Как дать пользователю ровно те права в 1С 8.3, которые ему нужны
Содержание
В типовой конфигурации 1С 8.3 права доступа
пользователя настраивают не в конфигураторе, а в самой программе: Администрирование → Настройки пользователей и прав → Пользователи, вкладка или кнопка «Права доступа», где пользователя включают в группы доступа. Частая ошибка администратора — открыть конфигуратор
и поставить галочки ролей вручную. В базе на Библиотеке стандартных подсистем (БП 3.0, ЗУП 3.1, УТ 11, ERP) такие роли перезапишутся при следующей записи пользователя в режиме предприятия.
Конфигуратор нужен для другого: создать собственную роль, ограничить права на конкретный объект метаданных или написать условие ограничения на уровне записей.
Как устроена защита информационной базы 1С
Права в 1С 8.3 проверяются на трёх уровнях. Понимать их нужно, чтобы искать проблему в правильном месте.
| Уровень | Что ограничивает | Где настраивается |
|---|---|---|
| Аутентификация | Кто вообще может войти в базу | Список пользователей информационной базы |
| Права на объекты (роли) | Какие справочники, документы, отчёты доступны и какие действия с ними разрешены | Роли в конфигурации, назначение ролей пользователю |
| Ограничение на уровне записей (RLS) | Какие именно строки видит пользователь: документы своей организации, своего склада | Условия в ролях; в типовых — виды доступа в группах |
Есть ещё два внешних уровня: доступ к файлам базы или к кластеру серверов 1С и права в СУБД. Если пользователь может скопировать каталог файловой базы, никакие роли его не остановят.
Пока в базе нет ни одного пользователя, 1С пускает любого без пароля и с полными правами. Первым создайте администратора с паролем — и только потом всех остальных.
Способы входа:
- 🔑 Аутентификация 1С:Предприятия — имя и пароль, хранятся в базе.
- 🖥️ Аутентификация операционной системы — пользователь Windows сопоставлен с пользователем 1С, пароль не спрашивается.
- 🌐 OpenID — вход через веб-публикацию с внешним провайдером, встречается редко.
Создание пользователей: конфигуратор или режим предприятия
Пользователей информационной базы платформа хранит в своём списке. В конфигураторе он открывается через Администрирование → Пользователи. В карточке две вкладки:
- Основные — имя для входа, полное имя, пароль, флаги «Аутентификация 1С:Предприятия», «Показывать в списке выбора», «Аутентификация операционной системы», «Защита от опасных действий».
- Прочие — доступные роли, основной интерфейс, язык, режим запуска.
Для самописной конфигурации без БСП этого достаточно: создали пользователя, отметили роли, записали.
В типовых конфигурациях на БСП у каждого пользователя есть пара: запись в списке платформы и элемент справочника «Пользователи». Программа связывает их и сама выставляет роли по группам доступа. Поэтому типовой порядок такой: пользователя создают в режиме 1С:Предприятие, а не в конфигураторе.
| Конфигурация | Где список пользователей |
|---|---|
| Бухгалтерия предприятия 3.0 | Администрирование → Настройки пользователей и прав → Пользователи |
| ЗУП 3.1 | Администрирование → Настройки пользователей и прав → Пользователи |
| Управление торговлей 11 | НСИ и администрирование → Настройки пользователей и прав → Пользователи |
Если пользователя всё-таки завели в конфигураторе, в карточке справочника «Пользователи» его можно сопоставить с уже существующим пользователем базы — тогда дубля не будет.
💡 Флаг «Защита от опасных действий» включайте всем, кроме разработчиков. Платформа будет спрашивать подтверждение перед запуском внешних обработок и подключением расширений из файлов — это закрывает частый канал заражения базы.
Роли, профили и группы доступа
Роль — объект конфигурации, набор разрешённых действий над объектами метаданных. Пользователю платформа даёт сумму прав всех его ролей. Запретить что-то ролью нельзя: если одна роль разрешает удаление, а другая нет — удаление разрешено.
В типовых конфигурациях роли напрямую не назначают. Между ними и пользователем два слоя:
- Профиль группы доступа — набор ролей под должность: «Бухгалтер», «Кассир», «Администратор» и так далее. Поставляемые профили изменить нельзя, но можно скопировать и править копию.
- Группа доступа — профиль плюс конкретные люди плюс ограничения: например, «Бухгалтеры ООО Ромашка». Один профиль может лежать в основе нескольких групп с разными ограничениями.
Пользователь получает объединение ролей из всех групп, в которые входит. Отсюда правило: права можно только добавить, но не убрать другой группой. Если человек входит в группу с полными правами, остальные группы на него уже не влияют.
Пошаговая настройка прав пользователю в типовой конфигурации
Порядок для БП 3.0; в ЗУП и УТ шаги те же, отличается только раздел меню из таблицы выше.
Шаг 1. Создайте пользователя
- Откройте
Администрирование → Настройки пользователей и прав → Пользователи, нажмите «Создать». - Заполните полное имя и имя для входа. Привяжите физическое лицо, если оно нужно для подписей и кадровых документов.
- Включите флаг входа в программу, задайте пароль или отметьте аутентификацию ОС с указанием пользователя Windows в формате
\\ДОМЕН\Пользователь. - Запишите карточку.
Шаг 2. Включите пользователя в группы доступа
- В карточке пользователя перейдите по ссылке «Права доступа».
- Отметьте нужные группы. Если подходящей группы нет — создайте её в списке «Группы доступа» на той же странице настроек.
- Запишите. Роли в списке платформы выставятся автоматически.
Шаг 3. Создайте свой профиль, если поставляемых мало
- Откройте список «Профили групп доступа».
- Выделите похожий поставляемый профиль и скопируйте его.
- В копии отметьте нужные роли. Здесь же видны виды доступа, которые профиль поддерживает.
- На основе профиля создайте группу доступа и включите в неё пользователей.
Шаг 4. Проверьте под пользователем
Зайдите в базу под новым пользователем в отдельном сеансе и пройдите его типичный день: создать документ , провести, открыть отчёт, распечатать. Ошибки «Недостаточно прав» лучше поймать сейчас, а не в день сдачи отчётности.
Чтобы проверить права, не зная пароля сотрудника, заведите тестового пользователя и включайте его в те же группы.
Права на объекты метаданных: работа с ролями в конфигураторе
Это часть разработчика. Роль открывается в дереве конфигурации: Общие → Роли. Слева — объекты метаданных, справа — права на выбранный объект.
Основные права и их смысл:
| Право | Что разрешает |
|---|---|
| Чтение | Получать данные объекта программно и в отчётах |
| Добавление, Изменение, Удаление | Записывать и удалять данные (в том числе кодом) |
| Просмотр | Открывать объект в интерфейсе |
| Редактирование | Менять объект в формах |
| Интерактивное добавление | Создавать элементы через интерфейс |
| Интерактивная пометка удаления | Ставить пометку удаления |
| Интерактивное удаление | Удалять сразу, минуя пометку |
| Проведение, Отмена проведения | Для документов: проводить и отменять проведение |
Права связаны иерархией: без «Чтения» нельзя дать «Просмотр», без «Изменения» — «Редактирование». Конфигуратор сам снимает зависимые галочки.
Внизу формы роли три флага, влияющие на будущие изменения конфигурации:
- ⚙️ «Устанавливать права для новых объектов» — новые объекты получат права автоматически. Для узких ролей снимайте его, иначе после доработки пользователь неожиданно увидит лишнее.
- ⚙️ «Устанавливать права для реквизитов и табличных частей по умолчанию».
- ⚙️ «Независимые права подчинённых объектов».
Права «Просмотр» и «Редактирование» задаются и для отдельного реквизита. Так скрывают, например, поле с суммой оклада, оставляя доступ к остальной карточке.
Не меняйте поставляемые роли в основной конфигурации. Это снимает её с поддержки и усложняет каждое обновление. Добавьте свою роль в расширение конфигурации — расширения поддерживаются с платформы 8.3.6 — и включите её в профиль группы доступа.
Ограничение доступа на уровне записей (RLS)
Роль разрешает работу с документом целиком. RLS сужает доступ до конкретных строк: бухгалтер видит реализации только своей организации, кладовщик — только свой склад.
В типовой конфигурации
- В
Администрирование → Настройки пользователей и праввключите флаг ограничения доступа на уровне записей. - Откройте группу доступа, перейдите на вкладку ограничений.
- Для вида доступа, например «Организации», выберите режим «Все запрещены» и перечислите разрешённые значения. Или «Все разрешены» и перечислите исключения.
- Запишите группу. После включения флага программа обновляет служебные данные доступа — в большой базе это занимает время.
В собственной конфигурации
Условие пишут в роли: выбирают объект, право (Чтение, Добавление, Изменение или Удаление) и в нижнем поле вводят текст ограничения на языке запросов. Простой пример с параметром сеанса:
РеализацияТоваровУслуг ГДЕ РеализацияТоваровУслуг.Организация = &ТекущаяОрганизация
Параметр сеанса ТекущаяОрганизация нужно заранее создать в конфигурации и заполнить в модуле сеанса. Для повторяющихся условий используют шаблоны ограничений роли.
Два следствия RLS, о которых часто забывают:
- 📋 Запрос без
РАЗРЕШЕННЫЕк таблице с ограничением падает с ошибкой «Недостаточно прав». ПишитеВЫБРАТЬ РАЗРЕШЕННЫЕ, тогда недоступные строки просто не попадут в выборку. - 🐢 Каждое условие добавляется в запросы к СУБД. Сложные подзапросы в ограничениях заметно тормозят списки и отчёты.
Аудит и контроль действий пользователей
Журнал регистрации фиксирует входы, изменения данных, ошибки. В конфигураторе он открывается через Администрирование → Журнал регистрации, уровень детализации задают в Администрирование → Настройка журнала регистрации: от «Не регистрировать» до «Регистрировать всё». Для аудита нужен уровень с регистрацией информации и примечаний.
В типовых конфигурациях журнал доступен без конфигуратора: Администрирование → Обслуживание, группа отчётов администратора.
Что проверять регулярно:
- 👤 входы под уволенными сотрудниками — снимайте флаг входа в программу в день увольнения;
- 🗑️ удаление и отмену проведения документов в закрытых периодах;
- 🔁 изменение состава групп доступа и пользователя «Администратор»;
- 🌙 сеансы в нерабочее время.
Журнал растёт быстро. Не держите его вечно: настройте разделение по периодам и архивируйте старые файлы. Удалять записи без копии нельзя — при проверке вы лишитесь доказательств.
Для проверки, какие права в итоге у человека, в карточке пользователя типовой конфигурации есть отчёт по правам доступа: он показывает итоговый доступ к объектам с учётом всех групп. Это быстрее, чем перебирать профили вручную.
Пароли и вход настраиваются там же, в Настройки пользователей и прав: минимальная длина пароля, требование сложности, срок действия, блокировка после неудачных попыток входа.
Частые ошибки при настройке прав доступа
- ❌ Пользователь в группе «Администраторы» «на время». Временные полные права остаются навсегда. Заведите отдельную учётную запись для разовых задач и отключайте её.
- ❌ Одна учётная запись на отдел. Журнал регистрации теряет смысл: не видно, кто удалил документ.
- ❌ Роли поставлены в конфигураторе в типовой базе. После записи пользователя в режиме предприятия они пропадают или расходятся с группами.
- ❌ RLS включён, а виды доступа не заполнены. При режиме «Все запрещены» с пустым списком пользователь видит пустые журналы документов и решает, что база сломалась.
- ❌ Внешние обработки без защиты. Пользователь с правом открывать внешние обработки может выполнить любой код, в том числе в обход ваших ограничений. Давайте это право только администраторам.