Как устроены права в типовых конфигурациях 1С 8.3: профили, группы доступа и ограничения по организациям
Содержание
Права пользователей в Бухгалтерии 3.0 и ЗУП 3.1 настраивают в разделе Администрирование → Настройки пользователей и прав, в Управлении торговлей 11 — в НСИ и администрирование → Настройки пользователей и прав. Там три ссылки: «Пользователи», «Группы доступа» и «Профили групп доступа». Профиль задаёт, что можно делать. Группа доступа связывает профиль с конкретными людьми и, при необходимости, сужает доступ до нужных организаций.
Типичная ситуация: в базе две фирмы, нового бухгалтера берут только на одну. Дать ему профиль «Бухгалтер» мало — он увидит обе. Нужна группа доступа с этим профилем и ограничением по организации, и собрать её надо так, чтобы потом не разбирать жалобы «не открывается документ».
Как устроено разграничение прав в 1С
В платформе 1С:Предприятие 8.3 права выдаются через роли. Роль — набор разрешений на объекты конфигурации: читать справочник, проводить документ, открывать отчёт. Ролей в Бухгалтерии сотни, назначать их по одной неудобно.
Поэтому в типовых конфигурациях, построенных на Библиотеке стандартных подсистем, работает трёхуровневая схема:
| Уровень | Что это | Кто меняет |
|---|---|---|
| Роль | Набор прав на объекты, задаётся разработчиком в конфигурации | Программист в Конфигураторе |
| Профиль группы доступа | Набор ролей + список видов доступа, которые можно ограничивать | Администратор базы |
| Группа доступа | Профиль + участники + значения ограничений (например, организации) | Администратор базы |
Пользователь получает роли не напрямую, а через участие в группах доступа. Включили человека в группу — программа сама записала ему роли профиля.
Ключевое правило: права из разных групп складываются. Если пользователь состоит в группе «Бухгалтер по ООО Альфа» и в группе «Только просмотр по всем организациям», он увидит все фирмы — вторая группа расширит доступ. Запретить что-то через ещё одну группу нельзя: в этой модели нет «запрещающих» групп.
Отсюда простой принцип проектирования: одна группа доступа — одна должностная функция. Тогда состав прав человека читается по списку его групп.
Поставляемые и собственные профили групп доступа
Открыть список: Администрирование → Настройки пользователей и прав → Профили групп доступа.
Поставляемые профили
Профили, которые приходят с конфигурацией, называются поставляемыми. В Бухгалтерии 3.0 это, например, «Администратор», «Главный бухгалтер», «Бухгалтер». В ЗУП 3.1 — «Кадровик», «Расчетчик» и другие. Состав ролей таких профилей фирма 1С обновляет вместе с релизами.
Список ролей в поставляемом профиле изменить нельзя. Это защита: иначе после обновления конфигурации ваши правки разошлись бы с новой версией профиля.
Собственные профили
Если готового профиля не хватает, делают свой:
- Выделите в списке близкий поставляемый профиль.
- Скопируйте его (
F9или команда копирования в командной панели списка). - Дайте копии понятное имя: «Бухгалтер + кассовые операции», «Менеджер без цен закупки».
- На вкладке с ролями (разрешённые действия) отметьте или снимите нужные роли.
- На вкладке «Ограничения доступа» укажите, какие виды доступа будут настраиваться в группах.
- Запишите профиль.
⚠️ Собственный профиль не обновляется вместе с конфигурацией. Если в новом релизе появилась роль для нового документа, в вашей копии её не будет. После крупных обновлений сверяйте свои профили с поставляемыми-образцами.
Виды доступа в профиле
На вкладке «Ограничения доступа» профиля перечислены виды доступа. Главный во всех трёх конфигурациях — «Организации». Для каждого вида задаётся режим:
- ✅ «Все разрешены» — по умолчанию открыты все значения, исключения перечисляют списком запрещённых;
- 🚫 «Все запрещены» — по умолчанию закрыто всё, разрешённые значения перечисляют явно;
- ⚙️ настройка в группах доступа — конкретные организации указывают не в профиле, а в каждой группе. Это самый гибкий вариант: один профиль «Бухгалтер», а групп столько, сколько фирм.
Создание группы доступа: пошагово
Перед началом проверьте, что в базе уже есть хотя бы один пользователь с профилем «Администратор» и вы зашли именно под ним. Пока список пользователей информационной базы пуст, программа пускает любого без пароля и с полными правами.
Шаг 1. Включите нужные настройки
В форме Настройки пользователей и прав посмотрите на два флажка:
- «Группы пользователей» — позволяет включать в группы доступа не людей по одному, а целые отделы;
- «Ограничивать доступ на уровне записей» — без него ограничение по организациям не работает , вкладка ограничений в группах будет пустой или недоступной.
Шаг 2. Создайте группу
- Перейдите по ссылке «Группы доступа» и нажмите «Создать».
- Заполните наименование так, чтобы по нему было ясно назначение: «Бухгалтерия — ООО Альфа».
- В поле «Профиль» выберите профиль, например «Бухгалтер».
- Укажите ответственного, если группой будет управлять руководитель отдела, а не администратор.
Шаг 3. Добавьте участников
На вкладке «Участники» подберите пользователей или группы пользователей. Отдел «Бухгалтерия» как группа пользователей удобнее: принятый сотрудник получит права, как только его внесут в отдел.
Шаг 4. Ограничьте доступ к данным
Если в профиле вид доступа «Организации» настраивается в группах, на вкладке ограничений появится список. Выберите режим «Все запрещены» и добавьте разрешённую организацию «ООО Альфа».
Шаг 5. Запишите и проверьте
Нажмите «Записать и закрыть». Пользователю нужно перезапустить 1С: набор ролей определяется при входе в программу, уже открытый сеанс работает со старыми правами.
Проверять права удобнее под отдельным тестовым пользователем с тем же набором групп, а не под реальным сотрудником. После проверки тестового пользователя отключите: снимите в карточке флажок входа в программу.
Назначение пользователей и изменение состава групп
Состав групп можно менять с двух сторон.
Из группы доступа. Открываете группу → вкладка «Участники» → добавляете или удаляете людей. Удобно, когда перестраиваете права целого отдела.
Из карточки пользователя. В карточке есть переход к его правам доступа: там видно, в каких группах он состоит, и можно включить его в нужную группу. Удобно при приёме и переводе одного сотрудника.
Что делать при типовых кадровых событиях:
| Событие | Что сделать в 1С |
|---|---|
| Новый сотрудник | Создать пользователя, включить в группу пользователей отдела или в нужные группы доступа |
| Перевод в другой отдел | Убрать из старых групп, добавить в новые; проверить, не осталось ли лишних |
| Временная замена | Добавить в группу на период замены, потом исключить |
| Увольнение | Снять разрешение на вход в программу в карточке пользователя; пользователя не удалять |
Уволенного пользователя не удаляйте. На него ссылаются документы (поле «Ответственный», «Автор»), история изменений и настройки. Достаточно запретить вход.
Группа «Администраторы»
Группа «Администраторы» с профилем «Администратор» поставляется в конфигурации и ведёт себя особо:
- ограничения по организациям для неё не настраиваются — администратор видит всё;
- исключить из неё последнего участника программа не даст, иначе базой некому будет управлять.
Держите в этой группе двух человек: основного администратора и резервную учётную запись, пароль от которой хранится у руководителя.
Ограничения доступа к данным и объектам
Ограничения в 1С бывают двух уровней, и их часто путают.
Доступ к объектам
Это то, что дают роли: может ли пользователь вообще открыть справочник «Контрагенты», провести «Поступление (акты, накладные, УПД)», запустить отчёт. Нет нужной роли — команды нет в интерфейсе или при открытии появляется отказ.
Доступ на уровне записей
Это ограничение внутри объекта: документы видны, но только по своей организации. Работает, когда включён флажок «Ограничивать доступ на уровне записей» и в группе указаны значения вида доступа.
Как это выглядит для пользователя:
- 📄 в списке документов видны только строки разрешённых организаций;
- 📊 отчёты строятся только по доступным данным, без сообщения о том, что часть отфильтрована;
- 🔒 при попытке открыть чужой объект по ссылке — сообщение об отказе.
После первого включения ограничения на уровне записей программа заполняет служебные данные для проверки прав фоновым заданием. На базе с несколькими годами учёта это занимает от минут до часов. Включайте флажок вечером или в выходной и проверяйте результат только после завершения обновления доступа.
Почему в отчётах «не сходятся» цифры
Бухгалтер с доступом к одной организации строит оборотно-сальдовую ведомость и видит одни обороты, главбух — другие. Это не ошибка: каждый видит своё. Перед тем как искать расхождение, уточните, под каким пользователем и с какими группами строился отчёт.
Типичные ошибки при настройке прав
- ❌ Роли назначают в Конфигураторе. В
Конфигуратор → Администрирование → Пользователитехнически можно поставить роли вручную. В типовой конфигурации источник правды — группы доступа, ручные роли с ними расходятся, и картину прав уже никто не восстановит. Работайте только через режим 1С:Предприятие. - ❌ Всем дают «Полные права» «на время». Временное становится постоянным. Через год половина сотрудников может удалять документы закрытых периодов.
- ❌ Пытаются запретить через вторую группу. Как сказано выше, группы только складывают права. Если нужно забрать доступ — исключайте человека из группы, которая его даёт.
- ❌ Правят поставляемый профиль под одного человека. Роли там заблокированы, а копия «Бухгалтер Иванова» плодит десятки профилей. Делайте профиль под функцию, а не под фамилию.
- ❌ Включили ограничение по организациям, но не дали ни одной. Режим «Все запрещены» с пустым списком означает, что сотрудник не видит ни одной фирмы. Списки документов у него пустые.
- ❌ Забыли о перезапуске. Права поменяли, а пользователь в открытом сеансе жалуется, что ничего не изменилось.
Диагностика проблем с доступом
Когда пользователь пишет «нет прав», первым делом попросите точный текст сообщения и скриншот окна. Дальше действуйте по симптому.
Порядок проверки
- Убедитесь, что пользователь вошёл под своей учётной записью, а не под общей.
- Откройте его права доступа из карточки и выпишите все группы.
- Для каждой группы посмотрите профиль и ограничения по организациям.
- Повторите действие под тестовым пользователем с тем же набором групп. Если ошибка повторяется — дело в настройке. Если нет — в сеансе или в данных конкретного сотрудника.
- Если сообщение появляется даже у администратора, это уже не права: проблема в доработке конфигурации или в данных, и её разбирает программист.
В актуальных релизах Библиотеки стандартных подсистем есть отчёты по правам доступа: они показывают, какие роли и ограничения действуют для пользователя и откуда они взялись. Ищите их через отчёты раздела администрирования или ссылки в карточке пользователя.
Если ничего не помогло
Бывает, что права выглядят верно, а доступа нет. Тогда:
- проверьте, не доработана ли конфигурация: в изменённых базах программист мог добавить свои роли или условия, которые схема групп доступа не учитывает;
- посмотрите журнал регистрации за момент ошибки: в событии будет пользователь, объект и текст отказа;
- сравните релиз конфигурации с релизом, под который делали собственные профили: новая роль могла не попасть в копию.