, организаций, складов и других объектов.

У RLS есть цена: каждый запрос к данным дополняется проверкой условий, что замедляет работу на больших базах и может привести к ошибкам «нарушение прав доступа» в неочевидных местах — например, при проведении документа, который ссылается на недоступную запись. Включать RLS стоит только там, где действительно требуется разграничение данных между пользователями.

Как проверить, какие права есть у пользователя

Базовая проверка — войти под учётной записью пользователя и убедиться, что нужные разделы видны, документы открываются и проводятся, а лишние данные недоступны. Это самый надёжный способ, потому что реальные права зависят от сочетания ролей, профилей и настроек RLS.

В типовых конфигурациях есть встроенный отчёт по правам доступа (в карточке пользователя или в разделе настройки прав), который показывает, какие роли фактически назначены и через какие группы доступа. Он помогает найти «лишнюю» роль, попавшую к пользователю через устаревшую группу.

Если пользователь жалуется на ошибку «Нарушение прав доступа», текст ошибки обычно указывает объект и действие — например, «Документ.РеализацияТоваровУслуг. Проведение». По этой подсказке можно точно определить, какого права не хватает, и подобрать роль, вместо того чтобы выдавать полные права.

Контрольные точки

Как проверить результат

Вход в программу под пользователем

Норма

Сеанс запускается, видны нужные разделы меню

Тревожный признак

Пустой интерфейс или ошибка при входе — нет базовой роли

Открытие рабочего документа

Норма

Документ открывается, проводится, печатается

Тревожный признак

Ошибка «Нарушение прав доступа» с указанием объекта

Доступ к чужим данным (зарплата, финансы)

Норма

Разделы недоступны, документы не отображаются в списках

Тревожный признак

Пользователь видит начисления или банковские документы — есть лишняя роль

Типовые ошибки при работе с ролями

Первая ошибка — выдача полных прав вместо поиска недостающего права. Проблема решается за минуту, но создаёт дыру в безопасности на месяцы: пользователь получает доступ к удалению данных, настройкам обменов и закрытым разделам.

Вторая ошибка — забытые роли при увольнении или переводе сотрудника. При смене должности старые группы доступа нужно снимать, а не только добавлять новые, иначе права накапливаются. При увольнении учётную запись следует отключать, а не удалять: удаление может нарушить ссылки в истории документов.

Третья ошибка — изменение типовых ролей в конфигураторе. При обновлении конфигурации такие доработки затрутся или вызовут конфликты. Если типовых ролей не хватает, правильнее создать собственную роль или использовать профили групп доступа, не трогая типовые объекты.

Когда нужны доработки и как подойти к ним безопасно

Стандартных ролей типовой конфигурации хватает в большинстве случаев. Доработка требуется, когда нужен уникальный срез прав: например, роль, которая позволяет вводить документы, но запрещает их проведение, или доступ к отчёту без доступа к исходным документам.

Создание новой роли выполняется в конфигураторе: добавляется объект «Роль», в нём отмечаются нужные права по объектам, при необходимости прописываются шаблоны RLS. После обновления конфигурации роль становится доступна для назначения. Работу стоит выполнять на копии базы и тестировать под учётной записью с новой ролью.

Перед любой доработкой прав сделайте резервную копию базы и зафиксируйте, какие роли были назначены пользователям до изменений. Откат прав через восстановление копии — самый быстрый способ исправить ситуацию, если после изменений пользователи потеряли доступ к рабочим документам.

Частые вопросы о ролях в 1С

Можно ли запретить действие, которое разрешает другая роль?

Нет. Права в 1С объединяются по принципу «ИЛИ»: если хотя бы одна роль разрешает действие, оно доступно. Чтобы убрать право, нужно снять с пользователя роль, которая его даёт, или пересобрать состав ролей в профиле.

Почему пользователь не видит нужный документ, хотя роль назначена?

Частые причины: пользователь не перезашёл в программу после назначения прав, у роли есть право «Просмотр» без права «Чтение», либо включено ограничение RLS, которое скрывает конкретные записи. Проверьте текст ошибки — он указывает объект и действие.

Чем роль отличается от профиля группы доступа?

Роль — объект конфигурации с фиксированным набором прав, меняется только в конфигураторе. Профиль группы доступа — настройка в режиме предприятия, которая собирает несколько ролей и дополнительные ограничения в один набор, назначаемый пользователям через группы.

Нужно ли перезапускать сеанс после изменения прав?

Да, в большинстве случаев. Права считываются при старте сеанса, поэтому пользователю нужно выйти из программы и войти снова, чтобы изменения вступили в силу.

Как узнать, кто изменил документ, если прав много у всех?

Используйте журнал регистрации: он фиксирует события изменения данных с указанием пользователя. Если в журнале видно, что документы правят многие, это сигнал пересмотреть матрицу прав и сузить круг лиц с доступом к изменению.

Можно ли скопировать права одного пользователя другому?

В типовых конфигурациях проще всего включить нового пользователя в те же группы доступа, что и образцовый сотрудник. Прямого копирования ролей между пользователями обычно не требуется — группы доступа решают эту задачу штатно.