Права доступа в 1С 8.3: от роли до ограничения по организации

Права пользователя в типовых конфигурациях 1С 8.3 меняют не в Конфигураторе, а в самой программе: Администрирование → Настройки пользователей и прав → Пользователи, карточка сотрудника, кнопка «Права доступа ». Там отмечают группы доступа, в которые он входит. Набор разрешений каждой группы задаёт её профиль. В УТ 11 тот же раздел называется НСИ и администрирование → Настройки пользователей и прав.

Изменения вступают в силу при следующем входе пользователя в программу. Пока сеанс открыт, он работает со старым набором ролей. Ниже — как устроена эта схема, как завести нового сотрудника, урезать или расширить ему доступ и что делать, когда программа отвечает Нарушение прав доступа!.

Как устроены права доступа в 1С 8.3

Система безопасности 1С строится на двух уровнях. Нижний — платформа. Верхний — подсистема «Управление доступом», которая есть во всех типовых конфигурациях на БСП: Бухгалтерии 3.0, ЗУП 3.1, УТ 11, КА, ERP.

Уровень платформы: роли

Роль — объект конфигурации. Она перечисляет, что можно делать с каждым объектом: читать, добавлять, изменять, удалять, проводить, просматривать отдельные реквизиты. Роли создаёт разработчик в Конфигураторе. Пользователь информационной базы получает одну или несколько ролей, и его права — это сумма прав всех ролей.

Правила платформы простые:

• ✅ права ролей складываются, запрещающих ролей не бывает;
• 🔒 если ни одна роль не даёт право, действие запрещено;
• 🔁 набор ролей считывается при входе в базу, поэтому после правки нужен перезапуск.

Уровень конфигурации: профили и группы доступа

Назначать десятки ролей вручную каждому сотруднику неудобно. Поэтому в типовых решениях роли собраны в профили.

Пользователь получает все роли из профилей тех групп, в которые он включён. Подсистема сама пересчитывает роли пользователя информационной базы. Отсюда главное правило.

Новый пользователь: создание и первичная настройка

Создавать сотрудника лучше из режима «Предприятие». Подсистема сама заведёт пользователя информационной базы и свяжет его с карточкой.

Порядок действий

1. Откройте Администрирование → Настройки пользователей и прав → Пользователи.
2. Нажмите «Создать». Заполните полное имя — оно попадёт в документы как «Ответственный».
3. Включите флажок «Вход в программу разрешён». Без него карточка — просто строка справочника.
4. Укажите имя для входа и задайте пароль кнопкой «Установить пароль ».
5. Выберите способ входа: по паролю 1С:Предприятия или через учётную запись Windows. Для доменной сети удобна аутентификация операционной системы — сотрудник входит без пароля.
6. Запишите карточку и нажмите «Права доступа». Отметьте нужные группы.

Быстрый способ: копирование

Если в отделе уже есть сотрудник с нужными правами, встаньте на него в списке и скопируйте карточку клавишей F9. Новый пользователь получит те же группы доступа. Останется исправить имя, логин и пароль.

💡 Учтите, что копирование карточки не переносит настройки интерфейса и отчётов. Для этого есть отдельная обработка «Копирование настроек» в том же разделе Настройки пользователей и прав.

Если пользователей нет вообще

Пока в базе нет ни одного пользователя, 1С пускает всех без пароля с полными правами. Первого пользователя программа предложит сделать администратором — флажок профиля «Администратор» снять не получится. Это защита от ситуации, когда в базе не останется никого, кто может управлять правами.

Как поменять набор прав: группы и профили

Чаще всего задача звучит так: «бухгалтеру нужно дать доступ к кассе» или «менеджеру запретить видеть зарплату». Решается это в три уровня — от простого к сложному.

Способ 1. Включить пользователя в другую группу

Самый безопасный путь. Откройте карточку, нажмите «Права доступа» и поставьте галочку у нужной группы. В Бухгалтерии 3.0 по умолчанию есть профили «Администратор», «Главный бухгалтер», «Бухгалтер» и ряд узких профилей под отдельные участки.

Группы можно комбинировать. Сотрудник в группах «Бухгалтер» и «Кадровик» получит права обоих профилей.

Способ 2. Собрать свой профиль

Поставляемые профили менять нельзя: они помечены как предопределённые и закрыты для редактирования. Чтобы получить свой набор:

1. Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа.
2. Встаньте на близкий по смыслу профиль и скопируйте его (F9).
3. Дайте новое имя, например «Бухгалтер без зарплаты».
4. На вкладке «Разрешённые действия (роли)» снимите или добавьте роли.
5. Запишите профиль.
6. Откройте Группы доступа, создайте группу с этим профилем и добавьте участников.

Способ 3. Своя роль через расширение

Когда в типовых ролях нет нужной комбинации прав, роль создают в Конфигураторе. Но не в основной конфигурации, а в расширении. Так типовая остаётся на поддержке и обновляется без ручного сравнения.

Схема такая: в расширении создаётся роль, ей выдаются права на нужные объекты, расширение подключается к базе, а затем роль добавляется в собственный профиль группы доступа. Без включения в профиль подсистема управления доступом эту роль у пользователя снимет, как и любую ручную правку.

Ограничения на уровне записей и отдельных реквизитов

Роль отвечает на вопрос «можно ли вообще работать с документом». Но часто нужно другое: бухгалтер видит реализации только своей организации. Для этого служит ограничение доступа на уровне записей (RLS, Record Level Security).

Как включить ограничение по записям

1. В Администрирование → Настройки пользователей и прав установите флажок «Ограничивать доступ на уровне записей». Без него вкладки ограничений в группах не работают.
2. Откройте нужную группу доступа.
3. Перейдите на вкладку с ограничениями доступа. Набор видов ограничений зависит от профиля и конфигурации; в Бухгалтерии 3.0 основной — по организациям.
4. Выберите режим: «Все разрешены, кроме указанных» или «Все запрещены, кроме указанных».
5. Заполните список значений, например одну организацию.
6. Запишите группу.

После включения флажка программа запускает заполнение служебных данных для ограничения доступа. На большой базе это идёт фоном и может занять от нескольких минут до часов. Пока процесс не завершён, пользователи с ограничениями могут видеть неполные списки.

Почему отчёт падает, а список работает

У платформы два режима применения ограничений по записям. Если запрос объявлен как «разрешённые», недоступные строки просто отбрасываются — так работают списки типовых конфигураций. Если нет — при попадании на закрытую запись платформа выдаёт ошибку доступа.

Поэтому типичная картина после включения RLS: журналы открываются нормально, а самописный отчёт или внешняя обработка завершается ошибкой. Виноват не профиль, а запрос в отчёте: его нужно дописать с учётом ограничений.

Права на отдельные поля

Платформа умеет ограничивать права на уровне реквизита: в роли для каждого реквизита задаются «Просмотр» и «Редактирование». Через профили и группы доступа такое не настраивается — это делается только ролью в Конфигураторе. Для типовой конфигурации снова выбирайте расширение.

Пример: менеджер должен видеть заказ, но не видеть поле с закупочной ценой. Решение — роль в расширении, где у этого реквизита снято право просмотра, плюс собственный профиль. Важно, что права ролей складываются: если любая другая роль пользователя даёт просмотр этого поля, запрет не сработает.

Запрет изменения закрытого периода

Отдельный и очень востребованный вид ограничения — даты запрета изменения. Он не связан с ролями: вы указываете дату, раньше которой документы нельзя менять. Дату можно задать общую или свою для конкретного пользователя или группы — например, главному бухгалтеру оставить право править прошлый квартал, а остальным закрыть. Флажок включения находится в разделе Администрирование, найти его проще всего поиском по форме по слову «запрета».

Проверка: какие права реально у пользователя

Права, собранные из нескольких групп, легко перестают быть очевидными. Не угадывайте — проверяйте.

Отчёт по правам из карточки

В карточке пользователя или в форме «Права доступа» есть команда открытия отчёта о правах. Он показывает:

• 📋 в какие группы доступа входит пользователь;
• 🔑 какие роли он получил в итоге;
• 📂 права на каждую таблицу: чтение, изменение, добавление, интерактивные действия;
• 🧱 есть ли ограничения на уровне записей и по каким видам.

Отчёт работает и в обратную сторону: можно выбрать объект — например, документ «Списание с расчётного счёта» — и увидеть, кто из пользователей имеет к нему доступ.

Проверка в Конфигураторе

Если нужен взгляд со стороны платформы, откройте Конфигуратор:

1. Администрирование → Пользователи — список пользователей информационной базы. В свойствах пользователя на вкладке «Прочие» видны реально назначенные роли.
2. В дереве конфигурации щёлкните правой кнопкой по ветке «Роли» и выберите «Все роли». Откроется таблица: объекты по строкам, роли по столбцам. Удобно, чтобы понять, какая роль даёт конкретное право.

Проверка от имени сотрудника

Самая надёжная проверка — войти под пользователем и пройти его сценарий: открыть списки, провести документ, сформировать отчёт. Сделайте это в копии базы или временно задайте сотруднику известный вам пароль, а затем попросите его сменить пароль при входе.

Ошибки прав доступа и как их устранить

Чего делать не стоит

• 🚫 Давать всем профиль «Администратор», «чтобы не мешало». Такой пользователь может менять права остальных, удалять объекты и обновлять программу.
• 🚫 Удалять пользователя из справочника, когда сотрудник уволился. Его имя стоит в документах как ответственный. Правильно — снять флажок «Вход в программу разрешён», а карточку пометить как недействительную.
• 🚫 Править роли в основной конфигурации. Каждое обновление превращается в ручное сравнение и объединение.
• 🚫 Забывать про второго администратора. Если единственный админ уйдёт в отпуск или забудет пароль, менять права станет некому. Держите хотя бы двух пользователей с полными правами.

Частые вопросы