Администрирование · 11 мин
Как в 1С расширить права пользователя
Как расширить права пользователя в 1С: добавление ролей, профилей групп доступа, настройка на уровне записей. Пошаговая инструкция, типичные ошибки и проверка результата.
Недостаток прав — одна из самых частых причин обращений пользователей 1С к администратору: сотрудник не видит нужный документ, не может провести отчёт или получает сообщение «Нарушение прав доступа». Задача решается двумя основными способами: через механизм профилей групп доступа в типовых конфигурациях на управляемых формах (Бухгалтерия, ЗУП, Управление торговлей, ERP) и через прямое назначение ролей в конфигураторе. Выбор зависит от конфигурации и от того, насколько тонко нужно настроить доступ.
Прежде чем что-то менять, важно понять, чего именно не хватает пользователю. Сообщение об ошибке обычно содержит указание на объект: «Нарушение прав доступа: Документы.РеализацияТоваровУслуг». Это подсказка, какую роль или профиль нужно расширить. Раздавать права «на всякий случай» — плохая практика: лишние полномочия повышают риск случайного повреждения данных и усложняют аудит.
Ниже разобраны оба подхода, способы ограничить доступ на уровне записей, проверка результата и типичные ошибки, из-за которых расширение прав не срабатывает или создаёт дыры в безопасности.
Как устроены права в 1С и что именно вы расширяете
В платформе 1С:Предприятие доступ строится на ролях. Роль — это набор разрешений на объекты конфигурации: просмотр, добавление, изменение, проведение документов, использование отчётов и обработок. Одному пользователю можно назначить несколько ролей, итоговые права складываются по принципу объединения: если хотя бы одна роль разрешает действие, оно доступно.
В типовых конфигурациях с Библиотекой стандартных подсистем (БСП) поверх ролей работает механизм профилей групп доступа. Профиль — это удобная «упаковка» ролей с понятным названием, например «Менеджер по продажам» или «Бухгалтер». Пользователь включается в группу доступа, группа связана с профилем, профиль — с ролями. Менять роли напрямую в конфигураторе в таких конфигурациях не рекомендуется: настройки могут конфликтовать с механизмом групп доступа.
Отдельный уровень — ограничение доступа на уровне записей (RLS). Оно позволяет дать пользователю роль с широкими правами, но ограничить видимость конкретных данных: только своей организации, своего склада или своей группы контрагентов. Это важно, когда расширять права нужно выборочно.
Способ 1: расширение прав через группы доступа в режиме Предприятия
Это основной и рекомендуемый способ для типовых конфигураций. Откройте раздел «Администрирование» — «Настройки пользователей и прав» — «Группы доступа». Найдите группу, соответствующую новым обязанностям сотрудника, откройте её и добавьте пользователя в состав участников. После сохранения попросите пользователя перезапустить сеанс: права подхватываются при входе.
Если ни одна типовая группа не подходит, создайте копию ближайшего профиля. Откройте «Профили групп доступа», скопируйте нужный профиль, переименуйте его (например, «Менеджер по продажам + возвраты») и отметьте дополнительные разрешенные действия — роли в списке профиля. Затем создайте группу доступа с этим профилем и включите в неё пользователя.
- 1Откройте «Администрирование — Настройки пользователей и прав»
- 2Проверьте, что включён признак «Группы доступа»
- 3Откройте нужную группу доступа и добавьте пользователя в состав
- 4Если группы нет — скопируйте профиль, добавьте роли и создайте новую группу
- 5Попросите пользователя выйти из программы и войти снова
- 6Проверьте доступ к нужному документу или отчёту под его учётной записью
Обратите внимание: изменение типового профиля напрямую затронет всех пользователей всех групп с этим профилем. Если расширить права нужно одному сотруднику, всегда работайте через копию профиля, а не через редактирование типового.
Способ 2: назначение ролей через конфигуратор
Для конфигураций без механизма групп доступа (простые или самописные решения) права назначаются напрямую. Откройте конфигуратор, перейдите в «Администрирование» — «Пользователи», найдите нужного пользователя и откройте его свойства. На вкладке «Прочие» (или «Роли», в зависимости от версии платформы) отметьте требуемые роли и сохраните изменения.
Чтобы понять, какая роль отвечает за нужное действие, откройте роль в дереве конфигурации и посмотрите её права на конкретный объект. Ориентируйтесь на названия: роли часто называются по смыслу («ДобавлениеИзменениеДокументов», «ЧтениеНоменклатуры»). Если подходящей роли нет, её придётся создавать — это уже задача разработчика, требующая понимания структуры конфигурации.
Изменения в конфигураторе применяются после сохранения, но действующий сеанс пользователя их не увидит — потребуется перезаход. Если база работает в клиент-серверном режиме, убедитесь, что вы изменили данные именно рабочей базы, а не её копии.
Ограничение доступа на уровне записей: расширить, но не всё
Частая ситуация: пользователю нужно расширить права на документы, но только по его организации или складу. Для этого в типовых конфигурациях используется настройка «Ограничивать доступ на уровне записей» в разделе настроек пользователей и прав. После включения в группе доступа появляется вкладка «Ограничения доступа», где задаются разрешённые значения: конкретные организации, склады, подразделения, кассы.
Механика такова: роль даёт право читать все реализации, а RLS-ограничение фильтрует записи, оставляя только разрешённые. Это позволяет безопасно расширять функциональные права без риска, что сотрудник увидит данные смежных подразделений.
Проверка результата: убедиться, что права реально расширились
Надёжный способ проверки — войти в базу под учётной записью пользователя и повторить действие, которое раньше вызывало ошибку. Если доступа к тестовой учётной записи нет, используйте в типовых конфигурациях отчёт «Права доступа» или аналогичный инструмент анализа прав: он показывает, какие роли и через какие профили действуют для пользователя.
Проверяйте не только факт открытия документа, но и ключевые операции: проведение, отмену проведения, печать, формирование отчёта. Права на просмотр и на изменение назначаются отдельно — ситуация «видит, но не может провести» означает, что добавлена только роль чтения.
Как проверить результат
Документ открывается, проводится, отчёт формируется
Ошибка «Нарушение прав доступа» сохраняется
Пользователь состоит в нужной группе, группа активна
Группа помечена на удаление или пользователь не добавлен
Доступно только то, что требуется по задаче
Пользователь видит чужие организации или закрытые периоды
Типичные ошибки при расширении прав
Самая распространённая ошибка — забыть, что права применяются при входе в сеанс. Администратор всё настроил, пользователь проверяет в той же открытой программе и сообщает, что ничего не изменилось. Второе место занимает редактирование типового профиля вместо создания копии: права неожиданно расширяются у целого отдела.
Ещё одна проблема — рассинхронизация при обновлении конфигурации: если права назначались в обход типового механизма (напрямую в конфигураторе в конфигурации с БСП), после обновления настройки могут конфликтовать или сбрасываться. Придерживайтесь одного способа управления правами в рамках одной базы.
Когда стандартных ролей не хватает
Иногда задача требует нестандартной комбинации: например, разрешить создание документов, но запретить их проведение, или дать доступ к одному конкретному отчёту без доступа к остальным. В таких случаях создаётся собственная роль в конфигураторе с точечным набором прав, после чего она подключается к профилю групп доступа или назначается напрямую.
Это работа для разработчика или опытного администратора: неправильно настроенная роль может либо не закрыть задачу, либо открыть лишнее через смежные объекты (например, доступ к документу потянет за собой доступ к регистрам, которые он изменяет). После создания роли обязательно тестируйте права на копии базы или под отдельной тестовой учётной записью.
Как выбрать действие
FAQ
Пользователь всё настроено, а ошибка «Нарушение прав доступа» осталась. Что делать?
Сначала убедитесь, что пользователь полностью вышел из программы и вошёл заново — права применяются при старте сеанса. Если не помогло, проверьте, не действует ли ограничение на уровне записей: роль может быть назначена, но RLS скрывает конкретные данные. Также посмотрите текст ошибки — он указывает объект, к которому нет доступа, и это может быть не тот объект, который вы настраивали.
Можно ли временно расширить права, а потом отозвать?
Да. Самый удобный способ — включить пользователя в отдельную группу доступа с расширенным профилем, а по завершении работ исключить его из группы. Права вернутся к прежнему набору после перезахода пользователя. Не используйте для временных задач редактирование основных профилей.
Чем опасно назначение роли «Полные права» обычному пользователю?
Полные права снимают все ограничения: пользователь сможет изменять и удалять любые документы, включая закрытые периоды, менять настройки учёта и данные других сотрудников. Это создаёт риск как случайной порчи данных, так и злоупотреблений, а при проверке — вопросы аудиторов к организации разграничения доступа.
Нужно ли перезапускать сервер 1С после изменения прав?
Нет, перезапуск сервера не требуется. Достаточно, чтобы конкретный пользователь завершил сеанс и вошёл снова. Исключение — редкие случаи кэширования в клиент-серверном режиме, когда помогает очистка кэша или повторный вход через некоторое время.
Как узнать, какая роль отвечает за нужное действие?
В типовых конфигурациях откройте профиль группы доступа и изучите список ролей с отметками — названия обычно говорящие. В конфигураторе можно открыть конкретную роль и посмотреть права на нужный объект. Также полезен отчёт по правам доступа, где видно, через какие профили пользователь получил текущие разрешения.
Права настроены, но пользователь не видит нужный раздел в меню. Почему?
Видимость команд интерфейса в управляемых формах зависит от ролей: если ни одна роль не даёт доступа к объектам раздела, команда скрывается. Если права добавлены, а раздел не появился — проверьте перезаход в программу и функциональные опции конфигурации: нужная подсистема может быть просто отключена в настройках.
Что важно запомнить
В типовых конфигурациях расширяйте права через группы доступа и копии профилей, а не через редактирование типовых объектов или полные права. После любых изменений пользователь должен перезайти в программу. Проверяйте результат под его учётной записью и следите, чтобы доступ не оказался шире, чем требует задача.