← На главную

При администрировании конфигурации «1С:Документооборот» нередко возникает критическая ситуация с безопасностью данных: администратор настраивает политики доступа, указывает разрешенные подразделения, задает жесткие правила доступа на уровне отдельных папок внутренних документов, включает механизм ограничений на уровне записей (RLS), однако рядовые сотрудники продолжают видеть абсолютно все документы компании и даже могут их редактировать.

Разберем детально, по какой причине система игнорирует запрещающие правила, как устроена модель безопасности платформы 1С и типовых конфигураций, а также проанализируем пошаговый алгоритм поиска «опасных» ролей и восстановления корректной работы прав доступа.

Фундаментальный принцип работы механизма RLS в платформе 1С

Чтобы понять источник проблемы, рассмотрим базовое правило расчета прав платформы «1С:Предприятие». В системе права пользователя формируются как объединение (логическое «ИЛИ») всех назначенных ему ролей:

Если пользователю назначено несколько ролей, и хотя бы одна из них предоставляет безусловное право на чтение или изменение объекта метаданных без ограничений RLS (Record Level Security), то все наложенные другими ролями ограничения полностью игнорируются платформой.

Настройки политик доступа, права на папки внутренних документов, грифы доступа и рабочие группы в «1С:Документооборот» работают исключительно внутри ограничений, заложенных в шаблонах RLS. Если в профиль или группу полномочий сотрудника попадает роль, открывающая прямой доступ к таблицам базы данных без фильтрации по дескрипторам, пользователь мгновенно получает статус неограниченного чтения ко всем документам соответствующего типа.

Выясним причину: роль «Выполняющие потоковое сканирование» и аналогичные роли

Проанализируем конкретный пример. Одной из самых коварных ролей в конфигурации является Выполняющие потоковое сканирование. Данная роль предназначена для автоматизированных рабочих мест потокового ввода первичных документов и штрихкодирования. Для обеспечения непрерывной загрузки файлов разработчики конфигурации заложили в эту роль полные права на чтение и запись документов и присоединенных файлов без наложения условий RLS.

Если администратор по ошибке включает роль Выполняющие потоковое сканирование в базовые полномочия Пользователи, каждый сотрудник организации немедленно получает сквозной доступ ко всей документации предприятия в обход настроек папок и подразделений.

К числу других ролей, способных полностью или частично обойти RLS, относятся:

1. Работа с внутренними документами без ограничений (аналогично для входящих и исходящих) — предоставляет безусловный доступ ко всей корреспонденции.
2. Чтение версий файлов без ограничений — открывает возможность прямого просмотра содержимого любых прикрепленных файлов.
3. Контроль ежедневных отчетов — позволяет видеть отчеты о трудозатратах и связанные задачи всех подразделений.
4. Администратор и ПолныеПрава — предоставляют абсолютный доступ ко всем объектам информационной базы.

Диагностика проблемы с помощью отчета «Неограниченные права»

Рассмотрим, как быстро локализовать утечку прав без ручного просмотра десятков профилей и ролей. В конфигурации «1С:Документооборот» встроен специализированный аналитический инструмент.

1. Перейдем в раздел «Настройка и администрирование».
2. Откроем пункт «Отчеты» и найдем типовой отчет «Неограниченные права».
3. Сформируем отчет. В результирующей таблице система выведет список всех пользователей и полномочий, обладающих полным доступом к объектам без ограничений по дескрипторам и политикам.
4. Проанализируем сформированный список: найдем полномочия (профили), назначенные обычным пользователям, и посмотрим, какие именно роли дают неограниченный эффект.

Пошаговое исправление полномочий в режиме «1С:Предприятие»

После выявления проблемной роли выполним корректировку состава полномочий без необходимости снятия конфигурации с поддержки:

1. Откроем раздел «Настройка и администрирование» → «Права доступа» → справочник «Полномочия» (также можно воспользоваться меню «Все функции / Функции для технического специалиста» → справочник Полномочия).
2. Найдем в списке типовой элемент (например, Пользователь или индивидуальные группы полномочий).
3. Откроем карточку полномочий и снимем флаг с роли Выполняющие потоковое сканирование (или другой роли без RLS, обнаруженной в отчете).
4. Запишем и закроем элемент справочника.

Обновление прав доступа и проверка фонового пересчета

Механизм прав в «1С:Документооборот» функционирует на основе дескрипторов доступа. При изменении ролей, групп пользователей или прав на папки записи регистрируются в очереди обновления прав. Разберем действия, необходимые для гарантированного применения изменений:

1. Проверим признак «Ограничивать права доступа» в общих настройках программы (раздел «Настройка и администрирование» → «Настройка программы» → «Права доступа»). Этот флаг обязательно должен быть установлен.
2. Если в системе включен флаг «Отложенное обновление прав доступа», пересчет выполняется регламентным заданием. Проверим состояние фонового задания Обновление прав доступа.
3. Для принудительного и немедленного обновления прав откроем служебную обработку «Обновление прав доступа» и нажмем команду «Пересчитать права».

Дополнительные факторы, влияющие на видимость документов

Если после удаления ролей без RLS пользователь все еще видит не предназначенные ему данные, проанализируем следующие параметры системы:

1. Настройки рабочей группы документа: если в карточке внутреннего документа включена рабочая группа и установлен флаг Запретить доступ всем, кроме участников рабочей группы, доступ предоставляется строго указанным в ней лицам. Если рабочая группа пуста, видимость определяется правилами папки и политиками доступа.
2. Делегирование прав: проверим справочник Делегирование прав. Если сотруднику делегированы права руководителя или секретаря на период отпуска/командировки, он получает все полномочия замещаемого лица.
3. Отчет по правам конкретного объекта: перейдем в карточку проблемного документа, выберем в панели навигации команду «Права доступа» и нажмем «Рассчитать». Система сформирует подробную расшифровку, показывающую, через какую именно политику, рабочую группу или роль пользователю предоставлено разрешение на чтение или запись.