Как разграничить права пользователей в 1С:Предприятии 8.3 — от ролей до ограничений по организациям
Содержание
Права доступа в 1С
8.3 настраивают в режиме «Предприятие», а не в Конфигураторе: Администрирование → Настройки пользователей и прав. Там вы создаёте пользователя, включаете его в группу доступа, а группа через профиль выдаёт набор ролей. Чтобы ограничить права ещё точнее, например скрыть чужую организацию, включают флажок «Ограничивать доступ на уровне записей».
Типичная боль выглядит так. Кассир видит зарплату директора, менеджер правит закрытый период, а новому сотруднику дали «Полные права», потому что «так быстрее». Ниже разберём, как настроить и ограничить права аккуратно, чтобы потом не разбирать последствия по журналу регистрации.
Схема одна для типовых конфигураций на Библиотеке стандартных подсистем: Бухгалтерия 3.0, ЗУП 3.1, УТ 11, КА и ERP. Отличаются только готовые профили и список видов доступа.
Как устроена система прав в 1С 8.3
В платформе право выдаёт только роль. Роль — объект конфигурации, в котором для каждого справочника, документа, отчёта и регистра отмечено, что можно делать: читать, добавлять, изменять, удалять, проводить.
Раздавать роли по одной неудобно: в типовой Бухгалтерии их больше сотни. Поэтому типовые конфигурации добавляют над ролями ещё два слоя.
| Слой | Что это | Кто меняет |
|---|---|---|
| Роль | Набор прав на объекты конфигурации | Разработчик, в Конфигураторе или расширении |
| Профиль групп доступа | Набор ролей под должность: «Бухгалтер», «Кассир», «Кадровик» | Администратор базы |
| Группа доступа | Профиль + конкретные люди + ограничения по значениям | Администратор базы |
| Пользователь | Учётная запись для входа | Администратор базы |
Логика простая. Пользователь получает права всех групп доступа, в которые входит. Права складываются: если одна группа даёт чтение кассы, а другая — её изменение, человек сможет изменять. Запретить то, что разрешила другая группа, нельзя.
💡 Из этого следует главное правило проектирования: делайте узкие группы и комбинируйте их, а не одну широкую группу с попыткой что-то «вычесть».
Пошагово: новый пользователь и назначение прав
Шаг 1. Создайте пользователя
- Откройте
Администрирование → Настройки пользователей и прав → Пользователи. - Нажмите «Создать».
- Заполните «Полное имя» и «Имя (для входа)». Имя для входа — то, что человек увидит в списке при запуске.
- Свяжите пользователя с физическим лицом, если конфигурация это предлагает. Это нужно для подписей в документах и кадровых данных.
- Оставьте включённым флажок «Вход в программу разрешён».
Шаг 2. Выберите способ входа
- 🔑 Аутентификация 1С:Предприятия — логин и пароль 1С. Задайте пароль сразу или поставьте требование сменить его при первом входе.
- 🖥 Аутентификация операционной системы — вход по учётной записи Windows без пароля. Укажите пользователя в формате
\\ДОМЕН\Имя. - 🌐 Аутентификация OpenID — для веб-клиента и публикаций, используется реже.
Для офиса с доменом удобнее вход через ОС: при увольнении сотрудника его блокируют в одном месте, в Active Directory.
Шаг 3. Включите пользователя в группы доступа
- Запишите карточку пользователя.
- Перейдите по ссылке «Права доступа» в карточке.
- Отметьте флажками нужные группы доступа и сохраните.
Права начинают действовать со следующего входа пользователя. Если человек уже в программе, попросите его перезапустить сеанс.
Шаг 4. Проверьте результат
Войдите в базу под новым пользователем или попросите его открыть основные документы. Права удобно проверять и отчётом по правам доступа из карточки пользователя: в свежих релизах он называется «Анализ прав доступа», в старых — «Права доступа». Отчёт показывает, какие объекты доступны и через какую группу.
Роли, профили и исключения: тонкая настройка
Готовые профили — «Бухгалтер», «Главный бухгалтер», «Администратор» и другие — помечены как поставляемые. Изменить состав их ролей нельзя: при обновлении конфигурации их всё равно перезапишут.
Как сделать свой профиль
- Откройте
Администрирование → Настройки пользователей и прав → Профили групп доступа. - Выделите профиль, который ближе всего к нужной должности.
- Нажмите «Скопировать». Получится обычный, изменяемый профиль.
- Дайте ему понятное имя: «Бухгалтер без зарплаты», «Менеджер — только просмотр».
- На вкладке с ролями снимите лишние и добавьте недостающие.
- Запишите профиль и создайте на его основе группу доступа.
Пример. Бухгалтеру по первичке нужно всё, что есть в профиле «Бухгалтер», кроме доступа к зарплате. Копируете профиль, снимаете роли, относящиеся к зарплате и кадрам, — и человек больше не видит начисления.
Как работают «исключения»
Исключения в 1С настраивают через виды доступа. В профиле для каждого вида доступа выбирают режим:
| Режим | Как читается | Когда удобен |
|---|---|---|
| Все разрешены | Видит все значения | Главный бухгалтер, аудитор |
| Все разрешены, кроме указанных | Видит всё, кроме перечня | Скрыть одну-две организации из десяти |
| Все запрещены, кроме указанных | Видит только перечень | Бухгалтер ведёт одну фирму из холдинга |
Конкретные значения — какие именно организации или склады — задают уже в группе доступа, на вкладке «Ограничения доступа». Профиль описывает правило, группа подставляет значения.
Режимы ограничений работают только при включённом ограничении доступа на уровне записей. Без него роли решают всё, а списки значений игнорируются.
Если ролей в конфигурации не хватает
Бывает, что нужно право, которого нет ни в одной типовой роли: например, разрешить смотреть только один отчёт. Правильный путь — создать свою роль в расширении конфигурации, а не менять типовую конфигурацию . Роль из расширения появится в списке ролей профиля, а типовая конфигурация останется на поддержке и будет обновляться без конфликтов.
Ограничение доступа на уровне записей (RLS)
Роль отвечает на вопрос «можно ли работать с документами реализации вообще». Ограничение на уровне записей, Record Level Security, отвечает на другой вопрос: «какие именно документы реализации видит этот человек».
Как включить
- Откройте
Администрирование → Настройки пользователей и прав. - Поставьте флажок «Ограничивать доступ на уровне записей».
- Подтвердите. Программа запустит обновление доступа в фоне.
На большой базе первое обновление занимает от нескольких минут до часов. Пока оно идёт, пользователи с ограничениями могут видеть неполные списки.
Включайте RLS вне рабочего времени и предупредите пользователей: списки документов на время обновления будут неполными.
Какие бывают виды доступа
Список зависит от конфигурации:
- 🏢 Организации — есть почти везде, главный инструмент в холдингах.
- 📦 Склады — в торговых конфигурациях, чтобы кладовщик видел только свой склад.
- 👥 Группы контрагентов, группы номенклатуры — в УТ, КА, ERP.
- 🧾 Подразделения и группы физлиц — в ЗУП, чтобы кадровик филиала не видел головной офис.
Посмотреть, что доступно именно в вашей базе, проще всего в карточке профиля: виды доступа перечислены на вкладке ограничений.
Пример: бухгалтер одной фирмы из трёх
- Скопируйте профиль «Бухгалтер», назовите «Бухгалтер — по организациям».
- Для вида доступа «Организации» выберите «Все запрещены, кроме указанных».
- Создайте группу доступа «Бухгалтерия ООО Север» на этом профиле.
- На вкладке ограничений добавьте одну организацию — ООО «Север».
- Добавьте бухгалтера в участники группы.
После входа бухгалтер увидит документы и отчёты только по ООО «Север». В выборе организации две другие фирмы пропадут.
💡 RLS добавляет условия в каждый запрос к базе. На слабом сервере это заметно, особенно в больших отчётах. Не включайте лишних видов доступа «на всякий случай».
Защита закрытого периода
Ограничение по датам — отдельный механизм, «Даты запрета изменения». Он не даёт править проведённые документы до заданной даты, даже если по ролям изменение разрешено. Задайте общую дату после сдачи отчётности, а для главного бухгалтера — отдельную или никакую.
Когда нужен Конфигуратор
В типовых конфигурациях пользователей и роли не назначают в Конфигураторе через Администрирование → Пользователи. Роли, выставленные там вручную, не связаны с группами доступа. Программа может их перезаписать при следующей записи пользователя в «Предприятии», а отчёты по правам их не покажут.
Конфигуратор нужен в трёх случаях:
- 🛠 создать роль или ограничение в расширении;
- 🚑 восстановить доступ, если все администраторы потеряли права;
- 🔍 посмотреть, что именно разрешает роль: в дереве конфигурации раздел
Общие → Роли.
Права роли на объект делятся на основные и интерактивные. Пример: «Удаление» разрешает удалять объект программно, а «Интерактивное удаление» — удалять из списка прямо сейчас, без пометки. Обычным пользователям интерактивное удаление не дают: документы помечают на удаление, а удаляет помеченные администратор после проверки ссылок.
Ограничение на уровне записей в роли задают только для чтения, добавления, изменения и удаления. Для проведения или печати отдельного RLS нет.
Аудит и мониторинг действий пользователей
Права без контроля мало что дают. Основной инструмент — журнал регистрации.
- Откройте
Администрирование → Обслуживание → Журнал регистрации. - Задайте отбор по пользователю и периоду.
- Для поиска изменений отберите события записи и удаления данных.
- Откройте строку события — там видно объект, компьютер и время.
Уровень детализации журнала задают в Конфигураторе: Администрирование → Настройка журнала регистрации. Для разбора инцидентов нужен уровень «Регистрировать ошибки, предупреждения, информацию и примечания». Учтите, журнал растёт быстро, поэтому там же настройте разделение на периоды.
Что ещё смотреть:
- 👀 Активные пользователи — кто сейчас в базе и с какого компьютера.
- 🗂 Версионирование объектов — если включено, показывает, кто и что поменял в карточке или документе.
- 📋 Отчёт по правам — раз в квартал сверяйте, кто входит в группу «Администраторы».
Сотрудник уволился — снимите флажок «Вход в программу разрешён» в его карточке. Удалять пользователя не нужно: его имя останется в журнале и в документах, где он указан автором.
Ошибки при разграничении прав и что с ними делать
Отдельно про самый частый промах — выдать «Полные права» всем. Так человек получает и администрирование, и удаление без пометки, и обход дат запрета. Одна ошибка такого пользователя стоит дороже часа на настройку профилей.
Второй промах — личные группы доступа на каждого сотрудника. Через год их двести, и никто не помнит, почему у Петровой есть доступ к кассе. Группа должна описывать роль в компании, а не человека.