Как выдать сотруднику ровно те права в 1С, которые ему нужны

Права пользователя в 1С 8.3 настраивают не в Конфигураторе, а в самой программе: Администрирование → Настройки пользователей и прав. Там сотрудника добавляют в группу доступа, а группа берёт набор ролей из профиля. Готовых профилей хватает для 80–90% задач, свою роль создают в Конфигураторе только тогда, когда типового набора не хватает.

Выбор способа простой. Нужно дать бухгалтеру типовые права — достаточно включить его в группу с профилем «Бухгалтер». Нужно скрыть данные чужой организации — включают ограничение на уровне записей. Нужно запретить одну конкретную операцию, которой нет в профилях — копируют профиль и правят состав ролей. Ниже порядок действий для БП 3.0, ЗУП 3.1 и УТ 11: в них механизм прав одинаковый, он взят из Библиотеки стандартных подсистем.

Где в 1С 8.3 настраиваются пользователи и права

Раздел называется одинаково, а вот вход в него различается по конфигурациям:

В разделе четыре вещи, с которыми вы будете работать:

• 👤 Пользователи — учётные записи сотрудников, под которыми они входят в базу.
• 📦 Профили групп доступа — шаблоны: какой набор ролей получает человек. Например, «Бухгалтер», «Главный бухгалтер», «Только просмотр».
• 👥 Группы доступа — связка «профиль + участники + ограничения». Именно членство в группе даёт права.
• 🗂 Группы пользователей — папки для сотрудников (отдел, филиал). Включаются отдельным флажком и удобны, когда людей больше 10–15.

Здесь же находится флажок «Ограничивать доступ на уровне записей». Пока он выключен, права работают только на уровне объектов: «видит документы реализации или не видит». Включённый флажок позволяет резать данные внутри одного вида документов — например, по организациям.

Создаём пользователя и задаём параметры входа

Откройте Настройки пользователей и прав → Пользователи и нажмите Создать. Дальше по порядку:

1. Полное имя — как сотрудник будет виден в документах и журналах, например «Смирнова Ольга Петровна».
2. Имя для входа — короткий логин в окне запуска: smirnova или Смирнова О.П..
3. В БП и ЗУП заполните поле Физическое лицо — это нужно для подписей в печатных формах и кадрового учёта.
4. Включите флажок «Вход в программу разрешен». Без него карточка существует, но войти по ней нельзя.
5. Выберите способ проверки подлинности:
   • Аутентификация 1С:Предприятия — логин и пароль. Нажмите «Установить пароль » и отметьте «Потребовать смену пароля при входе», чтобы сотрудник сразу придумал свой.
   • Аутентификация операционной системы — вход без пароля под доменной учётной записью Windows. Указывается в формате \\ДОМЕН\логин.
6. Запишите карточку.

Флажок «Показывать в списке выбора» отвечает за то, будет ли имя в выпадающем списке окна входа. Для базы, опубликованной в интернете, его лучше снимать — меньше подсказок посторонним.

Требования к паролям для всех сразу

В актуальных релизах в том же разделе есть настройки входа: там задают минимальную длину пароля, требование сложности, срок действия и автоматическую блокировку тех, кто давно не входил. Настройка общая для всех учётных записей, так что не придётся следить за каждой карточкой отдельно.

Разумный минимум для бухгалтерской базы: пароль от 8 символов, сложный, смена раз в 90 дней. Для внешних подрядчиков полезно ставить срок действия учётной записи — после окончания договора вход закроется сам.

Сразу после записи у сотрудника прав нет: он войдёт, но увидит пустой рабочий стол или сообщение о недостаточных правах. Права появляются на следующем шаге.

Назначаем права через профили и группы доступа

Права выдают двумя путями — через карточку пользователя или через группу доступа. Результат одинаковый.

Из карточки пользователя

1. В карточке сотрудника нажмите Права доступа .
2. Откроется список групп доступа. Отметьте флажками нужные, например «Бухгалтеры» и «Кассиры».
3. Запишите.

Через группу доступа

1. Настройки пользователей и прав → Группы доступа → Создать.
2. Задайте наименование: «Бухгалтерия — ООО Альфа».
3. Выберите Профиль, например «Бухгалтер».
4. На вкладке участников добавьте пользователей или целую группу пользователей.
5. Запишите.

Один человек может состоять в нескольких группах — права при этом складываются. Если сотрудник одновременно бухгалтер и кассир, не нужно лепить для него отдельный профиль: включите его в обе группы.

Сложение прав работает только в сторону расширения. Запретить что-то, включив человека в ещё одну группу, нельзя: если одна группа даёт доступ к документу, а другая нет, сотрудник доступ получит.

Своя роль и свой профиль, когда типовых не хватает

Поставляемые профили (с пометкой, что они поставляются в конфигурации) изменить нельзя — форма откроется только на просмотр. Чтобы поправить набор ролей, профиль копируют:

1. Профили групп доступа, выделите, например, «Бухгалтер».
2. Нажмите Скопировать — откроется новый профиль с тем же составом ролей.
3. Назовите его понятно: «Бухгалтер без кассы».
4. На вкладке ролей снимите или поставьте флажки. Включите режим «Показывать только выбранные роли», чтобы быстро увидеть итоговый состав.
5. Запишите и выберите этот профиль в группе доступа.

Каждая роль в профиле — это набор разрешений платформы на чтение, добавление, изменение, удаление и проведение конкретных объектов. Подбирать роли «на глаз» рискованно: у некоторых документов права разнесены по двум-трём ролям, и без одной из них документ откроется, но не проведётся.

Когда без Конфигуратора не обойтись

Если нужной комбинации прав нет ни в одной роли — например, разрешить сотруднику только просмотр одного регистра, — роль создают сами:

1. Откройте Конфигуратор и создайте расширение конфигурации (Конфигурация → Расширения конфигурации). Расширения доступны с платформы 8.3.6.
2. В дереве расширения: Общие → Роли → Добавить.
3. На вкладке прав отметьте нужные объекты и действия: Чтение, Просмотр, Добавление и так далее.
4. Обновите конфигурацию базы данных для расширения.
5. В пользовательском режиме роль появится в списке ролей профиля — включите её в скопированный профиль.

Ограничиваем доступ к данным: организации, записи, даты запрета

Права на уровне объектов отвечают на вопрос «видит ли он этот вид документов». Ограничения на уровне записей отвечают на другой вопрос: «какие именно документы этого вида он видит».

Ограничение по организациям

Типичный случай — в одной базе ведут учёт трёх юрлиц, а бухгалтер должен работать только с одним.

1. В Настройках пользователей и прав включите «Ограничивать доступ на уровне записей».
2. Откройте нужную группу доступа. Появится вкладка с видами доступа, среди них «Организации».
3. Выберите режим: «Разрешены выбранные» или «Запрещены выбранные» — и добавьте организации в список.
4. Запишите группу.

Для бухгалтера, который ведёт ООО «Альфа» и ИП Петров, создайте группу с режимом «Разрешены выбранные» и двумя этими организациями. Документы ООО «Бета» он перестанет видеть в журналах и отчётах.

Набор видов доступа зависит от конфигурации. В УТ 11 их больше, чем в БП: там можно ограничивать, например, по складам и группам партнёров. Какие виды доступны, видно прямо на вкладке группы — придумывать ничего не нужно.

Запрет на правку прошлых периодов

Отдельная настройка, которую часто путают с правами, — даты запрета изменения. Она не скрывает документы, а не даёт их менять задним числом: например, после сдачи отчётности за квартал. Дату задают общую или по пользователям и организациям. В БП 3.0 она находится в разделе Администрирование, в настройках проведения документов.

Почему не хватает прав и как это проверить

Типичные сообщения, с которыми к администратору приходят пользователи:

• Нарушение прав доступа!
• Недостаточно прав для просмотра
• Недостаточно прав на добавление/изменение с названием объекта

Первое, что нужно сделать, — увидеть итоговые права сотрудника. В карточке пользователя есть отчёт по правам доступа: он показывает, в каких группах человек состоит и какие действия с какими объектами ему разрешены. Отчёт отвечает на главный вопрос — права нет вообще или его не дают ограничения на уровне записей.

Если отчёт ничего не объяснил

Тогда помогает приём, которым пользуются внедренцы: создать тестового пользователя с тем же набором групп и войти под ним в копии базы. Дальше по одной снимаете группы и смотрите, после какой ошибка исчезает или появляется. Так за 10–15 минут находится роль-виновник, даже если групп у человека пять-шесть.

Если ошибка возникает у всех пользователей, кроме администратора, и сразу после установки обновления — проблема, скорее всего, не в настройках, а в доработках: например, в расширении, роль которого перестала соответствовать новой структуре объектов.

Частые вопросы о правах в 1С 8.3