Учётная запись с полными правами в 1С 8.3: создание, роли и защита

Чтобы добавить пользователя с правами администратора в типовой конфигурации 1С 8.3 (Бухгалтерия 3.0, ЗУП 3.1, УТ 11), откройте Администрирование → Настройки пользователей и прав → Пользователи, создайте карточку и включите сотрудника в группу доступа «Администраторы». Если список пользователей базы пуст или конфигурация самописная, администратора создают в Конфигураторе: Администрирование → Пользователи, роли «Полные права» и «Администратор системы».

Порядок действий зависит от двух вещей: есть ли в базе уже хоть один администратор и построена ли конфигурация на Библиотеке стандартных подсистем (БСП). Все типовые решения фирмы 1С на ней построены. Ниже — оба пути, разница между правами платформы и конфигурации и то, как не оставить базу с дырой в безопасности.

Куда заходить: Конфигуратор или режим Предприятия

Пользователей информационной базы можно завести в двух местах. Результат на уровне платформы одинаковый, но для типовой конфигурации разница принципиальная.

Когда в базе нет ни одного пользователя, любой, кто откроет её, получает полные права без пароля. Поэтому первого администратора создают сразу после развёртывания базы, а не «потом».

Как войти в Конфигуратор

1. Запустите 1С и выделите нужную базу в списке.
2. Нажмите кнопку «Конфигуратор».
3. Если пользователи уже есть, введите имя и пароль учётной записи, у которой есть право «Администрирование». Без него платформа не пустит в Конфигуратор.
4. Откройте меню Администрирование → Пользователи.

Монопольный режим для работы со списком пользователей не нужен: добавлять учётные записи можно, пока в базе работают люди.

Создание учётной записи администратора и способ входа

В режиме Предприятия (БП 3.0, ЗУП 3.1, УТ 11)

Путь к списку пользователей в типовых конфигурациях почти одинаковый:

Дальше по шагам:

1. Нажмите «Создать».
2. Заполните «Полное имя» — так человек будет виден в документах и журнале регистрации. Например, Петрова Анна Сергеевна.
3. Проверьте, что включён флажок «Вход в программу разрешён». Без него запись создастся, но войти под ней нельзя.
4. Задайте «Имя для входа» — короткое, без пробелов: PetrovaAS.
5. Выберите способ аутентификации (о вариантах — ниже) и установите пароль.
6. Нажмите «Записать».
7. Перейдите по ссылке «Права доступа » в карточке и отметьте группу «Администраторы».
8. Нажмите «Записать и закрыть».

Альтернатива для шага 7: откройте Группы доступа, найдите предопределённую группу «Администраторы» и добавьте человека в список участников. Результат тот же.

В Конфигураторе

1. В списке Администрирование → Пользователи нажмите «Добавить».
2. На вкладке «Основные» заполните «Имя» (логин) и «Полное имя».
3. Включите нужный тип аутентификации и задайте пароль.
4. Перейдите на вкладку «Прочие» и отметьте роли. Для администратора типовой конфигурации — «Полные права» и «Администратор системы».
5. Там же выберите основной интерфейс и язык, если в конфигурации их несколько.
6. Нажмите «ОК».

Если вы создаёте первого пользователя, роль с правом администрирования ему обязательна. Платформа не даст сохранить список, в котором нет ни одной учётной записи с таким правом.

Варианты аутентификации

Для администратора удобно включить оба первых способа. Тогда он входит под своей доменной учётной записью, а при сбое домена — по паролю 1С.

Ещё два флажка в карточке:

• 🔒 «Показывать в списке выбора» — для администратора лучше снять. Чем меньше людей видят логин с полными правами в окне входа, тем лучше.
• 🔑 «Пользователю запрещено изменять пароль» — для администратора не ставьте: свой пароль он должен менять сам.

Роли администратора: что дают «Полные права» и «Администратор системы»

В типовой конфигурации на БСП предопределённый профиль «Администратор» содержит две роли:

• ПолныеПрава — полный доступ к данным: чтение, изменение, проведение, удаление любых документов и справочников. Содержит право «Администрирование», без которого не открыть Конфигуратор и список пользователей.
• АдминистраторСистемы — служебная роль БСП. Открывает обновление конфигурации из режима Предприятия, настройки интернет-поддержки, управление расширениями, работу с журналом регистрации.

Для «настоящего» администратора типовой базы нужны обе. Одна роль «Полные права» без «Администратора системы» даёт доступ к данным, но часть служебных функций будет закрыта или выдаст ошибку прав.

В самописных конфигурациях названия ролей задаёт разработчик. Ищите в дереве конфигурации роль, у которой на уровне конфигурации включено право «Администрирование». Именно оно делает пользователя администратором с точки зрения платформы.

Три разных «администратора» в 1С, которые часто путают

Слово «администратор» в 1С означает как минимум три разные вещи. Путаница здесь — частая причина, по которой «права дали, а не работает ».

Пример. Бухгалтеру Анне дали полные права в базе. Она может обновить конфигурацию , но не может создать новую базу на сервере 1С: для этого нужен администратор кластера. И наоборот: администратор кластера не войдёт в данные базы, если его нет в её списке пользователей.

Для клиент-серверного варианта есть ещё одна тонкость. При создании базы на сервере и при некоторых операциях с ней в консоли запрашивают логин и пароль администратора самой информационной базы. Это та учётная запись, которую вы создали в списке пользователей, а не логин Windows.

Группы доступа и профили: как управлять правами нескольких администраторов

В БСП права раздают не по одному человеку, а через связку из трёх объектов:

1. Профиль групп доступа — набор ролей. Предопределённый профиль «Администратор» менять нельзя.
2. Группа доступа — профиль плюс список участников. Группа «Администраторы» тоже предопределена.
3. Группы пользователей — папки для удобства, например «Бухгалтерия» или «Склад». Их можно включать в группу доступа целиком.

Когда администраторов несколько, это удобно. Новый сотрудник ИТ-отдела попадает в группу «Администраторы» одной галочкой, уволенный убирается так же.

Администратор с ограничениями

Иногда нужен человек, который заводит пользователей и следит за базой, но не видит, например, зарплату. Полные права здесь не подходят: роль «ПолныеПрава» снимает все ограничения на уровне записей.

Порядок такой:

1. Откройте Профили групп доступа и скопируйте профиль, близкий к нужному набору прав (например, профиль бухгалтера).
2. В копии отметьте роли, которые дают управление пользователями. Их состав различается от релиза к релизу, поэтому смотрите описание ролей в самом профиле.
3. Создайте отдельную группу доступа с этим профилем и включите туда сотрудника.

Так человек получает административные функции, но ограничения по организациям и видам данных на него продолжают действовать.

Безопасность и аудит учётных записей с полными правами

Пользователь с полными правами может удалить документы за прошлый период, выгрузить базу целиком и поменять пароли другим. Поэтому вокруг таких учётных записей нужны простые, но жёсткие правила.

Что настроить сразу

• 🔐 Пароль не короче 8–10 символов с цифрами и буквами разного регистра. В типовых конфигурациях требования к паролям задают в разделе Настройки пользователей и прав, блок настроек входа.
• 👤 Отдельная учётная запись на каждого администратора. Общий логин «Админ» на троих делает журнал регистрации бесполезным: непонятно, кто что удалил.
• 🛡 Флажок «Защита от опасных действий» в свойствах пользователя в Конфигураторе. Он появился в платформе 8.3.9: при подключении внешних обработок, отчётов и расширений программа предупреждает о риске. Для администраторов, которые часто работают с внешними файлами, особенно полезен.
• 🚫 Учётные записи без пароля не оставляйте даже в тестовой базе, если она лежит в общей сетевой папке.
• 🗂 Права на каталог базы. Для файловой базы любой, кто может скопировать каталог с файлом 1Cv8.1CD, унесёт все данные, какими бы ни были права внутри 1С. Ограничьте доступ к папке на уровне Windows.

Журнал регистрации

Действия всех пользователей, включая администраторов, пишутся в журнал регистрации. В типовых конфигурациях он открывается через Администрирование → Обслуживание → Журнал регистрации, в Конфигураторе — Администрирование → Журнал регистрации.

Что смотреть в первую очередь:

1. Отбор по пользователю — все действия конкретного администратора за период.
2. Отбор по событию «Пользователи» — кто создавал, менял и удалял учётные записи.
3. События удаления данных — если пропали документы.

Проверить, что именно доступно конкретному человеку, можно отчётом по правам доступа. В карточке пользователя он открывается из панели отчётов и показывает роли, группы и итоговые права на объекты. Это быстрый способ убедиться, что новый администратор получил всё, а бывший — ничего.

Как снять права, когда администратор уходит

1. Уберите человека из группы «Администраторы».
2. В карточке снимите флажок «Вход в программу разрешён».
3. Запись не удаляйте: на неё ссылаются документы и журнал регистрации. Пометка «Недействителен» скроет её из списков.
4. Если человек знал пароли администратора кластера или служебных учётных записей, смените и их.

Если права не применились: частые проблемы

Частые вопросы