Права пользователя в 1С: от создания учётной записи до проверки
Содержание
Доступ в 1С настраивают не через отдельные «права», а через профили групп доступа. Вы создаёте пользователя в разделе Администрирование → Настройки пользователей и прав → Пользователи, включаете его в группу доступа с нужным профилем и при необходимости ограничиваете данные по организациям или складам.
Частая ошибка новичков: выдать пользователю профиль «Администратор», чтобы «всё работало». Работает, но бухгалтер получает доступ к настройкам системы, к удалению данных и к чужой зарплате. Правильнее потратить 10 минут и собрать нормальный набор прав.
Описание подходит для типовых конфигураций на управляемых формах с библиотекой стандартных подсистем: Бухгалтерия предприятия, ЗУП, Управление торговлей, ERP. В самописных и сильно доработанных базах пункты меню могут отличаться.
Что подготовить до создания учётной записи
Большинство проблем с правами начинается не в 1С, а на этапе «а что именно человеку нужно». Пять минут на подготовку экономят час переделок.
Соберите короткую справку по каждому сотруднику:
- 👤 ФИО и должность. Имя пользователя в 1С лучше делать по единой схеме, например
ИвановАПилиivanov.a. - 🏢 Организации, с которыми он работает. Если в базе три юрлица, а кассир ведёт одно, это пригодится для ограничений.
- 📂 Участок работы: банк и касса, продажи, склад, зарплата, закрытие периода .
- 🔒 Нужен ли ему режим только на просмотр.
- 🖥 Как он входит: по паролю 1С или через учётную запись Windows.
Проверьте, что у вас самого есть полный доступ. Менять права может только пользователь с профилем «Администратор» (в типовых конфигурациях он называется именно так).
Не работайте в базе под единственной учётной записью администратора. Заведите отдельную личную запись для повседневной работы, а админскую оставьте для настройки. Если пароль админа забудется, а второго администратора нет, восстановление идёт через конфигуратор.
Создание пользователя в режиме 1С:Предприятие
Основной путь. Он работает, когда в базе уже есть хотя бы один администратор.
Шаги
- Откройте раздел
Администрирование→Настройки пользователей и прав. - Перейдите в
Пользователи. - Нажмите
Создать. - Введите полное имя. Это то, что увидят коллеги в журналах и отчётах.
- Включите флажок
Вход в программу разрешён. Без него человек останется в списке, но войти не сможет. - Выберите способ аутентификации и задайте пароль.
- На закладке с правами укажите группу доступа (или профиль, если интерфейс предлагает их напрямую).
- Нажмите
Записать и закрыть.
Способы аутентификации разные, и выбор влияет на безопасность:
| Способ | Когда подходит | Риск |
|---|---|---|
| Пароль 1С | Небольшая фирма, базы без домена | Пароли пишут на стикерах |
| Учётная запись Windows | Есть домен, терминальный сервер | Права привязаны к учётке ОС |
| OpenID и внешние провайдеры | Единый вход в нескольких системах | Нужна настройка на стороне сервера |
Совет по паролям: требуйте смену при первом входе и включите проверку сложности, если эти настройки есть в вашей версии. Пароль вида 1234 в базе с зарплатой — прямой путь к утечке.
Если сотрудник уже есть в справочнике Физические лица или Сотрудники, при создании пользователя свяжите его с этой карточкой. Тогда отчёты и документы подставят нужного человека автоматически.
Если базу нельзя открыть вообще
Когда нет ни одного пользователя с правами, список пуст или пароль утерян, список пользователей редактируют в конфигураторе: меню Администрирование → Пользователи. Там можно создать первую учётную запись и дать ей роль полного доступа. Это аварийный путь. Для рабочих баз так лучше не делать, потому что конфигуратор обходит все настройки групп доступа.
Профили и группы доступа: кому какие права
Это главное место настройки. Запомните иерархию:
- Роль — набор технических прав на объекты (читать, добавлять, проводить). Роли пишут разработчики.
- Профиль групп доступа — готовый набор ролей под должность: «Бухгалтер», «Менеджер по продажам», «Кладовщик».
- Группа доступа — конкретная «корзина» с профилем и списком пользователей.
Пользователь получает права группы, в которую его включили. Один человек может состоять в нескольких группах, права тогда складываются.
Как назначить профиль
- Откройте
Администрирование→Настройки пользователей и прав→Группы доступа. - Выберите существующую группу под нужный профиль или создайте новую.
- На закладке
Участникидобавьте пользователя. - Запишите.
Типовые профили часто достаточны. Когда готового нет, копируйте похожий и убирайте лишнее.
| Должность | Что нужно | Что не давать |
|---|---|---|
| Бухгалтер по первичке | Документы продаж и покупок, банк | Настройки учётной политики |
| Кассир | Кассовые документы | Закрытие месяца |
| Кладовщик | Остатки, перемещения, инвентаризация | Цены и финансовые отчёты |
| Менеджер по продажам | Заказы, реализации, клиенты | Закупочные цены, зарплата |
| Расчётчик зарплаты | Начисления, ведомости | Банк и продажи |
Не вносите изменения в типовой профиль. После обновления конфигурации он может вернуться к исходному состоянию, и ваши правки пропадут. Делайте копию с новым именем.
Дополнительные права
Помимо профиля, у пользователя бывают отдельные права на уровне настроек: на изменение собственных данных, на работу с внешними обработками, на смену пароля. Они включаются в карточке пользователя. Внешние отчёты и обработки открывайте только тем, кто за них отвечает, поскольку внутри может быть любой код.
Права для сотрудников с несколькими ролями
Главбух часто совмещает бухгалтерию и кадры, а директор хочет видеть всё, но ничего не менять. Для таких случаев не делайте «суперпрофиль». Включите человека в две-три узкие группы: права сложатся, а ограничения по данным останутся в каждой группе отдельно.
Для директора удобно собрать группу только с чтением. Он увидит отчёты, остатки и документы, но не сможет провести или удалить документ по ошибке. Обычно такую группу просят через неделю после запуска базы, поэтому заведите её сразу.
Что делать с увольнением и переводом
Когда сотрудник уходит, порядок такой:
- Снимите флажок разрешения входа.
- Уберите его из групп доступа.
- Проверьте, нет ли на нём внешних обработок и регламентных заданий, запущенных от его имени.
- Запишите дату в таблицу прав.
При переводе в другой отдел не добавляйте новые группы поверх старых. Сначала уберите прежние, иначе через год у человека накопится набор прав от трёх должностей.
Ограничение данных: RLS и доступ по организациям
Профиль отвечает на вопрос «что можно делать». Ограничение на уровне записей (его называют RLS, Record Level Security) отвечает на вопрос «с какими данными». Один и тот же бухгалтер видит документы только своей организации, кладовщик — только свой склад.
Включение
В типовых конфигурациях за это отвечает функция ограничения доступа на уровне записей. Включается она в том же разделе настроек пользователей и прав: ищите флажок с формулировкой про ограничение доступа на уровне записей. После включения платформа пересчитывает данные в фоне, и это может занять от нескольких минут до часа на большой базе.
Включайте RLS вне рабочего времени. Пока идёт обновление данных, часть пользователей может получать «пустые» списки или замедление.
Что можно ограничивать
- 🏢 Организации. Самый частый случай: холдинг в одной базе.
- 🏬 Склады и подразделения.
- 👥 Контрагенты и группы контрагентов.
- 💰 Банковские и кассовые счета.
- 📦 Номенклатура по группам.
- 👷 Подразделения и сотрудники в зарплатных конфигурациях.
Настраивается это в группе доступа: на закладке со значениями доступа указывают, что разрешено, а что нет. Список видов доступа зависит от конфигурации, поэтому не ищите название из чужой инструкции дословно. Смотрите, какие виды значений предлагает ваша форма.
Пример. Три организации: ООО «Север», ООО «Юг», ИП Петров. Бухгалтер ведёт только «Север». В его группе доступа в разрешённых значениях по организациям оставляете «Север». Остальные организации исчезнут из списков документов, выпадающих списков и отчётов.
Две ловушки, на которые все наступают:
- Разрешили организацию, но не разрешили склады. Человек видит документы и не может выбрать склад.
- Ограничили справочник контрагентов, но забыли про договоры. В документах пустые поля договора.
Как проверить права и протестировать доступ
Не доверяйте надписи «всё настроено». Проверьте на деле.
Способ 1. Вход под тестовым пользователем
Создайте пользователя с тем же профилем, что у сотрудника, и зайдите под ним во втором окне. Пройдите свой ежедневный сценарий: создайте документ, проведите, сформируйте отчёт. Если где-то «Недостаточно прав» — вы нашли пробел до того, как его нашёл сотрудник.
Не проверяйте права под собой. У администратора всё откроется, и результат бесполезен.
Способ 2. Отчёт по правам доступа
В карточке пользователя и в форме группы доступа есть отчёт о том, какие права получает человек. Он показывает итоговый набор по всем группам и ролям. Проверяйте им, не попал ли человек случайно в группу с лишними правами.
Способ 3. Журнал регистрации
В журнале регистрации (меню Администрирование → Поддержка и обслуживание) фильтр по пользователю и событию «Доступ» показывает, кто и когда входил и что менял. Полезно для разбора «кто удалил документ».
Типичные ошибки доступа и что с ними делать
Главное правило диагностики: сначала смотрите, в какие группы включён пользователь, и лишь потом ищите «поломку».
Как избежать проблем заранее
- Давайте права группам, а не людям поштучно. Новый сотрудник вошёл в группу — и всё готово.
- Раз в квартал сверяйте список пользователей с кадровым составом. Уволенные учётные записи не удаляйте, а снимайте разрешение входа: в документах останется история.
- Ведите короткую таблицу «человек — группа — дата выдачи». Через год это спасёт при проверке.
- Для клиент-серверных баз храните доступ только у администратора, который отвечает за систему.