В процессе эксплуатации системы 1С:ERP Управление предприятием 2 часто возникает задача предоставить определенным категориям пользователей (например, аудиторам, руководителям или внешним консультантам) доступ ко всем данным системы. При этом критически важно исключить любую возможность случайного или намеренного изменения, удаления или создания новых документов и справочников. На первый взгляд кажется, что в такой мощной конфигурации должна быть типовая роль ТолькоПросмотр, но на практике администраторы сталкиваются с тем, что стандартного решения «одной кнопкой» не существует.
В данной статье мы подробно разберем, как правильно сконструировать профиль доступа «Только чтение», проанализируем причины, по которым объекты могут пропадать из интерфейса, и рассмотрим альтернативные методы ограничения прав. Для ускорения подбора прав пригодится обработка для поиска ролей и профилей доступа к объектам ERP.
Проанализируем архитектуру прав в 1С:ERP. Разработчики системы заложили принцип разделения прав на «Чтение» и «Редактирование» практически для каждого метаобъекта. Чтобы создать корректный профиль, нам необходимо собрать воедино все роли, отвечающие за просмотр данных. Рассмотрим этот процесс по шагам:
Чтение. Нам необходимо отметить все роли, которые начинаются с этого слова (например, ЧтениеЗаказовКлиентов, ЧтениеДанныхПартнеров и т.д.).Разберем ситуацию, описанную многими администраторами: роли на чтение назначены, но разделы (подсистемы) «Склад», «Продажи» или «Закупки» не отображаются. Проблема заключается в отсутствии специальных интерфейсных ролей. В 1С:ERP за видимость каждой вкладки панели разделов отвечают отдельные роли, которые обычно называются Раздел [Название раздела] (например, РазделПродажи). Без их добавления в профиль интерфейс пользователя останется пустым, даже если у него есть права на все документы внутри этого раздела.
Проанализируем разницу между правами Чтение и Просмотр в платформе 1С:
При настройке профиля убедитесь, что выбранные роли включают именно интерактивный просмотр. Если вы создаете свою роль «с нуля» (через конфигуратор или расширение), всегда устанавливайте флаг Просмотр вместе с Чтением.
Если вы настроили профиль, добавили роли разделов, но списки документов все равно пусты — скорее всего, дело в механизме RLS. Рассмотрим, как это работает в ERP. Система проверяет не только право на объект в целом, но и доступ к конкретной записи (например, по Организации или Складу).
Для того чтобы пользователь с правами «Только чтение» видел все данные, необходимо:
ПолныйДоступБезОграничений0 (используйте с осторожностью), которая отключает проверки RLS для данного пользователя.Существует «обходной» путь, который часто предлагают на форумах: дать пользователю Полные права, но установить дату запрета редактирования далеко в будущем (например, 31.12.2040). Давайте выясним, почему этот метод считается небезопасным и неполным:
ПолныеПрава может обходить дату запрета. Эту опцию можно отключить в настройках, но администратор все равно сохраняет техническую возможность её изменить.Таким образом, этот метод подходит только для временного решения под строгим контролем. В качестве более надежной альтернативы можно использовать расширение для блокировки изменений документов и справочников.
Наиболее современным и надежным способом является использование механизма расширений. Это позволяет не вносить изменения в основную конфигурацию и легко обновлять систему. Разберем алгоритм действий программиста:
уд_ТолькоПросмотрВсего).Чтение и Просмотр для всех объектов. При этом снимите флажки Добавление, Изменение и Удаление.Этот способ гарантирует, что пользователь увидит абсолютно все объекты, включая те, для которых в типовой конфигурации могли забыть создать отдельную роль «на чтение».
Рассмотрим ситуацию с обработками и рабочими местами (например, «Доставка» или «Чеки ККМ»). В ERP многие интерфейсы построены на базе обработок. По логике системы, обработка предназначена для выполнения действий. Поэтому роли на «только чтение» для многих рабочих мест просто отсутствуют. Если аудитору нужно увидеть данные, которые отображаются в таком рабочем месте, ему придется открывать непосредственно списки документов через меню Функции для технического специалиста (если оно доступно) или через соответствующие отчеты.
Рекомендованный состав ролей для полноценного «Аудиторского» доступа:
Чтение... (документов и справочников).Раздел... (для отображения вкладок интерфейса).ВыводНаПечатьСохранениеФайлов — без нее пользователь не сможет выгрузить отчет в Excel или сохранить печатную форму.ПросмотрЖурналаРегистрации — если аудитору требуется проверять, кто и когда менял данные.ЧтениеДополнительныхСведений — для видимости доп. реквизитов, созданных пользователями.Подводя итог, можно сказать: настройка прав «Только чтение» в 1С:ERP требует кропотливой работы с профилями групп доступа. Оптимальным решением будет комбинация из типовых ролей на чтение и интерфейсных ролей разделов, дополненная правильной настройкой ограничений доступа (RLS).