Аудит прав доступа в 1С — права ролей, групп и пользователей в одном окне

Кладовщик открывает документ, который должен видеть только бухгалтер, а разобраться, откуда у него это право, за пять минут не получается. Штатный отчет «Права доступа» из карточки пользователя отвечает односложно: право есть — и на этом останавливается. Он не говорит, через какую роль оно пришло, не сравнивает этого сотрудника с соседом по отделу и не сохраняет результат в файл для проверки. В упрощенных редакциях (УНФ, Рознице, базовых поставках) такого отчета нет вовсе: он держится на подсистеме БСП «Управление доступом», которая туда не входит.

Обработка читает права ролей, групп доступа и пользователей прямо из метаданных конфигурации функцией платформы ПравоДоступа() — без обращения к подсистеме БСП, поэтому запускается в любой из 13 поддерживаемых конфигураций, с «Управлением доступом» или без него. Нужна платформа 1С:Предприятие 8.3.18 или новее. Обработка ничего не меняет: роли, профили и группы доступа остаются как есть, поэтому ее безопасно открыть в рабочей базе, в том числе на компьютере главного бухгалтера.

Чем аудит прав доступа отличается от типового отчета «Права доступа» в 1С

Типовой отчет «Права доступа» отвечает на один вопрос: какие права есть у выбранного сотрудника. Откуда право взялось — через какую роль или группу доступа — он не показывает. Сравнить двух сотрудников между собой в нем нельзя, выгрузить таблицу в файл тоже. Соседние отчеты «Права ролей» и «Анализ прав доступа» показывают тот же список с другой стороны, от ролей, но сравнения и выгрузки нет и в них.

Есть и второе ограничение. Все три отчета входят в подсистему БСП «Управление доступом». Если конфигурация поставляется без нее — так устроены УНФ, Розница и базовые версии, — этих отчетов в базе просто нет, и смотреть права приходится вручную по каждой роли.

Права ролей по объектам метаданных

Обработка открывается сразу на экране «Права ролей по объектам метаданных». У него две закладки. На первой, Объекты метаданных, лежит дерево объектов с группировкой по типу: документы, справочники, регистры и другие типы отдельными ветками. Раскройте нужную ветку и отметьте флажком Учитывать тип объекта целиком или один конкретный объект. Затем перейдите на вторую закладку, Таблица ролей, и нажмите кнопку Заполнить в командной панели над таблицей — она заполнится ролями и их правами «Просмотр», «Создание», «Редактирование», «Проведение» и «Удаление» на отмеченные объекты.

В типовой УТ 11.5 около полутора тысяч ролей, поэтому таблица без отбора быстро становится нечитаемой. Отбор задается именно флажками Учитывать на закладке «Объекты метаданных»: в таблицу попадают только те объекты, которые отмечены, и только роли, у которых на эти объекты есть хоть одно право. Полное построение таблицы по всем типам объектов на типовой УТ 11.5 занимает около минуты — если нужен быстрый результат, отметьте один тип объекта, а не все сразу, прежде чем нажать Заполнить.

Все права роли или группы доступа целиком

Все права для роли и Все права для группы — это не кнопки, а пункты контекстного меню заполненной таблицы на закладке «Таблица ролей»: щелкните правой кнопкой мыши по строке нужной роли или группы доступа и выберите нужный пункт. Каждый из них строит полный список прав выбранного субъекта сразу по всем объектам конфигурации, независимо от того, что отмечено на закладке «Объекты метаданных». Это ответ на вопрос, что вообще дает роль или группа доступа целиком, а не только на одном документе или справочнике. Результат открывается в отдельном окне «Все права роли или группы доступа».

Права пользователя — через какую роль и группу доступа они получены

Кнопка Права пользователя внизу главной формы открывает окно «Права пользователя». В поле Пользователь выбирается имя из списка пользователей информационной базы, кнопка Заполнить внизу формы строит список объектов деревом с группировкой по типу метаданных — константы, документы, справочники, планы видов характеристик, отчеты, обработки, регистры накопления, регистры бухгалтерии и регистры сведений отдельными ветками, а не одним сплошным списком, как раньше. Тип, по которому прав не нашлось, в дереве не показывается. У каждого объекта — права на него и две дополнительные колонки: «Через роли» и «Группы доступа». Именно этих двух колонок нет в типовом отчете «Права доступа»: он отвечает, что право есть, но не отвечает, откуда оно взялось.

Список пользователей информационной базы платформа отдает только тому, у кого есть право «Администрирование». Это ограничение самой платформы 1С, а не обработки. Без этого права поле Пользователь становится недоступным, и на экране появляется пояснение, к кому обратиться. Раздел «Права ролей по объектам» и сравнение ролей при этом продолжают работать — для них право «Администрирование» не нужно.

Колонка «Группы доступа» читается запросом с учетом ограничений на уровне записей: под пользователем без права «Администрирование» она остается пустой, даже если группы доступа в базе есть. Так ведет себя платформа, а не обработка. В конфигурациях без подсистемы «Управление доступом» колонка пустая по другой причине: групп доступа там нет физически, и это ожидаемое поведение.

Сравнение прав пользователей и ролей в 1С

Кнопка Сравнение прав внизу главной формы открывает окно «Сравнение прав» с двумя субъектами: для каждого выбирается вид (роль или пользователь) и его имя. Объекты в результате показаны деревом с той же группировкой по типу метаданных, что и на экране «Права пользователя»; тип, по которому расхождений не нашлось, в дереве не появляется. Флажок Только расхождения включен по умолчанию и оставляет в дереве только те объекты, где права первого и второго субъекта не совпадают; без флажка видно и совпадения тоже. Колонки «Есть у первого» и «Есть у второго» показывают наличие права, колонка «Итог» — совпадают права или нет.

Сравнение экономит время именно там, где типовые отчеты бессильны: понять, чем новый сотрудник на такой же должности отличается от опытного, или сверить две похожие роли перед тем, как одну из них удалить.

Выгрузка прав в Excel

На экранах «Права пользователя» и «Сравнение прав» внизу формы есть кнопка Сохранить в Excel. Она сохраняет таблицу в файл .xlsx с тем же составом колонок и той же группировкой по типу объектов, что на экране. Файл подходит для приложения к регламенту доступа или к акту проверки без пересбора данных вручную.

Работа под пользователем без права «Администрирование»

Обработку можно запускать и под обычным пользователем, если ему разрешено открытие внешних обработок. Права ролей по объектам строятся полностью — они читаются из метаданных, а не из данных базы, и сравнение двух ролей работает так же, как под администратором. Недоступен только список пользователей информационной базы: платформа отдает его исключительно администратору, и это ограничение самой платформы 1С, а не обработки.

Кому подходит аудит прав доступа

Разработка рассчитана на администратора базы или 1С-специалиста, которому нужно быстро ответить на вопрос «кто и почему видит этот документ», и на руководителя, которому нужно показать аудитору состав прав в компании. Если задача — не посмотреть, а изменить роли, профили и группы доступа, обработка для этого не предназначена: она читает права, но не меняет их, а сами роли и профили групп доступа настраиваются штатными средствами платформы.