Администратор в базе 1С 8.3: группа «Администраторы», роль «Полные права» и что проверить после
Содержание
Чтобы дать пользователю полные права в типовой конфигурации 1С 8.3 (БП 3.0, ЗУП 3.1, УТ 11), откройте Администрирование → Настройки пользователей и прав → Пользователи, выберите сотрудника и в его карточке по ссылке «Права доступа
» включите профиль «Администратор» или группу «Администраторы». После этого пользователь должен перезапустить программу: роли применяются при входе.
Ставить галочку «Полные права» в Конфигураторе для таких конфигураций — путь в обход: роли, выданные вручную, программа может сбросить при пересчёте прав. Безопаснее держать права в группах доступа: тогда их состав переживёт обновление.
Как устроены права пользователя в 1С 8.3
Права в 1С выдаются не человеку напрямую, а через роли. Роль — это набор разрешений на объекты конфигурации: читать справочник, проводить документ, открывать отчёт, работать в Конфигураторе.
У платформы есть ключевая роль ПолныеПрава (в интерфейсе — «Полные права»). В ней включены все права на все объекты, в том числе право «Администрирование»: без него нельзя открыть Конфигуратор
и управлять списком пользователей.
Типовые конфигурации на Библиотеке стандартных подсистем (БСП) добавляют поверх ролей ещё два слоя:
- 🧩 Профиль группы доступа — готовый набор ролей под должность: «Бухгалтер», «Кадровик», «Менеджер по продажам», «Администратор».
- 👥 Группа доступа — профиль плюс список участников и, при необходимости, ограничения по организациям, складам, видам документов.
- 🔐 Ограничения на уровне записей — фильтр «какие именно данные видит пользователь», а не только «какие объекты».
Цепочка выглядит так: пользователь → группа доступа → профиль → роли. Программа сама собирает роли из профилей и записывает их в учётную запись информационной базы.
Отсюда главное правило: в конфигурациях на БСП права меняют в режиме 1С:Предприятие, а не в Конфигураторе. Конфигуратор нужен для самописных баз и для аварийных случаев.
| Где выдаются права | Для каких баз | Что настраиваете |
|---|---|---|
| 1С:Предприятие, «Настройки пользователей и прав» | БП 3.0, ЗУП 3.1, УТ 11, КА, ERP, УНФ | Профили и группы доступа |
Конфигуратор, Администрирование → Пользователи | Самописные и старые конфигурации без БСП; база без единого администратора | Роли напрямую |
Полные права пользователю через «Настройки пользователей и прав»
Этот способ рабочий для всех актуальных типовых конфигураций. Выполнять его должен пользователь, у которого уже есть административные права.
Шаг 1. Найдите или создайте пользователя
- Откройте
Администрирование → Настройки пользователей и прав. - Перейдите по ссылке «Пользователи».
- Если сотрудник уже есть в списке — откройте его карточку. Если нет — нажмите «Создать», заполните полное имя и имя для входа.
- Проверьте, что включён флажок «Вход в программу разрешён». Без него права не помогут: пользователь просто не войдёт.
- Задайте способ входа: пароль 1С или аутентификация операционной системы (вход под доменной учётной записью Windows).
Шаг 2. Включите профиль «Администратор»
- В карточке пользователя нажмите ссылку «Права доступа».
- Дальше форма зависит от настройки базы:
- если в базе упрощённая настройка прав (так бывает в БП 3.0), откроется список профилей с флажками — отметьте «Администратор»;
- если используются группы доступа (ЗУП 3.1, УТ 11, КА, ERP), откроется список групп — добавьте пользователя в группу «Администраторы».
- Нажмите «Записать и закрыть».
Альтернативный путь для варианта с группами: Администрирование → Настройки пользователей и прав → Группы доступа → откройте «Администраторы» → на вкладке участников добавьте пользователя → запишите.
Шаг 3. Перезапустите сеанс
Пользователь должен закрыть 1С и войти снова. Пока сеанс открыт, у него остаются старые роли — даже если в карточке всё уже включено.
После входа проверьте, что в разделе Администрирование пользователю доступны настройки программы, а в списке пользователей он видит всех и может их редактировать.
Профиль «Администратор» — поставляемый. Не меняйте его состав и не удаляйте из него роли: при обновлении конфигурации поставляемые профили восстанавливаются, а самодельные правки в них приводят к путанице.
Как выдать полные права пользователю 1С в Конфигураторе
Конфигуратор нужен в трёх случаях: база самописная и не использует БСП, в базе ещё нет ни одного пользователя, или единственный администратор потерял доступ к режиму 1С:Предприятие, а Конфигуратор открывается.
Пошаговая настройка ролей
- Запустите 1С, выберите базу и нажмите «Конфигуратор». Войдите под пользователем с правом «Администрирование».
- В меню выберите
Администрирование → Пользователи. - Откройте нужного пользователя двойным щелчком или создайте нового кнопкой добавления.
- На вкладке «Основные» проверьте имя, способ аутентификации и пароль.
- Перейдите на вкладку «Прочие». Там список ролей конфигурации.
- Отметьте «Полные права». В конфигурациях на БСП отметьте ещё «Администратор системы» — это отдельная роль для служебных административных функций.
- Нажмите «ОК».
Если в базе пока нет пользователей
Пока список пользователей пуст, любой входит в базу без пароля и со всеми правами. Как только вы создаёте первого пользователя, платформа требует, чтобы среди пользователей был хотя бы один с административными правами. Поэтому первым всегда заводят администратора с ролью «Полные права», а уже потом остальных.
Не оставляйте администратора без пароля. После появления первого пользователя база начинает спрашивать логин, и пустой пароль у учётной записи с полными правами открывает базу любому, кто знает имя.
Почему для типовых конфигураций это запасной путь
В базах на БСП роли пользователя вычисляются из групп доступа. Если вы добавили роль вручную в Конфигураторе, а в 1С:Предприятии пользователь не состоит в группе «Администраторы», роль может пропасть при следующем пересчёте прав: например, после изменения любой группы доступа или после обновления конфигурации.
Правильная последовательность для типовой базы такая:
- Дать роль «Полные права» в Конфигураторе, если иначе в программу не попасть.
- Войти в 1С:Предприятие под этим пользователем.
- Сразу добавить его в группу «Администраторы» по шагам из предыдущего раздела.
Тонкая настройка: исключения и ограничения для администратора
Полные права означают ровно это: пользователь видит и меняет всё. Ограничить «немного» роль ПолныеПрава нельзя. Если нужно «почти всё, кроме…», выдают не профиль «Администратор», а набор обычных профилей.
Когда полные права не нужны
| Задача сотрудника | Что выдать вместо полных прав |
|---|---|
| Ведёт учёт по всем участкам, но не трогает настройки | Профиль главного бухгалтера или сочетание нескольких предметных профилей |
| Заводит пользователей, но не видит зарплату | Отдельную группу доступа с нужными профилями без кадровых и зарплатных |
| Работает только с одной организацией | Предметный профиль с ограничением по организации в группе доступа |
| Разово выполняет обновление или выгрузку базы | Временное членство в группе «Администраторы», после работы — исключить |
Ограничение по организациям и другим данным
Ограничения на уровне записей включаются флажком «Ограничивать доступ на уровне записей» в Администрирование → Настройки пользователей и прав. После этого в группе доступа появляется возможность указать, с какими организациями, складами или подразделениями работают её участники.
На администраторов эти ограничения не действуют: пользователь с ролью «Полные права» видит данные всех организаций. Если сотрудник должен видеть только «свою» фирму, его нельзя включать в «Администраторы».
Защита закрытого периода
Полные права не освобождают от дисциплины по закрытым периодам. В типовых конфигурациях есть механизм дат запрета изменения: ищите его в разделе Администрирование (в БП 3.0 — в настройках проведения документов). Дату задают общую или по отдельным пользователям и организациям.
💡 Хороший приём: дать администратору полные права, но установить для него ту же дату запрета, что и бухгалтерам. Тогда случайная правка документа прошлого квартала потребует осознанного действия — сдвинуть дату.
Защита от опасных действий
В карточке пользователя в Конфигураторе есть флажок «Защита от опасных действий». Он заставляет платформу предупреждать при открытии внешних обработок и других операциях, которые могут навредить базе. Для администраторов, которые не программируют, его разумно оставить включённым.
Права администратора в файловой и клиент-серверной базе
Сама процедура выдачи прав одинакова в обоих вариантах: список пользователей хранится внутри информационной базы. Различается окружение вокруг неё.
Файловая база
- 📁 Учётные записи хранятся в файле базы
1Cv8.1CDвместе с данными. - 🔑 Полные права в 1С не дают прав на папку базы в Windows. Если у сотрудника нет доступа на чтение и запись к каталогу, он не войдёт, какие бы роли ни стояли.
- 🧑💻 Любой, кто может скопировать каталог базы, уносит её целиком. Права внутри 1С защищают от ошибок пользователей, но не от копирования файла.
Клиент-серверная база
- 🖥️ Администратор информационной базы и администратор кластера серверов — разные учётные записи. Полные права в базе не открывают консоль кластера, и наоборот.
- 🗄️ Пользователь СУБД (тот, под которым кластер подключается к SQL Server или PostgreSQL) к пользователям 1С отношения не имеет.
- 🌐 При аутентификации операционной системы в карточке указывают доменного пользователя в виде
\\ДОМЕН\имя. Так удобно управлять доступом через Active Directory: заблокировали учётную запись в домене — человек не войдёт и в 1С.
Если для входа в базу на сервере 1С задан администратор кластера, без его логина и пароля нельзя изменить параметры информационной базы в консоли. Восстанавливают такой доступ только через администратора сервера, а не через пользователей 1С.
Как проверить, что права выданы правильно
После настройки потратьте пять минут на проверку. Сравните фактические права с тем, что задумано.
Отчёт по правам удобно взять из самой программы: в списке пользователей или в карточке есть команда, которая показывает права доступа — по ролям и объектам. В неё заглядывают, когда нужно ответить на вопрос «почему этот сотрудник видит зарплатные данные».
Ошибки при выдаче полных прав и к чему они приводят
Сообщение «Нарушение прав доступа!» после настройки
Чаще всего пользователь не перезапустил сеанс, или роль добавили в Конфигураторе, а в 1С:Предприятии пересчёт прав её снял. Проверьте карточку пользователя в режиме 1С:Предприятие: состоит ли он в группе «Администраторы».
Полные права «всем на всякий случай»
Типичная картина в небольших компаниях: все пять сотрудников — администраторы. Последствия:
- ❌ любой может удалить помеченные на удаление объекты, сменить учётную политику, перепровести закрытый период;
- ❌ зарплату и персональные данные видят все, включая тех, кому это не положено;
- ❌ в журнале регистрации нельзя разобраться, кто изменил настройку: права одинаковые, мотивов не видно.
Один администратор на всю базу
Обратная крайность. Сотрудник с единственной учётной записью уволился или забыл пароль — и в базе некому создать пользователя . Держите минимум двух администраторов: основного и резервного, с паролем, который хранится у руководителя.
Учётная запись уволенного администратора осталась активной
Снимите у неё флажок «Вход в программу разрешён» и исключите из группы «Администраторы». Удалять пользователя не обязательно: по нему в журнале регистрации и в документах остаётся история.
Права выдавались правкой поставляемого профиля
Кто-то добавил роли в профиль «Бухгалтер», чтобы «бухгалтер тоже мог всё». После обновления конфигурации профиль вернулся к поставляемому составу — права пропали у всех бухгалтеров разом. Для своих наборов ролей создают копию профиля и дальше работают с ней.