"Недостаточно прав для использования ресурса с данным HTTP методом"

Отличите от соседних кодов

Этот текст приходит, только когда всё остальное уже прошло: логин верный, сервис опубликован, метод найден. Если пришёл 401, вопрос в пароле, роли раздавать рано. Если 404, сервиса нет в конфигурации или в публикации. Все коды разобраны на странице HTTP-сервис 1С: ошибки 401, 404, 405, 500.

Порядок действий

1. Узнайте точный метод запроса и адрес, которые шлёт клиент, и найдите их в конфигураторе: HTTP-сервис, шаблон URL, метод.
2. Проверьте право под учёткой клиента. Код на сервере, под администратором:

// Право "Использование" на все методы сервиса для конкретного пользователя
Пользователь = ПользователиИнформационнойБазы.НайтиПоИмени("client_user");
Сервис = Метаданные.HTTPСервисы.ИмяСервиса;
Для Каждого Шаблон Из Сервис.ШаблоныURL Цикл
	Для Каждого Метод Из Шаблон.Методы Цикл
		Сообщить(Шаблон.Шаблон + " " + Метод.HTTPМетод + ": "
			+ ПравоДоступа("Использование", Метод, Пользователь));
	КонецЦикла;
КонецЦикла;

Нет на нужной строке - причина подтверждена.

3. Найдите роли, которые дают это право. Тот же ПравоДоступа принимает роль третьим параметром:

Метод = Метаданные.HTTPСервисы.ИмяСервиса.ШаблоныURL.ИмяШаблона.Методы.ИмяМетода;
Для Каждого Роль Из Метаданные.Роли Цикл
	Если ПравоДоступа("Использование", Метод, Роль) Тогда
		Сообщить(Роль.Имя);
	КонецЕсли;
КонецЦикла;

4. Подходящей роли нет или она тянет лишнее - заведите свою, с одним правом “Использование” на нужный метод. Если сервис живёт в расширении, роль кладите туда же. На другие HTTP-сервисы базы такая роль доступа не даёт.
5. Выдайте роль. В типовых на БСП роли напрямую пользователю не назначают: роль добавляют в профиль групп доступа, а пользователя в группу.
6. Если метод внутри читает данные, учётке нужно и право на эти данные. Иначе 403 сменится другой ошибкой прав, уже из запроса: “У пользователя недостаточно прав на исполнение операции над базой данных”.

Как проверить, что исправлено

• Код из шага 2 показывает Да на нужном методе.
• Вызов из клиента в новом сеансе возвращает 200 и ответ сервиса.
• Соседние методы, на которые права не давали, по-прежнему отвечают 403. Так видно, что роль вышла узкой.

Проверять удобнее с машины клиента, той же учёткой:

# curl спросит пароль; метод и тело как у клиента
curl -i -u client_user -X POST -H "Content-Type: application/json" -d "{}" http://srv1c/base1c/hs/your_service/your_method