Как устроен профиль пользователя в 1С 8.3 и что в нём настраивать
Содержание
Частая путаница: «профиль пользователя» в 1С принимают за один объект с одной кнопкой. На деле это три слоя. Первый — учётная запись пользователя информационной базы (логин, способ входа, роли). Второй — права, которые выдаются через группы доступа и профили групп доступа. Третий — личные настройки: интерфейс, формы, отборы, избранное.
Если путать слои, начинаются странные ситуации. Человеку «добавили права», а он их не видит, потому что настройка лежит не там. Или «сбросили профиль», и пропали любимые отборы, хотя права остались. Ниже — что где живёт и как этим управлять в платформе 8.3 с интерфейсом «Такси».
Из чего состоит профиль: учётная запись, права и личные настройки
Полная картина выглядит так:
- 👤 Пользователь информационной базы — то, что хранится в самой базе: имя для входа, способ аутентификации, список ролей, язык, режим запуска. Видно в Конфигураторе:
Администрирование → Пользователи. - 🗂 Элемент справочника «Пользователи» — карточка в прикладном решении (в конфигурациях на базе библиотеки стандартных подсистем). Она связана с учётной записью и хранит ФИО, подразделение, почту, признак «недействителен».
- 🔑 Права — набор ролей. В типовых конфигурациях роли напрямую не раздают, а собирают в профили групп доступа.
- 🎛 Личные настройки — хранятся отдельно, привязаны к пользователю и не влияют на права: расположение окон, сохранённые отборы, состав начальной страницы, настройки печати.
Важное следствие: права и настройки живут независимо. Сбросить настройки интерфейса можно без потери прав, а отозвать права — не трогая настройки.
Где смотреть
| Что нужно | Где открыть |
|---|---|
| Роли и способ входа в «сыром» виде | Конфигуратор: Администрирование → Пользователи |
| Карточка пользователя, группы доступа | Предприятие: Администрирование → Настройки пользователей и прав → Пользователи |
| Профили групп доступа | Там же, пункт «Профили групп доступа» |
| Свои личные настройки | Главное меню программы, раздел с настройками пользователя |
В Конфигураторе видны только роли и параметры входа. Карточки, группы доступа и «недействителен» — это уже прикладной уровень, и в чистой платформе без типовой конфигурации их нет.
Способы входа и безопасное соединение
Способ аутентификации задаётся в свойствах пользователя. Платформа умеет несколько вариантов, их можно комбинировать:
- Аутентификация 1С:Предприятия — логин и пароль хранятся в базе. Подходит для внешних пользователей и небольших баз.
- Аутентификация операционной системы — вход по учётной записи Windows или домена, пароль не спрашивается. Удобно в офисе с Active Directory.
- Аутентификация OpenID — вход через внешний сервис единого входа. Нужна, когда в компании уже есть корпоративный провайдер.
Для веб-клиента и публикации на веб-сервере дополнительно настраивают HTTPS. Пароль, который уходит по HTTP, читается любым сниффером в той же сети. Поэтому публикацию наружу делают только по защищённому каналу, а сертификат на веб-сервере должен быть действующим.
Пароль и его политика
Требования к паролю включаются в настройках входа. В типовых конфигурациях это Администрирование → Настройки пользователей и прав → Настройки входа. Там задают минимальную длину, требование сложности, срок действия и запрет повтора.
Если вы работаете в чистой платформе без БСП, схожие параметры (минимальная длина, проверка сложности) есть в параметрах информационной базы в Конфигураторе.
Для службы обмена и внешних сервисов заведите отдельного пользователя. Пароль человека, который может уволиться, не должен быть вшит в настройки обмена.
Защита от опасных действий
В свойствах пользователя есть флаг защиты от опасных действий. Когда он включён, платформа спрашивает подтверждение перед тем, как выполнить потенциально вредный код: запуск внешних программ, обращение к COM-объектам, отправка данных по сети из внешних обработок и отчётов.
Для обычных бухгалтеров флаг оставляют включённым. Отключают его только для технических учёток, которые заведомо запускают внешние обработки по расписанию.
Права доступа: роли, группы и профили
Пользователь без ролей войдёт в базу, но ничего не увидит. Роли — это минимальная единица прав: «Добавление и изменение документов», «Просмотр отчётов», «Администратор системы».
Раздавать роли по одной неудобно. Поэтому в типовых конфигурациях действует цепочка:
- Профиль группы доступа — готовый набор ролей под должность: бухгалтер, кладовщик, кадровик, руководитель.
- Группа доступа — «ведро», куда помещают конкретных людей и привязывают к профилю.
- Пользователь — входит в одну или несколько групп. Итоговые права — объединение ролей всех его групп.
Так выдавать права проще: принят новый бухгалтер — добавили в группу «Бухгалтеры». Не нужно помнить, какие 14 ролей ему положены.
Ограничения на уровне записей
Роль отвечает на вопрос «можно ли работать с документами реализации». Но не на вопрос «с реализациями каких организаций». Для второго есть ограничения доступа на уровне записей (RLS). В группе доступа указывают допустимые значения: организации, склады, подразделения, контрагентов.
Типичная задача: бухгалтер филиала видит только свою организацию. Роли у него те же, что у центрального бухгалтера, а различаются значения доступа.
Если включить ограничения на уровне записей на большой базе без проверки, формы и отчёты могут заметно замедлиться: для каждого запроса платформа добавляет условия. Включайте на копии и сравните время формирования ключевых отчётов.
Что нельзя выдавать всем
Роль «Администратор системы» и полные права в обычные профили не включают. Если пользователь с ней открывает Конфигуратор, он видит всю конфигурацию и может изменить данные в обход журнала. Для рядовых сотрудников хватит ролей из профиля по должности.
| Подход | Когда | Риск |
|---|---|---|
| Роли напрямую пользователю | Чистая платформа, 3-5 человек | Права расходятся со временем, никто не помнит, кто что получил |
| Профиль + группа доступа | Типовая конфигурация | Нужно один раз спроектировать профили |
| Профиль + группа + значения доступа | Несколько организаций, филиалы | Возможна просадка скорости при больших объёмах |
Интерфейс и личные настройки
Интерфейс «Такси» персонализируется почти полностью силами самого пользователя. Администратору в большинстве случаев достаточно настроить общие параметры, а остальное люди сделают сами.
Что можно настроить на уровне пользователя:
- 🧭 панель разделов и состав начальной страницы;
- ⭐ избранное и история открытых форм;
- 📊 колонки, отборы и сортировку в списках;
- 🖨 параметры печати, число копий, принтер по умолчанию;
- 🔔 оповещения и напоминания.
Что делает администратор
Администратор может настроить начальную страницу для группы людей и скопировать настройки одного пользователя другому. Копирование настроек работает из окна пользователя: вы выбираете, какие именно настройки переносить (отчёты, внешний вид, печать). Это быстрый способ ввести нового сотрудника в курс дела: настройки опытного бухгалтера становятся стартовыми для новичка.
Режим запуска и язык
В свойствах пользователя задают:
- Режим запуска — автоматический или принудительно управляемое приложение. Для современных конфигураций ставят управляемое приложение;
- Основной интерфейс — для «Такси» отдельный выбор обычно не нужен;
- Язык — если в конфигурации несколько языков.
Режим запуска влияет на то, как откроется программа, но не на права.
Жизненный цикл учётной записи
У сотрудника в 1С есть понятный путь: принят, работает, переведён, уволен. Учётную запись ведут в соответствии с этим путём.
Создание
- Откройте
Администрирование → Настройки пользователей и прав → Пользователии создайте карточку. - Укажите ФИО и разрешите вход в программу.
- Выберите способ аутентификации и задайте пароль, если нужен.
- Добавьте человека в группы доступа.
- Проверьте вход под этим пользователем. Лучше с другого рабочего места или в отдельном сеансе.
Перевод на другую должность
Не создавайте второго пользователя. Поменяйте группы доступа: уберите старую, добавьте новую. История изменений остаётся под тем же именем, и журнал регистрации не расползается на две учётки.
Увольнение
Удалять пользователя нельзя, если он оставил следы в данных. Он указан как автор документов, и при удалении ссылки превратятся в «непонятный объект». Правильный порядок такой:
- Снимите разрешение на вход (в карточке уберите признак «вход в программу разрешён»).
- Отметьте пользователя как недействительного.
- Уберите его из групп доступа.
- Если у него были активные сеансы, завершите их через
Администрирование → Активные пользователи: пользователь выйдет из программы, несохранённые данные потеряются, поэтому делайте это вне рабочего пика.
Не удаляйте учётку, пока не убедились, что нигде в учёте на неё не ссылаются документы. Блокировка решает задачу полностью, а удаление ломает авторство.
Диагностика: почему профиль «не работает»
Большинство жалоб сводится к нескольким сценариям.
Как проверить итоговые права
Самый надёжный приём — открыть программу под тестовым пользователем с теми же группами доступа. Тогда вы видите картину глазами сотрудника, а не по формальному списку ролей. Для этого заведите учётную запись «Тест бухгалтер» и включайте её в группы по необходимости.
Не проверяйте права, запуская Конфигуратор под администратором и «глядя по ролям». Роль в списке ещё не гарантирует доступа: может не хватать значений доступа или объект запрещён другой ролью.
Безопасность в повседневной работе
Короткий набор правил, который закрывает большую часть рисков:
- 🔐 у каждого сотрудника своя учётка, без общих «бухгалтер1» на троих;
- 🧾 права выдаются через профили, а не вручную по ролям;
- ⏳ уволенных блокируют в день увольнения;
- 🔄 пароли меняют по политике, а не «когда вспомнят»;
- 🧪 новые профили проверяют на тестовом пользователе;
- 👁 журнал регистрации просматривают после смены прав и увольнений.