← На главную

При сопровождении распределенных информационных баз (РИБ) разработчики нередко сталкиваются с ситуацией: в конфигурацию добавляются новые объекты и роли, права назначаются пользователям, но после очередного сеанса обмена данными у всех пользователей, кроме администраторов, сбрасываются назначенные права. В результате при входе в программу пользователи получают ошибку отсутствия прав на запуск клиента или доступ к документам. Выясним причину такого поведения платформы и разберем по шагам правильный порядок настройки прав.

Причина сброса прав в конфигурациях на базе БСП

Проанализируем архитектуру подсистемы безопасности в современных типовых конфигурациях, таких как 1С:Бухгалтерия предприятия 3.0. В основе управления правами лежит Библиотека стандартных подсистем (БСП), а именно подсистемы Пользователи и УправлениеДоступом.

В типовых конфигурациях список ролей объекта ПользователиИнформационнойБазы является зависимым и формируется автоматически. При выполнении синхронизации данных по РИБ, авторизации пользователей или фоновом обновлении служебных данных вызываются процедуры общего модуля УправлениеДоступомСлужебный, которые полностью перезаписывают состав ролей пользователя на основании данных справочников ГруппыДоступа и ПрофилиГруппДоступа.

Если назначить роли пользователю напрямую в Конфигураторе через флажки в карточке пользователя, то при первой же автоматической актуализации доступа или после обмена РИБ подсистема БСП сотрет эти роли, посчитав их несанкционированными.

Пошаговый алгоритм правильной настройки прав

Разберем последовательность действий для корректного внедрения новых ролей в базу с настроенным РИБ.

1. Обновление метаданных в конфигурации: создадим необходимые роли в Конфигураторе, назначим права на добавленные документы, регистры или справочники. Обязательно выполним сохранение конфигурации базы данных в Центральной базе (ЦБ).
2. Актуализация идентификаторов объектов: запустим базу в режиме 1С:Предприятие для обновления данных БСП. При необходимости запустим сеанс с параметром: /C ЗапуститьОбновлениеИнформационнойБазы Это позволит подсистеме управления доступом увидеть добавленные роли в таблицах метаданных.
3. Создание пользовательского профиля групп доступа: перейдем в раздел администрирования прав. Создадим новый элемент справочника ПрофилиГруппДоступа (или скопируем существующий типовой профиль). Важно: не следует добавлять новые роли в типовые предопределенные профили, так как при обновлении конфигурации их состав будет автоматически сброшен к эталонному.
4. Включение ролей в профиль: в созданном профиле отметим флажками добавленные пользовательские роли и запишем изменения.
5. Назначение групп доступа: создадим элемент справочника ГруппыДоступа, выберем созданный профиль и добавим в табличную часть нужных пользователей.
6. Полный цикл синхронизации РИБ: выполним сеанс выгрузки из Центральной базы (ЦБ) в Периферийную (ПБ), применим изменения конфигурации и данных в ПБ, после чего обязательно запустим ответную выгрузку из ПБ в ЦБ.

Проверка регистрации изменений и коллизий обмена

Рассмотрим еще одну распространенную причину затирания прав — зацикливание или некорректная регистрация изменений в узлах плана обмена. Если в периферийной базе состав прав пользователя отличается, а номера сообщений обмена сбились, данные из ПБ могут постоянно перезаписывать настройки в ЦБ при каждом сеансе связи.

Проанализируем состояние очереди регистрации через обработку Регистрация изменений для обмена:

1. Проверим регистрацию по справочникам Пользователи, ГруппыДоступа, ПрофилиГруппДоступа и регистрам сведений, входящим в подсистему прав (например, ГруппыЗначенийДоступа, ТаблицыГруппДоступа).
2. Убедимся, что после успешного завершения двустороннего обмена (ЦБ → ПБ → ЦБ) в узле плана обмена не остается «зависших» объектов, ожидающих повторной отправки.
3. Если обнаружены неудаляемые записи из-за сбившейся нумерации сообщений, очистим регистрацию для синхронизированных объектов или восстановим соответствие номеров принятых и отправленных пакетов.

Нюансы работы с административными правами

Обратим внимание на особенность работы с администраторами. Если пользователю назначен предопределенный профиль Администратор (содержащий полные права и право администрирования), БСП принудительно удерживает для него только эталонный административный набор ролей. Дополнительные нестандартные роли у таких пользователей могут очищаться платформой автоматически, поскольку наличие полных прав уже предоставляет доступ ко всем объектам системы по умолчанию.