Объекты доступа документов в 1С: зачем нужны и как их использовать

Во многих конфигурациях 1С (УПП, ERP, Комплексная автоматизация, Документооборот) существует механизм, который называют «объекты доступа». Это справочник или набор настроек, через которые система определяет, какие именно документы, организации, склады или подразделения увидит конкретный пользователь. Обычные роли отвечают на вопрос «может ли пользователь работать с документами вообще», а объекты доступа отвечают на вопрос «к каким именно документам он получит доступ».

Типичная ситуация: в одной базе ведут учёт несколько юридических лиц или несколько складов. Менеджер по продажам не должен видеть документы финансового отдела, кладовщик одного склада не должен изменять остатки другого. Без механизма объектов доступа такое разграничение пришлось бы делать доработкой кода, что дорого и рискованно при обновлениях.

Механизм тесно связан с технологией RLS (Record Level Security) — ограничением доступа на уровне записей. Понимание того, как объекты доступа связаны с RLS, группами доступа и профилями, позволяет настроить разграничение прав штатными средствами и не сломать производительность базы.

Что такое объект доступа простыми словами

Объект доступа — это значение, по которому система решает, показывать запись пользователю или нет. В роли таких значений обычно выступают: организация, склад, подразделение, касса, вид документа, контрагент или физическое лицо. Например, если пользователю назначен объект доступа «Склад №2», то в списках и отчётах он увидит только документы, где указан этот склад.

Важно отличать три уровня настройки прав в 1С. Первый — роли: они определяют доступ к объектам метаданных (можно ли вообще открыть справочник «Номенклатура» или документ «Реализация»). Второй — профили и группы доступа: они объединяют роли в осмысленные наборы для должностей. Третий — объекты доступа и RLS: они фильтруют уже сами данные внутри разрешённых объектов.

Зачем нужен механизм объектов доступа

Первая задача — конфиденциальность данных. В холдинге с несколькими юрлицами бухгалтер одной организации не должен видеть зарплатные ведомости и банковские выписки другой. Разграничение по объекту доступа «Организация» решает это без разделения базы на несколько.

Вторая задача — защита от случайных ошибок. Кладовщик, который видит только свой склад, физически не сможет провести перемещение или списание по чужому складу. Это снижает количество учётных ошибок, которые потом приходится искать и исправлять сверками.

Третья задача — аудит и соответствие требованиям. При проверках часто требуется показать, что доступ к персональным данным и финансовым документам ограничен должностными обязанностями. Настроенные группы доступа с явным списком разрешённых объектов — документируемое доказательство такого контроля.

Как объекты доступа связаны с группами доступа и RLS

Схема работы выглядит так: создаётся профиль группы доступа (набор ролей для должности), затем создаётся группа доступа, в которую включаются пользователи. В настройках группы указывается, по каким видам объектов действует ограничение и какие именно значения разрешены. Платформа на основе этих настроек применяет RLS-шаблоны, прописанные в ролях конфигурации.

Ключевой момент: сами шаблоны ограничений зашиты в роли конфигурации разработчиком. Администратор не пишет код RLS — он только назначает значения объектов доступа пользователям. Если в конфигурации для нужного объекта (например, «Касса») шаблон ограничения не предусмотрен, ограничить доступ по нему штатно не получится.

Проверить, какие виды объектов доступа поддерживаются, можно в разделе администрирования: «Настройки прав и пользователей» → «Группы доступа» → настройка видов доступа. Там же включается сам механизм ограничения на уровне записей.

Пошаговая настройка ограничения доступа к документам

Ниже — типовая последовательность для конфигураций на БСП (ERP, УТ, КА). Названия пунктов могут немного отличаться в зависимости от версии, но логика одинакова.

1. 1
   Сделайте резервную копию базы или выполняйте настройку сначала на тестовой копии
2. 2
   Включите в настройках прав опцию ограничения доступа на уровне записей
3. 3
   Проверьте, какие виды объектов доступа доступны в конфигурации (организации, склады, подразделения)
4. 4
   Создайте или проверьте профиль группы доступа с нужным набором ролей
5. 5
   Создайте группу доступа, укажите профиль и разрешённые значения объектов доступа
6. 6
   Добавьте пользователей в группу доступа
7. 7
   Войдите под тестовым пользователем и проверьте: видит ли он только свои документы, может ли создавать и проводить их
8. 8
   Проверьте работу отчётов и списков — скорость и полноту данных

После настройки обязательно тестируйте под реальной учётной записью пользователя, а не под администратором: у полных прав ограничения RLS не действуют, и картина будет ложной. Удобно завести тестового пользователя с теми же правами, что у реального сотрудника.

Проверка результата и типичные ошибки

Признак корректной настройки: пользователь в списке документов видит только разрешённые объекты, при попытке открыть чужой документ по ссылке получает отказ, отчёты строятся по доступным данным без ошибок. Если пользователь видит пустые списки — скорее всего, ему не назначено ни одного значения объекта доступа, а ограничение включено.

Контрольные точки

Как проверить результат

Список документов под пользователем

Норма

Видны только документы разрешённых организаций/складов

Тревожный признак

Видны все документы (RLS не применился) или список пуст (не назначены значения)

Открытие чужого документа по ссылке

Норма

Система отказывает в доступе или документ не находится

Тревожный признак

Документ открывается и редактируется

Создание нового документа

Норма

Доступны только разрешённые значения в полях организации/склада

Тревожный признак

Можно выбрать любое значение и провести документ

Скорость отчётов

Норма

Отчёты открываются за приемлемое время

Тревожный признак

Резкое замедление после включения RLS

Ограничения механизма и альтернативы

Объекты доступа — не универсальное решение. Они работают только по тем измерениям, которые предусмотрел разработчик конфигурации, и не защищают от пользователя с полными правами. Кроме того, RLS усложняет запросы: на больших объёмах данных это может ощутимо замедлить списки и отчёты.

Маршрут решения

Как выбрать подход

Нужно разграничить документы по организациям, складам, подразделениям штатноИспользуйте группы доступа и объекты доступа с RLS

Нужно скрыть целый раздел учёта (например, зарплату)Ограничьтесь ролями и профилями — объектный доступ избыточен

Нужно ограничение по критерию, не предусмотренному конфигурациейПотребуется доработка: добавление вида доступа и шаблонов RLS в роли

Организации полностью независимы и данных многоРассмотрите разделение на отдельные базы вместо RLS в одной базе

Альтернативы объектному доступу: разделение на отдельные информационные базы (максимальная изоляция, но сложнее консолидированная отчётность), доработка собственных шаблонов RLS (гибко, но требует поддержки при обновлениях) и использование механизмов вроде дат запрета изменения данных, которые защищают не от просмотра, а от изменения закрытых периодов.

FAQ

Чем объекты доступа отличаются от ролей?

Роли определяют, к каким типам объектов (справочникам, документам) пользователь имеет доступ в принципе. Объекты доступа работают внутри уже разрешённых типов и фильтруют конкретные записи: например, документ «Реализация» доступен, но только по складу №2.

Почему после включения RLS пользователи видят пустые списки документов?

Ограничение включено, но пользователю не назначено ни одного разрешённого значения объекта доступа. Откройте его группу доступа и укажите конкретные организации, склады или подразделения.

Действует ли ограничение на администратора?

Нет. Пользователи с полными правами не подпадают под ограничения RLS. Поэтому тестировать настройку нужно под обычной учётной записью с правами реального сотрудника.

Влияет ли объектный доступ на скорость работы базы?

Да, RLS добавляет условия в каждый запрос к данным. На небольших базах эффект незаметен, на крупных — возможно замедление списков и отчётов. Включайте ограничение только по действительно нужным видам объектов и тестируйте на копии.

Можно ли ограничить доступ по произвольному признаку, например по проекту?

Штатно — только по видам объектов доступа, предусмотренным конфигурацией. Если нужного вида нет, потребуется доработка: добавление вида доступа и шаблонов ограничения в роли, что усложняет последующие обновления.