Как раздать доступ в 1С 8.3: пользователи, профили, группы и роли

Права пользователей в 1С 8.3 настраивают не в Конфигураторе, а в самой программе: Администрирование → Настройки пользователей и прав (в УТ 11 и ERP — НСИ и администрирование → Настройки пользователей и прав). Схема одна для всех типовых конфигураций на БСП: пользователь включается в группу доступа, группа ссылается на профиль, профиль — это набор ролей. Ограничения по организациям, складам или подразделениям задаются в группе доступа.

Галочки ролей в Конфигураторе для БП 3.0, ЗУП 3.1 и УТ 11 почти бесполезны: программа пересчитывает роли пользователя из групп доступа и затирает ручные правки. Поэтому вся настройка ниже идёт из пользовательского режима, а Конфигуратор нужен только для создания собственных ролей.

Где лежат настройки прав в разных конфигурациях

Пути в типовых решениях стабильны, отличается только название раздела верхнего уровня.

Внутри раздела четыре главные ссылки:

• 👤 Пользователи — список учётных записей.
• 👥 Группы пользователей — папки для удобства (отдел, филиал).
• 🧩 Профили групп доступа — что человек может делать.
• 🔐 Группы доступа — кто получает профиль и с какими ограничениями.

Там же стоит флажок ограничения доступа на уровне записей. О нём — отдельный раздел ниже.

Учётные записи: создаём пользователя и связываем с сотрудником

Пользователь программы и физическое лицо — разные объекты. Физлицо живёт в кадровом учёте, пользователь — в настройках прав. Связь между ними нужна, чтобы ответственный подставлялся в документы, а в ЗУП — ещё и для ограничений по сотрудникам.

Создание нового пользователя

1. Откройте Пользователи и нажмите Создать.
2. Заполните Полное имя — так человек будет виден в документах и журнале регистрации.
3. В поле Физическое лицо выберите сотрудника из справочника (в БП и ЗУП поле есть в карточке).
4. Установите флажок Вход в программу разрешен.
5. Задайте Имя для входа — короткое, латиницей или кириллицей, без пробелов.
6. Выберите способ аутентификации: паролем 1С:Предприятия или через учётную запись Windows.
7. Нажмите Установить пароль и задайте временный пароль. Отметьте, что пользователь должен сменить его при входе, если такой флажок есть в форме.
8. Нажмите Записать, затем перейдите по ссылке Права доступа и включите человека в нужные группы.

💡 Аутентификация Windows удобна в домене: человек открывает базу без пароля, а увольнение отрабатывается блокировкой доменной учётки. Учётная запись указывается в формате ДОМЕН\логин.

Что делать с уволенными

Удалять пользователя нельзя: на него ссылаются документы и записи журнала регистрации. Снимите флажок Вход в программу разрешен, а в списке включите отбор «Недействительные», если хотите скрыть таких людей. Для свежего увольнения достаточно снять вход — сеансы человека при следующем подключении не откроются.

Внешние пользователи

Если контрагенты, партнёры или физлица должны заходить в базу (например, смотреть свои заказы), используйте внешних пользователей. Включаются они там же, в настройках пользователей и прав. У внешних пользователей свои профили, и они физически не видят данных, не относящихся к их объекту авторизации.

Профили групп доступа: из чего собираются права

Профиль отвечает на вопрос «что можно делать». Внутри — список ролей на вкладке разрешённых действий и перечень видов доступа, по которым будут ограничения.

В поставке уже есть набор профилей. В БП 3.0 это, например, «Администратор», «Бухгалтер», «Главный бухгалтер», «Только просмотр». В ЗУП и УТ — свои профили под кадровика, расчётчика, менеджера по продажам, кладовщика.

Почему поставляемый профиль нельзя править

Поставляемые профили перезаписываются при обновлении конфигурации. Если добавить роль прямо в профиль «Бухгалтер», после очередного обновления она исчезнет, а у пользователей пропадут права посреди рабочего дня.

Правильный путь:

1. Откройте список Профили групп доступа.
2. Выделите ближайший по смыслу профиль и скопируйте его (кнопка копирования или F9).
3. Назовите копию понятно: «Бухгалтер + кассовые операции», «Кладовщик без цен».
4. На вкладке ролей отметьте или снимите нужные роли.
5. Запишите профиль.

Роли в списке подписаны человеческими названиями: «Добавление и изменение банковских документов», «Чтение цен номенклатуры». Включайте режим показа только выбранных ролей — так проще проверить итоговый набор.

Как работает сложение прав

Права в 1С только складываются. Если человек входит в две группы, он получает объединение ролей обоих профилей. Запретить что-то «поверх» нельзя: в платформе нет роли-запрета.

Отсюда практическое правило:

• ✅ Даём узкий профиль и добавляем недостающее.
• ❌ Даём широкий профиль и пытаемся отнять лишнее второй группой.

Группы доступа и ограничения по организациям и складам

Группа доступа — это связка: профиль + участники + значения ограничений. Один профиль «Менеджер по продажам» может использоваться в трёх группах: для московского офиса, для Казани и для интернет-магазина.

Настройка группы доступа

1. Откройте Группы доступа → Создать.
2. В поле Профиль выберите профиль (свой или поставляемый).
3. На вкладке участников добавьте пользователей или целые группы пользователей.
4. Если в профиле предусмотрены виды доступа, на вкладке ограничений укажите значения: «Разрешены выбранные» и список организаций, складов, групп партнёров.
5. Запишите группу.

Добавлять группу пользователей вместо отдельных людей удобно: новый сотрудник отдела получает права сразу, как только его включили в группу «Склад».

Своя роль в Конфигураторе: когда типовых не хватает

Иногда нужной комбинации прав нет ни в одной роли. Например, бухгалтеру надо читать отчёт из внешней доработки или менять один реквизит справочника без права на весь справочник. Тогда создают собственную роль.

Почему роль лучше класть в расширение

Роль, добавленная прямо в основную конфигурацию, снимает её с поддержки или усложняет каждое обновление. Роль в расширении конфигурации (механизм есть с платформы 8.3.6) обновлению не мешает, а в профилях групп доступа она появляется рядом с типовыми ролями.

Порядок:

1. Откройте Конфигуратор, Конфигурация → Расширения конфигурации, создайте расширение или откройте существующее.
2. В дереве расширения найдите ветку Общие → Роли и добавьте новую роль.
3. Объекты основной конфигурации, к которым нужны права, сначала заимствуйте в расширение.
4. В редакторе роли отметьте права по каждому объекту.
5. Обновите конфигурацию базы данных для расширения (F7 в окне расширения или через меню).
6. В пользовательском режиме откройте свой профиль — новая роль будет в списке. Отметьте её.

Какие права ставить в редакторе роли

Права зависимы: «Просмотр» не включится без «Чтения», «Редактирование» — без «Изменения». Редактор сам доставит вышестоящее право.

⚠️ Флажок Устанавливать права для новых объектов в свойствах роли держите выключенным для своих ролей. Иначе каждый новый объект, появившийся после обновления, автоматически получит права в вашей роли.

Видимость разделов, команд и полей

Доступ и видимость — не одно и то же. Если у пользователя нет права на объект, команды исчезают из интерфейса сами. Но бывает обратная задача: права есть, а лишние пункты мешают.

Функциональные опции

Целые блоки программы прячутся в Администрирование → Функциональность (в УТ — в разделе настроек НСИ и администрирование). Выключили «Расчёты с подотчётными лицами» — команды исчезли у всех. Это настройка для всей базы, а не для одного человека.

Персональная панель и формы

Каждый пользователь может настроить себе панель разделов и навигацию: главное меню (кнопка с тремя полосками) → Вид → Настройка панелей. Состав полей формы меняется через Ещё → Изменить форму.

Чтобы не настраивать вручную двадцать менеджеров, настройте одного, а дальше используйте ссылку Настройки пользователей в разделе прав. Там можно скопировать внешний вид и настройки отчётов от одного пользователя другим или очистить испорченные настройки.

Как спрятать цены и суммы

Типичный запрос: кладовщик не должен видеть закупочные цены. В УТ 11 для этого есть отдельные роли на чтение цен и себестоимости — уберите их из копии профиля «Кладовщик». В конфигурациях, где такой роли нет, понадобится своя роль или доработка формы.

Ограничение доступа на уровне записей (RLS)

Записевый уровень отвечает на вопрос «какие именно документы» человек видит. Пример: бухгалтер ООО «Альфа» не должен открывать документы ООО «Бета» в той же базе.

Как включить

1. В разделе настроек пользователей и прав установите флажок Ограничивать доступ на уровне записей.
2. Откройте копию нужного профиля, перейдите на вкладку ограничений доступа.
3. Для вида доступа (например, «Организации») выберите режим: значения задаются в группах доступа.
4. В каждой группе доступа укажите разрешённые значения.

Набор видов доступа зависит от конфигурации. В БП ограничивают в основном по организациям. В ЗУП к ним добавляются группы физических лиц и подразделения. В УТ 11 — склады, группы партнёров, группы номенклатуры и другие.

Что учесть до включения

• ⏳ После включения программа в фоне заполняет служебные данные доступа. На большой базе это может идти часами, а пока процесс не завершён, часть пользователей видит меньше, чем положено. Включайте вечером или в выходные.
• 🐢 RLS замедляет запросы: платформа добавляет условия к каждому чтению. Чем больше видов доступа, тем заметнее.
• 📊 Отчёты строятся только по разрешённым данным. Сводный отчёт у ограниченного бухгалтера покажет цифры одной организации, и это норма, а не ошибка.

В собственной роли RLS настраивается на вкладке ограничений доступа к данным, по каждому праву отдельно. Для типовых конфигураций вручную писать условия не нужно — используйте механизм профилей.

Почему не хватает прав: диагностика и журнал регистрации

Сообщения об ошибке выглядят так: Нарушение прав доступа! или Недостаточно прав для просмотра, иногда с указанием объекта. Порядок поиска причины:

1. Откройте карточку пользователя → Права доступа. Проверьте, в каких группах он состоит и какие там профили.
2. Сформируйте отчёт о правах из той же формы и найдите объект из сообщения.
3. Проверьте журнал регистрации: Администрирование → Обслуживание → Журнал регистрации. Отберите по пользователю и уровню «Ошибка» — будет видно, на каком объекте упала операция.
4. Если объект в отчёте разрешён, а ошибка есть — смотрите ограничения на уровне записей: возможно, документ относится к организации, которой нет в группе.
5. Создайте тестового пользователя с тем же набором групп и повторите действие под ним. Это быстрее, чем гадать по скриншотам.

Частые вопросы