Кто что видит в 1С:Управление нашей фирмой: профили, группы доступа и ограничения

Права пользователей в 1С УНФ настраивают не в Конфигураторе, а в самой программе: раздел Настройки → Пользователи и права (в старых релизах УНФ 1.6 этот пункт находился в разделе Компания). Пользователю назначают профили доступа — наборы ролей по участкам работы: продажи, закупки, склад, деньги, зарплата. Права складываются: чем больше профилей отмечено, тем больше человек может.

Ниже описана настройка в УНФ 3.0 на платформе 8.3 с интерфейсом «Такси». Механизм прав в УНФ построен на Библиотеке стандартных подсистем, поэтому логика та же, что в других типовых конфигурациях: пользователь → группа доступа → профиль → роли.

Как устроены права в УНФ и когда поставляемых профилей мало

В УНФ три уровня. Их полезно держать в голове, иначе непонятно, почему галочка «не работает ».

• 🧩 Роль — объект конфигурации. Разрешает читать, добавлять, изменять, проводить конкретные документы и справочники. Роли создаёт разработчик, в программе их не нарисовать.
• 📦 Профиль группы доступа — набор ролей. Поставляемые профили соответствуют разделам программы.
• 👥 Группа доступа — связка «профиль + участники + ограничения». Именно через неё пользователь получает права.

Поставляемых профилей хватает небольшой фирме, где менеджер ведёт продажи целиком, а бухгалтер видит всё. Их перестаёт хватать в трёх типовых ситуациях:

1. Менеджер должен оформлять заказы, но не видеть закупочные цены и себестоимость.
2. Кладовщик должен проводить перемещения, но не трогать кассу и банк.
3. Сотрудник филиала должен работать только со своей организацией или своим складом.

Первые две задачи решают собственным профилем, иногда — своей ролью. Третью — ограничением на уровне записей.

Что проверить до того, как менять права

Начните с аудита. Права часто ломают не новыми настройками, а тем, что уже накопилось за годы.

1. Откройте Настройки → Пользователи и права → Пользователи. Отключите в списке фильтр «только действующие», если он стоит, и посмотрите всех.
2. Найдите учётные записи уволенных. Снимите у них флажок «Вход в программу разрешён» — удалять карточку не нужно, на неё ссылаются документы.
3. Откройте карточку каждого действующего пользователя и нажмите Права доступа. Там видно, какие профили отмечены.
4. Проверьте, у кого стоит профиль «Администратор». Таких людей должно быть один-два, не больше.
5. Сформируйте отчёт по правам пользователя — в карточке он открывается из группы команд «Отчёты». Отчёт показывает итоговые права на каждый объект, с учётом всех групп доступа сразу.

Пока в базе есть хотя бы один пользователь, должен оставаться хотя бы один администратор с правом входа. Если снять профиль администратора у последнего, войти и вернуть права будет некому.

Матрица доступа на одном листе

Прежде чем открывать профили, составьте простую таблицу: строки — должности, столбцы — участки работы. В ячейке — «нет», «смотрит» или «изменяет». Пример для торговой фирмы на 8 человек:

Такую таблицу согласуют с руководителем до настройки. Потом каждая строка превращается в набор профилей, а спорные случаи всплывают заранее, а не после жалобы.

Шаг за шагом: пользователь, профиль, своя роль

Создание пользователя

1. В Настройки → Пользователи и права → Пользователи нажмите Создать.
2. Заполните полное имя и имя для входа. Привяжите физическое лицо — это нужно для зарплаты и для подписи документов.
3. Отметьте «Вход в программу разрешён» и «Аутентификация 1С:Предприятия», задайте пароль. Для доменной сети можно включить аутентификацию операционной системы.
4. Запишите карточку и нажмите Права доступа.
5. Отметьте нужные профили и сохраните.

Права начинают действовать при следующем входе пользователя. Если сотрудник уже в программе, ему нужно перезапустить 1С.

Свой профиль на основе типового

Нужен, когда типовой профиль даёт лишнее. Пример: менеджеру оставляем продажи, но без доступа к ценам закупки.

1. Откройте Настройки → Пользователи и права → Профили групп доступа.
2. Выделите профиль «Продажи» и скопируйте его кнопкой копирования в командной панели.
3. Дайте копии понятное имя: «Продажи без закупочных цен».
4. На вкладке ролей снимите роли, которые открывают лишнее. Названия ролей длинные, но говорящие: роль на чтение цен поставщиков легко найти поиском по слову «цен».
5. Запишите профиль и назначьте его сотруднику вместо типового.

Если вкладка с ролями в профиле не видна, включите расширенную настройку прав в общих настройках раздела Пользователи и права. В упрощённом режиме УНФ показывает пользователю только список профилей-флажков.

Своя роль через расширение

Профиль собирает только существующие роли. Если ни одна роль не даёт нужного сочетания, например «только чтение документа Заказ покупателя без права изменения», роль придётся сделать.

Делают это не правкой основной конфигурации, а расширением:

1. В Конфигураторе создайте расширение: Конфигурация → Расширения конфигурации → Добавить.
2. В дереве расширения добавьте новую роль и отметьте права на нужные объекты. Объекты основной конфигурации сначала заимствуют в расширение.
3. Обновите расширение в базе и перезапустите программу.
4. В режиме 1С:Предприятие роль появится в списке ролей профилей. Добавьте её в свой профиль.

Роли пользователям не назначают в Конфигураторе через Администрирование → Пользователи. Программа пересчитывает роли по группам доступа и перезапишет ручные изменения при ближайшей записи прав.

Ограничения на уровне записей: своя организация, свой склад

Ролями можно запретить документ целиком. А если менеджер должен видеть документы, но только своей организации, нужен второй механизм — ограничение доступа на уровне записей (в разговоре его называют RLS).

Порядок такой:

1. В Настройки → Пользователи и права включите флажок «Ограничивать доступ на уровне записей». Флажок появляется в расширенном режиме настройки прав.
2. Откройте свой профиль и перейдите на вкладку ограничений доступа. Там перечислены виды доступа, которые поддерживает профиль, например организации.
3. Для вида доступа выберите режим: «Все разрешены» с перечнем запрещённых значений или «Все запрещены» с перечнем разрешённых. Для филиала удобнее второй вариант.
4. Создайте группу доступа на основе профиля, добавьте в неё участников и укажите конкретные значения — например, одну организацию.

Какие виды доступа доступны, зависит от релиза УНФ: точный перечень виден на вкладке ограничений самого профиля.

Права разных групп доступа складываются. Если сотрудник состоит в группе «Филиал — только своя организация» и одновременно в группе с профилем «Продажи» без ограничений, он увидит всё. Ограничение работает, только если ни одна другая группа его не перекрывает.

Доступ к отчётам и аналитике

Отчёты в УНФ подчиняются тем же правам, что и документы.

• 📊 Видимость отчёта определяется ролями. Если в профиле нет роли на раздел, отчёты этого раздела не появятся в панели.
• 🔒 Данные внутри отчёта фильтруются ограничениями на уровне записей. Менеджер с доступом к одной организации увидит в отчёте о продажах только её.
• 💰 Финансовые отчёты — по деньгам, прибыли, себестоимости — открывают через профиль, связанный с финансами. Его не дают тем, кому не нужна вся картина бизнеса.

Чтобы спрятать от менеджера валовую прибыль, недостаточно убрать отчёт с рабочего стола. Пользователь найдёт его через поиск или «Все отчёты». Убирать нужно роль, которая даёт доступ к данным.

Группы пользователей и шаблоны прав

Когда сотрудников больше пяти, настраивать каждого вручную долго, и права начинают расходиться. Помогают три приёма.

Группы пользователей. Создайте группы по должностям: «Менеджеры», «Склад», «Бухгалтерия». В участники группы доступа добавляйте не людей, а группу пользователей. Новый менеджер получает права, как только его включили в группу «Менеджеры».

Копирование прав. В форме прав доступа пользователя есть команда копирования прав другого пользователя. Новичку копируют права опытного коллеги той же должности, а затем убирают лишнее.

Шаблон-пользователь. Заведите служебную запись «Шаблон менеджера» без права входа. На ней держите эталонный набор профилей и настройки интерфейса. Права копируйте с неё, а не с живого сотрудника: у живого со временем накапливаются разовые исключения.

Типичные ошибки и как их не допустить

Ниже — то, что ломает права чаще всего, и признак, по которому ошибку видно сразу.

Профиль «Администратор» «на всякий случай». Владелец даёт полные права главному бухгалтеру и старшему менеджеру. Через полгода в базе меняются закрытые периоды, и найти автора уже трудно. Полные права — только тем, кто отвечает за базу.

Правка поставляемого профиля. После обновления права возвращаются к типовым, сотрудники внезапно видят то, что им закрыли. Признак — жалобы сразу после обновления конфигурации.

Ограничение, перекрытое другой группой. Описано выше: права складываются. Признак — менеджер филиала видит чужую организацию, хотя ограничение настроено. Ищите, в какой ещё группе доступа он состоит.

Роли, выданные в Конфигураторе. Работает до первой записи прав в программе. Признак — права «сами слетели».

Общая учётная запись на отдел. Одна запись «Склад» на трёх кладовщиков. Права настроить можно, но история изменений бессмысленна: кто провёл документ, не узнать.

Частые вопросы