Права пользователей в 1С 8.3: где их найти, как выдать и как проверить

Права доступа в 1С 8.3 настраиваются в режиме «Предприятие»: Администрирование → Настройки пользователей и прав. В Бухгалтерии 3.0 и ЗУП 3.1 путь именно такой, в УТ 11, КА и ERP раздел называется НСИ и администрирование. Там три ссылки, с которыми вы работаете: Пользователи, Группы доступа и Профили групп доступа.

Типичная ситуация: новый кассир открывает журнал кассовых документов и видит Недостаточно прав для просмотра. Администратор лезет в Конфигуратор, ставит галочки ролей, а через день они пропадают. Причина в том, что в типовых конфигурациях права живут не в Конфигураторе, а в группах доступа. Разберём, где что лежит и как этим управлять.

Где находится управление доступом в разных конфигурациях

Все типовые конфигурации фирмы 1С собраны на Библиотеке стандартных подсистем (БСП). Поэтому механизм прав у них один, отличается только раздел верхнего уровня.

Открыть этот раздел может только пользователь с полными правами. Обычный бухгалтер его просто не увидит в панели разделов.

На странице настроек вы найдёте:

• 👤 Пользователи — список сотрудников, которые входят в базу;
• 👥 Группы доступа — кто и с какими ограничениями получает набор прав;
• 📦 Профили групп доступа — наборы ролей, «шаблоны» прав;
• 🔒 флажок Ограничивать доступ на уровне записей — включает разграничение по организациям и другим видам доступа;
• ⚙️ ссылки на копирование, очистку и персональные настройки пользователей.

Если включён флажок Группы пользователей, появится ещё одноимённая ссылка. Группы пользователей удобны, когда в базе десятки сотрудников: права выдаются отделу целиком.

Как устроены профили и группы доступа

Права в 1С собраны в три слоя. Если понять их связь, половина проблем исчезает сама.

Роль — минимальная единица прав, её создаёт разработчик в конфигурации. Роль говорит: «можно читать документ Поступление товаров», «можно проводить кассовые ордера». Ролей в Бухгалтерии сотни, вручную их никто не раздаёт.

Профиль группы доступа — набор ролей под должность. Например, «Бухгалтер», «Кассир», «Главный бухгалтер», «Только просмотр». На вкладке ролей профиля видно, какие действия он разрешает. На вкладке ограничений — какие виды доступа к нему применяются (организации, группы физлиц и т. п.).

Группа доступа — связка «профиль + участники + ограничения». Именно группа доступа выдаёт права людям. Например, группа «Бухгалтеры ООО Ромашка»: профиль «Бухгалтер», участники Иванова и Петрова, разрешена одна организация.

Поставляемые профили (их привозит фирма 1С вместе с конфигурацией) редактировать нельзя. Чтобы изменить набор ролей, скопируйте профиль командой копирования в списке и правьте копию. Так ваши изменения переживут обновление: поставляемые профили обновление перезаписывает, а свои — нет.

Как спланировать схему прав до настройки

Прежде чем щёлкать флажки, набросайте на листке простую матрицу: строки — должности, столбцы — организации. Например, в фирме с двумя юрлицами получится четыре-пять групп: «Бухгалтеры Север», «Бухгалтеры Юг», «Кассир Север», «Главный бухгалтер (все организации)», «Руководитель — только просмотр».

Правило простое: одна группа доступа = один профиль + один набор ограничений. Не делайте «универсальную» группу с широким профилем «на всякий случай». Через полгода никто не вспомнит, зачем она нужна, а права из неё будут суммироваться со всеми остальными.

Как выдать права конкретному пользователю

Порядок одинаков во всех конфигурациях на БСП. Пример ниже для Бухгалтерии 3.0.

Шаг 1. Создайте или откройте пользователя

1. Откройте Администрирование → Настройки пользователей и прав → Пользователи.
2. Нажмите Создать или откройте существующую карточку.
3. Заполните полное имя и при необходимости свяжите с физическим лицом.
4. Установите флажок Вход в программу разрешен. Без него человек есть в справочнике, но войти в базу не может.
5. Задайте способ входа: пароль 1С или аутентификация операционной системы.
6. Запишите карточку.

Шаг 2. Включите пользователя в группы доступа

Есть два пути, результат одинаковый.

Из карточки пользователя. Перейдите по ссылке Права доступа. Откроется список групп доступа с флажками. Отметьте нужные и запишите.

Из группы доступа. Откройте Группы доступа, выберите группу, на вкладке участников добавьте пользователя.

Второй путь удобнее, когда вы разом подключаете отдел. Первый — когда нужно посмотреть всё, что есть у одного человека.

Шаг 3. Проверьте ограничения группы

Если включено ограничение на уровне записей, в форме группы доступа есть вкладка с видами доступа. Для вида «Организации» выбирается режим: все разрешены (кроме перечисленных) или все запрещены (кроме перечисленных). Ниже — список исключений.

Пример: в базе три организации, бухгалтер ведёт только ООО «Север». Ставите «Все запрещены», в список добавляете «Север». Остальные две фирмы этот бухгалтер не увидит ни в журналах, ни в отчётах.

Шаг 4. Попросите пользователя перезайти

Новые роли применяются к сеансу при входе. Пока пользователь не перезапустит 1С, он работает со старыми правами.

Как посмотреть и проанализировать права пользователя

Вопрос «почему у Ивановой есть доступ к зарплате» возникает регулярно. Ответить на него можно без Конфигуратора.

Состав групп. В карточке пользователя по ссылке Права доступа видно, в какие группы он входит. Важный момент: человек может получать права не только напрямую, но и через группу пользователей. Если Иванова входит в группу пользователей «Бухгалтерия», а та — в группу доступа «Зарплата», доступ к зарплате у Ивановой будет.

Отчёт по правам. В форме прав доступа пользователя есть команда формирования отчёта. Он показывает, какие действия разрешены пользователю по каждому объекту и через какую группу доступа пришло право. Это главный инструмент разбора: видно не только «можно», но и «почему можно».

Роли в Конфигураторе. Открыть Администрирование → Пользователи, карточку пользователя, вкладку Прочие. Там список ролей с флажками. Смотрите туда, только чтобы убедиться, что роли синхронизировались с группами. Править не нужно.

Журнал регистрации. Администрирование → Обслуживание → Журнал регистрации. Отбор по пользователю покажет, когда и что он делал, а отбор по событиям изменения пользователей покажет, кто правил права. Полезно, если доступ «внезапно» появился или пропал.

Ограничение доступа на уровне записей (RLS)

Профиль решает, к каким объектам есть доступ. Ограничение на уровне записей (Record Level Security, RLS) решает, к каким строкам этих объектов. Бухгалтер может видеть справочник «Контрагенты», но только документы своей организации.

Как включить

1. Откройте Администрирование → Настройки пользователей и прав.
2. Установите флажок Ограничивать доступ на уровне записей.
3. Программа запустит обновление доступа. В большой базе оно идёт фоновым заданием и может занять заметное время.
4. Откройте каждую группу доступа и задайте значения: какие организации разрешены.

Не включайте ограничение на уровне записей посреди рабочего дня в большой базе: пока идёт первоначальное обновление доступа, пользователи с ограниченными правами могут временно не видеть часть данных. Удобнее делать это вечером или в выходной.

Какие виды доступа бывают

Набор зависит от конфигурации. Чаще всего встречаются:

• 🏢 Организации — главный вид в Бухгалтерии и ЗУП;
• 🧑‍🤝‍🧑 Группы физических лиц — в ЗУП, чтобы кадровик видел только своих сотрудников;
• 🗂 Группы контрагентов, номенклатуры, склады — в УТ, КА и ERP.

Каждый вид должен быть разрешён в профиле (вкладка ограничений). Если профиль вид не использует, вкладки с выбором значений в группе доступа не будет.

Почему ограничение может «не работать»

У пользователя полные права — на него RLS не действует. У пользователя две группы доступа: одна ограничивает, другая разрешает всё — итоговые права складываются, и ограничение пропадает. Права в 1С суммируются, «запрещающих» групп не бывает.

Конфигуратор или «Предприятие»: где правильно менять роли

Это частый источник путаницы, поэтому отдельно.

Последняя строка — приём, о котором забывают. Если вы подключили внешний отчёт или расширение, право на него оформляют ролью в расширении. Затем эту роль добавляют в свой (скопированный) профиль. Так доступ выдаётся теми же группами доступа и не слетает.

Если администратор потерял доступ

Ситуация: последний администратор забыл пароль. В файловой базе без привязки к Windows выход — Конфигуратор, вход под пользователем с ролью полных прав или через администратора информационной базы. В клиент-серверной базе этим занимается администратор сервера 1С.

Перед любыми правками пользователей в Конфигураторе сделайте выгрузку информационной базы (Администрирование → Выгрузить информационную базу в Конфигураторе). Ошибка в списке пользователей может закрыть вход всем.

Типичные ошибки и что с ними делать

Частые вопросы