Доброго времени суток)
УПП 1.3. Делаю ограничение на уровне записи для пользователей. Нужно разграничить права доступа для пользователй в зависимости от их принадлежности к организации. Делаю все как описано тут:
RLS

В итоге если я захожу под кладовщиком, то в списке организаций видна одна его организация которая была ему задана. А в списке документа поступления ничего не отображается. Такое ощущение, что RLS режет абсолютно все записи.
Делаю новую произвольную роль с возможностью только чтение документа поступление. В итоге список появляется, но с полями "объект не найден". Как это побороть и добиться того же результата как и в статье?
---
а дальше?
группы, в которые входит этот новый пользователь, и настройки ограничения в этих группах
---
Так в статье совершенно про другие настрйоки говорится.
---
alljoke, (3) sommid, я делаю все аналогично статье. У меня также задействовано две роли - пользователь и кладовщик. Причем на роли кладовщик задействован RLS запрос к документу поступления.
---
покажите что прописано у этой роли
---
sommid,
рлс надо прописывать не только на чтение организации, но и на чтение поступления в зависимости от организации
так RLS на поступлениt и прописано в роли кладовщик, которая в свою очередm присвоена пользователю
---
ну вот. вроде как типовое прописано.
Надо смотреть как настроили, может все-таки не все как в статье )
---
ну так у самой роли с доступом к документам поступления должно быть прописано ограничивающее условие
посмотрите в конфигураторе на типовые роли с документом поступления - какой-то RLS уже наверное настроен, посмотрите, по аналогии должно быть все просто сделать
---
рлс надо прописывать не только на чтение организации, но и на чтение поступления в зависимости от организации
---
хотя это ж типовые возможности, я сразу решил, что добавляли что-то новое в конфигураторе..
надо смотреть конфигу, под руками такой нету
---
sommid, в роли кладовшик и пользователь не меняли ограничение на объекты.
---
кстати да. в типовой УПП 1.3 не надо ничего добавлять руками. все настраивается через настройки прав доступа
---
а если РЛС все таки и на ПТиУ наложен то:
1. неверно наложен РЛС на ПТиУ, в результате чего получается ИСТИНА
2. пользователь получает доступ к ПТиУ через другую роль, где нет РЛС
---
а покажите настройки доступа в предприятии.
может у вас пользователь в нескольких группах доступа и там ограничения пересекаются, вот и выходит, что по по одному ограничению откидываются все организации кроме назначенной, а по второму например склады или еще что?
---
sommid, тоесть сейчас на данный момент кладовщику заданы права кладовщик, к которой есть RLS по организации, контрагенту и складу, по умолчанию ему присвоена роль пользователь(ее не видно в списке это норм) и я добавил новую роль(по рай упр полные права) которая читает новые дописанные справочники и регистры при начале работы системы.
---
а дальше?
группы, в которые входит этот новый пользователь, и настройки ограничения в этих группах
---
Manticor, у меня по ходу не был добавлен пользователь у группу)) писец... sommid, Вы вплотную занимаетесь RLS?
---
у себя настраивали на УТ 11, там же допрограммировал новый вариант ограничения доступа в нужных местах.. не знаю является ли это "вплотную" :)
---
sommid, в продолжении темы) Идея такая. Есть некий справочник - районные управления. В районном управлении есть привязанная к нему организация. Нужно чтобы в зависимости от настройки пользователя по организации ему выводились соответствующие управы.

Первоначальный вид запроса в консоли для RLS такой:

```1c
    ВЫБРАТЬ
    ЭХ_РайонныеУправления.Ссылка,
    ЭХ_РайонныеУправления.ВерсияДанных,
    ЭХ_РайонныеУправления.ПометкаУдаления,
    ЭХ_РайонныеУправления.Предопределенный,
    ЭХ_РайонныеУправления.Код,
    ЭХ_РайонныеУправления.Наименование,
    ЭХ_РайонныеУправления.Организация,
    ЭХ_РайонныеУправления.КоммерческийУчетПоПриборамАбонентом,
    ЭХ_РайонныеУправления.ПривлечениеТретьихЛиц,
    ЭХ_РайонныеУправления.СрокиПередачиПоказаний,
    ЭХ_РайонныеУправления.ОрганМестногоСамоуправления,
    ЭХ_РайонныеУправления.ОрганСанитарногоНадзора,
    ЭХ_РайонныеУправления.ОрганПожарнойБезопасности,
    ЭХ_РайонныеУправления.РежимКачестваУслуг
    ИЗ
    (ВЫБРАТЬ РАЗЛИЧНЫЕ
    СоставГруппы.Ссылка КАК ГруппаПользователей
    ИЗ
    Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
    ГДЕ
    СоставГруппы.Пользователь = &ТекущийПользователь) КАК ВложенныйЗапрос
    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
    ВНУТРЕННЕЕ СОЕДИНЕНИЕ Справочник.ЭХ_РайонныеУправления КАК ЭХ_РайонныеУправления
    ПО НастройкиПравДоступаПользователей.ОбъектДоступа = ЭХ_РайонныеУправления.Организация
    ПО (НастройкиПравДоступаПользователей.ВидОбъектаДоступа = НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа)
    И (НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка))
    И НазначениеВидовОбъектовДоступа.ГруппаПользователей = НастройкиПравДоступаПользователей.Пользователь
    ПО ВложенныйЗапрос.ГруппаПользователей = НазначениеВидовОбъектовДоступа.ГруппаПользователей
    ГДЕ
    НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа В (ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации))
```

Как это перевести на шаблонный язык RLS? Пробую так:
Делаю новую роль. В ней на чтение спр рай управы следующее:

```1c
    ЭХ_РайонныеУправления ИЗ (ВЫБРАТЬ РАЗЛИЧНЫЕ
    СоставГруппы.Ссылка КАК ГруппаПользователей
    ИЗ
    Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
    ГДЕ
    СоставГруппы.Пользователь = &ТекущийПользователь) КАК ГрПользователей
    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
    ВНУТРЕННЕЕ СОЕДИНЕНИЕ Справочник.ЭХ_РайонныеУправления КАК ЭХ_РайонныеУправления
    ПО НастройкиПравДоступаПользователей.ОбъектДоступа = ЭХ_РайонныеУправления.Организация
    ПО (НастройкиПравДоступаПользователей.ВидОбъектаДоступа = НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа)
    И (НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка))
    И НазначениеВидовОбъектовДоступа.ГруппаПользователей = НастройкиПравДоступаПользователей.Пользователь
    ПО ГрПользователей.ГруппаПользователей = НазначениеВидовОбъектовДоступа.ГруппаПользователей
    ГДЕ НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа В (ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации))
```

В итоге при запуске от кладовщика пишет что не найден объект.
PS идею RLS брал от роли пользователь на спр Организации.
---
да там должно быть все просто. в новую роль нужно скопировать шаблоны с уже существующей роли и просто по аналогии прописать текст, где вы сейчас свой запрос вставили.
Там скорее всего просто понадобится указать поле из которого нужно брать значение для проверки ограничения.. и возможно тип ограничения.
Покажите целиком текст ограничения как он прописан у роли Кладовщик, например, для того же документа Поступление товаров и услуг
---
sommid, для документа ПТиУ на роли кладовщик такая RLS:

```1c
    #Если &ИспользоватьОграничениеПоКонтрагенты ИЛИ &ИспользоватьОграничениеПоОрганизации ИЛИ &ИспользоватьОграничениеПоСклады #Тогда
    ТекущаяТаблица
    ИЗ
    #ТекущаяТаблица КАК ТекущаяТаблица
    ЛЕВОЕ СОЕДИНЕНИЕ (ВЫБРАТЬ РАЗЛИЧНЫЕ
    СоставГруппы.Ссылка КАК ГруппаПользователей
    ИЗ
    Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
    ГДЕ
    СоставГруппы.Пользователь = &ТекущийПользователь) КАК ГруппыПользователей
    ПО (ИСТИНА)
    ГДЕ
    НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL
    И
    (НЕ 1 В
    (ВЫБРАТЬ ПЕРВЫЕ 1
    1
    ИЗ
    РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа

    #Если &ИспользоватьОграничениеПоКонтрагенты #Тогда
    ЛЕВОЕ СОЕДИНЕНИЕ Справочник.Контрагенты КАК Контрагенты
    ПО Контрагенты.Ссылка = ТекущаяТаблица.Контрагент
    #КонецЕсли

    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
    ПО
    НастройкиПравДоступаПользователей.ОбъектДоступа = ВЫБОР

    #Если &ИспользоватьОграничениеПоКонтрагенты #Тогда
    КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Контрагенты)
    ТОГДА ЕСТЬNULL(Контрагенты.ГруппаДоступаКонтрагента, ЗНАЧЕНИЕ(Справочник.ГруппыДоступаКонтрагентов.ПустаяСсылка))
    #КонецЕсли

    #Если &ИспользоватьОграничениеПоОрганизации #Тогда
    КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
    ТОГДА ТекущаяТаблица.Организация
    #КонецЕсли

    #Если &ИспользоватьОграничениеПоСклады #Тогда
    КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Склады)
    ТОГДА ТекущаяТаблица.СкладОрдер
    #КонецЕсли

    КОНЕЦ
    И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа
    И
    НастройкиПравДоступаПользователей.ОбластьДанных =
    #Если &ИспользоватьОграничениеПоКонтрагенты #Тогда
    ВЫБОР КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Контрагенты)
    ТОГДА ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.КонтрагентыДанные)
    ИНАЧЕ
    ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)
    КОНЕЦ
    #Иначе
    ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)
    #КонецЕсли

    И НастройкиПравДоступаПользователей.Пользователь = ГруппыПользователей.ГруппаПользователей
    ГДЕ
    НазначениеВидовОбъектовДоступа.ГруппаПользователей = ГруппыПользователей.ГруппаПользователей
    И НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа В (
    ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПустаяСсылка)

    #Если &ИспользоватьОграничениеПоКонтрагенты #Тогда
    , ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Контрагенты)
    #КонецЕсли

    #Если &ИспользоватьОграничениеПоОрганизации #Тогда
    , ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
    #КонецЕсли

    #Если &ИспользоватьОграничениеПоСклады #Тогда
    , ВЫБОР КОГДА ТекущаяТаблица.СкладОрдер ССЫЛКА Справочник.Склады
    ТОГДА ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Склады)
    КОНЕЦ
    #КонецЕсли

    )

    И НастройкиПравДоступаПользователей.ОбъектДоступа ЕСТЬ NULL))
    #КонецЕсли
```

Вот тут Права доступа сказано, что ТекущаяТаблица это имя таблицы, к которой выполняется запрос. Тоесть у нас запрос выполняетяс к списку справочника управы и в параметр ТекущаяТаблица.#Параметр(1) передается каждая запись документа-списка? Как эту текТаблицу к запросу RLS привязать?
---
это что-то вроде ключевого слова.. 1С сама понимает, что вместо #ТекущаяТаблица надо подставить имя таблицы, к которой пишем запрос
я думаю если этот текст целиком вставить в вашу новую роль и аккуратно поудалять блоки про
#Если &ИспользоватьОграничениеПоКонтрагенты #Тогда
...
#КонецЕсли
и
#Если &ИспользоватьОграничениеПоСклады #Тогда
...
#КонецЕсли
то должно все работать.
у вас же реквизит в справочнике называется Организация, так что все должно работать
---
sommid, не совсем))) приведенный выше запрос RLS от роли кладовщика заточен сугубо для спр Организации. У меня же в системе есть ряд объектов с типом рай. управы. То есть мы в зависимости от настройки пользователя в запросе что я привел выше определяем организацию ограничения для пользователя если таковая имеется для пользователя и смотрим соответствующую ей рай.управу. Получается что этот запрос

```1c
    ВЫБРАТЬ
    ЭХ_РайонныеУправления.Ссылка,
    ЭХ_РайонныеУправления.ВерсияДанных,
    ЭХ_РайонныеУправления.ПометкаУдаления,
    ЭХ_РайонныеУправления.Предопределенный,
    ЭХ_РайонныеУправления.Код,
    ЭХ_РайонныеУправления.Наименование,
    ЭХ_РайонныеУправления.Организация,
    ЭХ_РайонныеУправления.КоммерческийУчетПоПриборамАбонентом,
    ЭХ_РайонныеУправления.ПривлечениеТретьихЛиц,
    ЭХ_РайонныеУправления.СрокиПередачиПоказаний,
    ЭХ_РайонныеУправления.ОрганМестногоСамоуправления,
    ЭХ_РайонныеУправления.ОрганСанитарногоНадзора,
    ЭХ_РайонныеУправления.ОрганПожарнойБезопасности,
    ЭХ_РайонныеУправления.РежимКачестваУслуг
    ИЗ
    (ВЫБРАТЬ РАЗЛИЧНЫЕ
    СоставГруппы.Ссылка КАК ГруппаПользователей
    ИЗ
    Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
    ГДЕ
    СоставГруппы.Пользователь = &ТекущийПользователь) КАК ВложенныйЗапрос
    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
    ВНУТРЕННЕЕ СОЕДИНЕНИЕ Справочник.ЭХ_РайонныеУправления КАК ЭХ_РайонныеУправления
    ПО НастройкиПравДоступаПользователей.ОбъектДоступа = ЭХ_РайонныеУправления.Организация
    ПО (НастройкиПравДоступаПользователей.ВидОбъектаДоступа = НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа)
    И (НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка))
    И НазначениеВидовОбъектовДоступа.ГруппаПользователей = НастройкиПравДоступаПользователей.Пользователь
    ПО ВложенныйЗапрос.ГруппаПользователей = НазначениеВидовОбъектовДоступа.ГруппаПользователей
    ГДЕ
    НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа В (ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации))
```

возвращает нам ту управу, которая привязана к разрешенной организации. У нас есть текущая таблица. Скорее всего это псевдоним справочника рай. управ. Может нужно как то параметр передать в виде тек. ссылки чтобы заработал RLS ?
---
приведенный выше запрос RLS от роли кладовщика заточен сугубо для спр Организации - с чего это? вроде ж это текст для ПТиУ, и в нем нет ни слова в явном виде про таблицу ПоступлениеТоваровУслуг и там заточено под 3 вида ограничения и по тексту видно, что в явном виде прописаны условия по имени реквизита, для которого есть RLS: для организации в документе поступления есть реквизит Организация => в тексте:

```1c
    НастройкиПравДоступаПользователей.ОбъектДоступа = ВЫБОР

    #Если &ИспользоватьОграничениеПоКонтрагенты #Тогда
    КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Контрагенты)
    ТОГДА ЕСТЬNULL(Контрагенты.ГруппаДоступаКонтрагента, ЗНАЧЕНИЕ(Справочник.ГруппыДоступаКонтрагентов.ПустаяСсылка))
    #КонецЕсли

    #Если &ИспользоватьОграничениеПоОрганизации #Тогда
    КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
    ТОГДА ТекущаяТаблица.Организация // - это реквизит текущей таблицы по которому проверяем RLS
    #КонецЕсли

    #Если &ИспользоватьОграничениеПоСклады #Тогда
    КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Склады)
    ТОГДА ТекущаяТаблица.СкладОрдер
    #КонецЕсли
```

в вашем справочнике ссылка на организацию имеет то же имя реквизита "Организация" => блок условий из ПТиУ должен подойти и для вашего справочника, а т.к. в вашем справочнике нет реквизитов Склад и Контрагент и не нужно ограничение по этим видам ограничения => эти блоки из текста надо и убрать, как я предлагал выше.
Итого мое мнение осталось тем же ). Была б конфига даже и попробовал бы, уверен, что должно работать
---
sommid, да, на спр где есть реквизит типом организация работает. А если в объекте нет организации - а только рай управление? Как текущую таблицу без орг привязать.
---
вместо

```1c
    КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
    ТОГДА ТекущаяТаблица.Организация // - это реквизит текущей таблицы по которому проверяем RLS
    #КонецЕсли
```

нужно правильно прописать путь к нужному полю, если в объекте имя Реквизита рай управления РайонноеУправление, то так:

```1c
    КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
    ТОГДА ТекущаяТаблица.РайонноеУправление.Организация // - это реквизит текущей таблицы по которому проверяем RLS
    #КонецЕсли
```
---
sommid, по идее правильно, определяем орг из рай управы, но при таком подходе пишет ошибка доступа. получается мы сначала обращаемся к управе, на которой RLS а только потом к организации.
---
возможно.. не сталкивался с таким, ну тогда как вариант сделать в объекте в явном виде реквизит Организация )
---
на всякий случай уточню: вы же не скопировали из моих сообщений вместе с тегами <b>?
---
sommid, да, конечно без жирного))
сделал так:

```1c
    #Если &ИспользоватьОграничениеПоОрганизации #Тогда
    ТекущаяТаблица
    ИЗ
    #ТекущаяТаблица КАК ТекущаяТаблица
    ЛЕВОЕ СОЕДИНЕНИЕ (ВЫБРАТЬ РАЗЛИЧНЫЕ
    СоставГруппы.Ссылка КАК ГруппаПользователей
    ИЗ
    Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
    ГДЕ
    СоставГруппы.Пользователь = &ТекущийПользователь) КАК ГруппыПользователей
    ПО (ИСТИНА)
    ГДЕ
    НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL
    И
    (НЕ 1 В
    (ВЫБРАТЬ ПЕРВЫЕ 1
    1
    ИЗ
    РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа

    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
    ПО
    НастройкиПравДоступаПользователей.ОбъектДоступа = ВЫБОР

    КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
    ТОГДА ТекущаяТаблица.РайонноеУправление.Организация
    КОНЕЦ
    И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа
    И
    НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)
    И НастройкиПравДоступаПользователей.Пользователь = ГруппыПользователей.ГруппаПользователей
    ГДЕ
    НазначениеВидовОбъектовДоступа.ГруппаПользователей = ГруппыПользователей.ГруппаПользователей
    И НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа В (
    ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПустаяСсылка)
    , ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации))

    И НастройкиПравДоступаПользователей.ОбъектДоступа ЕСТЬ NULL))
    #КонецЕсли
```

и так:

```1c
    #Если &ИспользоватьОграничениеПоОрганизации #Тогда
    ТекущаяТаблица
    ИЗ
    #ТекущаяТаблица КАК ТекущаяТаблица
    ВНУТРЕННЕЕ СОЕДИНЕНИЕ (ВЫБРАТЬ
    НастройкиПравДоступаПользователей.ОбъектДоступа КАК ОбъектДоступа,
    ЭХ_РайонныеУправления.Ссылка КАК РайУправа
    ИЗ
    (ВЫБРАТЬ РАЗЛИЧНЫЕ
    СоставГруппы.Ссылка КАК ГруппаПользователей
    ИЗ
    Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
    ГДЕ
    СоставГруппы.Пользователь = &ТекущийПользователь) КАК ВложенныйЗапрос
    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
    ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
    ВНУТРЕННЕЕ СОЕДИНЕНИЕ Справочник.ЭХ_РайонныеУправления КАК ЭХ_РайонныеУправления
    ПО НастройкиПравДоступаПользователей.ОбъектДоступа = ЭХ_РайонныеУправления.Организация
    ПО (НастройкиПравДоступаПользователей.ВидОбъектаДоступа = НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа)
    И (НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка))
    И НазначениеВидовОбъектовДоступа.ГруппаПользователей = НастройкиПравДоступаПользователей.Пользователь
    ПО ВложенныйЗапрос.ГруппаПользователей = НазначениеВидовОбъектовДоступа.ГруппаПользователей
    ГДЕ
    НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа В (ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации))) КАК ТекОрг
    ПО ТекущаяТаблица.РайонноеУправление = ТекОрг.РайУправа
    #КонецЕсли
```

ругается на ошибку прав доступа
---
покажите итоговый текст запроса
---
вроде верно.. ну тогда не знаю. Или пробуйте дальше гуглить или явно добавляйте реквизит Организация и уже по нему RLS
---
sommid, оказывается не была включена галка "просмотр"))
---
понятно )
ну так оно у вас и без rls должно было ругаться.