Пользователи, профили и группы доступа в 1С 8.3: рабочая схема для администратора

Доступ в типовых конфигурациях 1С 8.3 настраивают в режиме 1С:Предприятие: Администрирование → Настройки пользователей и прав. Там создают пользователя, включают его в группу доступа, а набор прав берут из профиля группы. В УТ 11 тот же пункт лежит в разделе НСИ и администрирование. Конфигуратор нужен только для первого администратора и для разбора нестандартных случаев.

Типичная ситуация: в базу пришли новый кладовщик и бухгалтер по зарплате. Кладовщик не должен видеть зарплату, бухгалтер — склад второй организации. Обе задачи решаются без программиста, если понимать связку «пользователь → группа доступа → профиль → роли». Схема одна для Бухгалтерии 3.0, ЗУП 3.1 и УТ 11: все они построены на общей библиотеке стандартных подсистем.

Как устроены права доступа пользователей в 1С

Права в типовой конфигурации собираются из четырёх слоёв. Если держать их в голове, большинство вопросов «почему он это видит» отпадает само.

Пользователь получает объединение прав всех групп, в которые входит. Права только добавляются: запретить что-то одной группой, если другая это разрешает, нельзя.

Где искать настройки в разных конфигурациях:

Шаг 1. Первый администратор и вход в базу

Пока в базе нет ни одного пользователя, окно запуска не спрашивает логин, и любой входит с полными правами. Это нормально для новой пустой базы, но опасно для рабочей.

Первого администратора удобнее всего создать в Конфигураторе:

1. Откройте базу в режиме Конфигуратор.
2. Выберите Администрирование → Пользователи и нажмите «Добавить».
3. На вкладке «Основные» задайте имя, полное имя и пароль.
4. На вкладке «Прочие» отметьте роли Полные права и Администратор системы.
5. Сохраните и перезапустите базу. Теперь окно запуска спросит пользователя и пароль.

Не закрывайте Конфигуратор, пока не проверите вход под новым администратором. Если ошиблись с паролем или ролями, исправить это из открытого сеанса проще всего.

После этого всех остальных пользователей заводите уже в программе, а не в Конфигураторе:

1. Откройте Настройки пользователей и прав → Пользователи и нажмите «Создать».
2. Заполните полное имя и имя для входа. Под полным именем сотрудник будет виден в документах как ответственный.
3. Проверьте флажок «Вход в программу разрешен».
4. Выберите способ входа:
   • 🔑 аутентификация 1С:Предприятия — логин и пароль хранятся в базе;
   • 🖥️ аутентификация операционной системы — вход по учётной записи Windows, пользователь указывается в виде \\ДОМЕН\имя.
5. Нажмите «Установить пароль » или отметьте, что пароль нужно сменить при первом входе.
6. Запишите карточку и откройте «Права доступа », чтобы включить пользователя в группы.

Шаг 2. Профили групп доступа: набор ролей под должность

Профиль — это шаблон прав. В типовых конфигурациях уже есть поставляемые профили: «Бухгалтер», «Главный бухгалтер», «Кадровик», «Кладовщик», «Только просмотр», «Администратор». Состав зависит от конфигурации.

Как подобрать профиль:

1. Откройте Настройки пользователей и прав → Профили групп доступа.
2. Найдите профиль, близкий к должности, и посмотрите его роли.
3. Если роли подходят — используйте профиль как есть.
4. Если нужно что-то убрать или добавить, выделите профиль и скопируйте его. Поставляемые профили менять нельзя, а копию — можно.
5. В копии отметьте или снимите роли и дайте понятное название: «Кладовщик без цен», «Бухгалтер банк и касса».

Роли называются по смыслу: «Добавление и изменение…», «Чтение…», «Использование…». Если не уверены, что даёт роль, не включайте её наугад. Соберите профиль, войдите под тестовым пользователем и проверьте нужные документы.

Шаг 3. Группы доступа и ограничения по организациям и складам

Группа доступа связывает профиль с людьми. Одному профилю может соответствовать несколько групп: например, «Бухгалтеры ООО Альфа» и «Бухгалтеры ООО Бета» с одним профилем, но разными ограничениями.

Создание группы:

1. Настройки пользователей и прав → Группы доступа → Создать.
2. Выберите профиль.
3. На вкладке участников добавьте пользователей или целую группу пользователей.
4. Запишите группу.

Ограничение по данным — это отдельный механизм, ограничение доступа на уровне записей. По умолчанию он выключен. Включается флажком «Ограничивать доступ на уровне записей» на странице Настройки пользователей и прав.

После включения в группе доступа появляется вкладка с ограничениями. Для каждого вида доступа — организации, склады, физические лица, контрагенты в зависимости от конфигурации — выбирается режим:

Пример. Бухгалтер работает только с ООО «Альфа». В его группе для вида доступа «Организации» ставим «Все запрещены» и добавляем в список «Альфа». Документы, справочники и отчёты по «Бете» он больше не увидит.

Шаг 4. Роли в Конфигураторе: когда туда идти

Опытные администраторы по привычке назначают роли прямо в Конфигураторе. В типовых конфигурациях это создаёт проблемы.

Что происходит при таком подходе:

• 🔄 программа пересчитывает роли пользователей по группам доступа и снимает роли, которых нет в его профилях;
• 👤 пользователь, созданный только в Конфигураторе, может не попасть в справочник «Пользователи» и не будет виден как ответственный в документах;
• 🔍 через программу уже не понять, откуда у человека права.

Когда Конфигуратор всё же нужен:

Новую роль для доработанного отчёта или обработки лучше добавлять расширением, а не правкой основной конфигурации. Тогда основная остаётся на поддержке и обновляется без ручного объединения. После подключения расширения роль появится в списке ролей профиля, и дальше вы работаете с ней как с обычной.

Шаг 5. Пароли, вход и аудит действий пользователей

Настройка доступа не заканчивается ролями. Нужно закрыть вход посторонним и видеть, кто что менял.

Что сделать с паролями:

• 🔐 в настройках входа на странице Настройки пользователей и прав задайте минимальную длину и сложность пароля, срок его действия;
• ⏳ для временных сотрудников и подрядчиков укажите срок, после которого вход запрещается;
• 🚫 уволенному сотруднику снимите флажок «Вход в программу разрешен», а не удаляйте карточку: она связана с документами как с ответственным;
• 🖥️ в офисе с доменом используйте вход по учётной записи Windows. Пароль от 1С не нужно хранить отдельно, а при блокировке в домене закрывается и база.

Аудит ведётся в журнале регистрации. В Бухгалтерии 3.0 он открывается через Администрирование → Обслуживание, раздел про журнал регистрации и активных пользователей. В Конфигураторе — Администрирование → Журнал регистрации.

Что можно найти в журнале:

1. Отбор по пользователю — все его действия за период.
2. Отбор по событию «Данные. Изменение» или «Данные. Удаление» — кто правил или удалял документ.
3. Отбор по событиям сеанса — когда и с какого компьютера входили.

Уровень детализации журнала задаётся в Конфигураторе: Администрирование → Настройка журнала регистрации. Чтобы видеть изменения данных, нужен режим регистрации всех событий. Журнал растёт быстро, поэтому там же задайте разделение файлов журнала по периодам и раз в квартал сокращайте старые записи.

Почему права не работают: частые проблемы при разграничении доступа

Большинство жалоб сводится к нескольким сценариям. Перед правкой профиля сначала посмотрите отчёт о правах доступа пользователя: он сразу покажет, какой группы не хватает.

Ещё две ошибки, о которых узнают слишком поздно:

• 👥 Общая учётная запись на отдел. Журнал регистрации покажет «Бухгалтерия», а не конкретного человека. Каждому сотруднику — своя учётная запись.
• 🧑‍💼 Полные права «на время». Права, выданные для разовой задачи, потом забывают снять. Раз в квартал проверяйте, у кого в профилях есть «Полные права» и «Администратор системы».

Перед тем как отдать базу пользователям, пройдите короткую проверку:

Частые вопросы о настройке доступа в 1С