Кому что можно: запрет входа, урезанные права и закрытая база в 1С 8.3

Ограничить доступ в 1С можно на четырёх уровнях: права пользователя (группы доступа), запрет входа конкретному сотруднику, временная блокировка всей базы и защита на сервере 1С. В типовых конфигурациях на БСП (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) почти всё делается в разделе Администрирование → Настройки пользователей и прав, без конфигуратора.

Механизмы общие для платформы 8.3 и интерфейса «Такси». Ниже — какой рычаг за что отвечает и в каком порядке их включать, чтобы не закрыть базу самому себе.

Какой способ ограничения выбрать под задачу

Разные задачи решаются разными инструментами. Путаница здесь дорого обходится: например, снятие роли не выгонит пользователя, который уже работает в базе.

Группы доступа и профили: урезаем права пользователя

В конфигурациях на БСП права не назначают ролями напрямую. Цепочка такая: профиль (набор ролей) → группа доступа (профиль + участники + ограничения) → пользователь.

Порядок настройки:

1. Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа.
2. Найдите подходящий поставляемый профиль (например, «Бухгалтер», «Кассир», «Только просмотр»). Поставляемые профили не редактируются — нажмите Скопировать, если нужен свой вариант.
3. В копии на вкладке ролей снимите лишние флажки. Сохраните.
4. Перейдите в Группы доступа, создайте группу, выберите ваш профиль.
5. На вкладке участников добавьте нужных пользователей.

Права суммируются. Если пользователь состоит в группах «Кассир» и «Администраторы», он остаётся администратором. Это самая частая причина вопроса «я убрал права, а он всё видит».

Исключение прав: как «отнять» одно действие

Запрещающих прав в 1С нет — можно только не дать. Поэтому «исключение» делают так:

• 🔹 разбивают широкую группу на две: общую и с дополнительным правом;
• 🔹 пользователя, у которого надо отнять право, оставляют только в общей;
• 🔹 для одного действия (например, удаления помеченных объектов) делают отдельный профиль с одной ролью и включают в него только тех, кому это можно.

Роль «Полные права» ограничения не обходит только на бумаге: администратор видит всё. Её держите у 1-2 человек, не у главного бухгалтера «на всякий случай».

Запрет входа и завершение сеансов конкретных пользователей

Уволился сотрудник, сменился подрядчик, утёк пароль — пользователя надо отключить, не удаляя. Удалять не стоит: на нём висят авторы документов, история изменений, записи журнала регистрации.

Как запретить вход:

1. Администрирование → Настройки пользователей и прав → Пользователи.
2. Откройте карточку, снимите флажок «Вход в программу разрешён». Запишите.
3. Если пользователь больше вообще не нужен — поставьте отметку «Недействителен». Он пропадёт из списков выбора, но останется в истории.

Снятие флажка не выгоняет человека, который уже работает. Его текущий сеанс живёт до закрытия программы. Сеанс надо завершить отдельно.

Где завершить сеанс:

• 🖥 в программе: Администрирование → Обслуживание, ссылка «Активные пользователи» — выделите сеанс и завершите его (для клиент-серверной базы потребуются данные администратора кластера);
• 🖥 в консоли кластера: Информационные базы → <база> → Сеансы, контекстное меню сеанса → Удалить;
• 🖥 из командной строки: rac session list для поиска и rac session terminate для завершения.

Ограничение по способу входа

В карточке пользователя есть варианты аутентификации: по паролю 1С, через Windows (ОС) и через OpenID. Для удалённых подрядчиков разумно оставить только вход по паролю и выключить «Показывать в списке выбора» — так логин не виден в окне входа.

Политику паролей (минимальная длина, сложность, срок действия) задают в Администрирование → Настройки пользователей и прав, в настройках входа.

Блокировка базы целиком: обновление и регламентные работы

Когда нужно, чтобы в базу не зашёл никто, кроме вас, включают блокировку начала сеансов.

В типовой конфигурации:

1. Администрирование → Обслуживание → «Блокировка работы пользователей».
2. Укажите время начала и окончания, текст сообщения для пользователей.
3. Задайте код разрешения — любое слово, например obnov2.
4. Нажмите «Установить блокировку». Работающим пользователям покажут предупреждение и через несколько минут завершат их сеансы.

Сами вы заходите в заблокированную базу с параметром запуска /UC:

"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /F"D:\Base\Buh" /UCobnov2

Параметр /UC<код> можно вписать и в настройки базы в окне запуска, в поле дополнительных параметров.

Файл блокировки в файловой базе

Для файловой базы блокировка начала сеансов хранится в файле 1Cv8.cdn в каталоге информационной базы, рядом с 1Cv8.1CD. Типовая конфигурация создаёт его сама, когда вы включаете блокировку.

Что важно знать:

• 📁 пока файл лежит в каталоге, новые сеансы не стартуют (кроме входа с верным кодом /UC);
• 📁 удаление файла снимает блокировку — это аварийный выход, если программа не даёт снять её штатно;
• 📁 права на каталог базы в Windows — тоже ограничение доступа: у кого нет записи в папку, тот базу не откроет.

Не путайте 1Cv8.cdn со служебным файлом 1Cv8.1CL, который платформа создаёт при работе пользователей. Удалять 1Cv8.1CL при открытых сеансах нельзя.

Внешние обработки и расширения: запрещаем запуск чужого кода

Внешняя обработка — это программа, которая выполняется с правами пользователя. Через неё можно выгрузить базу, поменять данные в обход интерфейса, удалить документы без пометки.

Как закрыть:

• 🔒 Не давайте роль на интерактивное открытие внешних отчётов и обработок. В БСП она вынесена в отдельный профиль «Открытие внешних отчётов и обработок». Пользователь без него не откроет .epf и .erf через Файл → Открыть.
• 🔒 Подключайте нужные обработки через справочник Администрирование → Печатные формы, отчёты и обработки → Дополнительные отчёты и обработки. Их загружает администратор, а пользователь запускает из меню раздела. Это контроль: что лежит в справочнике, то и работает.
• 🔒 Защита от опасных действий. В свойствах пользователя (в конфигураторе — Администрирование → Пользователи) есть флажок «Защита от опасных действий». Платформа предупреждает при открытии внешнего файла и загрузке расширения. Не отключайте его ради удобства.
• 🔒 Расширения конфигурации (появились в 8.3.6) устанавливает только администратор. Обычным пользователям роль на администрирование расширений не нужна.

RLS: пользователь видит только свою организацию или склад

Ограничение на уровне записей (RLS) режет не меню, а данные. Менеджер открывает журнал реализаций и видит только документы своей организации. Остальных строк для него просто нет.

Как включить в БП 3.0, ЗУП 3.1, УТ 11:

1. Администрирование → Настройки пользователей и прав → флажок «Ограничивать доступ на уровне записей».
2. Откройте группу доступа, в которой состоит пользователь.
3. На вкладке ограничений доступа выберите вид (например, «Организации») и режим: «Разрешены выбранные значения» или «Запрещены выбранные значения».
4. Добавьте значения в список. Запишите.

Виды доступа зависят от конфигурации:

Какие виды доступны в вашей группе, зависит от ролей профиля: если в профиле нет ролей, работающих со складами, ограничения по складам не будет.

Даты запрета изменения

Отдельный механизм, о котором часто забывают. Он не прячет данные, а запрещает их менять в закрытом периоде. Настраивается в Администрирование → Настройки пользователей и прав → Даты запрета изменения.

Дату задают общую или по каждому пользователю и организации. Главбух закрыл квартал — рядовой бухгалтер уже не перепроведёт документ задним числом.

Защита на стороне сервера 1С

В клиент-серверном варианте часть ограничений живёт вне конфигурации. Их видит администратор системы, а не 1С-ник.

Администраторы кластера и базы. Пока в кластере нет ни одного администратора, консоль открывается кем угодно из сети. Добавьте администратора кластера в консоли: Кластеры → <кластер> → Администраторы. После этого любые действия в консоли требуют логина.

Блокировка в свойствах информационной базы. В консоли кластера откройте свойства базы:

• ✅ «Блокировка начала сеансов включена» + период + сообщение + код разрешения;
• ✅ «Блокировка регламентных заданий включена» — останавливает фоновые задания, например обмены.

То же из командной строки (утилита rac ставится вместе с сервером):

rac cluster list
rac infobase summary list --cluster=<ID_кластера>
rac infobase update --cluster=<ID_кластера> --infobase=<ID_базы> --infobase-user=Admin --infobase-pwd=*** --sessions-deny=on --permission-code=obnov2 --denied-message="Обновление до 20:00"

Точный набор параметров для вашей версии смотрите в rac help infobase.

Сеть. Клиент обращается к агенту сервера (порт 1540), затем к менеджеру кластера (1541) и рабочим процессам (диапазон портов задаётся в свойствах рабочего сервера, по умолчанию 1560-1591). Закройте эти порты в брандмауэре для всех, кроме рабочих мест и терминального сервера. Снаружи база должна быть доступна только через VPN или веб-публикацию.

СУБД. Пользователь, под которым кластер подключается к PostgreSQL или MS SQL, не должен совпадать с учётными записями людей. Прямой доступ к базе СУБД в обход 1С отключает все права и RLS — для неё 1С-ограничений не существует.

Частые ошибки при ограничении доступа

• ❌ Сняли роль, а пользователь всё видит. Он остался в другой группе доступа. Права суммируются — проверьте все группы через отчёт о правах.
• ❌ Заблокировали базу и не можете войти сами. Не задали код разрешения или потеряли его. Для серверной базы снимите блокировку в консоли кластера, для файловой — удалите 1Cv8.cdn, когда все вышли.
• ❌ Удалили уволенного пользователя. Сломались ссылки «Ответственный» и «Автор» в документах. Правильно — запрет входа и отметка «Недействителен».
• ❌ У всех один логин «Бухгалтер». Ни ограничить, ни понять из журнала регистрации, кто что сделал, невозможно. Каждому — своя учётная запись.
• ❌ Последнего администратора ограничили. Если отнять «Полные права» у единственного администратора, вернуть их из пользовательского режима некому. Перед правкой прав убедитесь, что есть второй пользователь с полными правами.

Частые вопросы