Роли, пользователи и ограничения: настройка доступа через Конфигуратор 1С 8.3

Изменить права в 1С в конфигураторе можно двумя действиями. Права на объекты задаются в ролях: дерево конфигурации Общие → Роли. Пользователю права выдаются через список Администрирование → Пользователи: в карточке на вкладке «Прочие» отмечают нужные роли. После правки ролей конфигурацию сохраняют и обновляют базу данных (F7), а пользователь перезапускает сеанс.

Механизм общий для платформы 8.3 и не зависит от конфигурации. Но в типовых решениях (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) ручная раздача ролей в конфигураторе — плохая идея. Там права живут в профилях групп доступа, и роли, выданные в обход них, программа может снять при пересчёте. Какой путь выбрать, зависит от того, что именно нужно поменять.

1. Подготовка перед изменением прав в конфигураторе

Права меняет только пользователь, у которого есть роль с правом «Администрирование». В типовых конфигурациях это роль ПолныеПрава. Если список пользователей пуст, в Конфигуратор пускают без пароля, и первым делом стоит завести администратора.

Что проверить до начала работы:

• 🔐 Ваша учётная запись. Войдите в Конфигуратор под администратором, а не под рядовым пользователем.
• 💾 Резервная копия. Перед изменением структуры ролей сделайте выгрузку: Администрирование → Выгрузить информационную базу (файл .dt). Выгрузка требует монопольного доступа — делайте её, когда в базе никто не работает .
• 🧩 Режим поддержки. У типовой конфигурации на поддержке объекты закрыты для правки. Проверьте это через Конфигурация → Поддержка → Настройка поддержки.
• 📋 Список изменений. Запишите, кому и что именно нужно разрешить или запретить. Формулировка «дать бухгалтеру больше прав» в роль не превращается, а «разрешить проводить документ “Списание товаров”» — превращается.

Конфигурацию открывают командой Конфигурация → Открыть конфигурацию. Без этого дерево объектов не видно, и редактировать роли нельзя.

2. Где в Конфигураторе находятся права: роли и список пользователей

Права в 1С 8.3 устроены в два слоя. Понимание этого снимает половину вопросов.

Слой первый — роль. Это объект конфигурации, набор флажков: какой справочник читать, какой документ проводить, можно ли открывать внешние обработки. Роли лежат в ветке Общие → Роли. Роль сама по себе ничего не даёт, пока её не назначили пользователю.

Слой второй — пользователь информационной базы. Это запись в списке Администрирование → Пользователи. У неё есть имя, способ входа и набор ролей. Права пользователя — это сумма прав всех его ролей.

Из второго правила следует главное ограничение. Роли в 1С только добавляют права, запретить что-то ролью нельзя. Если одна роль разрешает удалять документы, а другая нет, пользователь удалять сможет. Чтобы что-то запретить, нужно убрать роль, которая это разрешает, или собрать роль без этого права.

Где что меняется:

3. Как создать или изменить роль в 1С

Создание новой роли

1. В дереве конфигурации раскройте Общие.
2. Щёлкните правой кнопкой по ветке Роли и выберите «Добавить».
3. Задайте имя без пробелов, например ПроведениеСписаний, и понятный синоним.
4. Откроется редактор прав. Слева — дерево объектов конфигурации, справа — список прав для выделенного объекта.

Внизу редактора есть три флажка, которые влияют на всю роль:

• ✅ «Устанавливать права для новых объектов» — роль автоматически получит права на объекты, добавленные в конфигурацию позже. Для узких ролей этот флажок лучше снять, иначе роль незаметно разрастётся.
• ✅ «Устанавливать права для реквизитов и табличных частей по умолчанию» — реквизиты наследуют права объекта.
• ✅ «Независимые права подчинённых объектов» — позволяет задать реквизиту права, отличные от прав объекта.

Права на объекты конфигурации

Выделите в левом дереве объект, например документ, и отметьте права справа. Для документа это обычно:

Права связаны иерархией. Нельзя дать «Редактирование» без «Изменения» и «Чтения»: при установке старшего права младшие отметятся сами. Снятие «Чтения» снимет всё, что от него зависит.

Не забывайте про регистры. Пользователь, которому разрешили провести документ , должен иметь право изменять регистры, в которые документ пишет движения. Иначе при проведении он получит ошибку Нарушение прав доступа!.

Права на конфигурацию в целом

Выделите в дереве самый верхний элемент — корень конфигурации. Здесь общие права, не привязанные к объектам:

• 🖥️ Тонкий клиент, Веб-клиент, Толстый клиент — через какие клиенты можно войти.
• 📂 Интерактивное открытие внешних обработок и отчётов — запуск файлов .epf и .erf.
• ⚙️ Режим «Все функции» — доступ к меню со всеми объектами базы.
• 🛡️ Администрирование, Администрирование данных — управление пользователями и базой.
• 👥 Активные пользователи, Журнал регистрации — просмотр сеансов и истории.
• 🔗 Внешнее соединение, Automation — подключение к базе из других программ.

Без хотя бы одного права на запуск клиента пользователь в базу не войдёт вообще.

Ограничение доступа к записям (RLS)

Иногда нужно разрешить документ, но только по своей организации или складу. Для этого у прав «Чтение», «Добавление», «Изменение» и «Удаление» есть поле ограничения доступа к данным. Выделите право — внизу появится таблица «Ограничение доступа к данным».

Условие пишется на языке запросов. Пример ограничения для документа по организации:

ГДЕ Организация = &ТекущаяОрганизация

Параметр ТекущаяОрганизация должен быть объявлен как параметр сеанса и заполняться при входе. В самописной базе это делают в модуле сеанса. Для повторяющихся условий используйте вкладку «Шаблоны ограничений» в той же роли.

Если роль нужна в типовой конфигурации

Есть два пути, и между ними лучше выбрать заранее.

После создания или правки роли выполните Конфигурация → Обновить конфигурацию базы данных (F7). Изменения ролей не меняют структуру таблиц, поэтому обычно применяются, пока пользователи работают. Новые права пользователь получит при следующем входе.

4. Профили групп доступа в типовых базах: как устроены права и исключения

В конфигурациях на Библиотеке стандартных подсистем (Бухгалтерия, ЗУП, УТ, КА, ERP) роли напрямую не раздают. Цепочка такая: роли → профиль группы доступа → группа доступа → пользователь.

• 📦 Профиль — набор ролей под должность: «Бухгалтер», «Кладовщик», «Кадровик».
• 👥 Группа доступа — профиль плюс список пользователей и, при необходимости, ограничения по организациям или складам.
• 👤 Пользователь получает роли всех групп, в которых состоит.

Настраивается это в режиме «Предприятие»: Администрирование → Настройки пользователей и прав. Там же включается ограничение доступа на уровне записей — флажок в той же форме настроек.

Исключения для конкретного человека делают так:

1. Скопируйте поставляемый профиль, близкий по смыслу. Поставляемый профиль править нельзя, копию — можно.
2. В копии добавьте или уберите роли.
3. Создайте отдельную группу доступа с этим профилем и включите в неё сотрудника.
4. Уберите сотрудника из прежней группы, если её права для него избыточны.

Если ни одна типовая роль не даёт нужного действия, создайте роль в расширении (раздел 3). После обновления конфигурации БД она появится в списке ролей при редактировании профиля. Её добавляют в копию профиля, а не назначают пользователю вручную.

5. Как назначить права пользователю в конфигураторе

Для самописной базы или для первичной настройки порядок такой:

1. Откройте Администрирование → Пользователи.
2. Нажмите «Добавить» или откройте существующего пользователя двойным щелчком.
3. На вкладке «Основные» заполните имя (его видят при входе) и полное имя.
4. Выберите способ входа: аутентификация 1С:Предприятия с паролем или аутентификация операционной системы с указанием доменной учётной записи вида \\DOMAIN\ivanov.
5. Перейдите на вкладку «Прочие». В списке «Доступные роли» отметьте нужные роли.
6. Там же при необходимости укажите основной язык и режим запуска.
7. Нажмите «ОК».

Первому созданному пользователю обязательно дайте роль с правом «Администрирование». Иначе Конфигуратор не даст сохранить список: платформа требует, чтобы в базе был хотя бы один администратор.

Чтобы изменить права уже работающего сотрудника, достаточно снять или поставить флажки ролей на вкладке «Прочие». Обновлять конфигурацию БД не нужно. Но в открытом сеансе права не изменятся: попросите сотрудника выйти и войти заново.

6. Проверка: работают ли новые права

Права надо проверять под учётной записью сотрудника, а не под администратором. Администратор с ролью ПолныеПрава видит всё, и ошибку настройки не заметит.

Запуск под другим пользователем

Самый надёжный способ — запустить базу с параметрами входа из командной строки:

"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /F"D:\Bases\Trade" /N"Кладовщик" /P"пароль"

Для серверной базы вместо /F указывают /S"server\base". Пароль в командной строке оставлять нельзя: после проверки удалите ярлык или строку из истории.

Что проверить в сеансе

Если что-то не так

Ошибка Нарушение прав доступа! при проведении почти всегда означает, что не хватает права на регистр или связанный справочник. Текст ошибки обычно не называет объект. Найдите его так: откройте Администрирование → Журнал регистрации в Конфигураторе, отберите события по пользователю и времени. В событии ошибки указан объект, к которому не хватило доступа.

В типовых базах в карточке пользователя есть отчёт о его правах доступа: он показывает, через какую группу и профиль получено каждое право. Это быстрее, чем перебирать роли.

7. Типичные ошибки при изменении прав

• ❌ Попытка запретить ролью. Роли суммируются. Если у пользователя осталась широкая роль, новая узкая ничего не ограничит. Сначала уберите широкую.
• ❌ Роль без прав на регистры. Документ открывается, но не проводится. Права на регистры движений нужно выдать отдельно.
• ❌ Флажок «Устанавливать права для новых объектов» в узкой роли. После следующей доработки роль сама получит права на новые объекты.
• ❌ Правка поставляемой роли в типовой конфигурации. При обновлении изменения придётся переносить вручную. Используйте расширение.
• ❌ Проверка под администратором. Ошибки настройки остаются незамеченными до первого обращения сотрудника.
• ❌ Забыли обновить конфигурацию БД. Роль в дереве изменена, а в базе работает старая версия. Пока не нажата F7, правка не действует.

Частые вопросы