Откуда у пользователя Бухгалтерии 3.0 берутся права: роли, профили, группы доступа
Содержание
Базовые права в 1С:Бухгалтерии 8.3 — это обязательный минимум ролей, без которого пользователь вообще не войдёт в программу: запуск клиента, сохранение своих настроек, работа с общими справочниками. Настраивают их не галочками у пользователя, а через профиль группы доступа: Администрирование → Настройки пользователей и прав → Профили групп доступа.
Есть два пути выдать права. Первый — включить человека в группу доступа на основе готового профиля («Бухгалтер», «Главный бухгалтер», «Администратор»). Второй — скопировать поставляемый профиль и поправить в копии список ролей. Готовый профиль выбирают, когда обязанности стандартные. Копию — когда нужно убрать, например, доступ к кадровым данным или к банку.
Как устроена система прав в 1С: три уровня
Права в БП 3.0 собираются из трёх слоёв. Каждый отвечает за своё, и путаница между ними — главная причина ошибок.
| Уровень | Что это | Где настраивают |
|---|---|---|
| Роль | Набор прав на объекты конфигурации: чтение, добавление, изменение, удаление, проведение | Только в конфигураторе, в пользовательском режиме роли не создают |
| Профиль группы доступа | Набор ролей + виды ограничений (например, по организациям) | Администрирование → Настройки пользователей и прав → Профили групп доступа |
| Группа доступа | Профиль + конкретные участники + значения ограничений | Администрирование → Настройки пользователей и прав → Группы доступа |
Пользователь получает сумму прав всех групп, в которые входит. Права складываются, а не вычитаются. Если одна группа разрешает просмотр банковских выписок, а другая нет — выписки будут видны.
Что входит в базовые права
В списке ролей любого профиля есть роли, которые не снимают никогда:
- 🔑 «Базовые права БСП» — общий минимум Библиотеки стандартных подсистем: запуск, работа с настройками, общие служебные данные;
- 📒 базовые права самой Бухгалтерии — минимальный доступ к общим объектам конфигурации (в списке ролей профиля ищите по слову «Базовые»);
- 💻 роли запуска — тонкого клиента , веб-клиента; без нужной роли пользователь не войдёт выбранным способом;
- 💾 сохранение данных пользователя — без неё не запоминаются настройки форм, отчётов, выбранная организация.
Базовые роли не дают доступа к документам и учётным регистрам. Это фундамент, на который профиль добавляет «рабочие» роли: добавление и изменение документов продаж, банка, кассы, просмотр отчётов.
В поставляемых профилях базовые роли уже включены. Помнить о них нужно, когда собираете профиль с нуля: забыли — пользователь получит отказ при входе.
Поставляемые профили и роли Бухгалтерии 3.0
Программа поставляется с готовыми профилями. Их состав обновляется вместе с конфигурацией, поэтому менять поставляемый профиль напрямую нельзя: форма открывается только на просмотр.
Самые используемые профили:
| Профиль | Кому | Что даёт |
|---|---|---|
| Администратор | Ответственному за базу | Полные права, включая управление пользователями и обновление |
| Главный бухгалтер | Руководителю бухгалтерии | Работа со всеми разделами учёта и отчётностью, настройки учёта |
| Бухгалтер | Рядовому сотруднику | Ввод документов и отчёты, без администрирования |
Полный список откройте в справочнике профилей: он зависит от релиза и наличия встроенных подсистем (например, 1С-Отчётность или ЭДО добавляют свои роли).
Роли «Полные права» и «Администратор системы»
Эти две роли стоят особняком:
- 🛡 Полные права — доступ ко всем данным без ограничений на уровне записей;
- ⚙️ Администратор системы — администрирование информационной базы: пользователи, обновление, выгрузка.
Обе входят в профиль «Администратор». Добавлять их в копию бухгалтерского профиля «чтобы не мешали ошибки» не стоит: пользователь фактически становится администратором и обходит все ограничения.
Настройка прав пользователя пошагово
Работаем в режиме «1С:Предприятие» под пользователем с профилем «Администратор». Конфигуратор для этого не нужен.
Шаг 1. Создать пользователя
- Откройте
Администрирование → Настройки пользователей и прав → Пользователи. - Нажмите «Создать», заполните полное имя.
- Отметьте, что вход в программу разрешён, задайте имя для входа и пароль (или вход через аутентификацию операционной системы).
- Запишите карточку.
Шаг 2. Выдать права через группы доступа
- В карточке пользователя перейдите по ссылке «Права доступа ».
- Отметьте нужные группы доступа или нажмите «Включить в группу».
- Запишите.
Тот же результат даёт обратный путь: открыть группу доступа и добавить человека в табличную часть «Участники».
Шаг 3. Если стандартного профиля мало — сделать свой
- Откройте
Профили групп доступа, выделите близкий по смыслу поставляемый профиль. - Скопируйте его (команда копирования в командной панели или клавиша
F9). - Дайте копии понятное имя: «Бухгалтер без кадров», «Кассир ООО Ромашка».
- На вкладке ролей снимите лишние, добавьте недостающие. Базовые роли не трогайте.
- Запишите профиль, создайте на его основе группу доступа и включите в неё сотрудников.
Не правьте права пользователю в конфигураторе через «Администрирование → Пользователи». В типовой Бухгалтерии роли назначаются автоматически по группам доступа, и ручные правки в конфигураторе программа сочтёт расхождением: их перезапишет при ближайшей записи пользователя или проверке прав.
Собственный профиль не обновляется вместе с конфигурацией. Если в новом релизе появилась роль для новой функции, её придётся добавить в копию вручную. Поэтому копий должно быть немного и с понятными именами.
Ограничение доступа на уровне записей (RLS) по организациям
Роли отвечают на вопрос «что можно делать с документами». RLS — «с какими именно документами». В Бухгалтерии 3.0 типовое ограничение — по организациям: кассир видит кассу только своей фирмы, а бухгалтер холдинга — всех.
Как включить
- Откройте
Администрирование → Настройки пользователей и прав. - Установите флажок «Ограничивать доступ на уровне записей».
- Подтвердите включение. Программа запустит фоновое обновление доступа.
В большой базе обновление занимает заметное время: от минут до часов. Включать его лучше вечером, когда пользователей в базе мало, и не прерывать.
Как задать организации
- Откройте нужную группу доступа.
- На вкладке ограничений выберите вид доступа «Организации».
- Задайте режим: «Все запрещены» с перечнем разрешённых или «Все разрешены» с перечнем запрещённых.
- Добавьте организации и запишите группу.
Первый режим безопаснее: новая организация, добавленная в базу, не откроется сотруднику автоматически.
Если вид доступа «Организации» в группе недоступен, проверьте профиль: ограничение должно быть разрешено в профиле, а значения задаются уже в группе.
Чем расплачиваются за RLS
- 🐢 запросы к данным выполняются с дополнительными условиями — отчёты строятся медленнее;
- 🔄 при каждом изменении групп и профилей пересчитываются ключи доступа;
- 🧩 часть внешних обработок и отчётов, написанных без учёта RLS, начинает падать с ошибкой доступа у ограниченных пользователей.
Если в базе одна организация, RLS по организациям смысла не имеет. Хватит разграничения ролями.
Как проверить, какие права получил пользователь
Догадываться по жалобам долго. В Бухгалтерии есть отчёт, который показывает итог по всем группам сразу.
- Откройте карточку пользователя.
- Перейдите в «Права доступа» и сформируйте отчёт по правам.
- В отчёте видно, через какие группы и профили пришло право на конкретный объект: справочник, документ, регистр.
Второй приём — войти под этим пользователем. Если пароль неизвестен, создайте тестового пользователя и включите его в те же группы. Работать под чужой учётной записью без ведома сотрудника не стоит: все действия запишутся в журнал под его именем.
Третий — сравнить двух пользователей. Когда у одного бухгалтера команда видна, а у другого нет, сравните списки их групп доступа. Разница почти всегда там.
Почему не хватает прав: типичные ошибки
Сообщение Нарушение прав доступа! или текст со словами «Недостаточно прав» — это всегда отказ платформы на конкретное действие. Ищите, какой роли или ограничения не хватило.
Ещё две частые ошибки — организационные:
- 👥 общая учётная запись на отдел. Права настроить можно, но понять, кто провёл документ, уже нельзя;
- 🗝 второй администратор «на всякий случай» с простым паролем. Это самый короткий путь к случайно удалённым данным.
Аудит и контроль действий пользователей
Права ограничивают, журнал регистрации показывает, что сделано на самом деле. Он фиксирует вход и выход, запись и проведение документов, удаление объектов, изменение пользователей.
Где смотреть журнал
- в пользовательском режиме:
Администрирование → Обслуживание, ссылка «Журнал регистрации»; - в конфигураторе:
Администрирование → Журнал регистрации.
Полезные отборы:
- Пользователь — всё, что сделал конкретный сотрудник за период.
- Событие — например, только удаление данных или только изменение пользователей.
- Метаданные — история по одному виду документа.
- Данные — открыв документ, перейдите к его истории в журнале и увидите, кто и когда его менял.
Уровень записи событий задаётся в конфигураторе: Администрирование → Настройка журнала регистрации. Для аудита нужен уровень, при котором пишутся хотя бы ошибки, предупреждения и информация. Там же задаётся, как дробить журнал по периодам.
Журнал хранится в каталоге информационной базы и растёт. Не удаляйте его файлы вручную при открытой базе — это обрывает запись событий. Старые периоды выгружают средствами самой программы, а для чистки останавливают работу пользователей.
Что ещё помогает контролю
- 📅 Даты запрета изменения — закрывают прошлые периоды от правки. Пользователь видит документы закрытого периода, но не может их перепровести.
- 🧾 Отдельные учётные записи для каждого сотрудника и для внешнего специалиста — иначе журнал теряет смысл.
- 🔁 Регулярный просмотр групп «Администраторы»: уволенные сотрудники в ней не должны оставаться ни дня.