В типовых конфигурациях на базе БСП (Библиотека стандартных подсистем), к которым относится и 1С:Бухгалтерия предприятия 3.0, задача разграничения прав доступа часто выходит за рамки простого деления «по организациям». Нередко возникает необходимость скрыть от определенных пользователей конкретные типы объектов — например, запретить видеть «Ведомости на выплату зарплаты», при этом оставив доступ к «Авансовым отчетам». Рассмотрим подробнее, какими методами это можно реализовать, проанализируем разницу между профилями и группами доступа, а также изучим программные способы решения задачи.
Самый правильный с точки зрения архитектуры системы способ — это использование штатного механизма ролей. В современных версиях БП 3.0 большинство документов уже имеют отдельные роли на чтение и изменение. Разберем по шагам, как настроить доступ через профили:
ЧтениеАвансовыхОтчетов или ДобавлениеИзменениеАвансовыхОтчетов.ПолныеПрава или ДобавлениеИзменениеДокументовПокупателей), нам придется создать свою роль в расширении.Такой подход является наиболее производительным, так как проверка прав происходит на уровне ядра платформы 1С при выполнении запросов к базе данных. Это исключает лишнюю нагрузку на сервер, в отличие от механизмов RLS (Record Level Security).
Иногда достаточно просто убрать лишние пункты из меню пользователя. Однако, как справедливо замечено в обсуждении, простая настройка интерфейса не защищает данные, если у пользователя есть доступ к меню «Все функции» (в новых версиях — «Функции для технического специалиста»). Выясним, как сделать это ограничение эффективным:
Проанализируем связку интерфейсных ограничений и прав доступа. Чтобы пользователь не мог обойти настроенное меню, выполним следующие действия:
Режим "Все функции" (или Стандартные подсистемы — Доступ к функциям для технического специалиста).Помним: Этот метод является «косметическим». Он подходит, если цель — упростить интерфейс, а не обеспечить строгую безопасность данных, так как через отчеты или связанные документы пользователь все равно может попытаться открыть запрещенный объект.
Если штатных ролей не хватает, а создавать десятки новых ролей слишком трудозатратно, воспользуемся программным методом. Разберем способ перехвата события открытия формы. Это позволит нам гибко управлять доступом, не включая тяжелый механизм RLS.
Рассмотрим пример кода в расширении для общего модуля или через подписку на событие. Мы можем использовать событие ПриСозданииНаСервере для форм документов. Проанализируем пример реализации:
&НаСервере
Процедура ЗапретДоступа_ПриСозданииНаСервереПосле(Отказ, СтандартнаяОбработка)
// Определяем типы документов, доступ к которым нужно ограничить
ТипОбъекта = ТипЗнч(Параметры.Ключ);
Если ТипОбъекта = Тип("ДокументСсылка.ВедомостьНаВыплатуЗарплатыВКассу") Тогда
// Проверяем наличие специальной роли у пользователя
Если Не РольДоступна("РазрешитьПросмотрЗарплатныхДокументов") Тогда
ТекстСообщения = "У вас недостаточно прав для просмотра данного вида документов.";
ОбщегоНазначенияКлиентСервер.СообщитьПользователю(ТекстСообщения);
Отказ = Истина;
КонецЕсли;
КонецЕсли;
КонецПроцедуры
Этот метод хорош тем, что он работает точечно. Однако стоит учитывать, что он блокирует только интерактивное открытие формы. Если данные документа выводятся в отчете, пользователь их увидит. Поэтому данный метод часто комбинируют с ограничением прав на чтение в ролях.
Для правильной настройки прав важно четко понимать разницу между этими объектами в системе 1С. Разберем их назначение:
Ролей (разрешенных действий: чтение, запись, проведение). Например, профиль «Менеджер по продажам» определяет, что в принципе можно работать с заказами и счетами.Таким образом, если нам нужно ограничить доступ именно по виду документа, мы меняем Профиль (состав ролей). Если нужно ограничить доступ по конкретным данным (например, только документы организации «Альфа»), мы настраиваем Группу доступа.
Рассмотрим ситуацию, когда нужно разрешить доступ к документам только тем пользователям, которые указаны в документе (или в связанном контрагенте) как ответственные. В БП 3.0 это реализуется через механизм RLS (Ограничение доступа на уровне записей).
Посмотрим на алгоритм настройки:
Проанализировав все способы, можно сделать вывод: для настройки доступа в разрезе видов документов в БП 3.0 лучше всего комбинировать создание профилей с атомарными ролями и ограничение доступа к техническому меню. Если же требуется сложная логика (зависимость от реквизитов внутри документа), наиболее гибким инструментом будет использование расширений с перехватом событий открытия форм или создание собственных ролей с простыми условиями доступа.