Профили, группы доступа и роли: где на самом деле меняются права пользователя в 1С 8.3

В типовых конфигурациях 1С 8.3 (Бухгалтерия 3.0, ЗУП 3.1, УТ 11, Комплексная автоматизация) права меняют не в Конфигураторе, а в режиме Предприятия: Администрирование → Настройки пользователей и прав → Группы доступа. Пользователя включают в группу доступа, а группа ссылается на профиль — набор ролей. Хотите изменить права доступа сотруднику — меняйте состав его групп или настройки профиля. Новые права начнут действовать, когда пользователь перезайдёт в программу.

Конфигуратор с его ролями нужен в двух случаях: в нетиповой базе без механизма групп доступа и когда нужной роли просто нет. Ниже оба пути, плюс ограничение по организациям на уровне записей и разбор частых ошибок.

Как устроены права в 1С 8.3: три уровня

Права пользователя в 1С 8 складываются из трёх слоёв. Путаница между ними — главная причина, почему «поставил галочку, а ничего не изменилось».

Главное правило: права в 1С только складываются. Если сотрудник состоит в двух группах, он получает объединение ролей обеих. Запретить через одну группу то, что разрешено другой, нельзя. Чтобы урезать права, сотрудника убирают из лишней группы или собирают для него профиль без нужной роли.

Изменение прав доступа в режиме Предприятия

Это основной и безопасный способ. Нужны права администратора (профиль «Администратор»). Сначала проверьте, что включены нужные настройки.

Шаг 1. Включите настройку групп доступа

1. Откройте Администрирование → Настройки пользователей и прав.
2. Убедитесь, что в разделе доступны ссылки на группы доступа и профили. В небольших конфигурациях иногда включено упрощённое назначение прав прямо в карточке пользователя — тогда переключите режим на группы доступа.
3. Если планируете ограничивать доступ по организациям, складам или подразделениям, включите флажок Ограничивать доступ на уровне записей. Без него ограничения по значениям в группах игнорируются.

Шаг 2. Посмотрите, какие права у сотрудника сейчас

1. Перейдите в Администрирование → Настройки пользователей и прав → Пользователи.
2. Откройте карточку сотрудника.
3. Нажмите Права доступа в верхней части карточки. Откроется список групп, в которые он входит.

Из этой же формы можно сформировать отчёт по правам: какие роли пользователь получил и через какие группы. Это быстрый способ найти «лишнюю» группу, которая даёт больше, чем нужно.

Шаг 3. Измените состав групп

• ➕ Добавить права — включите сотрудника в группу с нужным профилем. В форме прав доступа отметьте группу флажком или откройте группу и добавьте его на вкладке участников.
• ➖ Убрать права — снимите флажок у группы или удалите сотрудника из участников.
• 🔁 Нет подходящей группы — создайте новую: Группы доступа → Создать, выберите профиль, заполните участников.

Записали группу — права изменены. Сотруднику, который сейчас работает в программе, нужно закрыть 1С и зайти заново.

Шаг 4. Проверьте под тестовым пользователем

Заведите пользователя «Тест» с тем же набором групп и войдите под ним во втором окне. Так вы увидите программу глазами сотрудника, не спрашивая его пароль. После проверки тестового пользователя удалите или снимите у него флажок Вход в программу разрешен.

Профили групп доступа: копия вместо правки типового

Профиль — шаблон должности. В типовой конфигурации есть поставляемые профили: «Бухгалтер», «Главный бухгалтер», «Кассир», «Администратор» и другие. Набор зависит от конфигурации.

Поставляемый профиль изменить нельзя: его поля закрыты, а при обновлении программа приводит его к типовому виду. Поэтому рабочий приём такой:

1. Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа.
2. Выделите ближайший по смыслу профиль, например «Бухгалтер».
3. Скопируйте его кнопкой копирования в командной панели (или клавишей F9).
4. Дайте понятное имя: «Бухгалтер без банка», «Менеджер — только просмотр».
5. На вкладке разрешённых действий (ролей) снимите лишние роли или добавьте недостающие.
6. Запишите профиль, затем переключите на него группу доступа.

Названия ролей в профиле человекочитаемые: «Добавление и изменение банковских документов», «Чтение отчётов», «Использование ЭДО». Ориентируйтесь по ним и проверяйте результат тестовым пользователем — одна роль иногда открывает больше объектов, чем следует из названия.

Ограничения в профиле и в группе

На вкладке ограничений профиля задаются виды доступа: организации, группы пользователей, склады, группы партнёров — в зависимости от конфигурации. Для каждого вида выбирается режим:

Сами значения можно задать прямо в профиле (тогда они общие для всех групп этого профиля) или оставить «настраиваемыми в группах». Второй вариант удобнее: один профиль «Бухгалтер» и несколько групп — «Бухгалтер ООО Альфа», «Бухгалтер ООО Бета», где в каждой разрешена своя организация.

Роли в Конфигураторе: когда без них не обойтись

Конфигуратор нужен, если в базе нет групп доступа или ни одна типовая роль не даёт нужного сочетания прав.

Назначить роль пользователю (база без БСП)

1. Откройте Конфигуратор, меню Администрирование → Пользователи.
2. Откройте пользователя, перейдите на вкладку Прочие.
3. Отметьте флажками нужные роли и нажмите OK.

Создать свою роль

Роль — объект конфигурации в ветке Общие → Роли. В редакторе роли слева дерево объектов, справа флажки прав: Чтение, Добавление, Изменение, Удаление, Просмотр, Редактирование, Проведение, Отмена проведения, Интерактивное удаление и другие — набор зависит от типа объекта.

Внизу редактора три флажка, от которых зависит поведение роли:

• 🆕 Устанавливать права для новых объектов — добавленные позже объекты сразу получат права. Для узких ролей держите выключенным.
• 📋 Права на реквизиты по умолчанию — реквизиты наследуют права объекта.
• 🔗 Независимые права подчиненных объектов — права табличных частей и реквизитов задаются отдельно.

Не меняйте роли типовой конфигурации на поддержке. Правка снимет объект с поддержки, а каждое обновление превратится в ручное сравнение. Правильный путь — создать роль в расширении конфигурации (Конфигурация → Расширения конфигурации). Роль из расширения можно назначить пользователю, а в актуальных версиях БСП она также появляется в списке ролей профиля групп доступа.

Порядок действий в расширении:

1. Создайте расширение или откройте существующее.
2. Заимствуйте объекты, к которым нужен доступ (контекстное меню объекта → «Добавить в расширение»).
3. Создайте роль, отметьте права на заимствованные объекты.
4. Обновите расширение в базе (F7) и перезапустите Предприятие.
5. Добавьте роль в свою копию профиля.

Доступ к отдельным записям: RLS

RLS (Record Level Security, ограничение на уровне записей) решает задачу «бухгалтер видит документы только своей организации». В роли можно разрешить чтение справочника или документа целиком, а RLS отсечёт строки по условию.

В типовой конфигурации RLS включается флажком Ограничивать доступ на уровне записей и настраивается через виды доступа в группах — писать код не нужно. Схема для бухгалтера одной организации:

1. Скопируйте профиль «Бухгалтер», на вкладке ограничений для вида «Организации» задайте режим Все запрещены с настройкой в группах.
2. Создайте группу «Бухгалтер ООО Альфа» на этом профиле.
3. В группе в списке разрешённых организаций укажите «ООО Альфа».
4. Включите в группу сотрудника, запишите.

После фонового обновления доступа сотрудник увидит в списках только документы ООО Альфа, а в отчётах — только её данные.

RLS в своей роли

В нетиповой базе ограничение пишут вручную. В редакторе роли выберите объект, право Чтение и в нижней части откройте поле ограничения доступа к данным. Условие записывается на языке запросов, параметры — это параметры сеанса:

ГДЕ Организация = &ТекущаяОрганизация

Здесь ТекущаяОрганизация — параметр сеанса, который заполняется при входе пользователя в модуле сеанса. Ограничение ставят на все права, которые его касаются: если закрыть только Чтение, а Изменение оставить без условия, поведение будет непредсказуемым.

Как запретить действие, если права только складываются

Явного «запрещающего» права в 1С нет. Задачи вида «всё можно, кроме…» решают так:

Даты запрета изменения — отдельный механизм поверх ролей. Даже бухгалтер с полными правами на документы не изменит документ раньше установленной даты. Найти настройку проще всего через поиск по разделу Администрирование: она называется «Даты запрета изменения». Можно задать общую дату для всех и отдельную — для конкретного пользователя или организации.

Если права не применились: диагностика

Частые ошибки администратора

• 🔓 Давать «Администратора» всем, «чтобы не мешало». Через месяц никто не знает, кто удалил документ.
• 📝 Править роли типовой конфигурации на поддержке вместо расширения.
• 👥 Создавать по профилю на каждого сотрудника. Профиль — под должность, а различия по данным решаются группами.
• 🧪 Проверять настройку под своей учёткой с полными правами. Ограничения видно только под пользователем без них.

Частые вопросы