Администрирование · 9 мин
Какие права бывают в 1С и как их правильно настроить
Разбираем виды прав в 1С: роли, профили и группы доступа, права на объекты и записи. Как назначить, проверить и не сломать безопасность базы.
Система прав в 1С построена в несколько уровней, и путаница между ними — главная причина ситуаций, когда сотрудник либо не может открыть нужный документ, либо видит лишнее. Права определяют, кто может просматривать, создавать, изменять и удалять данные, запускать отчёты и выполнять административные действия.
В современных конфигурациях на платформе 1С:Предприятие 8.3 применяется связка «роли + профили групп доступа», а в файловых и старых базах часто встречается назначение ролей напрямую пользователю. Понимание разницы между этими подходами позволяет настроить доступ быстро и без лишних рисков.
Ниже разобраны основные виды прав: от ролей конфигуратора до ограничения доступа на уровне записей (RLS), а также практический порядок назначения прав и типичные ошибки администраторов.
Роли конфигурации — базовый уровень прав
Роль — это именованный набор прав на объекты конфигурации: справочники, документы, регистры, отчёты, обработки. Роли создаёт разработчик в конфигураторе, а администратор назначает их пользователям. Например, в типовых конфигурациях есть роли «Добавление изменение базовой нормативно-справочной информации», «Чтение данных физических лиц» и десятки других.
Каждая роль определяет конкретные действия над объектом: чтение, добавление, изменение, удаление, просмотр, интерактивное добавление, проведение документа и другие. Роли бывают «основные» (например, полный доступ к подсистеме) и вспомогательные, которые добавляют отдельные возможности — например, вывод на печать или доступ к конкретному отчёту.
Назначить роль напрямую можно в конфигураторе (Администрирование → Пользователи) или в режиме Предприятия в карточке пользователя, если конфигурация это позволяет. Однако в типовых решениях прямое назначение ролей не рекомендуется: при обновлении конфигурации набор ролей меняется, и ручная настройка ломается.
Профили и группы доступа в типовых конфигурациях
В конфигурациях на базе Библиотеки стандартных подсистем (Управление торговлей, ERP, Бухгалтерия, ЗУП) действует механизм профилей групп доступа. Профиль — это удобная «обёртка» над набором ролей: администратор создаёт профиль «Кассир» или «Менеджер по продажам», а система сама подбирает нужные роли.
Пользователь включается в группу доступа, которая работает по определённому профилю. Один пользователь может состоять в нескольких группах — тогда его права суммируются. Это удобно, когда сотрудник совмещает функции: например, менеджер по закупкам, который также оформляет складские документы.
Найти настройку можно в разделе «Администрирование → Настройки пользователей и прав → Профили групп доступа». Перед включением механизма проверьте, что установлен флаг «Ограничивать доступ на уровне записей» только при реальной необходимости — он влияет на производительность.
- 1Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа
- 2Создайте новый профиль или скопируйте типовой и уберите лишние роли
- 3Перейдите в Группы доступа и создайте группу с этим профилем
- 4Добавьте в группу нужных пользователей
- 5Войдите под пользователем и проверьте доступ к ключевым документам и отчётам
Виды прав на объекты: что именно разрешает система
Для каждого объекта метаданных существует стандартный набор прав. Понимание этого набора помогает точно диагностировать проблему: пользователь может открывать список документов, но не создавать новые — значит, не хватает права «Интерактивное добавление».
| Право | Что разрешает | Типичная ситуация |
|---|---|---|
| Чтение | Получение данных объекта | Просмотр документа в отчёте |
| Добавление | Создание объекта программно | Загрузка данных обработкой |
| Интерактивное добавление | Создание через интерфейс | Кнопка «Создать» в списке |
| Изменение | Редактирование и запись | Исправление реквизитов |
| Удаление | Непосредственное удаление | Обычно запрещено большинству |
| Просмотр | Открытие форм объекта | Доступ к списку и карточке |
| Проведение | Проведение документов | Формирование движений по регистрам |
Важно понимать связку прав: чтобы пользователь мог провести документ, ему нужны права не только на сам документ, но и на регистры, по которым документ делает движения. Иначе появится ошибка «Нарушение прав доступа» в момент проведения.
Ограничение доступа на уровне записей (RLS)
RLS (Record Level Security) позволяет ограничивать не только «какие объекты видно», но и «какие именно строки». Классический пример: менеджер видит только документы своей организации или своего склада, хотя в базе их несколько.
Ограничение настраивается в шаблонах ролей на встроенном языке запросов и привязывается к параметрам сеанса — например, к значениям групп доступа пользователя. В типовых конфигурациях механизм уже реализован: достаточно включить ограничение по организациям, складам или контрагентам в настройках группы доступа.
Главная цена RLS — производительность. Каждый запрос к таблице дополняется условиями отбора, и на больших базах это ощутимо замедляет списки и отчёты. Поэтому включайте ограничения точечно: только для тех подразделений, где разграничение действительно требуется.
Административные права и полные права
Отдельно стоят права администрирования. Роль «Полные права» даёт доступ ко всем объектам конфигурации без ограничений RLS, а флаг «Администратор» (в файловых базах) или роль «Администратор системы» позволяют управлять пользователями, выполнять обновление и обслуживание базы.
Правило безопасности простое: полные права должны быть у минимального числа учётных записей, в идеале — у одной-двух служебных. Раздача полных прав «чтобы всё работало» — самая частая причина случайного удаления данных, изменения закрытых периодов и утечек.
Для интеграций, обменов и фоновых заданий создавайте отдельных пользователей с узким набором прав, достаточным только для их задачи. Так проще локализовать проблему и безопаснее хранить пароли.
Как проверить и диагностировать права пользователя
Когда пользователь сообщает «ничего не вижу» или «не даёт сохранить», начинайте с текста ошибки. Сообщение «Нарушение прав доступа» при записи означает нехватку права на изменение объекта или регистра, а пустой список документов чаще говорит о срабатывании RLS.
В типовых конфигурациях есть отчёт по правам доступа (в разделе администрирования), который показывает, какие роли и группы действуют на конкретного пользователя. Также полезен журнал регистрации: он фиксирует события отказа в доступе с указанием объекта и действия.
Надёжный способ проверки — войти в базу под учётной записью пользователя и пройти его типовой сценарий: создать документ, провести, распечатать, сформировать отчёт. Только так видны реальные ограничения, включая RLS.
Как проверить результат
Документ записывается и проводится без сообщений о правах
Ошибка «Нарушение прав доступа» при записи или проведении
Пользователь видит все документы своей зоны ответственности
Список пуст или в нём только часть документов — сработал RLS
Отчёты открываются и формируются
Отчёт не отображается в меню или выдаёт пустой результат
Частые вопросы о правах в 1С
Чем роль отличается от профиля группы доступа?
Роль — это технический набор прав на объекты, заданный разработчиком в конфигураторе. Профиль группы доступа — настройка в режиме Предприятия, которая объединяет нужные роли и позволяет администратору управлять правами без изменения конфигурации. В типовых решениях работать следует именно через профили.
Почему пользователь видит документ в списке, но не может его открыть?
Чаще всего есть право просмотра списка, но нет права просмотра или чтения самого объекта либо связанных данных, которые подтягивает форма. Проверьте полный текст ошибки и права на объекты, к которым обращается форма документа.
Можно ли дать права только на печать документов без их изменения?
Да. Нужна роль, дающая чтение и просмотр документов, плюс доступ к печатным формам, но без прав на изменение и интерактивное добавление. В типовых конфигурациях такой набор собирается через копию профиля с удалёнными ролями изменения.
Влияет ли включение RLS на скорость работы?
Да. Каждый запрос к ограниченным таблицам дополняется условиями отбора, что увеличивает нагрузку на СУБД. На небольших базах эффект почти незаметен, на крупных — ощутим. Включайте ограничения только по тем измерениям (организации, склады), где они реально нужны.
Что делать, если после обновления конфигурации у пользователей пропали права?
Проверьте профили групп доступа: при обновлении состав типовых ролей мог измениться, и нестандартные профили нужно актуализировать. Если роли назначались напрямую пользователям в обход профилей — перенесите настройку на профили и группы доступа.
Сколько пользователей с полными правами должно быть в базе?
Минимум — один служебный администратор, максимум — два (основной и резервный). Каждая лишняя учётная запись с полными правами — это риск случайного повреждения данных и слабая точка безопасности.
Что важно запомнить
Права в 1С строятся на ролях, но управлять ими в типовых конфигурациях нужно через профили и группы доступа. Полные права — только администраторам, RLS — только там, где необходим, а любую настройку проверяйте входом под учётной записью пользователя.