Как устроены группы доступа в 1С 8.3 и как выдать права без лишнего

Группа доступа в 1С — это справочник, который связывает пользователей с профилем прав: профиль говорит, что можно делать, группа — кому и в каких пределах. Создаётся она в Администрирование → Настройки пользователей и прав → Группы доступа (в БП 3.0 и ЗУП 3.1) или в НСИ и администрирование → Настройки пользователей и прав (в УТ 11).

Типичная боль знакома каждому администратору: новый бухгалтер не видит банковские выписки, а кладовщик внезапно видит зарплату. Обе ситуации решаются одной правильной настройкой групп, а не ручной раздачей ролей.

Как устроена система прав в 1С: от роли до группы доступа

Права в типовых конфигурациях на 8.3 строятся на Библиотеке стандартных подсистем (БСП). Платформа знает только роли. БСП добавляет над ними два слоя, чтобы администратору не приходилось помнить сотни ролей.

Схема снизу вверх:

• 🔹 Роль — объект конфигурации. Описывает права на объекты метаданных: чтение, добавление, изменение, проведение. Создаётся разработчиком в Конфигураторе.
• 🔹 Профиль группы доступа — набор ролей плюс список видов доступа (например, «Организации»). Задаёт типовую должность: «Бухгалтер», «Кассир».
• 🔹 Группа доступа — профиль, применённый к конкретным людям с конкретными ограничениями. Например, «Бухгалтеры ООО Север» — профиль бухгалтера, но только по одной организации.
• 🔹 Пользователь — участник одной или нескольких групп. Его итоговые права — сумма прав всех его групп.

Последний пункт — ключевой. Права в 1С складываются, а не перекрываются. Если человек состоит в группе с полными правами и в группе «Только просмотр», он получит полные права. Запретить что-то «поверх» нельзя: можно только не дать.

Чем группа доступа отличается от роли и профиля

Путаница между этими тремя понятиями — главная причина неверных настроек. Разница в том, кто их создаёт и что они содержат.

Отдельно о группах пользователей. Это просто папки для сотрудников: «Бухгалтерия», «Склад». Прав они сами не дают. Но группу пользователей можно включить в участники группы доступа — тогда все её члены получат права разом. При найме нового бухгалтера достаточно добавить его в группу пользователей «Бухгалтерия».

Поставляемые профили (например, «Администратор», «Главный бухгалтер») приходят с конфигурацией и обновляются вместе с ней. Редактировать их напрямую нельзя. Нужен свой вариант — скопируйте поставляемый профиль и меняйте копию.

Как создать группу доступа: пошагово

Порядок одинаков для БП 3.0, ЗУП 3.1 и УТ 11. Отличается только раздел верхнего уровня.

Шаг 1. Подберите или создайте профиль

1. Откройте Профили групп доступа.
2. Найдите профиль, близкий к нужной должности.
3. Если подходящего нет — выделите похожий и скопируйте его (F9 или команда копирования в списке).
4. На вкладке ролей отметьте лишнее и недостающее. Сохраните под понятным именем: «Бухгалтер без зарплаты».

Шаг 2. Создайте группу

1. Перейдите в Группы доступа и нажмите Создать.
2. Заполните наименование так, чтобы через год было понятно назначение: «Кассиры — ООО Север».
3. В поле профиля выберите профиль из шага 1.
4. При необходимости укажите ответственного — пользователя, который сможет сам менять состав участников.

Шаг 3. Добавьте участников

1. На вкладке участников нажмите Подобрать.
2. Отметьте пользователей или целые группы пользователей.
3. Нажмите Записать и закрыть.

Добавить человека можно и с другой стороны: в карточке пользователя есть команда Права доступа. Там видны все группы, а галочка включает пользователя в группу.

Шаг 4. Проверьте под пользователем

Самая пропускаемая проверка. Откройте базу под этим пользователем (или попросите его) и пройдите его ежедневный сценарий: создать документ , провести, распечатать, сформировать отчёт. Ошибки прав всплывают именно на печати и отчётах, а не на открытии списков.

Как забрать права при увольнении или переводе

При переводе сотрудника на другую должность исключите его из старых групп и включите в новые. Делается это в той же команде Права доступа карточки пользователя: снимите одни галочки, поставьте другие, запишите.

При увольнении пользователя не удаляйте. На него ссылаются документы, в которых он указан автором или ответственным. Достаточно двух действий:

1. Снять флажок «Вход в программу разрешён» в карточке пользователя.
2. Исключить его из всех групп доступа, чтобы он не путал картину при аудите.

Если сотрудник в этот момент работает в базе, его текущий сеанс продолжится до выхода. Запретить вход нужно заранее, а завершить сеанс — по согласованию, чтобы не оборвать незаписанный документ.

Ограничения доступа внутри группы: организации, склады, исключения

Профиль отвечает на вопрос «что делать», а ограничения — «с какими данными». Это и есть ограничение на уровне записей (RLS).

Сначала его нужно включить. В разделе Настройки пользователей и прав найдите флажок Ограничивать доступ на уровне записей. Без него вкладка ограничений в группах ничего не фильтрует.

После включения RLS программа в фоне пересчитывает служебные данные доступа. На большой базе это занимает время, и пока процесс не завершён, пользователи могут видеть не все документы. Включайте флажок вечером или в выходной.

Как работают виды доступа

В профиле для каждого вида доступа выбирается режим:

• ✅ Все разрешены, исключения назначаются в группах доступа — по умолчанию видно всё, а в группе можно запретить отдельные значения.
• 🚫 Все запрещены, исключения назначаются в группах доступа — по умолчанию не видно ничего, в группе перечисляются разрешённые значения.
• 🔒 Все разрешены / Все запрещены, исключения назначаются в профиле — список задаётся один раз в профиле и одинаков для всех групп с этим профилем.

Для разделения по организациям обычно выбирают второй вариант. Тогда в каждой группе на вкладке ограничений указывают «свою» организацию.

Пример: две организации, два бухгалтера

Задача: Иванова ведёт ООО «Север», Петрова — ООО «Юг». Друг друга они видеть не должны.

1. В профиле «Бухгалтер» для вида доступа «Организации» поставьте «Все запрещены, исключения назначаются в группах доступа».
2. Создайте группу «Бухгалтер — Север»: профиль «Бухгалтер», участник Иванова, в ограничениях — ООО «Север».
3. Создайте группу «Бухгалтер — Юг»: тот же профиль, участник Петрова, в ограничениях — ООО «Юг».

Главный бухгалтер, который должен видеть обе, включается в обе группы или в отдельную группу без ограничения. Права сложатся.

Почему пользователь не видит данные: ошибки в группах доступа

Сообщения платформы при нехватке прав короткие: Недостаточно прав для просмотра, Нарушение прав доступа!. Они не говорят, какой роли не хватает. Ниже — частые причины, которые администраторы ищут дольше всего.

Ошибки проектирования, которые проявятся позже

• ⚠️ Одна группа на всех. Удобно в первый день и неудобно навсегда: нельзя ограничить одного человека, не задев остальных.
• ⚠️ Группа на каждого пользователя. Обратная крайность. Через полгода 40 групп с почти одинаковыми настройками, и никто не помнит, чем они отличаются.
• ⚠️ Права «на время» без снятия. Дали бухгалтеру администратора, чтобы загрузил обработку, и забыли. Лучше заведите отдельную группу для таких задач и чистите её состав.
• ⚠️ Профиль «Администратор» обычным сотрудникам. Администратор может менять права, удалять помеченные объекты и загружать обработки. Это не «удобный полный доступ», а доступ к настройкам самой базы.

Аудит групп доступа: кто что видит и кто что менял

Права проверяют не только при жалобе пользователя. Раз в квартал полезно пройтись по группам: уволенные сотрудники, временные права, дубли.

Что смотреть в программе

1. Карточка пользователя → Права доступа. Все группы человека в одном окне. Быстрый ответ на вопрос «почему он это видит».
2. Отчёт по правам доступа. Откройте его из карточки пользователя. Отчёт показывает итоговые права на объекты с учётом всех групп — что можно читать, изменять, проводить.
3. Список групп доступа с колонкой профиля. Отсортируйте по профилю: сразу видно, сколько групп используют «Администратора».

Журнал регистрации

Изменения групп и пользователей фиксируются в журнале регистрации. Откройте его через Администрирование → Обслуживание (в УТ 11 — через НСИ и администрирование) и поставьте отбор:

• по объекту метаданных «Группы доступа» или «Профили групп доступа» — кто менял состав и ограничения;
• по событиям, связанным с пользователями информационной базы — кто менял роли и вход;
• по нужному пользователю и периоду.

Регламент, который не даёт правам расползтись

Частые вопросы о группах доступа в 1С