Права пользователя в 1С 8.3: роли, профили и группы доступа

В типовых конфигурациях 1С 8.3 роль пользователю не добавляют напрямую. Нужную роль включают в профиль группы доступа, а пользователя добавляют в группу с этим профилем: Администрирование → Настройки пользователей и прав → Группы доступа. Галочки ролей в Конфигураторе работают только в нетиповых базах без БСП.

Типичная ситуация: новый бухгалтер открывает журнал банковских выписок и получает Нарушение прав доступа!. Администратор идёт в Конфигуратор, ставит роль, а через неделю она пропадает. Дальше по шагам: как настройка прав доступа устроена в 1С, где добавить роль пользователю правильно и как проверить результат.

Как устроены права в 1С: роли, профили и группы доступа

Вся безопасность в 1С держится на трёх уровнях. Понимать их нужно, чтобы не искать роль там, где её не выдают.

• 🔑 Роль — объект метаданных конфигурации. В ней разработчик задаёт, что можно делать с каждым объектом: читать, добавлять, изменять, проводить, удалять. Роли видны в Конфигураторе, например ПолныеПрава, БазовыеПраваБСП, ЗапускТонкогоКлиента.
• 📦 Профиль группы доступа — набор ролей под должность: «Бухгалтер», «Кадровик», «Менеджер по продажам». Профиль живёт в пользовательском режиме, его можно создать без программиста.
• 👥 Группа доступа — профиль плюс список участников плюс ограничения по данным (например, только организация «Альфа»).

Права нескольких групп суммируются. Если пользователь состоит в группе «Бухгалтер» и в группе «Кассир», он получает роли обоих профилей. Запретить что-то одной группой при разрешении в другой нельзя: в 1С нет «запрещающих» ролей.

Поставляемые и свои профили

В БП 3.0, ЗУП 3.1 и УТ 11 есть поставляемые профили. Их состав ролей задан разработчиком и обновляется вместе с конфигурацией. Изменить роли в поставляемом профиле нельзя — форма их не даст отредактировать.

Чтобы добавить роль, профиль копируют. Копия становится обычным профилем, в котором роли включаются флажками. Минус один: при обновлении конфигурации копия не получает новые роли автоматически, её проверяют вручную.

Где находятся настройки пользователей и прав

Все команды собраны в одном разделе. Путь стабилен для типовых конфигураций на БСП:

Раздел видит только пользователь с правами администратора. Если раздела «Администрирование» нет на панели вовсе — у вас нет профиля «Администратор», и дальше идти бессмысленно: нужен тот, у кого он есть.

Два вида формы «Права доступа»

В карточке пользователя есть команда Права доступа . Она открывает одну из двух форм:

• ✅ Упрощённый режим — список профилей с флажками. Отметили профиль — программа сама создала для пользователя персональную группу доступа. Так обычно выглядит Бухгалтерия.
• 🧩 Полный режим — список групп доступа, в которые входит пользователь. Так работают ЗУП и УТ: группы создаются отдельно, пользователь включается в них.

Логика одна и та же, отличается только экран. Ниже оба варианта.

Как добавить роль пользователю в 1С пошагово

Сначала убедитесь, что нужная роль существует. Если ваша задача — «дать право проводить авансовые отчёты», найдите профиль, в котором такое право есть, и откройте вкладку с ролями. Названия ролей длинные, но говорящие: по слову «Авансов» фильтр списка находит их сразу.

Шаг 1. Создайте свой профиль на основе поставляемого

1. Откройте Профили групп доступа.
2. Выделите профиль, ближайший к должности, например «Бухгалтер».
3. Скопируйте его (кнопка копирования в командной панели или F9).
4. Дайте копии понятное имя: «Бухгалтер + кассовые операции».
5. На вкладке Разрешенные действия (роли) отметьте флажком недостающую роль.
6. Нажмите Записать и закрыть.

Шаг 2. Включите пользователя в группу с этим профилем

Полный режим (ЗУП, УТ):

1. Откройте Группы доступа и создайте группу.
2. В поле профиля выберите профиль из шага 1.
3. На вкладке участников добавьте пользователя.
4. Если включено ограничение по записям — заполните виды доступа (об этом ниже).
5. Запишите группу.

Упрощённый режим (Бухгалтерия):

1. Откройте карточку пользователя и нажмите Права доступа.
2. Отметьте флажком новый профиль. Старый «Бухгалтер» можно снять, если копия его полностью заменяет.
3. Запишите.

Шаг 3. Перезапустите сеанс пользователя

Роли применяются при входе. Пока пользователь сидит в открытом сеансе, он работает со старым набором прав. Попросите его закрыть программу и зайти заново.

Шаг 4. Проверьте результат

Откройте у пользователя отчёт по правам доступа — команда есть в карточке пользователя или на форме прав. В отчёте видно, какие объекты ему доступны и через какую группу пришло каждое право.

Профиль или роль в Конфигураторе: что выбрать

Конфигуратор тоже позволяет добавить роль: Администрирование → Пользователи, карточка пользователя, вкладка Прочие, флажки в списке ролей. Соблазн понятен — две минуты работы. Но в типовой базе так делать нельзя.

В типовых конфигурациях роли пользователя информационной базы вычисляет подсистема управления доступом. Она берёт все группы пользователя, собирает роли их профилей и записывает этот набор. Всё, что поставлено руками, затирается при ближайшем пересчёте — например, когда кто-то сохранит группу доступа.

Не давайте роль «Полные права» вместо поиска нужной. Пользователь с ней видит все организации, закрытые периоды и настройки. Ошибку бухгалтера с полными правами отменить сложнее, чем потратить 10 минут на правильный профиль.

Роль в Конфигураторе для самописной базы

Если конфигурация написана без БСП, профилей и групп доступа в ней нет. Тогда роль добавляют так:

1. Откройте базу в режиме Конфигуратора под пользователем с полными правами.
2. Выберите в меню Администрирование → Пользователи.
3. Откройте карточку нужного пользователя двойным щелчком.
4. Перейдите на вкладку Прочие.
5. В списке ролей отметьте флажком нужную роль. Ролей может быть несколько — права также суммируются.
6. Нажмите ОК.

Монопольный режим для этого не нужен, базу можно не выгонять. Пользователь получит новую роль при следующем входе.

Когда нужной роли нет совсем

Бывает, что ни одна роль не даёт нужного действия: например, право только читать регистр, без изменения. Снимать конфигурацию с поддержки ради этого не стоит. Программист создаёт роль в расширении конфигурации, расширение устанавливают в базу, и новая роль появляется в списке ролей профиля. Дальше всё по шагам выше.

Ограничения доступа к данным: организации, склады, подразделения

Роль отвечает на вопрос «что можно делать». Ограничение на уровне записей — «с какими данными». Пример: кассир видит кассовые документы, но только по организации «Альфа».

Включается это флажком Ограничивать доступ на уровне записей в разделе настроек пользователей и прав. После включения в группах доступа появляется вкладка с видами доступа.

Как настроить:

1. Откройте группу доступа.
2. На вкладке ограничений выберите вид доступа, например «Организации».
3. Задайте режим: разрешены все, кроме указанных, или запрещены все, кроме указанных.
4. Укажите значения — конкретные организации.
5. Запишите группу.

Набор видов доступа зависит от конфигурации. В Бухгалтерии основное ограничение — по организациям. В УТ и ЗУП видов больше: склады, подразделения, группы партнёров и номенклатуры, физические лица.

Пример из практики. В базе две организации, «Альфа» и «Бета». Кассир работает только с «Альфой», главный бухгалтер — с обеими. Делают две группы на одном профиле «Кассир»: в первой вид доступа «Организации» с единственным значением «Альфа», во второй ограничений нет. Кассира включают в первую группу, главного бухгалтера — во вторую. Профиль один, а данные у каждого свои.

Есть тонкость с суммированием. Если пользователь в одной группе ограничен организацией «Альфа», а в другой группе ограничений нет, итоговый доступ — ко всем организациям. Ограничение работает, только когда оно есть во всех группах, через которые пользователь получает право на объект.

Почему роль не сработала: диагностика прав

Самые частые жалобы после выдачи роли — «ничего не изменилось» и «теперь вижу лишнее». Поиск идёт в таком порядке:

1. Сеанс не перезапущен. Проверить просто: пусть пользователь выйдет и войдёт.
2. Роль добавлена не в тот профиль. Пользователь может состоять в другой группе, а вы правили копию, которой у него нет.
3. Не хватает соседней роли. Право на документ без права на справочник, который в нём выбирается, даёт ошибку при открытии формы.
4. Срабатывает ограничение по записям. Документ доступен, но по чужой организации — нет. В списке такие строки просто не видны.
5. Вход запрещён. В карточке пользователя снят флажок Вход в программу разрешен — тогда роли не важны вовсе.

Журнал регистрации

Если пользователь не может точно описать ошибку, загляните в журнал регистрации. Отфильтруйте по пользователю и по событиям доступа — там видны отказы с указанием объекта. Так за минуту понятно, на какой справочник или регистр не хватает прав.

Частые вопросы