Кто в 1С может открыть Конфигуратор и раздавать права другим

Настраивать роли и права доступа в 1С может только пользователь с правом Администрирование. В типовых конфигурациях его дают роль «Полные права» и поставляемый профиль «Администратор». Тот же пользователь — и только он — может войти в Конфигуратор, изменить конфигурацию и список пользователей информационной базы.

Остальным сотрудникам права выдают не по одной роли, а через профили и группы доступа: Администрирование → Настройки пользователей и прав в БП 3.0 и ЗУП 3.1. Ниже — как это устроено на уровне платформы и что проверить, если вы отвечаете за доступ в базе.

Как платформа 1С складывает права из ролей

Роль — это объект конфигурации. Его создаёт разработчик в Конфигураторе, в ветке Общие → Роли. Внутри роли для каждого объекта метаданных отмечены права: можно ли читать справочник, добавлять элементы, проводить документ, открывать отчёт.

Права бывают двух уровней:

• 🧱 Основные — Чтение, Добавление, Изменение, Удаление. Действуют и для программного кода, и для пользователя.
• 🖱️ Интерактивные — Просмотр, Редактирование, Интерактивное добавление, Интерактивное удаление, Интерактивное проведение. Это то, что человек делает руками в форме.

Интерактивное право без основного не работает . Нельзя дать Просмотр справочника, не дав Чтение.

Отдельно стоят права на корне конфигурации. Они отвечают не за данные, а за работу с базой целиком:

Главный принцип: права только складываются

У пользователя может быть десять ролей. Платформа объединяет их: если хотя бы одна роль разрешает действие, оно разрешено. Запретить что-то «поверх» другой роли нельзя.

Детализация до конкретных записей — например, только своя организация или свой склад — делается не правами, а ограничением доступа на уровне записей (RLS). Это условие запроса внутри роли. Пишет его разработчик, а в типовых конфигурациях оно включается флажком, о котором ниже.

«Полные права» и администратор: кому доступна главная роль

В типовых конфигурациях на библиотеке стандартных подсистем (БП 3.0, ЗУП 3.1, УТ 11, КА, ERP) есть две ключевые роли:

• 👑 «Полные права» — все права на все объекты плюс Администрирование. Владелец этой роли может всё: войти в Конфигуратор, выгрузить базу в .dt, удалить пользователей, поменять конфигурацию.
• 🛠️ «Администратор системы» — административные функции программы. В поставляемом профиле «Администратор» она идёт вместе с «Полными правами».

Через интерфейс программы эти роли выдаются включением пользователя в группу доступа «Администраторы» с профилем «Администратор». Профиль поставляемый, его состав ролей изменить нельзя.

Кому её давать

Короткий ответ — как можно меньшему числу людей. Обычно это:

1. Штатный или приходящий 1С-специалист, который обновляет базу.
2. Системный администратор, если он делает резервные копии через Конфигуратор.
3. Один ответственный сотрудник со стороны бизнеса — на случай, если специалист недоступен.

Главному бухгалтеру «Полные права» для работы не нужны. Его задачи закрывает профиль «Главный бухгалтер», а для настройки учётной политики, планов счетов и параметров учёта административных прав не требуется.

Что будет, если администраторов не останется

Если список пользователей базы пуст, платформа пускает в базу без пароля, причём с полными правами. Поэтому первым в списке создают именно администратора.

Платформа следит, чтобы в непустом списке был хотя бы один пользователь с правом Администрирование. Удалить последнего администратора или снять с него эту роль она не даст.

Права для бухгалтеров, кадровиков и кладовщиков

Рядовые сотрудники получают права через профили групп доступа. Профиль — это набор ролей под должность. Набор поставляемых профилей зависит от конфигурации. В БП 3.0 это, например, «Бухгалтер» и «Главный бухгалтер», в ЗУП 3.1 — профили для кадровика и расчётчика, в УТ 11 — профили по участкам: продажи, закупки, склад.

Как выбрать подход:

Почему не раздавать роли по одной? Потому что при обновлении конфигурации разработчики фирмы 1С добавляют новые роли в поставляемые профили. Пользователь, которому роли назначены вручную, после обновления может перестать видеть новый документ. Профиль подтянет новые роли сам.

Конфигуратор: кто туда попадёт и чего не видно из программы

Вход в Конфигуратор проверяется одним условием: у пользователя есть право Администрирование. Других способов пройти в режим конфигурирования у обычного пользователя нет. Список пользователей общий для обоих режимов — пароль от программы и от Конфигуратора один и тот же.

В Конфигураторе список открывается через Администрирование → Пользователи. В карточке пользователя:

• 🔑 вкладка «Основные» — имя, способ аутентификации (1С:Предприятие, операционная система, OpenID), пароль, флажок «Показывать в списке выбора»;
• 🎭 вкладка «Прочие» — список ролей с флажками, основной язык и режим запуска.

Уровни доступа, которые не видны из программы

Права в базе — не единственный замок. Есть ещё три уровня, о которых часто забывают:

1. Файловая база. Файл 1Cv8.1CD лежит в папке на диске. Кто может скопировать папку, тот унёс базу целиком — без пароля 1С. Защита здесь только правами Windows на каталог.
2. Кластер серверов . В клиент-серверном варианте есть администраторы кластера. Они создают и удаляют базы, завершают сеансы, ставят блокировку начала сеансов. Это отдельный список, не связанный с пользователями базы.
3. Хранилище конфигурации. При групповой разработке у хранилища свой список пользователей и свои права: захват объектов, помещение, администрирование хранилища.

Защита от опасных действий

В свойствах пользователя в свежих версиях платформы есть флажок «Защита от опасных действий». Если он включён, при открытии внешней обработки или подключении расширения программа предупреждает о риске и просит подтверждения. Для администраторов его часто выключают, для остальных — оставляют.

Право Интерактивное открытие внешних обработок рядовым сотрудникам лучше не выдавать вовсе. Внешняя обработка выполняет любой код с правами текущего пользователя.

Профили и группы доступа: пошаговая настройка

Покажем на БП 3.0. В других конфигурациях на БСП порядок тот же, отличается только раздел верхнего уровня.

Шаг 1. Включить ограничение по записям, если оно нужно

В разделе Настройки пользователей и прав откройте группы доступа и найдите флажок «Ограничивать доступ на уровне записей». Без него группа доступа даёт права на все организации сразу.

Включение запускает обновление служебных данных доступа. В большой базе оно идёт заметное время и нагружает сервер — делайте это вне рабочих часов.

Шаг 2. Подготовить профиль

1. Откройте список «Профили групп доступа».
2. Найдите поставляемый профиль под должность.
3. Если состав ролей не подходит — выделите его и скопируйте. Поставляемые профили не редактируются.
4. В копии отметьте нужные роли, назовите профиль понятно: «Бухгалтер — без кассы».

Шаг 3. Создать группу доступа

Группа связывает профиль, участников и ограничения:

1. В списке «Группы доступа» создайте группу.
2. Выберите профиль.
3. На вкладке участников добавьте пользователей.
4. На вкладке ограничений укажите значения: для какой организации действуют права.

Шаг 4. Проверить права пользователя

В карточке пользователя есть ссылка «Права доступа». Она показывает, в какие группы входит человек и какие профили на него действуют. Перед тем как отдать учётную запись сотруднику, зайдите под ней сами или попросите сотрудника проверить два-три ключевых действия.

Контроль и аудит: кто что сделал в базе

Права ограничивают, журнал регистрации показывает. Он фиксирует входы и выходы, изменения данных, ошибки, запуск Конфигуратора и обновление конфигурации .

Где открыть журнал:

• в программе — в разделе Администрирование → Обслуживание;
• в Конфигураторе — Администрирование → Журнал регистрации.

Что настроить, чтобы журнал был полезен:

• 📝 Уровень регистрации. В Конфигураторе: Администрирование → Настройка журнала регистрации. Для аудита нужен уровень, при котором пишутся не только ошибки, но и информация об изменении данных.
• 📦 Срок хранения. Журнал растёт. Там же задаётся разделение по периодам — так старые файлы легко архивировать.
• 🔍 Отборы. При просмотре фильтруйте по пользователю, событию и метаданным. Отбор по событию «Данные. Изменение» и конкретному документу быстро показывает, кто его правил.

Что ещё проверять регулярно

1. Активные пользователи. Список сеансов показывает, кто сейчас в базе и с какого компьютера.
2. Состав группы «Администраторы». Раз в квартал сверяйте его со списком тех, кому права реально нужны.
3. Уволенные сотрудники. Снимайте флажок «Вход в программу разрешён» в день увольнения. Удалять пользователя не стоит: на него ссылаются документы и записи журнала.
4. Общие учётные записи. «Бухгалтерия», «Склад», «Admin» без фамилии делают журнал бесполезным — непонятно, кто именно провёл документ.

Частые вопросы о ролях и доступе в 1С