Профили, группы доступа и роли: выдаём сотруднику доступ в 1С 8.3

Чтобы добавить права пользователю в 1С 8.3, откройте Администрирование → Настройки пользователей и прав (в УТ 11 — НСИ и администрирование → Настройки пользователей и прав), найдите сотрудника в списке «Пользователи» и включите его в нужную группу доступа или отметьте профиль в его правах. После этого пользователь должен перезайти в программу — права применяются при входе.

Есть два способа выдать права. В типовых конфигурациях (Бухгалтерия, ЗУП, УТ, Комплексная автоматизация) права настраивают в режиме «Предприятие» через профили и группы доступа. Конфигуратор с его ролями нужен в двух случаях: конфигурация самописная, без подсистемы управления пользователями, или нужно создать новую роль.

Где выдают права: режим «Предприятие» и Конфигуратор

У 1С два режима запуска, и права в них работают по-разному.

• 🖥️ 1С:Предприятие — рабочий режим. Здесь бухгалтер вводит документы, а администратор управляет пользователями, если конфигурация построена на стандартной библиотеке подсистем (БСП). Это все современные типовые решения.
• 🛠️ Конфигуратор — режим разработки и администрирования базы. Войти в него может только пользователь с административной ролью: в типовых это «Полные права» или «Администратор системы».

Набор прав каждого пользователя в итоге складывается из ролей — объектов конфигурации, где записано, что можно делать с каждым справочником, документом, отчётом. Профили и группы доступа в режиме «Предприятие» — удобная надстройка: вы отмечаете профиль, а программа сама назначает пользователю нужные роли.

Отсюда главное правило типовой базы: не назначайте роли вручную в Конфигураторе, если в конфигурации есть справочник «Пользователи». Программа сверяет роли с группами доступа и при очередном обновлении прав снимет то, что выдано в обход.

Как создать пользователя и подготовить его к выдаче прав

Права выдают уже существующему пользователю, поэтому сначала заведите карточку.

1. Откройте Администрирование → Настройки пользователей и прав → Пользователи.
2. Нажмите «Создать» и заполните полное имя — так сотрудник будет виден в документах в поле «Ответственный».
3. Включите флажок «Вход в программу разрешен».
4. Укажите способ входа:
   • «Аутентификация 1С:Предприятия» — имя для входа и пароль; пароль задайте кнопкой установки пароля в карточке;
   • «Аутентификация операционной системы» — вход без пароля под учётной записью Windows, в поле указывают пользователя в формате \\ДОМЕН\имя.
5. Запишите карточку.

Если физическое лицо уже есть в справочнике, свяжите с ним пользователя в карточке: в ЗУП и КА это нужно, чтобы сотрудник видел свои расчётные листки и заявки.

Профили и группы доступа: как добавить права пользователю в типовой конфигурации

Здесь три понятия, которые часто путают.

• 📦 Роль — минимальный «кирпичик» прав, создаётся разработчиком.
• 🧩 Профиль группы доступа — набор ролей под должность: «Бухгалтер», «Главный бухгалтер», «Кадровик», «Только просмотр». Поставляемые профили уже есть в конфигурации.
• 👥 Группа доступа — профиль плюс список участников и, при необходимости, ограничения по данным. Одному профилю может соответствовать несколько групп: «Бухгалтеры ООО Север», «Бухгалтеры ООО Юг».

Упрощённый режим в 1С:Бухгалтерии 3.0

В БП 3.0 по умолчанию используется упрощённая настройка: групп доступа на экране нет, профили отмечают прямо у пользователя.

1. Откройте карточку пользователя.
2. Перейдите к его правам доступа — команда «Права доступа » в форме пользователя.
3. Отметьте флажками нужные профили, например «Бухгалтер» и «Кассир».
4. Нажмите «Записать».

Программа сама создаст скрытую персональную группу доступа под этого пользователя.

Полный режим: ЗУП 3.1, УТ 11, КА

1. Откройте Настройки пользователей и прав → Группы доступа.
2. Выберите существующую группу или создайте новую.
3. В поле «Профиль» укажите профиль — например, «Расчетчик» или «Менеджер по продажам».
4. На вкладке участников добавьте пользователя кнопкой подбора.
5. Запишите группу.

Пользователь может состоять в нескольких группах. Права суммируются: если одна группа даёт только чтение документа, а другая — изменение, сотрудник сможет изменять.

Свой профиль вместо правки поставляемого

Частая задача — выдать бухгалтеру «почти всё», но без доступа к зарплате. Поставляемые профили не правьте: при обновлении конфигурации их состав приводится к поставке, и ваши правки пропадут.

Правильный путь — скопировать профиль:

1. В списке Профили групп доступа выделите «Бухгалтер» и нажмите «Скопировать» (F9).
2. Переименуйте копию: «Бухгалтер без зарплаты».
3. На вкладке ролей снимите лишние и добавьте недостающие.
4. Запишите профиль и создайте под него группу доступа.

Роли в Конфигураторе: права на справочники, документы и отчёты

Для самописной базы или для разработки роли права настраивают в Конфигураторе.

Назначить роль пользователю

1. Запустите Конфигуратор под администратором.
2. Откройте Администрирование → Пользователи.
3. Дважды щёлкните пользователя или создайте нового.
4. На вкладке «Основные» задайте имя, пароль и способ аутентификации.
5. На вкладке «Прочее» отметьте роли, режим запуска и язык.
6. Нажмите «ОК». Перезапуск базы не нужен, но пользователь получит новые права после повторного входа.

Что внутри роли

Роль открывают в дереве метаданных: Общие → Роли. Слева — все объекты конфигурации, справа — список прав для выделенного объекта. Основные права:

Права зависят друг от друга. «Просмотр» без «Чтения» не выдать, «Редактирование» требует «Изменения» и «Просмотра». Конфигуратор сам ставит нужные базовые флажки, когда вы отмечаете интерактивное право.

Свойства самой роли тоже влияют на результат:

• ✅ «Устанавливать права для новых объектов» — новые справочники и документы сразу получат права в этой роли. Для узких ролей флажок лучше снять.
• 🔗 «Независимые права подчиненных объектов» — позволяет закрыть отдельный реквизит объекта, оставив доступ к остальным.

Ограничение доступа на уровне записей: доступ только к своей организации

Права на объекты отвечают на вопрос «можно ли работать с документами реализации вообще». Ограничение на уровне записей (RLS, Record Level Security) — «с какими именно»: только по своей организации, складу, подразделению.

Как включить в типовой конфигурации

1. В Настройки пользователей и прав включите флажок «Ограничивать доступ на уровне записей».
2. Откройте группу доступа и перейдите на вкладку ограничений доступа.
3. Для вида доступа, например «Организации», выберите вариант: «Все разрешены, кроме указанных» или «Все запрещены, кроме указанных».
4. Добавьте значения — конкретные организации.
5. Запишите группу.

После включения программа в фоне заполняет служебные данные для ограничения. В большой базе это занимает от нескольких минут до часов, и пока процесс идёт, программа может работать медленнее. Включать ограничения лучше вечером.

Пример: бухгалтер ведёт две из пяти организаций холдинга. Создайте группу «Бухгалтеры Север и Юг» с профилем «Бухгалтер», в ограничениях оставьте «Все запрещены, кроме указанных» и добавьте две нужные организации. Остальные три фирмы в списках документов и отчётах у него просто не появятся.

Как это устроено в Конфигураторе

В роли условие RLS задают для прав «Чтение», «Добавление», «Изменение» и «Удаление» — в нижней части окна прав, в поле ограничения доступа к данным. Условие пишут на языке запросов, например:

Организация = &ТекущаяОрганизация

ТекущаяОрганизация здесь — параметр сеанса: его создают в конфигурации и заполняют в модуле сеанса при входе пользователя. В типовых конфигурациях вручную такие условия не пишут: там используются шаблоны ограничений из БСП, и правка ролей типовой конфигурации делает её обновление заметно сложнее.

RLS заметно нагружает запросы. Чем больше видов доступа и значений, тем медленнее открываются списки и отчёты. Ограничивайте только то, что действительно нужно.

Диагностика: почему у пользователя не хватает прав

Типичные сообщения:

• Недостаточно прав для просмотра — у пользователя нет права «Просмотр» на объект, который он открывает.
• Нарушение прав доступа! — действие запрещено: изменить, провести, удалить.
• Документ не виден в списке, хотя коллега его видит, — сработало ограничение на уровне записей.

Как посмотреть итоговые права

В карточке пользователя есть отчёт о его правах доступа: он показывает группы, в которых состоит сотрудник, и права на объекты в итоге. Это быстрее, чем перебирать группы вручную.

Второй приём — войти в базу под проблемным пользователем и повторить действие. Если пароля сотрудника нет, создайте тестового пользователя с тем же набором групп доступа.

Третий — сравнить с коллегой, у которого всё работает. Откройте списки групп доступа обоих и найдите разницу. Чаще всего проблема именно в одной недостающей группе.

Частые вопросы