Администрирование · 10 мин
Роли в 1С: как работают и как их настраивать
Как устроены роли в 1С: назначение прав пользователям, интерактивные и стандартные права, RLS, типичные ошибки настройки и проверка результата.
Роль в 1С — это набор прав на объекты конфигурации: справочники, документы, регистры, отчёты и обработки. Роль определяет, может ли пользователь читать данные, добавлять, изменять, удалять их, а также выполнять интерактивные действия в интерфейсе. Без назначенной роли пользователь либо вообще не войдёт в базу, либо увидит пустую систему без доступа к данным.
Роли создаёт разработчик в конфигураторе, а администратор назначает их пользователям. В типовых конфигурациях (например, «1С:Управление торговлей» или «1С:Зарплата и управление персоналом») роли уже готовы и сгруппированы по профилям доступа. Понимание механики ролей нужно, когда сотрудник жалуется «не вижу документ», «не даёт провести» или, наоборот, когда требуется закрыть лишний доступ.
Механизм един для всех современных конфигураций на управляемых формах, поэтому принципы из этой статьи применимы и к самописным решениям, и к типовым продуктам. Ниже разобрано устройство прав, способы назначения, ограничение на уровне записей (RLS) и проверка результата.
Что такое роль и какие права она содержит
Каждая роль хранит матрицу прав по всем объектам конфигурации. Для справочников и документов основные права — это Чтение, Добавление, Изменение и Удаление. Параллельно существуют интерактивные права: Интерактивное добавление, Интерактивное изменение, Интерактивное удаление и другие. Они управляют действиями пользователя в интерфейсе, тогда как «неинтерактивные» права работают и при программном обращении из кода.
Ключевой принцип: права от разных ролей складываются по логике «ИЛИ». Если пользователю назначены роли «Кассир» и «Менеджер по продажам», и хотя бы одна из них разрешает изменение реализаций — изменять их можно. Запретить действие, которое разрешает другая роль, невозможно: в 1С нет «запрещающих» ролей. Поэтому избыточные роли — главная причина излишних прав.
Отдельно стоят административные права: «Администрирование», «Обновление конфигурации базы данных», «Толстый клиент», «Внешнее соединение». Их выдают точечно и только тем, кому они действительно нужны для обслуживания системы.
Где роли назначаются: конфигуратор и режим предприятия
В файловых базах и простых конфигурациях роли назначают напрямую пользователю: в конфигураторе через «Администрирование → Пользователи» либо в режиме 1С:Предприятие через список пользователей. У пользователя отмечают флажками нужные роли — они начинают действовать при следующем входе в сеанс.
В типовых конфигурациях с включённым механизмом групп доступа прямое назначение ролей заменено профилями. Администратор работает в разделе «Настройки прав и пользователей»: создаёт или использует готовый профиль группы доступа (например, «Менеджер по закупкам»), а затем включает пользователя в группу доступа с этим профилем. Профиль уже содержит нужный набор ролей, подобранный разработчиками типового решения.
Практическое правило: в типовой конфигурации не назначайте роли напрямую, если работает механизм групп доступа — смешение двух способов приводит к труднодиагностируемым ситуациям, когда пользователь получает права «непонятно откуда».
- 1Откройте «Настройки прав и пользователей» → «Профили групп доступа» и найдите подходящий профиль по названию должности.
- 2Проверьте состав профиля: какие роли и разрешённые значения доступа он включает.
- 3Откройте «Группы доступа», выберите группу с нужным профилем и добавьте туда пользователя.
- 4Попросите пользователя перезайти в программу и проверьте доступ к нужным документам и отчётам.
Как работает ограничение доступа на уровне записей (RLS)
Обычные права действуют на объект целиком: либо пользователь видит все документы «Реализация товаров», либо не видит ни одного. Когда нужно разрешить работу только со своим складом, организацией или контрагентами своей группы, применяется RLS — ограничение доступа на уровне записей.
RLS работает через шаблоны ограничений: к запросам платформы автоматически добавляется условие отбора, и пользователь получает только разрешённые строки. В типовых конфигурациях разрешённые значения задаются в профиле группы доступа: например, перечисляются конкретные склады или организации, доступные сотруднику.
Важный побочный эффект — производительность. Сложные шаблоны RLS замедляют запросы, особенно на больших таблицах. Если после настройки ограничений списки стали открываться заметно дольше, проверьте состав ограничений и избегайте избыточных видов доступа «по всем разрешённым значениям» там, где достаточно простого варианта.
Как проверить, какие права реально действуют у пользователя
Типичная задача администратора — понять, почему сотрудник видит или не видит конкретный объект. Начните с простого: зайдите под учётной записью пользователя (или попросите его показать экран) и воспроизведите проблему. Ошибка вида «Нарушение прав доступа» явно указывает на нехватку роли; пустой список при наличии документов у коллег — признак срабатывания RLS.
Дальше проверьте состав назначенного: в типовых конфигурациях откройте карточку пользователя и посмотрите, в какие группы доступа он входит и какие профили за ними закреплены. В отчётах по правам (если они есть в конфигурации) можно увидеть сводную картину по конкретному объекту.
Для программной проверки используется функция встроенного языка ПравоДоступа("Изменение", Метаданные.Документы.РеализацияТоваровУслуг) — она возвращает Истина или Ложь для текущего пользователя. Это удобно при отладке в консоли кода.
Как проверить результат настройки
Пользователь входит, видит нужные разделы и документы
Пустой интерфейс или ошибка нарушения прав при входе
Видны документы по разрешённым организациям и складам
Список пуст при наличии данных у коллег — сработал RLS или нет права чтения
Документ проводится без сообщений о правах
Ошибка доступа к регистрам — роль не даёт прав на движения
Пользователь состоит только в нужных группах
Лишние группы дают избыточные права
Типичные ошибки при работе с ролями
Самая распространённая ошибка — выдача роли «Полные права» (или профиля администратора) «временно, чтобы заработало», после чего доступ так и остаётся. Пользователь с полными правами может удалить данные, изменить настройки обмена и учётные параметры. Временный доступ фиксируйте задачей на отзыв.
Вторая ошибка — назначение нескольких широких профилей одному человеку. Из-за суммирования прав сотрудник получает доступ, которого не предполагал ни один из профилей по отдельности. Правильнее собрать один профиль под должность.
Третья группа ошибок связана с RLS: администратор настраивает ограничение, но забывает заполнить разрешённые значения в профиле. Итог — пользователь не видит вообще ничего, потому что список разрешённых складов пуст. После любой настройки ограничений всегда проверяйте результат под учётной записью пользователя.
Когда нужна доработка ролей, а не настройка
Не всякую задачу решает настройка. Если ни один типовой профиль не покрывает должность (например, нужен доступ к документам без доступа к отчётам по ним), есть два пути: собрать копию профиля с изменённым составом ролей — это делается без изменения конфигурации, либо создать новую роль в конфигураторе.
Создание собственной роли оправдано, когда нужны права, которых нет ни в одной типовой роли, или когда требуется особый шаблон RLS. Помните: изменение конфигурации усложняет обновления. Перед доработкой снимите копию базы и проверьте, нельзя ли достичь результата комбинацией типовых ролей.
Частые вопросы о ролях в 1С
Почему пользователь с двумя ролями получил больше прав, чем ожидалось?
Права ролей суммируются по принципу «разрешено, если разрешено хотя бы в одной роли». Запрещающих ролей в 1С нет. Проверьте состав обеих ролей и уберите ту, что даёт лишний доступ.
Пользователь видит документ, но не может его провести. В чём причина?
Проведение записывает движения в регистры. Значит, у роли есть права на сам документ, но нет прав на изменение связанных регистров (накопления, сведений, бухгалтерии). Добавьте роль, покрывающую регистры, или расширьте профиль.
Чем профиль группы доступа отличается от роли?
Роль — технический объект конфигурации с матрицей прав. Профиль — пользовательская сущность типовых конфигураций, которая объединяет набор ролей и разрешённые значения доступа под понятным названием должности. Администратор работает с профилями, разработчик — с ролями.
Можно ли ограничить доступ к конкретным контрагентам?
Да, через механизм RLS: в профиле группы доступа указываются разрешённые группы контрагентов или конкретные значения. Учтите, что сложные ограничения могут замедлить открытие списков и отчётов.
Когда применяются назначенные роли?
Состав прав определяется при входе пользователя в сеанс. После изменения ролей или групп доступа пользователь должен выйти из программы и зайти снова — в активном сеансе старые права продолжают действовать.
Как быстро узнать, из-за чего ошибка «Нарушение прав доступа»?
Текст ошибки обычно содержит имя объекта и требуемое право (например, «Изменение» для конкретного регистра). Сопоставьте объект с составом ролей пользователя и добавьте недостающее право через подходящий профиль или роль.
Что важно запомнить
Роль — набор прав на объекты конфигурации; права разных ролей суммируются, запрещающих ролей нет. В типовых конфигурациях доступ выдаётся через профили групп доступа, а ограничение по записям — через RLS с заполненными разрешёнными значениями. Любую настройку проверяйте под учётной записью пользователя и не оставляйте полные права без необходимости.