Как расширить права в 1С: роли, профили и проверка доступа

Расширение прав в 1С — задача, с которой сталкивается любой администратор, когда пользователю не хватает доступа к документам, отчётам или справочникам. Способ решения зависит от того, как устроена конфигурация: в типовых решениях на Библиотеке стандартных подсистем (БСП) — «Управление торговлей», «Бухгалтерия предприятия», «Зарплата и управление персоналом» — права назначаются через профили групп доступа в режиме Предприятие, а в простых или самописных конфигурациях — напрямую через роли в конфигураторе.

Ключевой принцип безопасного расширения прав — выдавать минимально необходимый набор полномочий. Избыточные права приводят к случайному удалению данных, изменению закрытых периодов и ошибкам в учёте. Поэтому перед изменением настроек важно понять, какой именно объект недоступен пользователю, и только потом выбирать инструмент: готовый профиль, новую роль или расширение существующей.

Ниже разобраны оба подхода с пошаговыми действиями, способы диагностики проблемы доступа, проверка результата и типичные ошибки, которые допускают при настройке.

Как понять, каких прав не хватает

Прежде чем что-либо менять, зафиксируйте точную ситуацию: какое действие выполняет пользователь и какое сообщение получает. Ошибка «Нарушение прав доступа» при открытии документа говорит об отсутствии права на чтение объекта, а недоступная кнопка «Провести» — об отсутствии права на интерактивное проведение. Серое (недоступное) поле в форме часто означает ограничение на уровне интерфейса или функциональных опций, а не прав.

Полезно сравнить поведение под учётной записью с полными правами и под учётной записью пользователя. Если под полными правами действие доступно, а под пользовательскими — нет, проблема точно в ролях. Если действие недоступно и администратору, причина в настройках программы: закрытом периоде, отключённой функциональной опции или статусе документа.

Расширение прав в типовых конфигурациях через профили доступа

В конфигурациях на БСП управление правами вынесено из конфигуратора в режим Предприятие. Пользователь получает права не напрямую, а через членство в группах доступа, каждой из которых назначен профиль — набор ролей. Путь к настройке: раздел «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». Для работы с этим разделом нужны права администратора.

Самый безопасный способ — добавить пользователя в уже существующую группу доступа с подходящим профилем, например «Бухгалтер» или «Менеджер по продажам». Если готовый профиль не подходит, создайте копию близкого профиля и отметьте в ней дополнительные роли. Не редактируйте поставляемые профили напрямую: при обновлении конфигурации изменения могут быть затёрты.

1. 1
   Откройте «Администрирование → Настройки прав и пользователей → Профили групп доступа»
2. 2
   Найдите профиль, близкий к нужному, и создайте его копию
3. 3
   В копии отметьте недостающие роли (по описанию роли видно, к каким объектам она относится)
4. 4
   Откройте «Группы доступа», найдите группу пользователя и назначьте ей новый профиль
5. 5
   Попросите пользователя перезайти в программу и проверьте доступ к нужному объекту

Обратите внимание: изменения профилей и групп доступа применяются после повторного входа пользователя в сеанс. Если пользователь продолжает работать в старом сеансе, он будет работать со старым набором прав — это частая причина ложного вывода «настройка не сработала».

Расширение прав через роли в конфигураторе

В конфигурациях без механизма профилей, а также при нехватке стандартных ролей, права настраиваются в конфигураторе. Откройте конфигурацию (Конфигурация → Открыть конфигурацию), в дереве объектов найдите ветку «Общие → Роли». Каждая роль содержит список объектов метаданных и набор прав на них: чтение, добавление, изменение, удаление, проведение, использование и другие.

Чтобы расширить права, откройте нужную роль, найдите объект (например, документ «Реализация товаров и услуг») и отметьте недостающие права. Если подходящей роли нет, создайте новую через «Добавить» и настройте права с нуля. Затем назначьте роль пользователю: «Администрирование → Пользователи» → откройте пользователя → вкладка «Прочие» → отметьте роль. После этого обновите конфигурацию базы данных клавишей F7.

Для файловых баз обновление конфигурации требует монопольного доступа — все пользователи должны выйти. Планируйте такие изменения на нерабочее время или заранее предупреждайте коллег.

Выдача полных и специальных прав

Иногда проще временно выдать пользователю расширенный набор прав, чем собирать его по ролям. В типовых конфигурациях для этого предназначен профиль «Администратор», а в конфигураторе — роль «ПолныеПрава». Выдавать такие права постоянно следует только тем, кто действительно обслуживает систему: полные права позволяют удалить любые данные, изменить дату запрета редактирования и отключить механизмы контроля.

Компромиссный вариант — выдать полные права временно, например на период закрытия месяца или переноса данных, а затем вернуть штатный профиль. В типовых конфигурациях также существуют отдельные специальные роли: «Добавление и изменение базовой нормативно-справочной информации», «Выполнение обменов данными», «Просмотр журнала регистрации» — их добавляют точечно, не расширяя остальные полномочия.

Сравнение способов расширения прав

Профиль групп доступа

Подходит для типовых конфигураций; не требует конфигуратора и монопольного доступа; ограничен набором ролей, предусмотренных разработчиком

Роль в конфигураторе

Даёт полный контроль над правами на любой объект; требует навыков, монопольного доступа и влияет на поддержку конфигурации

Полные права

Быстрое решение для администраторов и временных задач; небезопасно как постоянный вариант для рядовых пользователей

Ограничение доступа на уровне записей (RLS)

Бывает, что права на объект у пользователя есть, но часть данных ему не видна: например, менеджер открывает список заказов, а видит только свои. Это работает механизм ограничения доступа на уровне записей (RLS). В типовых конфигурациях он настраивается в группах доступа через «Виды доступа»: по организациям, контрагентам, складам, подразделениям.

Чтобы расширить доступ в таком случае, откройте группу доступа пользователя и проверьте вкладку с разрешёнными значениями. Если стоит ограничение «Все запрещены, разрешены исключения», добавьте нужные организации или склады в список разрешённых. Учтите: чем шире использование RLS, тем тяжелее запросы к базе — на больших объёмах данных избыточные ограничения заметно замедляют отчёты и списки.

Проверка результата и откат изменений

После любого изменения прав проверку выполняйте под учётной записью самого пользователя, а не под администратором. Попросите пользователя завершить сеанс и войти заново, затем повторить действие, которое раньше было недоступно. Проверьте не только целевую операцию, но и смежные: например, если выдали право проведения документа, убедитесь, что доступны печатная форма и связанные отчёты.

Контрольные точки

Как проверить результат

Повторный вход пользователя

Норма

Сеанс перезапущен после изменения прав

Тревожный признак

Пользователь работает в старом сеансе — права не обновились

Целевое действие

Норма

Документ открывается, проводится, отчёт формируется

Тревожный признак

Появляется «Нарушение прав доступа» — роль не назначена или не та

Смежные объекты

Норма

Доступны печать, связанные регистры и отчёты

Тревожный признак

Основное действие работает, но падает смежное — не хватает ещё одной роли

Избыточный доступ

Норма

Пользователь видит только нужные разделы

Тревожный признак

Появились лишние разделы и кнопки — выдан слишком широкий профиль

Если изменение сделано через конфигуратор и результат непредсказуем, откат выполняется возвратом конфигурации базы данных к конфигурации поставщика или восстановлением из резервной копии. Изменения, сделанные через профили в режиме Предприятие, откатываются простым удалением пользователя из группы доступа или возвратом исходного профиля.

Когда стоит привлечь специалиста

Самостоятельная настройка оправдана, когда речь идёт о типовой конфигурации, стандартных профилях и понятной задаче: дать бухгалтеру доступ к банковским выпискам или менеджеру — к отчёту по продажам. Привлечение специалиста по 1С разумно, если нужно создавать новые роли с ограничениями RLS на уровне кода, расширять права в сильно доработанной конфигурации или разбираться с конфликтом ролей, когда доступ не появляется, несмотря на все настройки.

Также не стоит самостоятельно менять права в базе, где ведётся регламентированный учёт, в период сдачи отчётности: ошибка в дате запрета редактирования или правах на регистры может привести к изменению данных закрытых периодов.

Частые вопросы

Пользователь говорит «нет доступа», хотя роль я ему назначил. Что проверить в первую очередь?

Сначала убедитесь, что пользователь завершил сеанс и вошёл заново — права применяются при старте сеанса. Затем проверьте, что роль назначена именно той учётной записи, под которой выполнен вход (в базе может быть несколько похожих пользователей). В типовых конфигурациях дополнительно проверьте, что профиль назначен группе доступа, а пользователь включён в эту группу.

Можно ли расширить права без конфигуратора?

Да, если конфигурация построена на Библиотеке стандартных подсистем — это все современные типовые решения. В них весь набор ролей уже создан разработчиком, а администратор комбинирует их через профили групп доступа в режиме Предприятие. Конфигуратор нужен только когда стандартных ролей не хватает.

Чем отличается роль от профиля группы доступа?

Роль — это технический набор прав на объекты метаданных (документы, справочники, регистры), заданный в конфигураторе. Профиль — это именованная подборка ролей, которую администратор собирает в режиме Предприятие. Пользователь получает права через группу доступа, которой назначен профиль, а профиль уже ссылается на роли.

Безопасно ли дать пользователю «Полные права» на время?

Допустимо для доверенного сотрудника на короткий срок при конкретной задаче, например загрузке данных. Обязательно зафиксируйте, кому и когда выданы полные права, и снимите их после завершения работ. Помните: обладатель полных прав может изменить или удалить любые данные, включая закрытые периоды, и отключить контрольные механизмы.

Почему после расширения прав пользователь видит документы, но не все?

Скорее всего, действует ограничение доступа на уровне записей (RLS): в группе доступа заданы виды доступа по организациям, складам или контрагентам, и видны только разрешённые значения. Откройте группу доступа пользователя и проверьте список разрешённых значений — добавьте недостающие или измените режим ограничения.

Что делать, если после обновления конфигурации настроенные права пропали?

Если вы редактировали поставляемый профиль или роль напрямую, обновление могло вернуть типовые настройки. Восстановите изменения из резервной копии или настройте заново, но уже через копию профиля. На будущее: все доработки прав выполняйте в собственных профилях и отдельных ролях, не трогая поставляемые объекты.