Управление правами доступа в системе 1С:Предприятие является критически важным этапом при внедрении и сопровождении программного обеспечения. Администраторам часто необходимо ограничивать действия сотрудников, чтобы предотвратить случайное удаление данных или доступ к конфиденциальной информации, такой как зарплата или коммерческие тайны.
В современных конфигурациях механизм прав построен на гибкой системе ролей и профилей групп доступа. Понимание того, как создать роли в 1С и правильно их связать с пользователями, позволяет выстроить безопасную и удобную рабочую среду. В этой статье мы детально разберем процесс создания новых ролей, их настройки и назначения.
Не стоит путать понятие «роль» с конкретным пользователем. Роль — это набор разрешений, который можно тиражировать на множество сотрудников. Это упрощает администрирование: при изменении бизнес-процессов вам нужно будет отредактировать только одну роль, а изменения применятся ко всем, кто её использует.
Интерфейс конфигуратора и режимы работы
Для выполнения операций по созданию и изменению ролей необходимо запустить базу данных в режиме Конфигуратор. В обычном режиме «1С:Предприятие» эти настройки скрыты от пользователей. После запуска выберите свою базу в списке и нажмите кнопку «Конфигуратор».
В открывшемся окне конфигуратора перейдите в меню Администрирование → Пользователи. Здесь отображается список всех учетных записей, имеющих право входа в систему. Однако для создания самих ролей нужно обратиться к дереву конфигурации.
Раскройте ветку «Конфигурация» в окне «Дерево конфигурации». Найдите ветку с названием Роли. Именно здесь хранятся все объекты, определяющие права доступа. Если вы работаете в типовой конфигурации, такой как 1С:Бухгалтерия или 1С:ЗУП, вы увидите множество предопределенных ролей.
Чтобы создать новую сущность, нажмите правой кнопкой мыши на ветку «Роли» и выберите пункт «Добавить». Система предложит ввести имя новой роли. Имя должно быть уникальным в пределах конфигурации и не должно содержать специальных символов, кроме подчеркивания.
⚠️ Внимание: Изменение конфигурации возможно только в монопольном режиме. Если в базе в данный момент работают другие пользователи, конфигуратор не позволит сохранить изменения или войти в режим редактирования структуры.
Перед внесением изменений в конфигурацию всегда создавайте резервную копию базы данных (файл .dt), чтобы иметь возможность откатиться в случае ошибки.
Процесс создания новой роли и базовые права
После того как вы создали объект роли, необходимо открыть её свойства для настройки. Двойной клик по новой роли откроет окно свойств. Здесь вы увидите поле «Синоним», которое будет отображаться в интерфейсе программы для пользователя, и поле «Комментарий» для описания назначения.
Основная работа ведется во вкладке «Права». Здесь представлен список всех объектов метаданных конфигурации: справочники, документы, отчеты, обработки. По умолчанию у новой роли нет никаких прав, то есть доступ ко всем объектам закрыт.
Для начала настройки выберите нужный объект в списке, например, справочник «Контрагенты». Установите галочки напротив необходимых действий. Обычно это Чтение, Создание, Изменение и Удаление. Также можно настроить права на проведение документов или интерактивное открытие.
Важно понимать иерархию прав. Если вы дали право на «Изменение», то право на «Чтение» обычно подразумевается автоматически для корректной работы интерфейса. Однако в некоторых сложных случаях явное указание всех необходимых флагов гарантирует стабильность работы.
- 🔹 Чтение: позволяет пользователю просматривать списки и открывать карточки объектов.
- 🔹 Запись: включает в себя создание новых элементов и изменение существующих данных.
- 🔹 Удаление: дает возможность стирать объекты из базы данных безвозвратно.
- 🔹 Право на интерактивное открытие: необходимо для того, чтобы пользователь мог запустить отчет или обработку через меню.
☑️ Настройка прав доступа
Настройка прав на конкретные данные (RLS)
Часто возникает ситуация, когда менеджеру нужно видеть только своих клиентов, а не всю базу контрагентов. Для этого используется механизм RLS (Record Level Security) или ограничения доступа на уровне записей. Это позволяет фильтровать данные внутри одной и той же роли.
В окне настройки прав роли перейдите на вкладку «Ограничения доступа на уровне записей». Здесь можно задать условие, которое будет применяться ко всем операциям с данным объектом. Условие записывается в виде логического выражения на встроенном языке 1С.
Например, чтобы ограничить доступ к справочнику «Номенклатура» только определенным видом товара, можно использовать условие: Это.ВидНоменклатуры = Справочники.ВидыНоменклатуры.Продукция. В этом случае пользователь увидит только товары, помеченные как «Продукция».
Более сложный сценарий involves использование предопределенных элементов или пользователей. Вы можете написать условие, которое сравнивает владельца документа с текущим пользователем: Это.Ответственный = &ТекущийПользователь. Переменная &ТекущийПользователь автоматически подставляется системой.
⚠️ Внимание: При настройке RLS будьте предельно осторожны с условиями. Ошибка в логическом выражении может привести к тому, что пользователь вообще не увидит ни одной строки в списке, даже если у него есть права на чтение.
Что делать, если RLS не работает?
Проверьте, включено ли использование ограничений доступа в свойствах самой роли. Также убедитесь, что условие ссылается на существующие поля и не содержит синтаксических ошибок.
Создание профилей групп доступа
В современных версиях платформ 1С (начиная с 8.3) прямое назначение ролей пользователям встречается реже. Вместо этого используется промежуточный объект — Профиль групп доступа. Это позволяет группировать несколько ролей в один логический набор.
Профили групп доступа находятся в той же ветке конфигурации или в списке пользователей, в зависимости от версии платформы. Создание профиля аналогично созданию роли: вы даете ему имя, например, «МенеджерПоПродажам», и добавляете в него необходимые роли.
В состав одного профиля можно включить множество ролей. Например, профиль «ГлавныйБухгалтер» может включать роли: «ПолныеПрава», «ПравоНаИзменениеПериода», «ПравоНаВыгрузкуДанных». Это делает систему гибкой и модульной.
Использование профилей упрощает массовое назначение прав. Если в компанию приходит новый сотрудник на должность менеджера, администратору достаточно добавить его в профиль «Менеджеры», и он автоматически получит весь набор необходимых разрешений.
| Тип объекта | Назначение | Где настраивается |
|---|---|---|
| Роль | Набор прав на объекты метаданных | Дерево конфигурации |
| Профиль групп доступа | Группировка нескольких ролей | Список пользователей / Конфигурация |
| Пользователь | Учетная запись для входа в систему | Меню Администрирование |
| Группа доступа | Связь пользователя и профиля | Карточка пользователя |
Использование профилей групп доступа является современным стандартом и рекомендуется разработчиками 1С для упрощения поддержки конфигурации.
Назначение прав пользователям информационной базы
После того как роли созданы и объединены в профили, необходимо предоставить доступ конкретным людям. Вернитесь в меню Администрирование → Пользователи. Выберите существующего пользователя или создайте нового, нажав кнопку «Добавить».
В карточке пользователя перейдите на вкладку «Прочее» или «Группы доступа» (название зависит от конфигурации). Здесь вы увидите список доступных профилей. Установите галочку напротив нужного профиля, например, «Оператор1С».
Если ваша конфигурация не использует профили (устаревший вариант или специфическая разработка), вы можете назначать роли напрямую. В этом случае в карточке пользователя будет список ролей, из которых нужно выбрать требуемые.
Не забывайте про аутентификацию. Для входа пользователю потребуется логин и пароль. Пароль можно задать в карточке пользователя в режиме конфигуратора или позволить пользователю установить его при первом входе.
- 🔸 Аутентификация 1С: пароль хранится в базе данных 1С, подходит для файловых вариантов.
- 🔸 Аутентификация ОС: вход осуществляется под учетной записью Windows, пароль в 1С не требуется.
- 🔸 Аутентификация веб-сервера: используется при работе через браузер и IIS/Apache.
Тестирование и отладка прав доступа
После настройки прав критически важно проверить их работоспособность. Не полагайтесь только на визуальную проверку галочек в конфигураторе. Зайдите в базу под тестовым пользователем, которому вы только что выдали права.
Попробуйте выполнить действия, которые должны быть разрешены: открыть справочник, создать документ, провести его. Затем попробуйте выполнить запрещенное действие, например, удалить проведенный документ или открыть отчет по зарплате.
Если доступ не предоставляется там, где должен, используйте механизм «Технологического журнала» или встроенную функцию «Проверка прав». В режиме предприятия иногда можно увидеть значок замка рядом с объектом, к которому нет доступа.
Частой ошибкой является отсутствие права на использование общего ресурса или право на запуск самой конфигурации. Убедитесь, что у роли стоит право АктивныйПользователь и ЗапускТонкогоКлиента (или аналогичное системное право).
⚠️ Внимание: Интерфейсы конфигурации могут отличаться в зависимости от версии платформы и типа конфигурации (Бухгалтерия, Управление Торговлей, ERP). Всегда сверяйтесь с документацией к конкретной версии вашего ПО, так как названия пунктов меню могут меняться.
Как быстро найти недостающее право?
В конфигураторе можно использовать режим «Просмотр прав», который покажет сводную таблицу всех прав для выбранной роли, что упрощает поиск пробелов в настройках.
Можно ли скопировать существующую роль для создания новой?
Да, это самый удобный способ. В дереве конфигурации нажмите правой кнопкой на существующую роль (например, «ПолныеПрава»), выберите «Копировать», а затем вставьте её в ветку «Роли». Вам останется только переименовать её и убрать лишние права.
Что делать, если пользователь видит пустые списки документов?
Скорее всего, проблема в настройках RLS (ограничений на уровне записей) или в отсутствии права «Чтение» для конкретного вида документа. Проверьте вкладку «Ограничения доступа» в свойствах роли.
Как удалить роль, если она используется в профилях?
Система не позволит удалить роль, пока на неё есть ссылки. Сначала зайдите в профили групп доступа или карточки пользователей, где эта роль назначена, и удалите ссылку на неё. Только после этого удаление станет возможным.
Влияет ли создание ролей на производительность базы?
Сам по себе механизм ролей не влияет на скорость работы. Однако сложные условия RLS с большим количеством проверок могут незначительно замедлять формирование списков документов при открытии форм.