При работе с системой 1С:Документооборот пользователи иногда сталкиваются с ситуацией, когда после создания нового пользователя и назначения ему полномочий в режиме 1С:Предприятие, права доступа не транслируются в Конфигуратор, и под этим пользователем невозможно войти в программу. Мы разберем эту проблему и предложим комплексное решение, основанное на механизмах работы платформы 1С:Предприятие и особенностях конфигурации 1С:Документооборот.
Основная причина, по которой права, настроенные в режиме 1С:Предприятие, не сразу отображаются в Конфигураторе и не применяются к пользователю, кроется в механизме отложенного обновления прав доступа. Этот механизм разработан для оптимизации производительности системы, особенно в клиент-серверном варианте работы.
Отложенное обновление прав — это механизм, который позволяет не применять изменения прав доступа к объектам системы немедленно, а отложить их выполнение на более позднее время. Обычно это происходит в фоновом режиме, чтобы не замедлять текущую работу пользователей. Представим ситуацию, когда в большой базе данных изменяются права для многих пользователей или объектов – мгновенное применение таких изменений может вызвать значительные задержки и блокировки.
Система 1С фиксирует все изменения прав, а затем применяет их при выполнении специальных процедур, чаще всего — регламентных заданий. Это обеспечивает высокую производительность и минимизирует влияние на работу пользователей.
При включенном режиме отложенного обновления прав все задачи на пересчет и применение изменений попадают в специальную очередь. Эта очередь может быть разделена на "долгую" и "оперативную", которые обрабатываются различными регламентными заданиями. В 1С:Документооборот и других конфигурациях на базе Библиотеки стандартных подсистем (БСП) за это отвечают регламентные задания, такие как Обновление прав доступа (долгое) и Обновление прав доступа (оперативное).
Если вы столкнулись с проблемой неприменения прав, необходимо выполнить следующие шаги:
Для начала, войдите в программу под пользователем с полными правами. Перейдите в раздел Администрирование, затем Настройки пользователей и прав. Найдите и проверьте флажок Отложенное обновление прав доступа. Если этот флажок установлен, это означает, что система будет откладывать применение прав.
Мы рекомендуем, чтобы для клиент-серверного варианта работы этот флажок был включен, так как это способствует лучшей производительности. Однако, для оперативного применения прав, особенно при отладке или первичной настройке, может потребоваться его временное отключение.
Если флажок Отложенное обновление прав доступа был установлен, снимите его. Это принудит систему применять изменения прав незамедлительно.
Даже после снятия флажка, возможно, потребуется принудительно запустить обработки обновления прав, чтобы "догнать" все отложенные изменения. Для этого:
Обновление прав доступа (долгое) и Обновление прав доступа (оперативное), если они доступны для ручного запуска, либо специальную обработку полного обновления прав или точечный пересчет прав доступа для пользователя.После выполнения этих действий права должны корректно проставиться в Конфигураторе, и пользователь сможет войти в программу.
Важно понимать, что когда мы устанавливаем или снимаем флажок Вход в программу разрешен для пользователя в режиме 1С:Предприятие, это действие физически добавляет или удаляет пользователя из списка пользователей информационной базы, который мы видим в Конфигураторе. Однако, детальные права на объекты метаданных, назначаемые ролями в режиме предприятия (полномочия, политики доступа), не всегда полностью "транслируются" в низкоуровневые разрешения, видимые напрямую в Конфигураторе. Конфигуратор показывает базовые, а система 1С:Предприятие оперирует более высокоуровневыми и комплексными механизмами.
Разберем, как правильно создавать пользователей и назначать им права в современных конфигурациях 1С, используя управление пользователями в документообороте.
В современных конфигурациях 1С, особенно тех, что построены на Библиотеке Стандартных Подсистем (БСП), строго рекомендуется создавать всех пользователей исключительно в режиме 1С:Предприятие. При создании элемента справочника Пользователи в режиме предприятия автоматически создается соответствующий пользователь информационной базы (который и видим в Конфигураторе), и его уникальный идентификатор используется для синхронизации всех прав и настроек.
Если же мы попытаемся создать пользователя сначала в Конфигураторе, а затем вручную связать его со справочником Пользователи в режиме 1С:Предприятие, могут возникнуть конфликты.
В 1С:Документооборот права назначаются через комплексную систему, включающую в себя такие механизмы, как делегирование прав и следующие элементы:
Полномочия – это базовые, укрупненные настройки доступа, которые представляют собой готовые наборы ролей. В 1С:Документооборот мы не назначаем пользователю отдельные роли напрямую, но можем назначить одно или несколько полномочий. Эти полномочия определяют, какие основные действия пользователь может выполнять с различными объектами системы (например, создавать документы, регистрировать их, работать с файлами и т.д.).
В версиях 1С:Документооборот 2.1 и более ранних, политики доступа играли ключевую роль. Они определяли права в различных "разрезах": по видам документов, организациям, грифам доступа, вопросам деятельности, подразделениям. Политики могли быть:
Важно отметить, что в 1С:Документооборот 3.0 концепция политик доступа в прежнем виде не используется. Права в 3.0 более автоматизированы и назначаются "по касанию", то есть пользователям, которые непосредственно взаимодействуют с объектом.
Рабочие группы — это мощный инструмент для оперативной настройки прав на уровне конкретных объектов (документов, файлов, проектов). Если у объекта (например, документа) заполнена рабочая группа, ее настройки доступа могут иметь приоритет над общими политиками доступа. Это означает, что если пользователь не входит в рабочую группу конкретного документа, он его не увидит, даже если у него есть общие права по политикам доступа. Рабочие группы могут заполняться вручную, автоматически при продвижении процессов или при создании документа по шаблону.
Дополнительно мы можем настраивать права доступа на уровне конкретных папок для документов, файлов, проектов и других объектов. Это позволяет точечно ограничивать или разрешать действия пользователей с содержимым определенных папок.
Если у документа установлен гриф доступа (например, "Конфиденциально", "Для служебного пользования"), то пользователи, не имеющие явных прав на работу с этим грифом, не смогут увидеть или открыть документ, даже если у них есть другие права на него.
Для запуска клиентского приложения (тонкого или толстого клиента) пользователю необходим минимальный набор прав, который включает разрешение на запуск соответствующего клиента. Если эти базовые права отсутствуют, пользователь не сможет даже войти в программу.
Иногда даже после корректного создания пользователя и назначения полномочий в режиме предприятия, пользователь входит в базу, но не видит ни документов, ни папок, ни других объектов. Мы проанализируем возможные причины и способы диагностики этой проблемы.
Как мы уже выяснили, политики доступа определяют права в различных "разрезах". Если пользователь, включенный в группу "Все пользователи", не видит документов, нам следует внимательно проверить, какие виды документов и в каких разрезах (организация, гриф, вид документа, вопрос деятельности) доступны этому пользователю через политики доступа. В 1С:Документооборот общие разрешения работают по принципу, что доступ к объекту дается только в том случае, если есть доступ ко всем разрезам этого объекта.
Это очень частая причина. Если у конкретного документа или папки заполнена рабочая группа, то настройки доступа, определенные этой рабочей группой, могут иметь приоритет над всеми остальными политиками и полномочиями. Если пользователь не входит в рабочую группу конкретного документа, он просто не увидит этот документ, даже если у него есть общие права. Рабочие группы могут заполняться вручную, автоматически при продвижении процессов или при создании документа по шаблону.
Сотрудники в контейнерах:
Этот регистр сведений является критически важным для корректной работы системы прав доступа в 1С:Документооборот. Он автоматически заполняется при записи сотрудника. Однако могут возникнуть особенности при загрузке данных из других баз или при возникновении ошибок, которые мешают его корректному заполнению. Если у нас есть проблемы с видимостью документов, мы обязательно должны убедиться, что этот регистр заполнен для всех необходимых сотрудников. Если вы перегружали пользователей из другой базы, следует особенно внимательно проверить этот регистр.
В основе системы прав доступа лежат дескрипторы доступа, которые рассчитываются и сохраняются системой. Если эти дескрипторы по какой-либо причине не были обновлены или оказались повреждены, пользователь может не видеть документы. В таких случаях может помочь принудительное обновление дескрипторов доступа через специальные служебные обработки.
В 1С:Документооборот 3.0 реализован механизм "расчета прав по касанию". Это означает, что доступ к документу автоматически получают только те сотрудники, которые с ним непосредственно работают (готовят, подписывают, согласовывают, исполняют и т.д.). Эта настройка может быть опционально отключена через флажок Запретить автоматическое расширение доступа в общих настройках программы. Если этот механизм активен и не настроен должным образом, пользователь, не задействованный напрямую в процессе работы с документом, не увидит его.
Для эффективной диагностики проблем с правами доступа в 1С:Документооборот мы можем использовать встроенные инструменты:
В системе предусмотрены специальные отчеты, такие как Настройки доступа пользователей и Неограниченные права. Эти отчеты позволяют администратору получить полную картину того, какие права действуют для конкретного пользователя или группы, и почему. Мы можем детализировать отчеты по объектам, разрезам, видам документов и другим параметрам.
В карточках документов, файлов, папок и других объектов обычно доступна специальная команда Права доступа. Она позволяет в режиме реального времени проверить, какие пользователи имеют доступ к конкретному объекту и по каким правилам этот доступ предоставляется (через полномочия, политики, рабочие группы, грифы и т.д.). Это очень мощный инструмент для точечной диагностики.
Таким образом, для успешной работы с правами пользователей в 1С:Документооборот нам необходимо не только правильно создавать пользователей и назначать им полномочия, но и учитывать механизм отложенного обновления прав, особенности работы политик доступа, рабочих групп, грифов и регистра Сотрудники в контейнерах. Комплексный подход и использование встроенных средств диагностики помогут нам быстро находить и устранять проблемы с доступом.