Настройка прав доступа пользователей в 1С: роли, профили и группы

Права доступа в 1С 8.3 задают в разделе Администрирование → Настройки пользователей и прав. Набор прав выдают не напрямую, а через цепочку: пользователь входит в группу доступа, группе назначен профиль, а профиль собран из ролей. Роли — это и есть конкретные права на объекты базы.

Такая схема работает в типовых конфигурациях на библиотеке БСП: Бухгалтерия 3.0, ЗУП 3.1, Управление торговлей 11, ERP, Комплексная автоматизация. В простых конфигурациях без подсистемы «Управление доступом» роли назначают пользователю напрямую в Конфигураторе — об этом в конце.

Ниже — порядок действий от создания пользователя до тонкой настройки: кому что видно и кто что может менять.

С чего начать настройку прав доступа

Откройте Администрирование → Настройки пользователей и прав. Это единый центр: здесь списки пользователей, профили, группы доступа и общие флажки безопасности.

Прежде чем раздавать права, определитесь с тремя вещами:

• 👥 кто работает в базе — список сотрудников;
• 🗂️ что каждому нужно — например, бухгалтеру продажи и банк, кладовщику только склад;
• 🔒 какие ограничения по организациям, складам, подразделениям нужны, если база общая для нескольких юрлиц.

Если ограничений по организациям нет, достаточно назначить готовый профиль. Если есть — понадобится ограничение на уровне записей, его включают отдельным флажком. Порядок всегда один: сначала пользователь, затем группа доступа с профилем, и только потом, при необходимости, разрешённые значения.

Роли, профили и группы доступа: как это связано

Три понятия, которые часто путают.

Роль — набор прав на конкретные объекты: чтение, добавление, изменение, удаление, проведение документов, просмотр отчётов. Роли хранятся в конфигурации и создаются в Конфигураторе.

Профиль группы доступа — удобный «пакет» из нескольких ролей. Именно профили видит администратор в режиме Предприятия. Готовые профили в типовых — Администратор, Главный бухгалтер, Бухгалтер, Только просмотр, Открытие внешних отчетов и обработок и другие в зависимости от конфигурации.

Группа доступа — связка «профиль + список сотрудников» (а при включённом ограничении на уровне записей ещё и список разрешённых организаций или складов).

Логика раздачи прав зависит от задачи:

Создание пользователя и вход в программу

Пользователь — это учётная запись для входа. Без неё права назначать некому.

1. Администрирование → Настройки пользователей и прав → Пользователи.
2. Нажмите Создать.
3. Заполните Полное имя (как сотрудник отображается в документах) и Имя (для входа) — логин.
4. Отметьте Вход в программу разрешен.
5. Выберите способ входа. Аутентификация 1С:Предприятия — вход по логину и паролю; Аутентификация операционной системы — вход под доменной учёткой без отдельного пароля.
6. Если выбрали вход по паролю, задайте его в поле Пароль или разрешите пользователю задать пароль самому.
7. Запишите карточку.

После записи на карточке появится ссылка Права доступа — через неё пользователя добавляют в группы доступа. Сразу после создания у пользователя прав почти нет, пока он не попал ни в одну группу.

Требования к паролю — длина, обязательные символы, срок действия — задаются общими настройками в том же разделе Настройки пользователей и прав. Там же включают запрет на повторное использование старого пароля и автоматическую блокировку бездействующих учёток. Эти правила действуют на всех пользователей сразу, настраивать их отдельно по каждому не нужно.

Профили групп доступа: готовые и свои

Профили — это Администрирование → Настройки пользователей и прав → Профили групп доступа.

Для большинства задач хватает готовых профилей из комплекта поставки. Каждый из них уже собран разработчиком под типовую роль сотрудника и покрывает все нужные ей объекты, поэтому бухгалтеру обычно достаточно профиля Бухгалтер, а руководителю — Только просмотр. Создавать свой профиль нужно, когда ни один готовый не подходит: например, сотруднику можно смотреть и проводить продажи, но нельзя трогать банк и кассу.

Как сделать свой профиль:

1. Откройте список профилей.
2. Выделите близкий по смыслу профиль и нажмите Создать копированием (или Создать, если собираете с нуля).
3. Снимите отметку о том, что профиль поставляется в комплекте — тогда обновление его не затронёт.
4. На закладке Разрешенные действия (роли) отметьте галочками нужные роли.
5. Запишите профиль.

Не редактируйте типовые профили из комплекта поставки напрямую: при очередном обновлении конфигурации они вернутся к исходному виду, и ваши настройки пропадут. Всегда работайте с копией.

Группы доступа: привязываем профиль к сотрудникам

Профиль сам по себе прав никому не даёт. Его нужно назначить через группу доступа.

1. Администрирование → Настройки пользователей и прав → Группы доступа.
2. Нажмите Создать.
3. В поле Профиль выберите нужный профиль.
4. На закладке Участники добавьте сотрудников, которым этот набор прав положен.
5. Запишите группу.

Есть и обратный путь — из карточки пользователя по ссылке Права доступа отметить, в какие группы он входит. Результат тот же, выбирайте, что удобнее: настраивать от роли (одна группа — много людей) или от человека (один сотрудник — несколько групп).

Когда приходит новый сотрудник на ту же должность, что и действующий, не собирайте права заново. В списке пользователей выделите похожего работника и нажмите Создать копированием — новая учётка унаследует его группы доступа. Останется сменить имя, логин и пароль. Это экономит время и защищает от ошибки «забыл добавить в нужную группу».

Один сотрудник может состоять в нескольких группах — права при этом суммируются. Если бухгалтер входит и в группу «Бухгалтер», и в группу «Кадровик», он получит права обеих.

Проверить, что в итоге получилось, удобно из списка пользователей: откройте карточку сотрудника и ссылку Права доступа — там видно все его группы и профили разом. А в списке профилей по команде отчётов можно посмотреть обратную картину: какие сотрудники входят в конкретный профиль. Это быстрее, чем открывать карточки по одной, когда нужно свериться после массовой настройки.

Ограничение доступа на уровне записей

Профиль решает, что пользователь может делать. Ограничение на уровне записей решает, с какими данными — например, только по своей организации или своему складу. В типовых это называют RLS.

Сначала включите механизм: в разделе Администрирование → Настройки пользователей и прав отметьте флажок Ограничивать доступ на уровне записей.

После этого в группах доступа появляется закладка с разрешёнными значениями. Там указывают, по каким организациям, складам, подразделениям или складским помещениям участникам группы разрешено работать.

Включение ограничения на уровне записей заметно нагружает базу: каждый запрос проверяет права на строки. На больших базах включайте его обдуманно, а не «на всякий случай».

Если нескольким сотрудникам нужны одинаковые организации, не настраивайте каждого отдельно. Заведите одну группу доступа с нужным профилем и разрешёнными значениями, а затем просто добавляйте в неё участников. Разрешённые значения хранятся у группы, а не у человека, поэтому новый сотрудник сразу получит те же ограничения, что и остальные в группе.

Режим Предприятия и Конфигуратора: где что делать

В типовой конфигурации на БСП почти всё делается в режиме Предприятия — создание пользователей, профили, группы, ограничения. Конфигуратор программисту тут нужен только чтобы изменить сами роли: добавить право на новый объект или снять лишнее.

Роли лежат в Конфигураторе в ветке Общие → Роли. У каждой роли — таблица объектов с галочками прав (Чтение, Добавление, Изменение, Удаление, Проведение и так далее).

Главное правило: не правьте роли типовой конфигурации напрямую — это снимает её с поддержки и ломает автообновление. Нужные изменения ролей вносите расширением конфигурации (доступны с платформы 8.3.6). Расширение живёт отдельным файлом, переживает обновления типовой и легко отключается.

В простых конфигурациях без подсистемы «Управление доступом» профилей и групп нет. Там роли назначают пользователю напрямую: в Конфигураторе список Администрирование → Пользователи, на закладке Прочие отмечают доступные роли. Если в вашей базе нет раздела Настройки пользователей и прав, вы работаете именно с такой конфигурацией.

Отдельно стоят внешние пользователи — контрагенты или клиенты, которые заходят, например, в личный кабинет. Их права настраивают в собственном списке внешних пользователей, если конфигурация такую работу поддерживает, и держат строго отдельно от прав сотрудников. Смешивать их в одних группах доступа нельзя: у внешних пользователей свои профили с урезанным набором ролей.

Частые ошибки при настройке прав

«Нарушение прав доступа» при открытии документа или отчёта. У пользователя нет роли, которая даёт доступ к этому объекту. Проверьте, какой профиль назначен его группе, и при необходимости добавьте подходящий профиль или роль в копию профиля.

Пользователь не видит привычный раздел интерфейса. Права есть, но раздел скрыт в его персональной настройке. Либо роли действительно не хватает. Сначала проверьте профиль, потом — настройку начального экрана у пользователя.

После обновления права «сбросились». Правили типовой профиль из комплекта поставки — обновление вернуло его к исходному. Делайте копию профиля и снимайте отметку о комплекте поставки.

Включили ограничение на уровне записей — и всё пропало. Не заполнены разрешённые значения в группах доступа. Укажите организации и склады каждой группе.

Потеряли единственного администратора. В базе всегда должен оставаться хотя бы один пользователь с профилем Администратор и разрешённым входом. Если отключить вход последнему администратору, настроить права изнутри базы будет уже некому — придётся восстанавливаться из резервной копии или разбирать базу через Конфигуратор.

Частые вопросы