Настройка прав доступа пользователей в 1С 8.3
Содержание
Права в 1С 8.3 назначают в режиме «1С:Предприятие»: откройте Администрирование → Настройки пользователей и прав → Пользователи, зайдите в карточку сотрудника и на вкладке «Права доступа
» включите его в нужные группы доступа. Роль не выдаётся сотруднику напрямую — она приходит вместе с профилем, который привязан к группе доступа.
Второй способ — через конфигуратор (Администрирование → Пользователи), где роли ставятся флажками. Он нужен для нетиповых баз без подсистемы групп доступа и для создания самого первого администратора.
Ниже — как работают три слоя разграничения доступа (пользователь → группа доступа → профиль с ролями), как подключить ограничение по организациям и складам и как быстро понять, почему человек не видит документ или раздел.
Два способа выдать права и когда какой применять
В типовых конфигурациях на основе Библиотеки стандартных подсистем (Бухгалтерия 3.0, ЗУП 3.1, УТ 11, ERP) правами управляет подсистема «Группы доступа». Вы работаете в режиме предприятия и ролями конфигуратора не пользуетесь.
В самописных или сильно доработанных базах, где такой подсистемы нет, роли назначаются только через конфигуратор — напрямую пользователю.
В типовой базе не выдавайте роли пользователю в конфигураторе руками. Подсистема групп доступа при следующем входе синхронизирует набор ролей со своими настройками, и ваши ручные флажки будут сброшены или начнут конфликтовать. Исключение — первый администратор, пока в базе ещё нет ни одного пользователя.
Пока список пользователей пуст, 1С запускает базу без авторизации и с полными правами. Как только появляется первый пользователь с правами администрирования, при входе начинает запрашиваться логин.
Назначение ролей в конфигураторе
Если подсистемы групп доступа в базе нет, роли выдаются напрямую:
- Запустите базу в режиме «Конфигуратор» и откройте
Администрирование → Пользователи. - Нажмите «Добавить». На вкладке «Основные» задайте имя для входа, полное имя и аутентификацию (пароль 1С или учётная запись операционной системы).
- Перейдите на вкладку «Прочие» и в списке «Доступные роли» отметьте флажками нужные роли.
- Запишите пользователя.
Среди отмеченных ролей обязательно должна быть хотя бы одна, разрешающая запуск в вашем режиме (тонкий или веб-клиент). Если ни одна роль не даёт права на запуск, при входе 1С откажет с сообщением о недостатке прав. Для полного доступа к базе и управлению пользователями выдайте роли «Полные права» и «Администратор системы».
Этот же список пользователей виден и в режиме предприятия, но в типовой базе редактировать роли отсюда не нужно — для неё используйте группы доступа.
Создание пользователя и разрешение входа в программу
Новый сотрудник заводится в режиме предприятия: Администрирование → Настройки пользователей и прав → Пользователи → Создать.
В карточке заполните:
- 👤 Полное имя — как сотрудник отображается в списках и в документах («Иванова Мария Петровна»).
- 🔑 Вход в программу разрешён — без этого флага человек есть в справочнике, но войти не сможет.
- 🔐 Аутентификация — чаще всего «1С:Предприятия» (вход по паролю). Варианты «операционной системы» и «OpenID» используют доменную учётную запись или внешний провайдер.
- Показывать в списке выбора — снимите флаг для технических и сервисных учёток, чтобы они не мелькали в окне входа.
Задайте пароль через «Установить пароль » либо включите «Требовать установку пароля при входе» — тогда сотрудник придумает его сам при первом запуске.
Если один человек работает под несколькими базами с общим доменом, удобнее аутентификация операционной системы: пароль 1С не нужен, вход идёт под учётной записью Windows.
Дополнительно в карточке доступен флаг «Пользователю запрещено изменять пароль» — тогда менять его сможет только администратор. А флаг «Недействителен» блокирует вход, не удаляя саму учётную запись: удобно для сотрудников в долгом отпуске или подрядчиков, которые ещё могут вернуться.
После сохранения карточки пользователь ещё ничего не может, кроме запуска. Права добавляются на отдельной вкладке — о ней дальше.
Профили групп доступа и ролевая модель
Разграничение в типовой 1С строится из трёх уровней. Понимание этой цепочки снимает большинство вопросов «почему не работает ».
- Роль — объект конфигурации. Описывает, что можно делать с конкретными данными: читать, добавлять, проводить, удалять. Роли поставляет разработчик, вручную их не создают.
- Профиль групп доступа — именованный набор ролей. Например, профиль «Бухгалтер» собирает десятки ролей, нужных для учётной работы.
- Группа доступа — связывает профиль с конкретными людьми и, при необходимости, со значениями доступа (организациями, складами).
Готовые профили лежат в Администрирование → Настройки пользователей и прав → Профили групп доступа. В типовой базе вы увидите «Администратор», «Главный бухгалтер», «Бухгалтер», «Только просмотр», «Открытие внешних отчётов и обработок» и другие — набор зависит от конфигурации.
Как выдать сотруднику права
Самый короткий путь — из карточки пользователя:
- Откройте карточку → вкладка «Права доступа».
- Отметьте флажками подходящие группы доступа (обычно они одноимённы профилям).
- Запишите изменения.
Можно идти и от группы: Группы доступа → нужная группа → добавить участника.
Профиль «Администратор» даёт полный доступ — выдавайте его только тем, кто реально администрирует базу. Профиль «Только просмотр» удобен для аудиторов и руководителей: человек видит документы и отчёты, но ничего не меняет.
Если нужной роли нет ни в одном профиле
Предопределённые профили менять нельзя — они поставляемые и обновляются вместе с конфигурацией. Чтобы собрать свой набор ролей:
- В списке профилей нажмите «Создать» или скопируйте похожий профиль.
- На вкладке «Разрешённые действия (роли)» отметьте нужные роли.
- Сохраните профиль и заведите на его основе группу доступа.
Отдельный профиль удобен, когда типовой «Бухгалтер» почти подходит, но надо добавить одну-две роли (например, доступ к кадровым документам). Копируете типовой, дописываете роль — и обновления конфигурации вашему профилю больше не мешают.
Ограничение доступа на уровне записей (RLS)
Роли отвечают на вопрос «с какими объектами можно работать». Ограничение на уровне записей (RLS, Record Level Security) добавляет второй вопрос — «с какими именно элементами»: только по своей организации, своему складу, своему подразделению.
Механизм отключён по умолчанию. Включается флагом «Ограничивать доступ на уровне записей» в разделе Администрирование → Настройки пользователей и прав.
После включения настройка идёт в два шага:
- Виды доступа — по какому признаку режем данные. Типовые: «Организации», «Склады», «Группы пользователей», «Контрагенты». Набор зависит от конфигурации.
- Значения доступа — какие конкретно элементы разрешены группе. Задаются в карточке группы доступа на вкладке с ограничениями: выбираете вид доступа и перечисляете разрешённые (или, наоборот, запрещённые) значения.
Пример: бухгалтеру филиала нужна только своя организация. В его группе доступа для вида «Организации» оставляете вариант «Разрешены» и добавляете одну организацию. Документы остальных филиалов он не увидит даже в списках.
Виды доступа внутри одной группы комбинируются по «И». Если ограничены и организации, и склады, документ станет виден сотруднику только тогда, когда совпадают оба условия сразу — и организация, и склад из его разрешённых списков.
Стратегию выбирайте под большинство данных:
- вариант «Разрешены» — когда открыт узкий участок (один филиал, один склад), а всё остальное закрыто;
- вариант «Запрещены» — когда доступ открыт почти ко всему и спрятать надо пару элементов; тогда в список исключений попадают только они.
Второй типовой сценарий — склады. Кладовщику оставляют его склад, и документы движения по чужим складам из списков пропадают, хотя роль на работу со складскими документами у него есть.
Ограничение на уровне записей заметно нагружает базу: каждый запрос дополняется проверкой прав. Включайте RLS только тогда, когда разделение по организациям или складам действительно нужно. Если все работают с одной организацией, механизм только замедлит работу.
Изменения прав и значений доступа применяются при следующем входе пользователя в программу, а не мгновенно.
Как проверить права и найти причину отказа
Типовая жалоба: «не вижу документ», «нет кнопки», «раздел пропал». Разбирайтесь по цепочке сверху вниз — проблема почти всегда на одном из уровней.
| Что проверить | Где смотреть |
|---|---|
| Включён ли вход в программу | Карточка пользователя, флаг «Вход в программу разрешён» |
| В каких группах доступа состоит | Карточка пользователя → «Права доступа» |
| Какие роли даёт профиль группы | Профили групп доступа → нужный профиль → список ролей |
| Заданы ли значения доступа (при RLS) | Карточка группы доступа → вкладка ограничений |
| Применились ли новые права | Попросить сотрудника перезайти в базу |
Частый случай: право выдали, а человек всё равно ничего не видит. Проверьте значения доступа. При включённом RLS пустой список разрешённых организаций означает «не разрешено ничего» — пользователь не увидит ни одного документа, пока его организацию не добавят в группу.
Другой типовой промах — сотрудника добавили в профиль «Только просмотр» и ждут, что он будет проводить документы . Профиль просмотра роли на изменение не содержит, сколько групп ни добавляй.
Разберём жалобу по шагам на живом примере. Бухгалтер пишет, что не видит банковских выписок. Проверяете: вход разрешён — да; состоит в группе «Бухгалтер» — да; профиль «Бухгалтер» содержит роли на банковские документы — да. Остаётся RLS: в базе включено ограничение по организациям, а организация этого бухгалтера в его группу доступа не добавлена. Добавляете организацию, просите перезайти — выписки появляются. Цепочка всегда одна и та же, меняется только звено, на котором спотыкается доступ.
Чтобы увидеть, кто входит в конкретную группу, откройте её карточку в списке групп доступа — участники перечислены прямо там. Так быстро находят «лишних» людей в группе администраторов.
Рекомендации по безопасному разграничению прав
Несколько правил, которые снимают большую часть инцидентов с доступом и не дают базе превратиться в «все могут всё».
- 🔒 Полные права — у одного-двух человек, не у всех «на всякий случай».
- 🧩 Давайте минимум: сотрудник получает ровно те группы доступа, что нужны для его участка.
- 🚪 У каждого свой логин и пароль. Общая учётка «под всех» лишает смысла любой учёт действий.
- 🧾 Профиль «Открытие внешних отчётов и обработок» — только проверенным специалистам: через внешнюю обработку можно выполнить почти любой код.
Уволенному сотруднику не обязательно удалять учётную запись — достаточно снять флаг входа. Так сохранится история: кто и когда проводил документы под этим пользователем.