Права пользователей в 1С 8.3: что закрыть, где настроить и как проверить результат
Содержание
В типовых конфигурациях 1С 8.3 (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) доступ пользователя ограничивают в разделе Администрирование → Настройки пользователей и прав: человеку назначают группу доступа с урезанным профилем, а при необходимости включают ограничение на уровне записей, например по организациям или складам. Роль «Полные права» и профиль «Администратор» обычным сотрудникам не выдают никогда.
Частое заблуждение: «дам пользователю все права, а потом запрещу лишнее». В 1С так не работает . Права только складываются: если хотя бы одна роль разрешает действие, другая роль его не отменит. Поэтому ограничить доступ пользователя в 1С можно одним способом: выдать ровно то, что нужно для работы, и ничего сверху.
Как устроены права доступа в 1С 8.3
Механизм работает на трёх уровнях. Понимать их нужно до того, как трогать настройки, иначе легко получить «доступ закрыт, а документ всё равно видно».
- 🔑 Роли — набор прав на объекты конфигурации: чтение, добавление, изменение, проведение, удаление, интерактивные действия. Роли создаёт разработчик в Конфигураторе.
- 📦 Профили групп доступа — готовые наборы ролей под должность: «Бухгалтер», «Кассир», «Кадровик», «Менеджер по продажам». Их видит администратор в пользовательском режиме.
- 👥 Группы доступа — профиль плюс список участников и, при необходимости, ограничения по значениям: какие организации, склады, подразделения человеку видны.
Отдельно стоит ограничение на уровне записей (RLS, Record Level Security). Оно не скрывает объект целиком, а фильтрует строки: документ «Реализация» доступен, но только по своей организации.
| Уровень | Что ограничивает | Кто настраивает |
|---|---|---|
| Роль | Целые объекты и действия с ними | Разработчик (Конфигуратор, расширение) |
| Профиль | Набор ролей под должность | Администратор базы |
| Группа доступа | Участников и значения доступа | Администратор базы |
| RLS | Отдельные записи внутри объекта | Включает администратор, правила задаёт конфигурация |
В самописных конфигурациях без Библиотеки стандартных подсистем профилей и групп нет. Там роли назначают прямо в Конфигураторе: Администрирование → Пользователи, карточка пользователя, вкладка Прочие, флажки ролей.
Настройка прав пользователя через профили и группы доступа
Порядок для Бухгалтерии 3.0, ЗУП 3.1 и УТ 11 одинаковый, пути совпадают.
Шаг 1. Подготовьте профиль
- Откройте
Администрирование → Настройки пользователей и прав → Профили групп доступа. - Найдите поставляемый профиль, ближе всего подходящий к должности. Поставляемые профили менять нельзя, поэтому выделите его и нажмите «Скопировать».
- В копии задайте понятное имя, например «Кассир без отчётов».
- На вкладке ролей снимите флажки с лишних ролей. Добавлять роли, которых не было в исходном профиле, можно, но каждую проверяйте по описанию.
- Запишите профиль.
Шаг 2. Создайте группу доступа
- Перейдите в
Администрирование → Настройки пользователей и прав → Группы доступа. - Создайте группу, выберите в поле профиля подготовленный профиль.
- На вкладке участников добавьте пользователей.
- Если в профиле есть виды доступа (организации, склады и т. п.), заполните вкладку ограничений. О ней — в следующем разделе.
Шаг 3. Проверьте права из карточки пользователя
В карточке пользователя (Администрирование → Настройки пользователей и прав → Пользователи) есть ссылка «Права доступа
». Там видно, в каких группах он состоит, и можно открыть отчёт по фактическим правам на объекты.
Пользователь, который в момент настройки работает в базе, увидит новые права только после перезапуска сеанса. Попросите его выйти и зайти заново, прежде чем делать выводы.
Если права нужны одному человеку, отдельную группу создавать не обязательно. В карточке пользователя по ссылке «Права доступа» отметьте профиль флажком: программа сама заведёт персональную группу «только для этого пользователя».
Исключения: доступ к части организаций, складов и контрагентов
Самое точное ограничение — по значениям. Оно задаётся в группе доступа, на вкладке с ограничениями. Сначала его надо включить для всей базы: Администрирование → Настройки пользователей и прав, флажок «Ограничивать доступ на уровне записей».
Включение RLS на большой базе запускает фоновое обновление ключей доступа. Делайте это вечером: пока процесс идёт, списки у пользователей могут открываться медленнее.
Дальше для каждого вида доступа выбирается одна из двух логик:
- ✅ «Все разрешены», кроме исключений — подходит, когда закрыть надо немного. Пример: менеджер видит всех контрагентов, кроме двух ключевых клиентов директора.
- 🚫 «Все запрещены», кроме исключений — подходит для жёсткого разделения. Пример: бухгалтер группы компаний работает только с ООО «Север» и ИП Сидоров, а остальные 6 организаций ему не видны вовсе.
Какие виды доступа доступны, зависит от конфигурации:
| Конфигурация | Типичные виды доступа |
|---|---|
| Бухгалтерия 3.0 | Организации |
| ЗУП 3.1 | Организации, подразделения, группы физических лиц |
| УТ 11 | Организации, склады, партнёры, виды цен и другие |
Если пользователь состоит в двух группах с разными ограничениями, итоговый доступ — объединение. Группа «Бухгалтер ООО Север» плюс группа «Бухгалтер ООО Юг» дают обе организации.
Запрет правки закрытых периодов
Отдельный вид ограничения — дата запрета изменения данных. Он не скрывает документы, а не даёт исправить их задним числом. Найти настройку проще всего в разделе Администрирование по слову «запрет» в строке поиска. Дату можно задать одну на всех или индивидуально: например, главбух может править до прошлого квартала включительно, а рядовой бухгалтер — только текущий месяц.
Своя роль, когда поставляемых не хватает
Бывает, что ни одна роль не даёт нужного сочетания. Типичный случай: кассир должен видеть справочник «Контрагенты», но не менять его, а роль, где есть кассовые документы, тянет за собой и редактирование контрагентов.
Править типовую конфигурацию ради этого не нужно. Правильный путь — роль в расширении конфигурации:
- Откройте Конфигуратор,
Конфигурация → Расширения конфигурации, создайте расширение. - В дереве расширения добавьте новую роль.
- Отметьте права только на нужные объекты. Объекты основной конфигурации для этого заимствуются в расширение.
- Обновите расширение в базе и запустите пользовательский режим.
- Добавьте роль в свой профиль группы доступа.
Типовые обновления такая роль переживает: конфигурация остаётся на поддержке.
Полезные права уровня всей конфигурации, о которых часто забывают:
- 🖨 «Вывод» — печать, сохранение в файл, копирование табличных документов в буфер. Без него сотрудник видит отчёт, но не может выгрузить его в Excel.
- 💻 «Толстый клиент» — запуск толстого клиента. Обычному пользователю он не нужен.
- 🔌 «Внешнее соединение» и «Automation» — подключение к базе извне. Оставляйте только служебным учётным записям обменов.
- 🧾 «Сохранение данных пользователя» — без него не запоминаются настройки форм и отчётов.
Роли «Полные права» и «Администратор системы» дают доступ ко всему и обходят RLS. Назначайте их одной-двум учётным записям, не больше.
Скрытие разделов, команд и полей интерфейса
Здесь важно отличать защиту от удобства.
Защита. Если у пользователя нет права на объект, команда открытия пропадает из меню сама. Это и есть настоящее ограничение: обойти его через «Все функции» или ссылку из другого документа нельзя.
Удобство. Всё остальное — просто уборка экрана:
- функциональные опции отключают целые возможности для всей базы (в Бухгалтерии 3.0 это раздел «Функциональность»);
- пользователь сам настраивает панель разделов и навигации через меню «Вид» или шестерёнку формы;
- администратор копирует подготовленные настройки интерфейса другим сотрудникам:
Администрирование → Настройки пользователей и прав → Копирование настроек.
Скрытая через настройки команда остаётся доступной. Если пользователь вернёт её на панель или найдёт объект через «Все функции», он его откроет. Поэтому прятать в интерфейсе можно то, что мешает, а запрещать — только правами.
Отдельно о меню «Все функции». Его показ включается в параметрах программы (Сервис и настройки → Параметры). Запрещать этот пункт бесполезно: он показывает только то, на что у пользователя и так есть права.
Защита от запуска внешних обработок и отчётов
Внешняя обработка (.epf) или отчёт (.erf) выполняются с правами того, кто их запустил. Пользователь с широкими правами может случайно запустить присланный «полезный» файл, который удалит или изменит данные.
Что закрыть:
- Право интерактивного открытия. В типовых конфигурациях за него отвечает отдельная роль про открытие внешних отчётов и обработок. Проверьте, что её нет в профилях рядовых пользователей. Без неё команда
Файл → Открытьне откроет.epf. - Защита от опасных действий. С платформы 8.3.9 в карточке пользователя информационной базы есть флажок «Защита от опасных действий». При попытке открыть внешнюю обработку , загрузить расширение или запустить потенциально опасный код платформа предупреждает и просит подтверждение. Флажок по умолчанию включён, снимать его не нужно.
- Дополнительные обработки через справочник. Нужные внешние обработки регистрируйте в
Администрирование → Печатные формы, отчёты и обработкии указывайте, кому они доступны. Так пользователь запускает проверенный файл из базы, а не что попало с диска. - Профили безопасности кластера. В клиент-серверном варианте администратор кластера может включить для базы профиль безопасности. Он ограничивает доступ кода к файловой системе, COM-объектам и внешним ресурсам. Это уровень сервера, а не пользователя, но для баз с внешним доступом он полезен.
Расширения конфигурации тоже код. Право на администрирование расширений оставьте только администраторам, иначе ограничения ролей обходятся загрузкой своего расширения.
Аудит: кто что открывал и менял
Ограничить доступ мало — нужно видеть, кто им пользуется. Главный инструмент — журнал регистрации.
- 📜 В пользовательском режиме:
Администрирование → Обслуживание → Журнал регистрации. - 🛠 В Конфигураторе:
Администрирование → Журнал регистрации, там же настройка уровня записи событий (Администрирование → Настройка журнала регистрации).
Что смотреть в журнале:
| Событие | Что показывает |
|---|---|
| Сеанс. Начало / Завершение | Кто, когда и с какого компьютера входил |
| Данные. Изменение, Удаление | Кто правил конкретный документ |
| Данные. Проведение, Отмена проведения | Кто перепровёл документ задним числом |
| Пользователи. Изменение | Кто и когда поменял права или пароль |
Отбор по пользователю и периоду ставится кнопкой «Установить отбор». Чтобы журнал не раздувался, в Конфигураторе задайте разделение файлов журнала по периоду (например, по месяцам) и храните архив хотя бы за год.
Для текущей картины откройте список активных пользователей: там видно, кто сейчас в базе, в каком приложении и с какого компьютера. В клиент-серверном варианте ту же информацию даёт консоль кластера или команда rac session list.
Журнал регистрации фиксирует изменения, но не просмотры отчётов. Если нужно знать, кто смотрел зарплатную ведомость, это решается доработкой или специализированной подсистемой версионирования и аудита, штатно платформа такое не пишет.
Регулярная ревизия прав
Раз в квартал проходитесь по списку пользователей:
Ошибки при настройке ограничений
- ❌ Удаление роли из поставляемого профиля. Поставляемые профили обновляются вместе с конфигурацией, правки слетают. Работайте с копией.
- ❌ Пользователь в двух группах, и одна из них широкая. Ограничение в первой группе ничего не даёт: права складываются. Проверяйте все группы через ссылку «Права доступа».
- ❌ Удаление уволенного пользователя. Его подпись остаётся в документах, а ссылки ломаются. Правильно — снять «Вход в программу разрешён» и пометить пользователя как недействительного.
- ❌ Одна учётка на троих. Журнал регистрации тогда бесполезен: не понять, кто перепровёл документ.
- ❌ Проверка прав под администратором. Под ним всё работает. Создайте тестового пользователя с тем же профилем и войдите под ним.