Профили, группы доступа и ограничения по организациям: настраиваем права сотрудника в ЗУП 3.1
Содержание
Права пользователю в 1С:ЗУП 3.1 добавляют не ролями, а через группы доступа: Администрирование → Настройки пользователей и прав → Группы доступа. Откройте нужную группу (например, «Расчетчики»), на вкладке «Участники» добавьте сотрудника и нажмите «Записать и закрыть». Права появятся при следующем входе пользователя в программу.
Если подходящей группы нет, её создают на основе профиля — готового набора ролей. А если расчётчик должен видеть только одну организацию из холдинга, включают ограничение доступа на уровне записей. Ниже каждый из этих шагов разобран отдельно, с подводными камнями, на которых чаще всего спотыкаются при настройке прав в ЗУП.
С чего начать: раздел администрирования и режим работы
Все настройки прав в ЗУП 3.1 собраны в одном месте: Администрирование → Настройки пользователей и прав. Работать там может только пользователь с профилем «Администратор». У остальных раздел либо не виден, либо команды недоступны.
На этой странице есть несколько флажков, которые меняют саму схему работы с правами:
- 👥 «Группы пользователей» — позволяет объединять сотрудников в группы (например, «Отдел кадров», «Бухгалтерия») и добавлять в группу доступа сразу всю группу пользователей.
- 🔒 «Ограничивать доступ на уровне записей» — включает разграничение по организациям, физическим лицам и другим видам доступа. Без него сотрудник видит все данные, на которые у него есть права по ролям.
- 🔑 «Настройки входа» — требования к паролю: минимальная длина, сложность, срок действия, блокировка после неудачных попыток.
Если база новая и пользователей в ней ещё нет, первый созданный в режиме «Предприятие» пользователь автоматически становится администратором. Сразу задайте ему пароль: иначе любой, кто откроет базу, войдёт с полными правами.
Почему не через Конфигуратор
В Конфигураторе тоже есть список пользователей (Администрирование → Пользователи) с вкладкой «Прочие», где можно отметить роли напрямую. Для ЗУП этот путь не подходит.
Типовая конфигурация сама управляет ролями через профили и группы доступа. Роли, проставленные вручную в Конфигураторе, программа при обновлении прав или при следующей записи пользователя приводит в соответствие с его группами доступа. Итог: сегодня права есть, после обновления — пропали.
Конфигуратор оставьте для одного случая: когда в базе нет ни одного администратора и войти в режим «Предприятие» с полными правами невозможно.
Создаём учётную запись нового сотрудника
Откройте Администрирование → Настройки пользователей и прав → Пользователи и нажмите «Создать». Заполните карточку.
| Поле | Что указать | Зачем |
|---|---|---|
| Полное имя | ФИО так, как его будут видеть в списках | Отображается в документах как «Ответственный» |
| Физическое лицо | Карточка сотрудника из справочника | Связка нужна для кадрового ЭДО и личного кабинета |
| Вход в программу разрешен | Флажок включён | Без него учётная запись создаётся, но войти нельзя |
| Аутентификация 1С:Предприятия | Имя для входа и пароль | Обычный вход по логину и паролю |
| Аутентификация операционной системы | Пользователь домена (DOMAIN\ivanova) | Вход без пароля под учётной записью Windows |
Порядок действий такой:
- Введите полное имя. Имя для входа программа предложит сама — его можно сократить.
- Выберите физическое лицо, если сотрудник уже есть в базе.
- Нажмите «Установить пароль » и задайте временный пароль. Флажок, обязывающий сменить пароль при входе, удобно включить сразу.
- Нажмите «Записать».
- Перейдите по ссылке «Права доступа » в карточке (она станет активной после записи) и отметьте группы доступа, в которые включаете пользователя.
Пароль из пяти цифр и «123» — частая находка при аудите. В ЗУП лежат паспортные данные, оклады и сведения о больничных. Это персональные данные, утечка которых — ответственность организации.
Быстрый способ: копирование
Если новый сотрудник приходит на место старого или повторяет функции коллеги, создайте его копированием. Выделите в списке пользователя с нужными правами и нажмите «Скопировать» (F9). Состав групп доступа переносится вместе с карточкой. После записи откройте «Права доступа» и проверьте, что ничего лишнего не попало.
Для переноса настроек интерфейса (рабочий стол, отборы, варианты отчётов) есть отдельная команда «Копирование настроек» на той же странице Настройки пользователей и прав.
Профили и группы доступа: как выдать права
Здесь главное различать два понятия.
- 📦 Профиль группы доступа — набор ролей. Отвечает на вопрос «что можно делать»: вводить кадровые документы, начислять зарплату , менять настройки.
- 👥 Группа доступа — профиль плюс список участников и, при необходимости, ограничения. Отвечает на вопрос «кто и в каких рамках».
Один профиль может лежать в основе нескольких групп. Например, профиль «Расчетчик» → группы «Расчетчики ООО Альфа» и «Расчетчики ООО Бета» с разными ограничениями по организациям.
Поставляемые профили
В ЗУП 3.1 есть готовые профили для типовых ролей: администратор, кадровик, расчётчик, бухгалтер и ряд вспомогательных (например, для открытия внешних отчётов и обработок или редактирования печатных форм). Полный список с описаниями откройте в Администрирование → Настройки пользователей и прав → Профили групп доступа — у каждого профиля есть комментарий о назначении.
Сотрудника можно включить в несколько групп сразу. Права суммируются: кадровик, которому нужно ещё и загружать внешние печатные формы, получает две группы — основную и вспомогательную.
Как добавить пользователя в группу
Есть два равноценных пути:
- Из группы.
Группы доступа→ открыть группу → вкладка «Участники» → «Подобрать» → отметить пользователей → «Записать и закрыть». - Из карточки пользователя. Ссылка «Права доступа» → флажки напротив нужных групп → «Записать».
Второй путь удобнее, когда настраиваете одного человека: сразу видно все его группы.
Свой профиль: когда типового мало
Поставляемые профили нельзя редактировать — состав ролей в них заблокирован. Это сделано, чтобы обновление конфигурации не сломало ваши настройки и, наоборот, приносило в профили новые роли.
Если нужно, например, дать кадровику право на просмотр начислений без права их проводить:
- Откройте
Профили групп доступа, выделите близкий профиль. - Нажмите «Скопировать».
- Переименуйте копию, например «Кадровик + просмотр начислений».
- На вкладке с ролями отметьте недостающие роли. Их названия читаются по смыслу: роли просмотра обычно начинаются со слов «Чтение» или «Просмотр», роли ввода — с «Добавление и изменение».
- Запишите профиль и создайте на его основе новую группу доступа.
Не добавляйте в копию профиля роль «Полные права» ради одной функции. Найдите конкретную роль: проще один раз потратить десять минут на список, чем потом объяснять аудитору, почему кадровик менял настройки учётной политики.
Учтите и обратную сторону: скопированный профиль не обновляется вместе с конфигурацией. Если в новом релизе в поставляемый профиль «Кадровик» добавят роль для нового документа, в вашей копии её не будет — добавлять придётся вручную.
Ограничение видимости данных: доступ на уровне записей
Роли решают, какие документы и справочники доступны. Ограничение на уровне записей (RLS, row-level security) решает, какие именно записи в них видны. Типичная задача в ЗУП — расчётчик работает только с одной организацией группы компаний или кадровик ведёт только своё подразделение.
Шаг 1. Включите механизм
Администрирование → Настройки пользователей и прав → флажок «Ограничивать доступ на уровне записей».
После включения программа пересчитывает служебные данные о доступе в фоне. В базе на несколько тысяч сотрудников это занимает заметное время, а пользователи в процессе могут видеть неполные списки. Включайте флажок вне рабочего дня или в день, когда не идёт расчёт зарплаты.
Шаг 2. Задайте виды доступа в профиле
Откройте профиль (свой, скопированный) и перейдите на вкладку «Виды доступа». Там перечислены разрезы, по которым можно ограничивать: в ЗУП основные — Организации и Группы физических лиц. Для каждого вида выберите режим:
- «Все разрешены» — по умолчанию доступно всё, исключения задаются как запрещённые значения;
- «Все запрещены» — по умолчанию не доступно ничего, исключения задаются как разрешённые значения.
Отметьте, что значения будут настраиваться в группе доступа, а не в профиле. Так один профиль обслужит сразу несколько групп с разными организациями.
Шаг 3. Укажите значения в группе доступа
Откройте группу → вкладка «Ограничения доступа» → выберите вид доступа «Организации» → режим «Все запрещены» → в таблице значений добавьте ту организацию, с которой работает участник группы.
Для разграничения по сотрудникам используются группы физических лиц. Сначала распределите физлиц по группам (например, «Руководство», «Производство»), затем разрешите группе доступа нужные из них. Так закрывают от рядового расчётчика зарплату топ-менеджмента.
Ограничение по группам физических лиц — самый надёжный способ спрятать оклады руководителей. Скрыть их «интерфейсно» (убрать колонку из отчёта) не получится: пользователь вернёт её через настройку варианта отчёта.
Шаг 4. Проверьте результат
Войдите под тестовой учётной записью или попросите сотрудника перезайти. Откройте список сотрудников и ведомости: чужие организации и закрытые группы не должны отображаться. Если данные видны — смотрите следующий раздел.
Почему права не срабатывают: частые сбои
Ошибки при назначении прав в ЗУП повторяются из базы в базу. Быстрая диагностика по симптому:
Две ошибки из практики стоят отдельного упоминания.
- ❌ Выдать «Администратора» главному бухгалтеру «чтобы не дёргал». Он получает право менять настройки прав, учётную политику и удалять помеченные объекты. Лучше дать полный профиль бухгалтера плюс нужные вспомогательные.
- ❌ Работать всей бухгалтерией под одной учётной записью. Журнал регистрации тогда бесполезен: невозможно понять, кто провёл ведомость и кто удалил приказ.
Безопасность и контроль: аудит действий пользователей
Правильно выданные права — половина дела. Вторая половина — видеть, что с ними делают.
Отчёт по правам пользователя
В карточке пользователя есть отчёт «Права доступа». Он показывает итог: к каким объектам и с какими действиями (чтение, изменение, добавление) у сотрудника есть доступ с учётом всех его групп. Используйте его перед выдачей доступа новому человеку и раз в квартал для выборочной проверки.
Журнал регистрации
Платформа 1С записывает в журнал регистрации вход и выход пользователей, запись и удаление объектов, ошибки. В ЗУП журнал открывается из раздела Администрирование → Обслуживание.
Полезные отборы:
- 🔍 по пользователю — что сотрудник делал за день;
- 🔍 по событию «Данные. Удаление» — кто удалил документ;
- 🔍 по событию «Сеанс. Аутентификация (ошибка)» — попытки подобрать пароль.
Журнал хранится ограниченное время и может занимать много места. Срок хранения задаёт администратор в Конфигураторе. Если журнал регулярно очищают, расследовать инцидент полугодичной давности будет нечем.
Что ещё закрыть
- 🔐 Даты запрета изменения. Защищают закрытые периоды: после сдачи отчётности расчётчик не сможет случайно перепровести ведомость за прошлый квартал. Настройка находится в разделе администрирования — найдите её через поиск по слову «запрета».
- 🔐 Уволившиеся сотрудники. Снимайте флажок «Вход в программу разрешен» в день увольнения. Учётную запись не удаляйте: на неё ссылаются документы, где она указана ответственным.
- 🔐 Политика паролей. В «Настройках входа» задайте минимальную длину от 8 символов, проверку сложности и срок действия пароля.
- 🔐 Обезличенная копия для тестов. Если базу передают подрядчику, передавайте копию без реальных паспортов и окладов.