Роли, профили и группы доступа: даём сотруднику ровно те права, что нужны
Содержание
Права пользователю в типовых конфигурациях 1С 8.3 (Бухгалтерия 3.0, ЗУП 3.1, Управление торговлей 11) назначают не в Конфигураторе, а в самой программе: Администрирование → Настройки пользователей и прав → Пользователи, карточка сотрудника, кнопка Права доступа
. Там отмечают нужные профили или группы доступа («Бухгалтер», «Кассир», «Администратор») и записывают. Изменения вступят в силу после того, как пользователь перезапустит программу.
Чаще всего права настраивают «на глаз»: дали полные права, чтобы не мешали ошибки, и забыли. Ниже — как выдать сотруднику ровно то, что ему нужно, ограничить его одной организацией и проверить результат до того, как он сядет работать.
Из чего складываются права: роль, профиль, группа доступа
В типовых конфигурациях на базе Библиотеки стандартных подсистем (БСП) права устроены в три слоя. Путаница между ними — главная причина ошибок.
| Слой | Что это | Где живёт | Кто меняет |
|---|---|---|---|
| 🔑 Роль | Набор прав на объекты: читать, добавлять, проводить, удалять | Конфигурация (Конфигуратор) | Разработчик |
| 📦 Профиль групп доступа | Набор ролей под должность: «Бухгалтер», «Кассир» | Справочник в программе | Администратор |
| 👥 Группа доступа | Профиль + список участников + ограничения (например, по организациям) | Справочник в программе | Администратор |
Роль сама по себе ничего не знает о пользователе. Профиль собирает роли под типовую работу. Группа доступа связывает профиль с конкретными людьми и, если нужно, сужает доступ до отдельных организаций.
💡 Пользователь может входить в несколько групп доступа сразу. Права при этом складываются: если одна группа разрешает проводить документы, а другая нет — проводить он сможет.
В конфигурациях на БСП не назначайте роли через Конфигуратор (Администрирование → Пользователи, вкладка «Прочие»). Программа пересчитывает роли пользователя по группам доступа и при очередной записи или обновлении затрёт ручные галочки. Сотрудник «внезапно» потеряет права, и найти причину будет трудно.
Пошаговое назначение прав пользователю в 1С
Порядок одинаков для БП 3.0, ЗУП 3.1 и УТ 11 — различаются только названия поставляемых профилей.
Шаг 1. Создайте пользователя
- Откройте
Администрирование → Настройки пользователей и прав → Пользователи. - Нажмите Создать, укажите полное имя и связь с физическим лицом (если поле есть).
- Включите флажок Вход в программу разрешён.
- Задайте имя для входа и пароль. Для доменной сети можно включить аутентификацию операционной системы и выбрать учётную запись Windows.
- Нажмите Записать.
Шаг 2. Выдайте права
- В карточке пользователя нажмите Права доступа.
- В открывшемся списке отметьте нужные профили. Бухгалтеру обычно хватает профиля «Бухгалтер», руководителю учёта — «Главный бухгалтер».
- Нажмите Записать и закрыть.
Если в базе включены группы доступа в расширенном виде, вместо профилей вы увидите список групп. Принцип тот же: отметили группу — получили её права.
Шаг 3. Проверьте, что сотрудник вошёл с новыми правами
Права применяются при запуске сеанса. Если пользователь в момент настройки был в программе, попросите его закрыть 1С и открыть снова.
Не давайте рядовым сотрудникам профиль «Администратор» «на время» — такие временные права живут годами и дают доступ к удалению данных, настройкам и чужим паролям входа.
Когда нужен свой профиль
Поставляемые профили менять нельзя: их перезапишет следующее обновление конфигурации . Если ни один не подходит, сделайте копию:
Администрирование → Настройки пользователей и прав → Профили групп доступа.- Выделите похожий профиль и скопируйте его (
F9). - Дайте понятное имя, например «Бухгалтер без кассы».
- На вкладке ролей снимите или добавьте галочки.
- Запишите и назначьте новый профиль пользователю.
💡 Называйте свои профили по должности и добавляйте пометку, чем они отличаются от типового. Через год никто не вспомнит, зачем был нужен «Профиль 2».
Ограничение по организациям и другие тонкие настройки
Профиль отвечает на вопрос «что можно делать». Часто нужен второй вопрос — «с какими данными». Например, бухгалтер ведёт только ООО «Север» и не должен видеть документы ООО «Юг». Это ограничение доступа на уровне записей (RLS).
Как включить
- Откройте
Администрирование → Настройки пользователей и прав. - Включите флажок Ограничивать доступ на уровне записей.
- Перейдите в
Группы доступа, откройте группу нужного сотрудника. - На вкладке с видами доступа выберите вид «Организации» и укажите режим: разрешены только перечисленные значения.
- Добавьте в список разрешённые организации и запишите группу.
Для каждой комбинации «профиль + набор организаций» создаётся отдельная группа доступа. Пять бухгалтеров на трёх организациях в разных сочетаниях — это несколько групп, а не одна.
После включения ограничения программа фоновым заданием пересчитывает служебные данные доступа. На большой базе это занимает время, и списки документов у пользователей могут временно выглядеть неполными. Включайте флажок вечером или в выходные, когда в базе никто не работает.
Чем ещё можно сузить права
- 📅 Дата запрета изменения данных — не даёт править закрытый период. Её можно задать общую для всех или отдельно для конкретных пользователей. Настройка находится в разделе администрирования рядом с параметрами проведения или прав, в зависимости от конфигурации.
- 🏢 Виды доступа помимо организаций — в ЗУП и УТ встречаются ограничения по подразделениям, складам, группам партнёров. Набор видов зависит от конфигурации и виден на вкладке группы доступа.
- 👤 Дополнительные права в профиле — отдельные разрешения вроде права редактировать цены или видеть себестоимость. Они выглядят как роли с описательными названиями внутри профиля.
Чем отличается настройка прав в БП, ЗУП и УТ
Механизм в трёх конфигурациях один — подсистема управления доступом из БСП. Различаются набор профилей и типичные виды ограничений.
| Конфигурация | Где назначать | Типичные профили | Чем обычно ограничивают |
|---|---|---|---|
| Бухгалтерия 3.0 | Администрирование → Настройки пользователей и прав | Бухгалтер, Главный бухгалтер, Кассир, Администратор | Организации |
| ЗУП 3.1 | Администрирование → Настройки пользователей и прав | Профили кадровика и расчётчика, Администратор | Организации, подразделения, доступ к персональным данным |
| УТ 11 | НСИ и администрирование → Настройки пользователей и прав | Профили менеджеров, кладовщиков, Администратор | Организации, склады, партнёры |
Самописные и старые нетиповые конфигурации без БСП устроены иначе. Там нет групп доступа, и роли действительно назначают в Конфигураторе: Администрирование → Пользователи, карточка пользователя, вкладка «Прочие», галочки у ролей. Ограничения по организациям в таких базах есть только если их запрограммировал разработчик.
Группы пользователей: настройка прав сразу для отдела
Когда сотрудников больше десяти, выдавать права каждому вручную неудобно. Удобнее раздавать их отделам.
- Включите флажок Группы пользователей в
Настройках пользователей и прав. - Создайте группы по отделам: «Бухгалтерия», «Склад», «Отдел продаж».
- Распределите сотрудников по группам (один человек может быть в нескольких).
- Откройте нужную группу доступа и в списке участников укажите не отдельных людей, а группу пользователей.
Теперь новому кладовщику достаточно добавить его в группу «Склад» — права он получит автоматически. При увольнении сотрудника снимите флажок Вход в программу разрешён в его карточке. Удалять пользователя не нужно: на него ссылаются документы и журнал регистрации.
💡 Для нескольких одинаковых баз (например, база на каждую организацию) удобно один раз собрать свои профили в эталонной базе и переносить их при развёртывании новой, а не настраивать заново.
Проверка прав: как увидеть то, что видит сотрудник
Самый надёжный способ — войти под учётной записью пользователя и пройти его типовой день: открыть списки, создать и провести документ , сформировать отчёт.
Если пароль сотрудника вы не знаете, временно задайте свой или запустите тонкий клиент из командной строки с параметрами базы и пользователя:
"C:\Program Files\1cv8\8.3.24.1691\bin\1cv8c.exe" ENTERPRISE /F"D:\Bases\Buh" /N"Иванова" /P"пароль"
Номер версии в пути подставьте свой. Для серверной базы вместо /F используйте /S"сервер\имя_базы".
Отчёт о правах
В карточке пользователя и в карточке группы доступа есть команда отчёта по правам доступа. Он показывает, какие объекты пользователь может читать и изменять и из какой группы пришло каждое право. Это быстрый способ понять, откуда у кассира доступ к зарплатной ведомости.
Расшифровка типичных сообщений
Безопасность и контроль: кто и когда менял права
Права — это то, что проверяют первым, когда в базе пропали или изменились данные. Настройте контроль заранее.
- 🔒 Минимум администраторов. Профиль «Администратор» — у одного-двух человек. Бухгалтеру для работы он не нужен.
- 🧾 Журнал регистрации.
Администрирование → Обслуживание → Журнал регистрации. Отберите события по пользователю или по изменению данных, чтобы увидеть, кто менял карточку пользователя или группу доступа и когда. - 🔐 Пароли. В настройках входа можно потребовать сложный пароль, ограничить срок его действия и запретить повтор старых паролей.
- 🚪 Неактивные учётные записи. Раз в квартал пройдитесь по списку пользователей и снимите разрешение на вход у уволенных и тех, кто давно не заходил.
- 🛡️ Пароль администратора в Конфигураторе. Если в Конфигураторе нет ни одного пользователя или у администратора пустой пароль, любой сотрудник откроет базу с полными правами. Задайте пароль администратору сразу после создания первого пользователя.
Если в организации есть регламент доступа к персональным данным, удобно закрепить в нём соответствие «должность → профиль 1С». Тогда при приёме сотрудника вопрос «какие права дать» решается по таблице, без согласований.