Пользователи, группы доступа и профили: настраиваем права в 1С 8.3

Права доступа в 1С 8.3 дают через группы доступа, а не напрямую пользователю. Откройте Администрирование → Настройки пользователей и прав → Группы доступа, выберите группу с нужным профилем (например, «Бухгалтер») и добавьте сотрудника в её участники. Пользователь получит права после перезапуска программы.

Так устроены все типовые конфигурации на Библиотеке стандартных подсистем: Бухгалтерия 3.0, ЗУП 3.1, Управление торговлей 11, Комплексная автоматизация, ERP. Ниже порядок действий одинаков для всех них. Конфигуратор для раздачи прав в этих программах не нужен, а в большинстве случаев даже вреден.

Как устроена система прав: пользователь, группа, профиль

В типовой конфигурации три уровня. Их важно не путать, иначе права «не применяются» без видимой причины.

• 👤 Пользователь — учётная запись: имя для входа, пароль, способ аутентификации. Сам по себе прав не несёт.
• 🧩 Профиль группы доступа — набор ролей. Отвечает на вопрос «что можно делать»: проводить кассовые документы, смотреть зарплату, менять справочники.
• 👥 Группа доступа — связка «профиль + участники + ограничения». Отвечает на вопрос «кому и в каких пределах»: например, только по организации «Альфа».

Итоговые права пользователя — сумма прав всех групп, в которых он состоит. Если человек в двух группах, он получает всё, что разрешено в любой из них. Запретить что-то «поверх» разрешения нельзя: права в 1С только складываются.

Путь одинаков в БП 3.0, ЗУП 3.1 и УТ 11. Отличаются только наборы поставляемых профилей: в ЗУП есть кадровые и расчётные профили, в УТ — профили менеджеров и кладовщиков.

Окно пользователей: что заполнить при создании учётной записи

Создайте пользователя в списке Администрирование → Настройки пользователей и прав → Пользователи кнопкой «Создать». Если в разделе нет ссылки «Пользователи», сначала включите флажок «Пользователи» в этом же разделе — в однопользовательском режиме список скрыт.

Что заполнить в карточке:

1. Полное имя — как сотрудник будет виден в документах и журнале регистрации.
2. Имя для входа — короткий логин без пробелов, например ivanova. Его человек выбирает или вводит при запуске.
3. Флажок «Вход в программу разрешён» — без него учётная запись есть, но войти по ней нельзя.
4. Способ входа — пароль 1С:Предприятия или аутентификация операционной системы (вход под доменной учётной записью Windows без ввода пароля).
5. Пароль — задайте временный и поставьте признак смены пароля при входе, если он есть в вашем релизе.
6. Физическое лицо или сотрудник — привязка нужна в ЗУП и для подписей в печатных формах.

Запишите карточку. Ниже в ней появится блок с группами доступа пользователя — туда можно сразу включить сотрудника, не переходя в список групп.

Почему не стоит заводить пользователей в Конфигураторе

В Конфигураторе есть свой список: Администрирование → Пользователи, где на вкладке «Прочие» флажками отмечают роли. Для типовых конфигураций это ловушка.

Конфигурация хранит права в группах доступа и при проверке приводит роли пользователя в соответствие с ними. Роли, поставленные вручную в Конфигураторе, в любой момент могут быть сняты. Кроме того, у такого пользователя не будет карточки в программе, и он не попадёт в отчёты по правам.

Создавайте и меняйте пользователей типовой конфигурации только в режиме 1С:Предприятие. Конфигуратор оставьте для самописных баз без подсистемы «Управление доступом».

Роли и профили: собираем набор прав под должность

Поставляемые профили закрывают типовые должности: «Бухгалтер», «Главный бухгалтер», «Кассир», «Администратор» и другие. Их состав определяется конфигурацией, поэтому сначала посмотрите, нет ли готового профиля, который подходит.

Если подходящий профиль есть

1. Откройте Группы доступа и найдите группу с этим профилем.
2. Если такой группы нет — создайте её: «Создать», укажите профиль, задайте понятное имя («Бухгалтерия — Альфа»).
3. На вкладке «Участники» подберите пользователей.
4. Запишите группу.

Если нужен свой набор прав

Поставляемый профиль изменить нельзя: его роли заблокированы и обновляются вместе с конфигурацией. Поэтому действуют через копию.

1. В списке Профили групп доступа выделите близкий по смыслу профиль и скопируйте его (F9).
2. Дайте копии новое имя, например «Бухгалтер + касса».
3. В дереве ролей отметьте недостающие разрешения и снимите лишние.
4. Запишите профиль и создайте группу доступа на его основе.

Сколько групп делать

Хорошее правило — одна группа на роль в компании и, если нужно, на организацию. Пять–десять групп для небольшой фирмы — нормальное число. Персональная группа на каждого сотрудника превращает сопровождение прав в хаос уже через полгода.

Как ограничить доступ к организациям, складам и другим данным

Профиль решает, какие объекты можно открывать. Ограничение на уровне записей решает, какие именно записи внутри них видны. Классический пример — бухгалтер работает только по одной из трёх организаций группы.

Порядок настройки:

1. В разделе Администрирование → Настройки пользователей и прав включите флажок ограничения доступа на уровне записей.
2. Откройте профиль, который нужно ограничить. На вкладке видов доступа укажите, по чему ограничивать (например, «Организации»), и выберите режим: значения настраиваются в группах доступа.
3. Откройте группу доступа с этим профилем. На вкладке ограничений выберите режим «Все запрещены, кроме…» и добавьте разрешённые организации.
4. Запишите группу.

Набор видов доступа зависит от конфигурации. В БП 3.0 основной — организации. В УТ 11 и ERP добавляются склады, партнёры, виды цен и другие измерения.

Ограничение на уровне записей заметно нагружает сервер при открытии списков и формировании отчётов. Если в базе одна организация и все видят всё, не включайте его «на будущее».

Права на запуск и доступ к папке файловой базы

Даже правильно настроенный пользователь не войдёт в базу, если ему не хватает прав на запуск или операционная система не пускает его в каталог.

Права на запуск в самой 1С

В каждом профиле есть базовые роли запуска: тонкого клиента , толстого клиента, веб-клиента. В поставляемых профилях они уже включены. В самодельных профилях их иногда теряют — тогда платформа отказывает во входе сразу после ввода пароля. Проверьте дерево ролей профиля по слову «Запуск».

Права Windows на каталог базы

Файловая база — это папка с файлом 1Cv8.1CD. При работе платформа не только читает этот файл, но и создаёт рядом служебные файлы блокировок. Поэтому каждому пользователю нужно:

• 📂 право Изменение на каталог базы (чтение, запись, создание и удаление файлов);
• 🌐 то же право на уровне общей папки, если база лежит на сетевом ресурсе;
• 🗂 доступ к временному каталогу профиля Windows — туда 1С пишет кэш.

Права «Только чтение» на папку не работают: база либо не откроется, либо выдаст ошибку блокировки при первой записи. Удобнее создать доменную или локальную группу «Пользователи 1С» и выдать права ей, а не каждому человеку.

Клиент-серверная база

Здесь пользователи с файлами базы не работают вообще: данные хранит СУБД, а к ней обращается служба сервера 1С. Права на каталог не нужны. Доступ ограничивается только учётными записями 1С и, при желании, администраторами кластера и информационной базы в консоли администрирования.

Регламентные задания и фоновые процессы: под чьими правами они работают

Регламентное задание выполняется от имени пользователя, указанного в его настройках. Если у этого пользователя не хватает прав, задание падает с ошибкой, а в интерфейсе ничего не видно — данные просто перестают обновляться.

Где посмотреть: Администрирование → Обслуживание → Регламентные операции → Регламентные и фоновые задания. Откройте задание и проверьте поле пользователя. Для служебных заданий (загрузка курсов валют, классификаторов, обмены, обновление данных доступа) удобно завести отдельного пользователя, например robot, с нужными правами и запретом интерактивного входа.

Особенности по типу базы:

Фоновые задания, которые пользователь запускает сам (например, формирование тяжёлого отчёта или групповое проведение), работают с его правами. Если отчёт «зависает» у одного сотрудника и нормально формируется у другого, первым делом сравните их группы доступа.

Почему права не работают: диагностика

Самые частые жалобы — «Нарушение прав доступа!» при открытии документа, пустой список или недоступная кнопка. Разбирайте их по порядку: от простых причин к сложным.

Инструменты для разбора

• 📊 Отчёт о правах доступа. Открывается из карточки пользователя или группы. Показывает, какие объекты пользователь может читать и изменять и через какую группу он получил это право. Самый быстрый способ ответить на вопрос «почему он это видит».
• 📜 Журнал регистрации — Администрирование → Обслуживание → Журнал регистрации. Отфильтруйте по пользователю и уровню «Ошибка»: там будет текст отказа и объект, на котором он возник.
• 🧪 Вход под пользователем. Самая надёжная проверка — войти под его учётной записью с временным паролем. Предупредите сотрудника и после проверки верните пароль или попросите сменить его.

Типичные ошибки администратора

Эти промахи встречаются чаще всего и не очевидны из самой инструкции:

• 🔓 Все сотрудники в группе «Администраторы». Удобно на старте, но любой пользователь может удалить проведённый документ за закрытый период или поменять учётную политику. Оставьте полные права одному-двум людям.
• 🔑 Общий логин на отдел. В журнале регистрации невозможно понять, кто именно изменил документ. Каждому человеку — своя учётная запись.
• 🧹 Уволенный сотрудник остаётся активным. Снимайте флажок «Вход в программу разрешён» в день увольнения. Удалять карточку не нужно: на неё ссылаются документы и история изменений.
• 🚫 Пустая база без пользователей. Пока в списке нет ни одного пользователя, любой, кто откроет базу, входит с полными правами. Первым создайте администратора и задайте ему пароль.
• 🧱 Права через Конфигуратор в типовой конфигурации. Разобрано выше: роли пропадут при ближайшей проверке.

Частые вопросы