Кто что видит в базе: собираем права через группы доступа 1С

Группа доступа в 1С — это связка «профиль прав + список участников + ограничения по данным». Права пользователю в типовых конфигурациях на 8.3 (БП 3.0, ЗУП 3.1, УТ 11, КА, ERP) выдают не ролями напрямую, а включением в группу доступа. Найти их можно в разделе Администрирование → Настройки пользователей и прав → Группы доступа.

Типичная боль: новый бухгалтер видит зарплату директора, а кладовщик случайно проводит банковскую выписку. Обе проблемы решаются одной правильно собранной группой доступа: профиль под обязанности, ограничение по организации и проверка итоговых прав под самим пользователем.

Группы доступа в 1С: что это и зачем нужны

Механизм групп доступа входит в Библиотеку стандартных подсистем (БСП). Поэтому в любой современной типовой конфигурации он работает одинаково, меняется только набор поставляемых профилей.

Группа доступа отвечает на три вопроса:

• 👤 Кому — участники: отдельные пользователи или целые группы пользователей.
• 🔑 Что можно делать — профиль группы, то есть набор ролей (читать, создавать, проводить, удалять).
• 🏢 С какими данными — ограничения доступа: например, только по организации «Альфа».

Без групп доступа администратор вынужден раздавать роли в Конфигураторе каждому пользователю. На пяти сотрудниках это терпимо. На пятидесяти — неуправляемо: никто не помнит, кому и почему открыли документ «Списание с расчётного счёта».

С группами логика другая. Вы один раз описываете «Бухгалтер по банку организации Альфа», а дальше просто добавляете и убираете людей.

Чем группа доступа отличается от профиля и роли

Эти три понятия путают чаще всего. Разница — в уровне.

Проще всего думать так: роль — кирпич, профиль — чертёж из кирпичей, группа — конкретный дом с жильцами.

Один профиль можно использовать во многих группах. Например, профиль «Бухгалтер» лежит в основе групп «Бухгалтеры Альфы» и «Бухгалтеры Беты». Роли одинаковые, а организации разные.

Отдельно о ролях в Конфигураторе. Если в базе работают группы доступа, не назначайте роли вручную на вкладке «Прочие» в Конфигураторе. При следующем пересчёте прав программа приведёт роли пользователя в соответствие с его группами, и ручные правки пропадут.

Подготовка: что проверить до создания группы

Пять минут подготовки избавляют от переделок.

1. Убедитесь, что вы входите под пользователем с полными правами (группа «Администраторы»).
2. Откройте Администрирование → Настройки пользователей и прав. Проверьте, включён ли флажок Ограничивать доступ на уровне записей. Без него разрезы по организациям и другим видам доступа работать не будут — останутся только права ролей.
3. Посмотрите список профилей: Администрирование → Настройки пользователей и прав → Профили групп доступа. Найдите профиль, который ближе всего к задаче.
4. Решите, по каким данным нужно ограничение: по организациям, по группам сотрудников, по складам. Набор видов доступа зависит от конфигурации.
5. Если сотрудников много, заведите группы пользователей («Бухгалтерия», «Склад»). В группу доступа удобнее включать их, а не каждого человека.

Как создать группу доступа в 1С пошагово

Порядок одинаков для БП 3.0, ЗУП 3.1 и УТ 11.

Шаг 1. Откройте список групп

Перейдите в Администрирование → Настройки пользователей и прав → Группы доступа и нажмите Создать.

Шаг 2. Задайте имя и профиль

• В поле наименования пишите понятно: «Бухгалтер — ООО Альфа», а не «Группа 3».
• В поле профиля выберите подходящий профиль, например «Бухгалтер».
• Заполните ответственного — это пользователь, который сможет менять состав участников без прав администратора.

Шаг 3. Добавьте участников

На вкладке участников нажмите Подобрать. Можно выбрать как отдельных пользователей, так и группы пользователей. Новичок, которого позже добавят в группу пользователей «Бухгалтерия», автоматически получит права.

Шаг 4. Настройте ограничения доступа

Если профиль предусматривает виды доступа, которые настраиваются в группе, появится вкладка с ограничениями. Для каждого вида выбирают режим:

• Все разрешены — плюс список исключений, которые запрещены;
• Все запрещены — плюс список значений, которые разрешены.

Для бухгалтера одной организации выберите вид «Организации», режим «Все запрещены» и добавьте в список только «ООО Альфа».

Шаг 5. Запишите и проверьте

Нажмите Записать и закрыть. Затем откройте карточку пользователя и перейдите по ссылке на его права доступа — там видно, в каких группах он состоит и что в итоге может.

Продвинутое управление: копии профилей, отчёты и группы пользователей

Когда базовая схема работает, есть несколько приёмов, которыми пользуются опытные администраторы.

Свой профиль из копии поставляемого

Типовой профиль «Бухгалтер» даёт право на многое. Если сотрудник должен работать только с кассой и банком, скопируйте профиль и уберите лишние роли. Названия ролей в профиле человекочитаемые, а у каждой есть описание.

После копирования настройте в профиле виды доступа. Для каждого вида можно указать, где задаётся его значение:

• в самом профиле — ограничение одинаково для всех групп с этим профилем;
• в группе доступа — каждая группа задаёт свои значения.

Второй вариант гибче: один профиль «Кассир», несколько групп по организациям.

Отчёт по правам доступа

В карточке пользователя есть отчёт о правах. Он показывает итог по всем группам сразу: какие объекты пользователь может читать, менять, проводить, и по каким значениям действуют ограничения. Перед аудитом или увольнением сотрудника — первое, что стоит открыть.

Права складываются, а не вычитаются

Пользователь в двух группах получает сумму их прав. Запретить что-то «второй группой» нельзя. Если у человека лишние права, ищите группу, которая их даёт, и убирайте его оттуда — или делайте для него отдельную, более узкую группу.

Как разобраться в чужой схеме прав

Частая ситуация: вы приняли базу от предыдущего администратора, групп три десятка, и непонятно, кто что видит. Не начинайте с переделки — сначала соберите картину.

1. Откройте список групп доступа и отсортируйте его по профилю. Сразу видно, сколько групп построено на каждом профиле и нет ли дублей с одинаковыми настройками.
2. Для каждой группы проверьте участников. Пустые группы и группы с уволенными сотрудниками — первые кандидаты на удаление.
3. Откройте профили-копии и сравните их состав ролей с поставляемыми. Часто копия отличается одной-двумя ролями, и смысл её создания давно забыт.
4. Выберите трёх-четырёх ключевых пользователей и сформируйте по ним отчёт о правах. Это покажет реальную картину лучше, чем просмотр групп по отдельности.
5. Запишите итог в простую таблицу «группа → профиль → участники → ограничения». Её же удобно показать руководителю для согласования.

Менять схему лучше постепенно: одна группа за раз, с проверкой под пользователем. Массовая перестройка в рабочий день почти гарантирует звонки «у меня всё пропало».

Защита данных с помощью групп доступа

Группы доступа — главный инструмент защиты данных внутри базы. Особенно это касается зарплаты и кадровых сведений: это персональные данные, и закон № 152-ФЗ требует ограничивать круг лиц, которые их обрабатывают.

Правила, которые стоит соблюдать:

• 🔒 Минимум прав. Начинайте с узкого профиля и расширяйте по запросу. Обратный путь — отобрать права у привыкших к ним людей — всегда болезненнее.
• 👥 Без общих учётных записей. Один пользователь «Бухгалтерия» на троих — и в журнале регистрации уже не понять, кто удалил документ.
• 🛡 Мало администраторов. В группе «Администраторы» должны быть один-два человека. Бухгалтеру «чтобы не мешало» полные права не дают.
• 🧾 Регулярная ревизия. Раз в квартал пройдитесь по составу групп и уберите тех, кто сменил должность или ушёл.
• 🚪 Увольнение — сразу. Снимите флажок входа в программу у уволенного сотрудника в тот же день. Пользователя лучше не удалять: на нём висят документы и история изменений.

Для чувствительных разделов дополнительно включите журнал регистрации с нужным уровнем детализации. Он покажет, кто и когда открывал и менял данные.

Примеры групп доступа для разных ролей сотрудников

Названия поставляемых профилей отличаются в разных конфигурациях, поэтому в таблице — логика сборки, а не точные имена.

Пример для небольшой фирмы из двух юрлиц:

1. Профиль «Бухгалтер», вид доступа «Организации» настраивается в группе.
2. Группа «Бухгалтер — Альфа»: участник Иванова, разрешена только «Альфа».
3. Группа «Бухгалтер — Бета»: участник Петрова, разрешена только «Бета».
4. Группа «Главный бухгалтер»: участник Сидорова, без ограничений.

В итоге Иванова не увидит документы Беты ни в журналах, ни в отчётах, даже в оборотно-сальдовой ведомости.

Типичные ошибки при настройке групп доступа

Ещё одна частая ошибка — включать пользователя в группу «Администраторы», «чтобы перестало ругаться». Сообщение исчезнет, но вместе с ним исчезнет и вся защита данных. Найдите конкретную роль, которой не хватает, и добавьте её в копию профиля.

Частые вопросы