Кто что видит в облачной 1С: роли абонента, группы доступа и ограничения по организациям

Права доступа в 1С :Фреш настраивают на двух уровнях. Сначала в личном кабинете сервиса вы добавляете пользователя к абоненту и открываете ему нужные приложения. Затем внутри самого приложения (например, Бухгалтерии) включаете его в группы доступа: Администрирование → Настройки пользователей и прав → Группы доступа.

Первый уровень отвечает на вопрос «в какую базу человек может зайти». Второй — «что он там может делать»: проводить документы, видеть зарплату, менять настройки. Если пропустить любой из уровней, сотрудник либо не попадёт в программу, либо увидит пустое окно без разделов.

Два уровня управления правами в 1С:Фреш

В коробочной 1С администратор создаёт пользователей прямо в базе. В облаке так не работает : учётные записи живут в сервисе, а приложение получает их список оттуда. Поэтому кнопка создания нового пользователя внутри приложения в режиме сервиса недоступна — нового сотрудника заводят только в личном кабинете.

Абонент — это ваша компания как клиент сервиса. У одного абонента может быть несколько приложений: например, Бухгалтерия и ЗУП, или две Бухгалтерии для разных юрлиц. Права в каждом приложении настраиваются отдельно. Доступ к Бухгалтерии не даёт автоматически доступа к ЗУП.

Роли абонента и профили групп доступа

Роли в личном кабинете

На уровне сервиса у пользователя есть роль в абоненте. Основные такие:

• 👑 Владелец абонента — тот, кто регистрировал аккаунт. Видит всё, управляет оплатой, пользователями и приложениями. Владелец у абонента один.
• 🛠 Администратор абонента — управляет пользователями и их доступом к приложениям, но не является владельцем.
• 👤 Пользователь абонента — работает в тех приложениях, которые ему открыли. Других пользователей не добавляет.

Роль в абоненте не определяет права внутри базы. Администратор абонента может оказаться в Бухгалтерии рядовым пользователем, если его не включили в группу администраторов приложения.

Профили и группы внутри приложения

В типовых конфигурациях на БСП (Бухгалтерия 3.0, ЗУП 3.1, УНФ) права собраны в профили групп доступа. Профиль — это набор ролей под типовую должность. Группа доступа — профиль плюс конкретный список людей и, при необходимости, ограничения по данным.

Типовые профили Бухгалтерии 3.0 в облаке:

Точный список зависит от конфигурации и релиза: в ЗУП свои профили, ориентированные на кадровиков и расчётчиков. Готовый профиль можно скопировать и убрать из копии лишние роли. Сами поставляемые профили не правьте — после обновления они вернутся к типовому виду.

Пошаговая настройка прав доступа для нового сотрудника

Порядок одинаков для любого приложения. Сначала сервис, потом база.

Шаг 1. Добавить пользователя к абоненту

1. Войдите в личный кабинет 1С:Фреш под владельцем или администратором абонента.
2. Откройте раздел со списком пользователей абонента и нажмите добавление нового.
3. Укажите e-mail сотрудника и его имя. Если у человека уже есть учётная запись в сервисе, достаточно e-mail: он будет привязан к вашему абоненту.
4. Выберите роль в абоненте. Для рядового сотрудника — «Пользователь абонента».

Новому человеку придёт письмо со ссылкой для входа и установки пароля. Пока он не подтвердит адрес, войти не получится.

Шаг 2. Открыть доступ к приложению

В карточке пользователя в личном кабинете есть список приложений абонента. Отметьте те базы, в которые сотрудник должен входить. Обратный путь тоже работает: открыть карточку приложения и добавить пользователя в его список.

После этого пользователь появляется в справочнике Пользователи внутри приложения. Синхронизация происходит сама, обычно в течение пары минут.

Шаг 3. Включить сотрудника в группу доступа

1. Войдите в приложение под пользователем с профилем «Администратор».
2. Откройте Администрирование → Настройки пользователей и прав → Группы доступа.
3. Откройте нужную группу, например «Бухгалтеры», и на вкладке участников добавьте сотрудника.
4. Нажмите «Записать и закрыть».

Можно идти и от человека: Администрирование → Настройки пользователей и прав → Пользователи, открыть карточку и нажать «Права доступа». Там отмечаются группы флажками — удобно, когда нужно сразу видеть все права одного сотрудника.

Шаг 4. Проверить результат

Попросите сотрудника перезайти в приложение. Права применяются при входе, открытый сеанс их не подхватит. В карточке пользователя есть отчёт о правах доступа: он показывает, какие объекты пользователь может читать и изменять и через какую группу он это право получил.

Ограничение доступа к данным: организации и зарплата

Профиль решает, к каким видам объектов есть доступ. А чтобы сотрудник видел только часть записей — например, документы одной организации из трёх — нужно ограничение на уровне записей.

Как включить ограничение по организациям

1. Откройте Администрирование → Настройки пользователей и прав.
2. Установите флажок «Ограничивать доступ на уровне записей».
3. Дождитесь окончания фонового обновления доступа. На большой базе это может занять заметное время, работать при этом можно.
4. Откройте группу доступа и перейдите на вкладку с ограничениями доступа.
5. Для вида доступа «Организации» выберите режим «Разрешены указанные значения» и добавьте нужные юрлица.

Теперь участник этой группы видит документы и отчёты только по выбранным организациям. Чужие документы просто не попадают в списки.

Зарплата и персональные данные

Сведения о зарплате и паспортные данные сотрудников — персональные данные. По закону о персональных данных доступ к ним должен быть только у тех, кому он нужен по работе. В 1С это решается профилями: бухгалтеру по первичке не нужен профиль кадровика и расчётчика зарплаты.

• 💼 Если зарплата ведётся в ЗУП, а учёт в Бухгалтерии, большинству бухгалтеров ЗУП не открывайте вовсе — это делается ещё на шаге 2.
• 🔒 В ЗУП 3.1 доступ можно ограничить по подразделениям или группам физлиц: так расчётчик филиала не увидит оклады головного офиса.
• 📋 Раз в квартал выгружайте список участников групп с кадровыми и зарплатными профилями и сверяйте с приказами о допуске.

Ограничение на уровне записей не скрывает данные от участника группы «Администратор». Администратор приложения видит всё. Поэтому таких пользователей должно быть один-два, а не половина бухгалтерии.

Защита входа и безопасность учётных записей

В облаке нет сервера в вашем офисе, поэтому вся безопасность держится на учётных записях. Утечка одного пароля открывает всё, что доступно этому пользователю, с любого компьютера.

Пароль и подтверждение входа

• 🔑 Пароль — от 12 символов, уникальный, не такой, как в почте. Сервис хранит пароль в одном месте, у каждого пользователя свой.
• 📱 Включите подтверждение входа по коду, если оно доступно в настройках профиля учётной записи сервиса. Тогда кроме пароля нужен одноразовый код, и украденный пароль сам по себе бесполезен.
• 📧 Почта, на которую зарегистрирован пользователь, — это ключ к восстановлению пароля. Взломают почту — восстановят и доступ к 1С. Двухфакторная аутентификация в почте так же важна, как в самом сервисе.

Организационные правила

• 🚫 Никаких общих логинов вида «buh@» на троих. В журнале регистрации не понять, кто удалил документ, а снять доступ одному человеку нельзя.
• 🗂 Уволился сотрудник — в тот же день отключите его в личном кабинете. Удалять учётную запись из приложения не нужно: в документах остаются ссылки на автора, пользователь просто теряет возможность входа.
• 🕵 Журнал регистрации (Администрирование → Обслуживание → Журнал регистрации) показывает входы и изменения данных. При подозрении на чужой вход ищите там сеансы в нерабочее время.

Отключение доступа: сервис или приложение

Есть два способа убрать человека из базы, и они различаются по эффекту:

Для увольнения нужен второй вариант. Первый и третий — для перевода сотрудника на другой участок.

Ошибки при настройке прав в 1С:Фреш и что с ними делать

Пользователь входит, а в программе нет разделов. Он добавлен к приложению на шаге 2, но ни в одну группу доступа его не включили. Внутри базы у него нулевые права. Добавьте его в группу и попросите перезайти.

Пользователя нет в списке внутри приложения. Доступ к этому приложению в личном кабинете не открыт, либо человек не подтвердил e-mail. Проверьте статус приглашения в кабинете.

«Недостаточно прав для просмотра данных» при открытии отчёта. Профиль даёт доступ к самому отчёту, но не к одному из справочников или регистров, из которых он собирает данные. Откройте отчёт о правах пользователя и найдите объект без права чтения. Решение — добавить сотрудника во вторую группу с недостающим профилем, а не собирать «универсальный» профиль под каждого.

После включения ограничения по организациям бухгалтер видит пустые списки. В группе выбран режим «Разрешены указанные значения», но сам список организаций пуст. Либо ещё не закончилось фоновое обновление доступа — в этом случае подождите и перезайдите.

Администратор абонента не может настроить права внутри базы. Роль в личном кабинете не даёт прав в приложении. Попросите действующего администратора приложения включить его в группу «Администраторы».

Единственный администратор приложения уволился или заблокирован. Изнутри базы права некому раздать. Пишите в техподдержку сервиса от имени владельца абонента: восстановление администратора делается через сервис. Чтобы не попадать в такую ситуацию, держите в группе «Администраторы» двух человек.

Частые вопросы