Кто что видит в облачной 1С: роли абонента, профили и ограничения во Фреше

Права пользователя в 1С:Фреш настраивают в двух местах. Сначала в личном кабинете сервиса сотрудника добавляют к абоненту и открывают ему нужное приложение. Затем внутри самого приложения, например Бухгалтерии 3.0, в Администрирование → Настройки пользователей и прав → Группы доступа включают его в группу с подходящим профилем.

Частая ошибка — считать, что роль «Администратор абонента» в кабинете и права в базе — одно и то же. Это разные уровни. Роль в кабинете решает, кто управляет подпиской и пользователями. Профиль в приложении решает, какие документы человек видит, создаёт и проводит.

Как устроены права в 1С:Фреш: два уровня доступа

Во Фреше любая учётная запись живёт сразу в двух системах.

Уровень 1 — менеджер сервиса (личный кабинет). Здесь абонент — это ваша организация как клиент сервиса. У каждого пользователя абонента есть роль:

Уровень 2 — приложение. Внутри каждой базы (Бухгалтерия, ЗУП, УНФ и другие) работает стандартная система прав типовых конфигураций:

• 👤 Пользователь — запись в справочнике приложения. Во Фреше она связана с учётной записью сервиса и создаётся автоматически, когда человеку открывают доступ.
• 🧩 Профиль групп доступа — набор ролей: что можно делать с документами, справочниками, отчётами.
• 👥 Группа доступа — профиль плюс список участников плюс ограничения (например, по организациям).

Пользователь получает права только через группы доступа. Напрямую роли ему не назначают. Если человек входит сразу в две группы, права складываются.

Чем режим сервиса отличается от коробочной 1С

• 🔒 Роли администрирования системы (полные права в платформенном смысле) пользователю абонента недоступны. Обновления, резервные копии и структура базы — зона провайдера.
• 🚪 Логин и пароль задаются в сервисе, а не в карточке пользователя приложения.
• ➕ Нового сотрудника заводят через кабинет. В приложении потом остаётся только раздать права.

Что подготовить до настройки

Права проще раздать один раз по схеме, чем потом латать. Перед стартом составьте короткую матрицу: кто, в каком приложении, с какими данными работает.

Такая таблица сразу показывает, сколько групп доступа понадобится. В примере выше — три группы в Бухгалтерии и одна в ЗУП. Её же удобно хранить как документ для аудита: при проверке прав вы сравниваете факт с утверждённой схемой.

Пошагово: как дать права новому сотруднику

Шаг 1. Добавьте пользователя в абонента

1. Войдите в личный кабинет 1С:Фреш под владельцем или администратором абонента.
2. Откройте раздел «Пользователи» и создайте нового пользователя.
3. Укажите ФИО, электронную почту и логин. На почту придёт приглашение со ссылкой для входа.
4. Выберите роль в абоненте. Для бухгалтера или кладовщика это обычный «Пользователь абонента».

Шаг 2. Откройте доступ к приложению

В карточке пользователя в кабинете отметьте приложения, с которыми он будет работать. Например, только Бухгалтерию, без ЗУП. После этого запись пользователя появится в справочнике Пользователи этого приложения.

Шаг 3. Включите пользователя в группу доступа

1. Откройте приложение под администратором.
2. Перейдите в Администрирование → Настройки пользователей и прав.
3. Откройте Группы доступа.
4. Выберите группу с нужным профилем, например «Бухгалтеры».
5. На вкладке участников добавьте сотрудника.
6. Нажмите «Записать и закрыть».

Есть и обратный путь. Откройте карточку пользователя в Пользователи и перейдите по ссылке «Права доступа ». Там видно все группы и можно отметить нужные флажками.

Шаг 4. Проверьте результат

Попросите сотрудника перезайти в приложение. Права применяются при входе. Пока он сидит в старом сеансе, изменения могут не подхватиться.

Свой профиль доступа: когда типовых не хватает

Поставляемые профили закрывают большинство задач. Но бывают случаи, когда нужно точнее. Например, менеджер должен выписывать счета, но не видеть банковские выписки.

Поставляемый профиль напрямую не редактируется. Это защита: при обновлении приложения его состав обновит сам разработчик. Свой профиль делают так:

1. Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа.
2. Выделите профиль, ближайший к задаче.
3. Скопируйте его командой копирования в списке.
4. Дайте копии понятное имя: «Менеджер — счета без банка».
5. На вкладке ролей снимите лишние флажки и добавьте нужные.
6. Запишите профиль и создайте под него новую группу доступа.

Как выбирать роли без проб и ошибок

• 🔍 Имена ролей говорят сами за себя: «Добавление и изменение…», «Чтение…», «Использование…». Если нужно только смотреть — берите роли чтения.
• 🧱 Убирайте роли по одной и проверяйте. Снятие базовой роли может сломать открытие связанных форм.
• 📝 Записывайте, что меняли и зачем. Через полгода никто не вспомнит, почему у менеджера нет доступа к кассе.

Ограничения по организациям и периодам

Профиль отвечает на вопрос «что можно делать». Ограничения — на вопрос «с какими данными». Это доступ на уровне записей (RLS).

Включите ограничения на уровне записей

1. Откройте Администрирование → Настройки пользователей и прав.
2. Установите флажок «Ограничивать доступ на уровне записей».
3. Откройте нужную группу доступа.
4. На вкладке ограничений выберите вид доступа «Организации».
5. Переключите режим на «Разрешены выбранные» и укажите организации.

Пример. В базе три юрлица: ООО «Север», ООО «Юг» и ИП Петров. Бухгалтер ведёт только ООО «Юг». Создайте группу «Бухгалтеры Юг» с профилем «Бухгалтер» и разрешите в ней одну организацию. Документы и остатки «Севера» и ИП сотрудник просто не увидит в списках и отчётах.

Склады и отдельные документы

Набор видов доступа зависит от приложения:

Если в вашем приложении нет нужного вида доступа, например «Склады» в Бухгалтерии, обходного пути через настройки нет. Остаётся ограничить действия через профиль: убрать роли изменения складских документов.

Запрет правки закрытых периодов

Отдельный инструмент — дата запрета изменения. Она защищает отчётные периоды от случайной правки. В Бухгалтерии её включают в Администрирование → Проведение документов. Можно задать одну дату для всех или разные даты для отдельных пользователей и организаций. Например, главному бухгалтеру — без запрета, остальным — до конца прошлого квартала.

Типичные промахи при раздаче прав

• ❌ Сотрудника завели в кабинете, но не дали доступ к приложению. Он входит в сервис и видит пустой список. Проверьте карточку пользователя в кабинете.
• ❌ Пользователь не входит ни в одну группу доступа. Приложение откроется, но почти все разделы будут недоступны или пусты.
• ❌ Всем раздали группу «Администраторы». Удобно в первый день, опасно потом: любой может изменить права коллег и настройки учёта.
• ❌ Ограничение по организациям включили, а «свои» организации разрешить забыли. Сотрудник видит пустые журналы и решает, что пропали данные.
• ❌ Уволенного сотрудника удалили только из группы доступа. Его учётная запись в кабинете продолжает занимать место в тарифе и может войти в сервис. Отключать нужно в кабинете.

Особые случаи: заместитель, аудитор, внешний бухгалтер

Временный доступ

В сервисе нет отдельной кнопки «дать доступ на неделю». Рабочая схема такая:

1. Заведите отдельную учётную запись для проверяющего. Не давайте ему логин сотрудника.
2. Откройте только нужное приложение.
3. В приложении включите его в группу с профилем «Только просмотр».
4. Поставьте себе напоминание на дату окончания проверки.
5. В этот день отключите доступ в кабинете.

Так в журнале регистрации будет видно, что делал именно аудитор, а не сотрудник, под чьим именем он мог бы работать.

Делегирование администрирования

Если владелец абонента не хочет сам заниматься пользователями, он назначает кому-то роль «Администратор абонента» в кабинете. Этот человек сможет заводить сотрудников и открывать приложения.

Чтобы он ещё и раздавал права внутри базы, его нужно включить в группу «Администраторы» приложения. Это два независимых действия, и забывают обычно второе.

Обслуживающая организация

Если бухгалтерию ведёт внешняя фирма или 1С-партнёр, удобнее не плодить учётные записи вручную. Во Фреше абонент может предоставить доступ обслуживающей организации — партнёру сервиса. Так доступ проще отозвать одним действием при смене подрядчика.

Контроль и аудит: кто что делал

Права мало раздать — их нужно время от времени проверять. Достаточно пройтись раз в квартал и после каждого кадрового изменения.

Что смотреть:

1. Список пользователей в кабинете. Нет ли уволенных, не занимают ли они места в тарифе.
2. Состав групп доступа в приложении. Особенно группы «Администраторы».
3. Права конкретного человека. В карточке пользователя откройте «Права доступа» — там видно все группы и отчёт по итоговым правам.
4. Журнал регистрации: Администрирование → Обслуживание → Журнал регистрации. Отбор по пользователю покажет его входы и изменения данных.

Частые вопросы