Права пользователей в 1С 8.3: группы доступа, профили и ограничения по записям

Чтобы дать права пользователю в 1С 8.3, откройте Администрирование → Настройки пользователей и прав → Группы доступа, выберите группу с нужным профилем (например, «Бухгалтер») и добавьте пользователя в её состав. Роли напрямую в типовых конфигурациях не назначают: права собираются из профилей групп, в которые человек входит. Новые права начинают действовать после перезапуска сеанса пользователя.

Есть два пути. В типовых конфигурациях (Бухгалтерия 3.0, ЗУП 3.1, Управление торговлей 11, ERP, УНФ) права раздают в режиме Предприятия через группы доступа. В самописных и старых базах без этого механизма роли отмечают галочками в Конфигураторе. Ниже оба варианта, плюс ограничение по организациям и разбор случаев, когда «права дали, а доступа нет».

Как устроены права доступа в 1С: роли, профили и группы

В 1С три слоя, и путаница между ними — главная причина ошибок.

• 🔑 Роль — объект конфигурации. Описывает, что можно делать с документами, справочниками, отчётами: читать, добавлять, проводить, удалять. Роли создаёт разработчик, администратор базы их не правит.
• 📦 Профиль группы доступа — набор ролей под должность. Профиль «Бухгалтер» включает десятки ролей, которые нужны бухгалтеру.
• 👥 Группа доступа — профиль плюс список участников плюс ограничения (например, по организациям). Пользователя включают именно в группу.

Итоговые права пользователя — сумма ролей всех профилей всех групп, где он состоит. Права складываются и не вычитаются. Если одна группа разрешает удалять документы, а другая нет, удалять он сможет.

Создание пользователя и настройка входа в программу

Пользователь без учётной записи в базе права получить не может, поэтому начинаем с карточки.

1. Войдите в базу под пользователем с профилем «Администратор».
2. Откройте Администрирование → Настройки пользователей и прав → Пользователи.
3. Нажмите «Создать».
4. Заполните полное имя (как в списке выбора при входе) и имя для входа.
5. Убедитесь, что стоит флажок «Вход в программу разрешен». Без него человек не войдёт даже с правильным паролем.
6. Выберите способ аутентификации и задайте пароль.
7. Нажмите «Записать».

Способы входа выбирают по ситуации:

При аутентификации ОС пользователя Windows указывают в формате \\ДОМЕН\имя. Ошибка в имени домена — частая причина, по которой «автовход» не срабатывает и программа просит пароль.

Как дать права пользователю через группы доступа

Сразу после записи у нового пользователя прав нет совсем: войти он сможет, но почти ничего не увидит. Права появляются, когда вы включаете его в группы доступа.

Через карточку пользователя

1. Откройте карточку пользователя.
2. Перейдите по ссылке «Права доступа » в панели навигации карточки.
3. Отметьте флажками группы, в которые нужно включить человека: «Бухгалтеры», «Кассиры», «Менеджеры по продажам» и т. п. Набор групп зависит от конфигурации и того, что уже создано в базе.
4. Нажмите «Записать».

Этот путь удобен, когда настраиваете одного нового сотрудника: все его группы видны на одном экране.

Через саму группу доступа

1. Откройте Администрирование → Настройки пользователей и прав → Группы доступа.
2. Откройте нужную группу или создайте новую и выберите для неё профиль.
3. На вкладке участников добавьте пользователей подбором.
4. Нажмите «Записать и закрыть».

Так удобнее, когда одну и ту же роль получает отдел из нескольких человек.

Как применить изменения

Роли пользователя платформа загружает при входе. Поэтому после изменения прав пользователь должен закрыть 1С и зайти заново. Если он работает в базе прямо сейчас, попросите его перезапустить программу: «перезайти в другое окно» недостаточно.

Свой профиль, если типовых ролей не хватает

Поставляемые профили закрывают типовые должности. Но часто нужно что-то между ними: например, бухгалтер, который не должен видеть зарплатные данные, или менеджер с правом только просмотра цен.

Поставляемый профиль изменить нельзя. Порядок такой:

1. Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа.
2. Выделите близкий по смыслу профиль и скопируйте его.
3. Дайте копии понятное имя, например «Бухгалтер без зарплаты».
4. В списке ролей снимите лишние и отметьте недостающие.
5. Запишите профиль и укажите его в нужной группе доступа.

Почему копия, а не правка: при обновлении конфигурации поставляемые профили обновляются вместе с ней. Свой профиль обновление не трогает, но и новые роли из релиза в него сами не добавятся. После крупных обновлений сверяйте свои профили с исходными.

Альтернатива копированию — дополнительный профиль с одной-двумя ролями. Человек входит в группу «Бухгалтеры» и в маленькую группу с дополнительной ролью. Права сложатся, и править большой профиль не придётся.

Ограничение доступа на уровне записей: только своя организация

Группа доступа отвечает на вопрос «что можно делать». Ограничение на уровне записей (RLS) отвечает на вопрос «с какими данными». Типичный случай — в одной базе ведут три организации, а бухгалтер должен видеть только одну.

Включение ограничений

1. Откройте Администрирование → Настройки пользователей и прав.
2. Установите флажок «Ограничивать доступ на уровне записей».
3. Подтвердите включение.

После включения программа запускает фоновое обновление доступа. В большой базе оно идёт заметное время, и пока оно не закончилось, пользователи с ограничениями могут видеть не все свои документы.

Включайте ограничения на уровне записей вне рабочего времени: на больших базах фоновое обновление нагружает сервер и замедляет работу всех пользователей.

Настройка в группе доступа

После включения флажка в группах появляется настройка видов доступа. Какие виды доступны, определяет профиль: в бухгалтерских конфигурациях почти всегда есть «Организации», в других встречаются группы контрагентов, склады, подразделения.

1. Откройте группу доступа.
2. Перейдите к ограничениям доступа.
3. Для вида «Организации» выберите режим «Все запрещены» и добавьте в список разрешённых нужную организацию. Либо «Все разрешены» и перечислите исключения.
4. Запишите группу.

Если бухгалтер ведёт две фирмы с разным набором прав, создайте две группы: «Бухгалтеры ООО Альфа» и «Бухгалтеры ООО Бета» с одним профилем и разными ограничениями.

Права в Конфигураторе: самописные и старые базы

В самописных конфигурациях, где нет БСП, групп доступа нет. Права выдают ролями:

1. Откройте базу в Конфигураторе.
2. Выберите Администрирование → Пользователи.
3. Создайте пользователя или откройте существующего.
4. На вкладке «Основные» задайте имя и аутентификацию.
5. На вкладке «Прочие» отметьте роли и основной язык.
6. Нажмите «ОК».

Роль с правом «Администрирование» у кого-то обязательно должна остаться: платформа не даст оставить в списке пользователей только людей без административных прав.

В типовых конфигурациях этим путём права не раздают. Роли, проставленные в Конфигураторе вручную, расходятся с группами доступа. При следующем изменении групп программа пересчитает роли пользователя по профилям, и ручные галочки пропадут. Конфигуратор в типовой базе оставьте для одного случая: восстановить доступ администратору, если других способов не осталось.

Почему права дали, а доступа нет: диагностика

Самые частые жалобы: «не вижу раздела», «кнопки нет», сообщение Нарушение прав доступа! при открытии документа или отчёта. Начните с отчёта о правах.

1. Откройте карточку пользователя.
2. Найдите в её панели навигации или в меню «Отчеты» отчёт о правах доступа.
3. Сформируйте его и проверьте, есть ли нужный объект и какие действия с ним разрешены.

Отчёт показывает итог по всем группам сразу, поэтому сразу видно, есть ли право в принципе или его режет ограничение по записям.

Если отчёт показывает, что права есть, а ошибка остаётся, проверьте внешние обработки и расширения. Им тоже нужны права, и иногда они выполняют операции, которых нет в профиле пользователя.

Ошибки администратора при раздаче прав

• 🚫 Включать всех в «Администраторы». Проблема с одним отчётом решается за минуту, а человек получает право удалять пользователей и менять чужие пароли.
• 🔁 Править роли в Конфигураторе в типовой базе. Галочки пропадут при следующей правке групп доступа, а пока не пропали, отчёт о правах показывает одно, а человек видит другое.
• 🧩 Один огромный «универсальный» профиль. Через год никто не помнит, зачем в нём каждая роль. Профиль под должность и маленькие дополнительные профили управляются проще.
• 🏢 Ограничение по организации только в одной группе. Остальные группы пользователя открывают всё, потому что права складываются.
• 👤 Общая учётная запись на отдел. В истории изменений не видно, кто провёл или удалил документ. Каждому сотруднику — своя учётная запись.
• 🔒 Уволенного удаляют из базы. Удалять пользователя, на которого ссылаются документы, не нужно. Снимите флажок «Вход в программу разрешен» и исключите его из групп.

Частые вопросы