Как завести пользователя в 1С 8.3 и выдать ему ровно те права, что нужны
Содержание
Чтобы настроить авторизацию в 1С, создайте пользователя в программе: Администрирование → Настройки пользователей и прав → Пользователи → Создать. Задайте имя для входа и пароль, затем включите его в группу доступа с нужным профилем («Бухгалтер», «Кадровик» и т. п.). После этого база при запуске будет спрашивать логин и пароль, а пользователь увидит только разрешённые разделы.
Ниже порядок для типовых конфигураций на платформе 8.3 с интерфейсом «Такси»: Бухгалтерия 3.0, ЗУП 3.1, УТ 11. Создание учётной записи, роли и права доступа , вход через Windows и веб-сервер, блокировка, сброс пароля и контроль входов.
Что подготовить перед созданием пользователей
Пока список пользователей в базе пуст, 1С пускает в неё любого без пароля и с полными правами. Как только появляется первая учётная запись, база начинает требовать авторизацию. Поэтому первым всегда создают администратора, а потом уже сотрудников.
Где вести список, зависит от конфигурации:
- 🟢 Типовые БП 3.0, ЗУП 3.1, УТ 11, ERP, УНФ построены на Библиотеке стандартных подсистем. Пользователей в них создают в режиме «Предприятие», через раздел «Администрирование». Права там выдаются профилями, а не галочками ролей.
- 🟡 Самописные и старые нетиповые конфигурации без этой библиотеки. Пользователей ведут в Конфигураторе:
Администрирование → Пользователи, роли отмечают вручную.
В типовой конфигурации не правьте роли пользователей через Конфигуратор. При следующей записи пользователя в программе или при обновлении состав ролей перезапишется по профилю, и ручные правки пропадут.
Перед массовым заведением пользователей проверьте две настройки в Администрирование → Настройки пользователей и прав:
- Флаг «Ограничение доступа на уровне записей». Он нужен, если сотрудник должен видеть только свои организации или склады. Без флага ограничения по организациям в группах доступа не действуют.
- Флаг «Группы пользователей», если удобнее раздавать права отделам целиком.
Как создать пользователя в 1С: два способа
Через программу (типовые конфигурации)
- Войдите под администратором.
- Откройте
Администрирование → Настройки пользователей и прав → Пользователии нажмитеСоздать. - Заполните «Полное имя»: оно отображается в документах и журналах, например «Петрова Анна Сергеевна».
- Включите флаг «Вход в программу разрешён». Ниже появятся поля для входа.
- Укажите «Имя для входа»: короткое, без пробелов, например
petrova. - Задайте пароль кнопкой установки пароля. Если хотите, чтобы сотрудник сменил его сам, отметьте требование сменить пароль при первом входе.
- Запишите пользователя и откройте у него команду «Права доступа». Отметьте группы доступа, в которые он входит.
- Нажмите
Записать и закрыть.
Если в базе вообще не было пользователей, первая созданная учётная запись автоматически становится администратором. Программа об этом предупредит.
Через Конфигуратор (нетиповые базы и первый администратор)
- Запустите базу в режиме
Конфигуратор. - Откройте
Администрирование → Пользователии нажмите кнопку добавления. - На вкладке «Основные» задайте имя, полное имя и пароль, выберите способ аутентификации.
- На вкладке «Прочие» отметьте роли, основной интерфейс и язык.
- Первому администратору выдайте роли «Полные права» и «Администратор системы» (так они называются в типовых конфигурациях).
Флаг «Показывать в списке выбора» выводит пользователя в выпадающем списке окна входа. Для баз с десятками сотрудников его лучше снять: тогда логин вводят вручную, и посторонний не увидит список учётных записей.
Профили и группы доступа: как настроить права пользователя
В типовых конфигурациях права собираются из трёх уровней:
| Объект | Что это | Пример |
|---|---|---|
| Роль | Атомарное право на объект метаданных | «Чтение банковских выписок» |
| Профиль группы доступа | Набор ролей под должность | «Бухгалтер», «Главный бухгалтер» |
| Группа доступа | Профиль + участники + ограничения | «Бухгалтерия ООО Ромашка» |
Открывается всё в одном месте: Администрирование → Настройки пользователей и прав → Профили групп доступа и Группы доступа.
Как выдать права по должности
- Откройте
Группы доступа, нажмитеСоздать. - Выберите профиль, например «Бухгалтер».
- На вкладке участников добавьте пользователей или целую группу пользователей.
- Если включено ограничение на уровне записей, на вкладке ограничений выберите организации, к которым у группы есть доступ.
- Запишите. Права применятся при следующем входе пользователя.
Если поставляемого профиля не хватает
Поставляемые профили менять нельзя: они обновляются вместе с конфигурацией. Правильный путь такой:
- Выделите близкий профиль и скопируйте его.
- В копии на вкладке ролей добавьте или снимите нужные роли.
- Дайте профилю понятное имя, например «Бухгалтер без кассы».
- Создайте группу доступа на основе нового профиля.
Пользователь может входить сразу в несколько групп. Права суммируются: если одна группа разрешает просмотр кассы, а другая нет, касса будет доступна.
Не давайте рядовым сотрудникам профиль «Администратор» «на время»: с ним можно менять права, удалять пользователей и выгружать базу целиком.
Чтобы проверить, что видит сотрудник, откройте его карточку и команду «Права доступа». Отчёт по правам покажет итоговый набор ролей и разрешений из всех групп.
Нового сотрудника на ту же должность удобно заводить копированием: Администрирование → Настройки пользователей и прав → Копирование настроек переносит отборы, настройки отчётов и рабочего стола от коллеги.
Способы авторизации в 1С: пароль, Windows и веб-сервер
В карточке пользователя можно включить один или несколько способов входа.
| Способ | Как работает | Когда подходит |
|---|---|---|
| Аутентификация 1С:Предприятия | Логин и пароль вводятся в окне 1С | Любая база, удалённые сотрудники |
| Аутентификация операционной системы | 1С сверяет доменную учётную запись Windows | Офис с доменом, вход без пароля |
| OpenID | Вход через внешний сервер OpenID | Несколько опубликованных баз с единым входом |
Вход по учётной записи Windows
- В карточке пользователя включите аутентификацию операционной системы.
- Укажите пользователя ОС в формате
\\DOMAIN\ivanov(выбирается кнопкой выбора). - При запуске 1С сопоставит текущего пользователя Windows и откроет базу без окна логина.
Чтобы на конкретном компьютере принудительно спросить логин и пароль, добавьте в строку запуска ключ /WA-. Пример ярлыка для файловой базы:
"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /F"D:\Bases\Buh" /WA-
Ключи /N и /P передают имя и пароль, но пароль в ярлыке лежит открытым текстом. Используйте их только для служебных учётных записей регламентных обработок.
Вход через веб-сервер и тонкий клиент
Опубликованная база (Администрирование → Публикация на веб-сервере в Конфигураторе, запущенном от имени администратора Windows) открывается в браузере. Пользователи и права там те же самые: веб-клиент показывает обычное окно ввода логина и пароля 1С.
Тонкий клиент подключают к опубликованной базе по адресу. В списке баз выберите вариант подключения через веб-сервер и укажите адрес вида http://server/buh. Из командной строки это ключ /WS:
"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /WS"https://server.example.ru/buh"
Чего держаться при публикации наружу:
- 🔒 Только HTTPS. По HTTP логин и пароль идут по сети открыто.
- 🔒 Не передавайте имя и пароль в адресной строке: они оседают в истории браузера и журналах веб-сервера.
- 🔒 Для Windows-входа через IIS включите на сайте проверку подлинности Windows. Тогда доменный пользователь войдёт без пароля, как в локальной сети.
- 🔒 Отдельная учётная запись с минимальными правами для внешних сервисов, которые ходят в базу по HTTP.
Пароли: требования, блокировка и сброс
Требования к паролю
В типовых конфигурациях политика паролей задаётся в Администрирование → Настройки пользователей и прав → Настройки входа. Там включают:
- 📏 минимальную длину и требование сложности (буквы разного регистра, цифры);
- ⏳ максимальный срок действия пароля;
- 🚫 запрет повторять недавние пароли;
- 💤 автоматический запрет входа тем, кто давно не заходил в программу.
В нетиповых базах похожие требования задаются в Конфигураторе, в параметрах аутентификации пользователей меню Администрирование. В свежих версиях платформы там же настраивается временная блокировка после серии неудачных попыток ввода пароля.
Сотрудник забыл пароль
Администратор открывает карточку пользователя, задаёт новый пароль и отмечает требование сменить его при входе. Старый пароль узнать нельзя: 1С хранит не сам пароль, а его хеш.
Учётная запись заблокирована
Проверьте по порядку:
- Флаг «Вход в программу разрешён» в карточке. Его снимают вручную или автоматически по сроку неактивности.
- Срок действия учётной записи, если он задан в карточке.
- Временную блокировку после неудачных попыток: подождите заданное время или снимите блокировку из-под администратора.
Забыт пароль единственного администратора
Это самый неприятный случай. Рабочие варианты:
- Вход другим пользователем, у которого есть право администрирования.
- Восстановление базы из резервной копии, сделанной до смены пароля.
- Обращение к обслуживающему партнёру 1С.
Инструкции в интернете с правкой служебных таблиц пользователей прямо в файле базы или в SQL легко повреждают базу. Если всё-таки идёте этим путём, работайте только на копии и только при остановленной работе пользователей.
После восстановления доступа заведите второго администратора и храните его пароль в менеджере паролей компании.
Журнал регистрации: кто входил и что менял
Все входы и изменения данных пишутся в журнал регистрации. В программе он открывается через Администрирование → Обслуживание → Журнал регистрации, в Конфигураторе — через Администрирование → Журнал регистрации.
Что смотреть в журнале:
- 👤 события сеанса: успешная аутентификация и ошибки аутентификации. Серия ошибок подряд под одним именем — повод проверить, не подбирают ли пароль;
- ✏️ изменения данных: кто и когда записал, провёл или пометил на удаление документ;
- 🔑 изменения пользователей и групп доступа: кто выдал права и кому.
Отберите записи по пользователю и периоду. Для разбора конкретного документа удобнее отбор по данным: журнал покажет всю историю правок этого объекта.
Уровень детализации задают в Конфигураторе: Администрирование → Настройка журнала регистрации. Там же выбирают периодичность разделения файлов журнала. На большой базе журнал растёт быстро, поэтому старые периоды периодически сокращают или выгружают в архив.
Кто работает в базе прямо сейчас, показывает список активных пользователей: Администрирование → Обслуживание → Активные пользователи.
Если нужно знать, какое именно поле изменили в документе, а не только факт записи, включите в типовой конфигурации версионирование объектов. Оно хранит версии документа и показывает разницу между ними.
Частые ошибки при настройке доступа
- ❌ Одна учётная запись на отдел. В журнале все правки записаны на «Бухгалтерию», найти автора ошибки невозможно. Каждому сотруднику — свой логин.
- ❌ Удаление уволенного сотрудника. Его имя уже стоит в документах как ответственный и автор. Правильно снять флаг «Вход в программу разрешён» и пометить пользователя недействительным .
- ❌ Права через роли в Конфигураторе в типовой базе. Они слетают при записи пользователя в программе. Права выдают только группами доступа.
- ❌ Пустой пароль у администратора. С включённой аутентификацией ОС это незаметно, пока кто-то не зайдёт по сети через окно логина.
- ❌ Ограничения по организациям без флага уровня записей. Группа настроена, а сотрудник видит все организации, потому что механизм выключен.