Администрирование · 10 мин
Основные роли 1С: что это такое и для чего они нужны
Разбираем основные роли в 1С: для чего нужны, как устроены, как назначать пользователям и проверять права доступа без риска для данных.
Роль в 1С — это набор прав, определяющий, какие объекты конфигурации (справочники, документы, отчёты, регистры) доступны пользователю и что он может с ними делать: просматривать, добавлять, изменять, удалять, проводить. Роли создаются разработчиком в конфигураторе и назначаются пользователям в режиме предприятия. Без ролей система не смогла бы разграничивать доступ: любой сотрудник видел бы и мог бы менять все данные базы.
Практический смысл ролей — соответствие реальным должностным обязанностям. Кассиру не нужны права на изменение учётной политики, а менеджеру по продажам — доступ к расчёту зарплаты. Правильно настроенные роли защищают данные от случайных ошибок, злоупотреблений и упрощают интерфейс: пользователь видит только те разделы и команды, которые нужны ему для работы.
Типовые конфигурации (1С:Бухгалтерия, 1С:Зарплата и управление персоналом, 1С:Управление торговлей) поставляются с готовым набором ролей, покрывающим стандартные должности. Понимание того, какие роли существуют и за что отвечают, помогает администратору быстро настроить доступ новому сотруднику и не «выдать лишнего».
Что такое роль в 1С и как она устроена
Технически роль — это объект метаданных конфигурации, внутри которого для каждого объекта базы проставлены флажки прав: чтение, добавление, изменение, удаление, проведение, использование и другие. Пользователь может иметь несколько ролей одновременно — тогда его итоговые права складываются как объединение: если хотя бы одна роль разрешает действие, оно разрешено.
Роли делятся на два больших класса. Первый — прикладные роли, описывающие должности: «Кассир», «Бухгалтер», «Менеджер по продажам». Второй — базовые и технические роли, которые дают минимальный доступ к системе: например, роль «Базовые права» обязательна почти всем, без неё пользователь не сможет даже запустить сеанс с интерфейсом. Отдельно стоит роль «Полные права» — она открывает всё без ограничений.
Для чего нужны роли: основные задачи
Первая задача — безопасность данных. Разграничение прав не даёт сотруднику случайно удалить чужой документ, изменить закрытый период или увидеть конфиденциальную информацию (зарплату, расчёты с контрагентами), если это не входит в его обязанности.
Вторая задача — упрощение работы. Интерфейс 1С строится на основе прав: разделы и команды, к которым у пользователя нет доступа, просто не отображаются. Новичок не теряется в десятках незнакомых меню, а видит компактный рабочий стол под свои задачи.
Третья задача — соответствие требованиям учёта и аудита. Когда действия каждого пользователя ограничены его ролью, проще расследовать ошибки: по журналу регистрации видно, кто провёл или отменил документ, а круг подозреваемых сужается до тех, у кого есть соответствующие права.
Какие роли есть в типовых конфигурациях
Состав ролей зависит от конфигурации, но логика везде похожа. В 1С:Бухгалтерии есть роли для главного бухгалтера, рядового бухгалтера, кассира, кадровика, а также роли только для чтения. В 1С:Управление торговлей — роли менеджера по продажам, закупкам, кладовщика, коммерческого директора. В ЗУП — расчётчика, кадровика, руководителя.
Многие прикладные роли в типовых решениях парные: например, «Добавление и изменение...» и «Чтение...». Это позволяет гибко комбинировать: сотруднику можно дать полный доступ к одному разделу и только просмотр другого. Есть и служебные роли — «Выполнение обмена данными», «Администратор системы», «Владелец внешних отчётов и обработок» — для технических задач.
Даёт право создавать и менять объекты указанного раздела
Подходит для руководителей и аудита без права правки
Без этой роли пользователь не сможет нормально работать в интерфейсе
Назначать только администраторам и в исключительных случаях
Как назначить роли пользователю
В файловых и клиент-серверных базах на платформе 8.3 роли назначаются в разделе администрирования. Путь: «Администрирование» → «Настройки пользователей и прав» → «Пользователи». Откройте карточку пользователя и перейдите на вкладку или по ссылке «Права доступа» — там отображаются доступные профили или роли.
В современных типовых конфигурациях (на БСП — библиотеке стандартных подсистем) вместо прямого назначения ролей используются профили групп доступа. Профиль — это обёртка над набором ролей, которую администратор может настраивать без конфигуратора. Пользователь включается в группу доступа, а группа связана с профилем. Это удобнее: один профиль «Кассир» выдаётся всем кассирам сразу.
В старых или самописных конфигурациях роли могут назначаться напрямую через конфигуратор: «Администрирование» → «Пользователи», вкладка «Прочие» / «Роли». Этот способ требует доступа к конфигуратору и больше подходит разработчику.
Профили групп доступа или прямые роли: что выбрать
Если конфигурация построена на библиотеке стандартных подсистем (все современные типовые решения), используйте профили. Они позволяют менять состав ролей без конфигуратора, копировать типовые профили и дорабатывать их под себя, а также задавать ограничения доступа на уровне записей (RLS) — например, менеджер видит только своих клиентов.
Прямое назначение ролей оправдано в простых самописных конфигурациях, при разработке и тестировании, либо когда нужно быстро выдать технические права (обмен данными, внешние обработки). Минус подхода — любая доработка прав требует конфигуратора и правок в метаданных.
Сравнение подходов
Подходят для типовых конфигураций: настройка в режиме предприятия, копирование профилей, поддержка RLS. Требуют понимания структуры БСП.
Подходят для простых и самописных решений: быстро и наглядно, но изменения только через конфигуратор, нет ограничений на уровне записей.
Только для администратора базы или временно для отладки. Постоянная работа под полными правами — риск случайной порчи данных.
Как проверить, что права настроены правильно
Главный способ проверки — войти в базу под учётной записью пользователя и пройти его типовой сценарий: создать документ, провести его, сформировать отчёт, попробовать открыть «чужой» раздел. Всё, что должно быть скрыто, не должно отображаться; всё необходимое — открываться без сообщений о нарушении прав.
Дополнительно используйте встроенные инструменты: отчёт по правам доступа (в конфигурациях на БСП есть механизм анализа прав), журнал регистрации — для контроля фактических действий. Ошибка «Нарушение прав доступа» у пользователя означает, что ему не хватает роли; слишком широкий интерфейс — признак избыточных прав.
Как проверить результат
Интерфейс запускается, видны только нужные разделы
Пустой рабочий стол или ошибки прав — нет базовых ролей
Документ сохраняется и проводится без сообщений об ошибках
Ошибка «Нарушение прав доступа» — не хватает редактирующей роли
Зарплата, настройки учёта скрыты или доступны только на чтение
Пользователь может изменять чужие разделы — права избыточны
Типичные ошибки и риски при работе с ролями
Самая частая ошибка — выдача полных прав «чтобы не мучиться». Это обнуляет всю систему разграничения: пользователь может удалить документы, изменить закрытые периоды, сломать настройки. Вторая ошибка — забыть про базовые роли: пользователь создан, прикладная роль назначена, но войти нормально он не может.
Третья типичная ситуация — копирование прав с существующего сотрудника «по образцу» без анализа. Со временем у образца накапливаются лишние права, и они размножаются. Четвёртая ошибка — изменение типовых ролей в конфигураторе: при обновлении конфигурации такие изменения конфликтуют с поставкой и могут быть потеряны. Правильнее создавать собственные профили на основе типовых.
FAQ: частые вопросы о ролях в 1С
Можно ли назначить пользователю несколько ролей сразу?
Да, это нормальная практика. Итоговые права складываются как объединение: если действие разрешено хотя бы одной ролью, пользователь сможет его выполнить. Поэтому сотруднику, совмещающему функции, выдают несколько прикладных ролей, а не создают отдельную «комбинированную».
Что делать, если пользователю не хватает прав на конкретный документ?
Сначала зафиксируйте точный текст ошибки и объект, к которому нет доступа. Затем найдите в конфигураторе или через отчёт по правам, какая роль даёт нужное право, и добавьте её в профиль пользователя. Не решайте проблему выдачей полных прав — это создаёт дыру в безопасности.
Чем профиль групп доступа отличается от роли?
Роль — объект конфигурации, создаётся разработчиком, меняется только в конфигураторе. Профиль — пользовательский объект в режиме предприятия, который ссылается на набор ролей и позволяет администратору собирать свои комбинации без доработки конфигурации.
Как дать пользователю доступ только на просмотр данных?
Назначьте ему роли вида «Чтение...» по нужным разделам плюс базовые права. В типовых конфигурациях есть готовые профили «только просмотр». Проверьте, что в наборе нет ролей «Добавление и изменение» — иначе просмотр превратится в редактирование.
Опасно ли работать под полными правами администратору?
Для задач администрирования полные права необходимы, но повседневный учёт под ними вести не стоит: под полными правами не срабатывают ограничения RLS, легко случайно изменить чужие данные, а журнал регистрации не покажет реального автора действий. Заведите администратору отдельную учётную запись для регламентных работ.
Почему после обновления конфигурации у пользователей пропали права?
Чаще всего причина в том, что типовые роли были изменены вручную в конфигураторе и при обновлении перезаписались поставкой. Восстановите настройки через профили групп доступа, а кастомизацию прав в будущем делайте собственными профилями, не трогая типовые роли.
Что важно запомнить
Роли в 1С — это наборы прав, определяющие доступ пользователя к объектам базы. Назначайте их через профили групп доступа, обязательно включайте базовые роли, не выдавайте полные права без необходимости и всегда проверяйте результат входом под учётной записью пользователя.