Роли пользователей в 1С 8.3: как выдать доступ и не сломать права

Частая ошибка: открыть карточку пользователя и искать там галочки «Бухгалтер» и «Администратор». В типовых конфигурациях на БСП роли напрямую почти не назначают. Пользователя включают в группу доступа, группа ссылается на профиль, а профиль уже содержит набор ролей.

Разберём оба пути: через интерфейс программы и через Конфигуратор. Покажем, как собрать собственную роль, где подстерегают ошибки и как проверить, кто что реально может.

Роль, право, профиль и группа доступа: что за что отвечает

Без этой картины любые настройки превращаются в гадание.

• 🔑 Право — минимальное разрешение: «чтение», «добавление», «проведение», «интерактивное удаление» для конкретного объекта метаданных.
• 🎭 Роль — именованный набор прав. Роли создаёт разработчик конфигурации, например «Добавление и изменение документов» или «Администратор системы».
• 📦 Профиль группы доступа — готовый набор ролей под должность: «Бухгалтер», «Менеджер по продажам», «Кадровик».
• 👥 Группа доступа — список конкретных пользователей, которым выдан профиль. Здесь же задаются ограничения по организациям, складам и другим данным.

Итог для пользователя считается суммой: он получает все роли всех профилей, в группы которых входит. Запретов, которые перебивают разрешения, в ролях нет — есть только «разрешено» и «не разрешено».

Способы назначить роль пользователю: от безопасного к радикальному

Начинайте с первого способа. К третьему переходите, только если без него нельзя.

Способ 1. Через профиль и группу доступа

Подходит почти всегда, если в конфигурации есть подсистема «Пользователи» БСП (Бухгалтерия, ЗУП, УТ и другие типовые решения).

1. Откройте раздел Администрирование и найдите пункт настройки пользователей и прав (в разных редакциях называется Настройки пользователей и прав или близко к этому).
2. Убедитесь, что пользователь заведён в справочнике Пользователи. Если нет — создайте и задайте имя для входа.
3. Откройте Профили групп доступа и выберите подходящий профиль. Если нужного нет, посмотрите, какие стандартные поставляются.
4. Откройте Группы доступа, найдите группу с этим профилем и добавьте пользователя в список участников.
5. Запишите. Права обновятся при следующем входе, а в части случаев сразу.

Не правьте предопределённые профили — при обновлении конфигурации они могут вернуться к исходному виду. Копируйте профиль и работайте с копией.

Способ 2. Через карточку пользователя

В форме пользователя обычно есть ссылка на его группы доступа и отдельная команда выдачи прав. Это тот же механизм, что и способ 1, только с другой стороны: вы выбираете пользователя и смотрите, куда он включён. Удобно, когда нужно быстро добавить одного сотрудника в уже существующую группу.

Способ 3. Через Конфигуратор

Так работают в базах без БСП, в самописных конфигурациях и при срочном доступе администратору.

1. Запустите базу в режиме Конфигуратор.
2. Откройте меню Администрирование → Пользователи.
3. Выберите пользователя и перейдите на вкладку Прочие.
4. Отметьте нужные роли в списке.
5. Нажмите ОК.

Роли отсюда действуют напрямую, минуя группы доступа. Не смешивайте оба подхода в одной базе без необходимости: через полгода никто не вспомнит, откуда взялся доступ.

Для базы на БСП этот путь оставляйте на крайний случай, например когда никто не может войти в программу и выдать права обычным способом.

Как создать и настроить свою роль

Если стандартные роли не подходят, роль можно собрать самостоятельно. Это работа в Конфигураторе, и она меняет конфигурацию.

⚠️ Для базы на типовой поддержке потребуется включить возможность изменения. После этого каждое обновление придётся сопровождать слиянием изменений. Если без своей роли можно обойтись — обойдитесь, используйте профили.

Порядок:

1. В Конфигураторе откройте дерево конфигурации и найдите ветку Общие → Роли.
2. Нажмите Добавить и задайте имя (латиницей, без пробелов) и синоним (то, что увидят люди).
3. Откройте окно прав роли. Слева — объекты метаданных, справа — доступные права.
4. Отметьте только нужное: например, для документа «Поступление товаров и услуг» — чтение, просмотр, добавление, изменение, проведение.
5. Не включайте Интерактивное удаление, если сотрудник не должен удалять документы. Лучше включить Интерактивная пометка на удаление.
6. Сохраните конфигурацию (F7 обновляет конфигурацию базы данных) и выдайте роль пользователю или включите её в профиль.

В БСП своя роль должна дополнительно попасть в профиль, иначе в списке групп доступа ею воспользоваться будет нельзя. Состав типовых профилей задаётся в модуле конфигурации, поэтому проще сделать копию профиля и включить роль в неё. Если так нельзя, оставьте роль для назначения через Конфигуратор.

Ошибки при назначении ролей и почему они возникают

Самая коварная ситуация — право есть, но что-то мешает. Это блокировка по ограничению на уровне записей, режим «Только просмотр» в группе доступа или отсутствие права на нужный реквизит.

Файловая, серверная и облачная база: чем отличается работа

Принцип одинаков везде: роли хранятся в конфигурации, профили и группы — в данных. Но практика различается.

• 📁 Файловая база. Для изменения ролей в Конфигураторе нужен монопольный доступ только при обновлении конфигурации базы данных. Просто выдать роль пользователю можно, пока другие работают. Профили и группы меняются в обычном режиме.
• 🖥️ Клиент-серверная база . Всё то же самое, но пользователи подключены через сервер. Администратору кластера не нужно выдавать права в базе — это разные уровни.
• ☁️ Облако и сервис. Конфигуратор обычно недоступен или ограничен провайдером. Пользуйтесь профилями и группами доступа в режиме 1С:Предприятие. Если нужен свой профиль, просите провайдера включить нужную возможность.

Администратор кластера серверов 1С и администратор информационной базы — разные роли. Первый управляет службой, второй — данными внутри базы.

Отдельный случай — внешний вход через веб-клиент. Права те же самые, но доступ к самому веб-интерфейсу может ограничиваться настройками публикации и режимом аутентификации. Если сотрудник «вроде имеет права, но войти не может», проверьте публикацию.

Профили доступа и RLS: ограничения на уровне записей

Роли отвечают на вопрос «с какими объектами можно работать». RLS (Record Level Security, ограничение доступа на уровне записей) отвечает на вопрос «с какими именно записями».

Типичные примеры:

• 🏢 бухгалтер видит документы только своей организации;
• 📦 кладовщик работает только со своим складом;
• 👤 менеджер видит только своих контрагентов.

Как включить в БСП:

1. В разделе администрирования найдите настройку ограничения доступа на уровне записей и включите её.
2. Дождитесь заполнения вспомогательных данных. На большой базе это занимает время, и в рабочие часы лучше не включать — нагрузка заметна.
3. В группе доступа укажите значения ограничений: организации, склады и т.д.

Профиль + RLS — это и есть гибкость. Один профиль «Менеджер по продажам» работает для всех, а группы различаются списком складов и организаций.

Как проверить, кто и что может

Выдать права — полдела. Через месяц надо понимать, что у кого есть.

• 🔍 Отчёты по правам доступа. В БСП есть отчёт, показывающий права пользователя по объектам, и отчёт по ролям в разрезе профилей. Открываются из списка пользователей или групп доступа.
• 📜 Журнал регистрации. Раздел Администрирование содержит ссылку на журнал. Фильтруйте события по пользователю и по видам вроде «Пользователи» — увидите, кто и когда менял права.
• 🧾 Копии профилей. Перед массовыми изменениями делайте копию профиля, а не правьте оригинал.
• 🕵️ Проверка под пользователем. Самая надёжная проверка — зайти под его учётной записью на тестовой копии и пройти типовой сценарий. Можно также попросить сотрудника открыть форму и прислать текст ошибки.

Раз в полгода просматривайте список участников групп доступа. Уволенных исключайте сразу: помечайте пользователя как недействующего, а не удаляйте — иначе потеряете авторство документов.

Ориентир по трудоёмкости: на базу с 20 пользователями ревизия занимает около часа, если профили понятно названы. Если названия вроде «Копия1» и «Новый профиль» — вдвое дольше.

Когда лучше не менять права самому

• Пользователь с полными правами на рабочей базе нужен единицам. Не выдавайте роль администратора «временно» — временное обычно остаётся навсегда.
• Если пользователь работает с внешней обработкой, ей могут понадобиться дополнительные права. Проверьте это до выдачи.
• Если база в аренде у провайдера и вы не владелец, часть настроек может быть запрещена условиями.
• Перед любым изменением состава профилей важно сделать резервную копию и согласовать изменения по регламенту организации.

Частые вопросы