для регистра Продажи на вкладке права, для права "чтение":
- для одной роли прописан один запрос на ограничение (по проектам),
- для второй - другой (по номенклатуре),
- для третьей роли - и по номенклатуре и по проектам

если у пользователя назначено несколько этих ролей, то

1. по какому принципу будут применяться эти ограничения ?
если в терминах множеств: это будет объединение или пересечение получаемых записей? не могу понять приоритетность (что-то подсказывает что по максимуму, т.е. объединение)

2. роль "полные права" у пользователей поудалял, но как выщимить из десятков ролей пользователя, ту или те, скажем так, дающие "максимальные" права ?
из-за которых не срабатывает ни одно ограничение, не смотря на то, что назначены роли из самого начала поста


сейчас делаю перебором - удалил роль у пользователя (или профиля), перезапустил 1С под ним, сформировал отчет, там все данные, значит не ту удалил, следующая и т.д. но этож аццкий труд

какие есть варианты ?

(0) в 1С политика разрешения - если хоть в одной роли разрешено, то разрешено совсем.

где-то видел отчет, которые по метаданным в удобной форме выводит.

Ну а сам обычно в конфигураторе делаю "Все роли" - там по метаданным сквозной просмотр всех ролей

(1) я правильно понимаю, что для отчетов на СКД на всех "других" ролях нужно поснимать право "чтение", и всем пользователям нужно назначить одну из трех ролей указанных в самом начале

и насчет "десЯтков ролей" - погорячились. Нужно было к правам на метаданные привязывать Роли, а не в Роли пихать права.

Функциональные возможности отдельно взятого Пользователя создаются из назначения ему множества Ролей. Соотв. сами отдельно взятые Роли не должны быть перегружены большим количеством прав от большого числа объектов.

а в большой конфиге это все дело разруливать тяжело, конечно.

решил так:
всем ролям имеющим право на чтение регистра продажи кроме этих трех ролей прописал в ограничении доступа

Продажи ГДЕ ЛОЖЬ


всем пользователям раздал одну из трех ролей

(6) нормально. Я нечто похоже в УПП видел однажды уже после внедрения.