← На главную

При администрировании типовых конфигураций 1С на платформе 8.3 специалисты часто сталкиваются со следующей ситуацией: в Конфигураторе создается новая роль (или копия существующей), обновляется конфигурация базы данных, роль назначается пользователю через профиль групп доступа, однако при попытке входа в программу 1С выдает сообщение: «Авторизация не выполнена. Работа пользователя будет завершена. Недостаточно прав для входа в систему. Обратитесь к администратору.»

Рассмотрим причины возникновения этой проблемы, проанализируем архитектуру Библиотеки Стандартных Подсистем (БСП) и разберем пошаговый алгоритм правильной настройки прав доступа.

Анализ причин возникновения ошибки авторизации

В современных типовых решениях (таких как «Бухгалтерия предприятия», «Зарплата и управление персоналом», «Управление торговлей» и региональных конфигурациях) управление правами пользователей вынесено из Конфигуратора в режим 1С:Предприятие. За это отвечает подсистема «Управление доступом» в составе БСП.

Выясним основные причины блокировки входа пользователя при использовании кастомных ролей:

1. Отсутствие системных прав на запуск клиента. На уровне платформы 1С для входа в систему у пользователя должна быть хотя бы одна роль, в которой явно установлены флаги Запуск тонкого клиента, Запуск веб-клиента или Запуск толстого клиента. Если в созданной роли эти флаги сброшены, платформа откланивает авторизацию еще до запуска программного кода конфигурации.
2. Отсутствие базовых прав БСП. Большинство функций интерфейса, служебные справочники и константы доступны только при наличии специальной технической роли — БазовыеПрава (или Пользователь). Если в профиле групп доступа указана исключительно узкая прикладная роль без роли БазовыеПрава, код конфигурации при запуске выявит нехватку прав на служебные объекты и завершит работу сеанса.
3. Жесткая привязка кода к именам ролей. В некоторых конфигурациях логика проведения или открытия форм может содержать явные проверки ролей с использованием функции ПравоДоступа() или РольДоступна(). Если в коде прописано конкретное имя роли, копия роли с новым именем не пройдет эти проверки без доработки программного кода.
4. Неактуальность справочника «Идентификаторы объектов метаданных». При добавлении нового объекта метаданных (роли) в Конфигураторе БСП должна зарегистрировать его в базе данных. Без обновления кэша подсистемы доступа назначение роли через режим Предприятие будет работать некорректно.

Алгоритм корректной настройки роли и прав пользователя

Разберем по шагам правильный порядок действий при создании новой роли и назначении ее пользователю.

Шаг 1. Создание роли в Конфигураторе

Откроем конфигурацию в режиме Конфигуратора и добавим новую роль (или скопируем существующую). Обязательно убедимся, что у создаваемого объекта в корневом узле прав отмечены права на запуск нужных клиентов:

1. Запуск тонкого клиента
2. Запуск веб-клиента
3. Запуск толстого клиента (при необходимости)

Сохраним конфигурацию базы данных.

Шаг 2. Обновление служебных данных подсистемы БСП

Чтобы подсистема управления доступом «увидела» новую роль в справочнике метаданных, заново зарегистрируем объекты. Самый надежный способ сделать это — запустить сеанс 1С:Предприятия под пользователем с полными правами с использованием специального параметра запуска.

Для этого в Конфигураторе перейдем в меню Сервис — Параметры — Запуск 1С:Предприятия и в поле Параметр запуска введем строку:

/C ЗапуститьОбновлениеИнформационнойБазы

После этого запустим сеанс 1С:Предприятия. Программа выполнит процедуры обновления служебных данных, включая заполнение справочника Идентификаторы объектов метаданных.

Шаг 3. Настройка профиля групп доступа в режиме Предприятие

Проанализируем ключевой этап, на котором чаще всего допускается ошибка. В режиме 1С:Предприятие перейдем в раздел Администрирование — Настройки пользователей и прав — Профили групп доступа.

1. Создадим новый Профиль групп доступа (например, «Кладовщик»).
2. В табличной части выбора ролей отметим галочкой нашу новую роль.
3. Обязательное условие: помимо созданной роли, укажем в профиле роль БазовыеПрава (или Пользователь в зависимости от редакции конфигурации). Именно эта роль обеспечивает легитимность авторизации и предоставляет доступ к общим модулям БСП.
4. Запишем и закроем профиль групп доступа.

Шаг 4. Назначение прав пользователю

В режиме 1С:Предприятие откроем справочник Пользователи, выберем нужную учетную запись и перейдем в раздел Права доступа. Установим флажок напротив созданного ранее профиля групп доступа и сохраним настройки.

Обратите внимание: назначать роли напрямую в Конфигураторе для баз на БСП нельзя. При каждом входе пользователя служебные механизмы БСП сверяют роли учетной записи с назначенными Группами доступа в режиме Предприятие и автоматически перезаписывают список ролей.

Важные технические особенности работы с правами

Рассмотрим дополнительные нюансы, которые необходимо учитывать при работе с ограниченными правами пользователей:

1. Разграничение прав на уровне записей (RLS): Если в созданной роли прописано ограничение прав на уровне записей (например, по организациям или складам), у пользователя должны быть корректно заполнены значения доступа в группе доступа. При неинициализированных параметрах сеанса авторизация может прерываться ошибкой прав на чтение служебных регистров.
2. Переименование ролей: Если имя роли изменяется в Конфигураторе после того, как роль уже была задействована в профилях, БСП сочтет ее удаленной. Чтобы избежать потери связей в профилях, переименование объектов БСП следует отражать в процедуре ПриДобавленииПереименованийОбъектовМетаданных общего модуля ОбщегоНазначенияПереопределяемый.
3. Использование расширений конфигурации: Чтобы не снимать основную конфигурацию с поддержки для добавления ролей, создавайте роли в Расширениях конфигурации. Механизм БСП поддерживает интеграцию ролей из расширений и позволяет так же свободно подключать их в профили групп доступа.