Ограничение прав пользователей в 1С 8.3: профили, группы, записи и поля
Содержание
Права в 1С 8.3 ограничивают в режиме предприятия: Администрирование → Настройки пользователей и прав → Профили групп доступа. Копируете подходящий профиль, снимаете лишние роли, создаёте группу доступа с этим профилем и включаете в неё пользователя. Так работают БП 3.0, ЗУП 3.1, УТ 11 и другие типовые конфигурации на Библиотеке стандартных подсистем.
Способов ограничить доступ несколько, и выбирают их по задаче. Закрыть целый раздел или документ — профиль с меньшим набором ролей. Скрыть данные чужой организации — ограничение на уровне записей. Запретить править закрытый период — дата запрета изменения. Прятать кнопки в интерфейсе — самый слабый способ: это удобство, а не защита.
Как устроены права доступа в 1С 8.3
Платформа знает только роли. Роль — это набор разрешений на объекты: чтение, добавление, изменение, проведение, удаление. У пользователя может быть сколько угодно ролей.
Ключевое правило: права в 1С только складываются. Если одна роль разрешает изменять документ, а другая нет, пользователь документ изменить сможет. Отдельной «роли-запрета», которая отнимает права у других ролей, в платформе нет.
В типовых конфигурациях роли пользователю вручную не назначают. Над ними надстроена схема из трёх уровней:
| Уровень | Что это | Пример |
|---|---|---|
| Роль | Атомарное разрешение из конфигурации | «Добавление и изменение документов банка» |
| Профиль группы доступа | Набор ролей под должность | «Бухгалтер», «Кадровик», «Кладовщик» |
| Группа доступа | Профиль + участники + ограничения по данным | «Бухгалтеры ООО Ромашка» |
Пользователь получает роли через группы доступа, в которые он входит. Если он состоит в двух группах, роли обеих профилей суммируются.
В типовых конфигурациях не назначайте роли через Конфигуратор → Администрирование → Пользователи. Программа синхронизирует роли с группами доступа и при следующем изменении прав перезапишет ручные галочки. В итоге «вчера работало, сегодня нет».
В самописных конфигурациях без БСП групп доступа нет. Там роли назначают в Конфигураторе, в карточке пользователя на закладке «Прочие».
Подготовка: что сделать до настройки
Перед тем как резать права, соберите три вещи.
- 📋 Матрицу доступа. Таблица «должность → какие разделы видит, что может менять, по каким организациям». Без неё права настраивают методом тыка и через неделю переделывают.
- 👤 Список пользователей с должностями. Проверьте в
Администрирование → Настройки пользователей и прав → Пользователи, что у каждого заведена своя учётная запись. Общий логин «Бухгалтер» на троих разграничить нельзя. - 🔑 Своего администратора. Убедитесь, что вы входите в группу «Администраторы». Если исключить из неё последнего пользователя, программа откажет, но лучше проверить заранее.
Изменения прав применяются при следующем входе пользователя. Работающих сотрудников попросите перезапустить программу.
Профили групп доступа: настройка в режиме предприятия
Это основной способ ограничить права в 1С. Поставляемые профили («Бухгалтер», «Главный бухгалтер», «Только просмотр» и др.) редактировать нельзя: их состав задаёт разработчик, и обновление конфигурации его вернёт. Поэтому работают с копией.
Шаг 1. Создайте свой профиль
- Откройте
Администрирование → Настройки пользователей и прав → Профили групп доступа. - Выделите профиль, ближайший к нужной должности, например «Бухгалтер».
- Нажмите «Скопировать» (кнопка копирования в командной панели или
F9). - Дайте понятное имя: «Бухгалтер без банка и кассы».
Шаг 2. Уберите лишние роли
На закладке с разрешёнными действиями (ролями) снимите галочки с ролей, которые дают ненужные права. Названия ролей говорящие: «Добавление и изменение документов кассы», «Чтение отчётов по зарплате» и так далее.
💡 Включите флажок показа только выбранных ролей, чтобы видеть короткий список, а не все роли конфигурации.
Помните о сложении: если пользователь состоит ещё в одной группе, где касса разрешена, снятие роли здесь ничего не даст.
Шаг 3. Создайте группу доступа
- Перейдите в
Администрирование → Настройки пользователей и прав → Группы доступа. - Создайте группу, выберите в ней новый профиль.
- На закладке «Участники» добавьте пользователей.
- Запишите группу.
Удобнее включать в группу не отдельных людей, а группы пользователей («Бухгалтерия», «Склад»). Тогда новый сотрудник получает права одним движением.
Шаг 4. Уберите пользователя из старых групп
Откройте карточку пользователя и нажмите «Права доступа ». Там видны все группы, в которых он состоит. Исключите его из групп, которые дают более широкие права, иначе новый профиль не сработает.
Как запретить отдельные действия, если «роли-исключения» не работают
Частый запрос: «пусть у бухгалтера будет всё, кроме удаления документов». Создать роль, которая отнимает одно право, нельзя — права только складываются. Варианты такие.
| Способ | Когда подходит | Минусы |
|---|---|---|
| Профиль из более узких ролей | Нужная роль в конфигурации есть отдельно | Нужно разобраться в составе ролей |
| Дата запрета изменения | Закрыть прошлые периоды от правки | Работает только по дате, а не по типу действия |
| Своя роль в расширении | Нужна комбинация прав, которой нет в типовых ролях | Нужен Конфигуратор и программист |
| Снятие с поддержки и правка ролей | Почти никогда | Усложняет каждое обновление |
Запрет удаления
В типовых конфигурациях непосредственное удаление объектов обычно вынесено в отдельную роль, и у рядовых профилей её нет. Пользователь может только пометить объект на удаление. Само удаление помеченных выполняет администратор. Если сотрудник удаляет документы сразу, проверьте, не входит ли он в группу «Администраторы».
Запрет правки закрытого периода
Включите флажок «Даты запрета изменения» в Администрирование → Настройки пользователей и прав. По ссылке рядом с флажком задайте дату: общую для всех или отдельную по пользователям и организациям. Документы до этой даты откроются, но записать или перепровести их не получится.
💡 Это самый безопасный способ «заморозить» сданную отчётность. Ролей он не трогает.
Своя роль через расширение
Если нужен набор прав, которого нет ни в одной типовой роли, программист создаёт роль в расширении конфигурации. Расширение не снимает основную конфигурацию с поддержки, и обновления ставятся как обычно. После подключения расширения новая роль появляется в списке ролей профиля, и её включают в профиль как обычную.
Ограничение по организациям и другим данным (уровень записей)
Профиль отвечает на вопрос «какие документы можно открывать». Ограничение на уровне записей отвечает на вопрос «какие именно». Например, бухгалтер видит поступления только по одной из трёх организаций.
- В
Администрирование → Настройки пользователей и праввключите флажок «Ограничивать доступ на уровне записей». - Откройте группу доступа. Появится закладка с ограничениями доступа.
- Для вида доступа «Организации» выберите «Все запрещены» и добавьте в список разрешённые организации. Или наоборот: «Все разрешены», а в списке — исключения.
- Запишите группу.
Набор видов доступа зависит от конфигурации. В БП 3.0 главный — организации. В УТ 11 и ERP их больше, например склады. Какие виды доступны, задаётся в профиле: там же можно указать, какие из них настраиваются в группе доступа.
После включения флажка программа в фоне пересчитывает данные для ограничения. На базе в десятки гигабайт это занимает часы и заметно нагружает сервер. Включайте вечером или в выходные. Сделайте резервную копию базы перед включением.
Ограничение на уровне записей замедляет списки и отчёты: запросы получают дополнительные условия. Если в компании одна организация и все видят всё, флажок не нужен.
Ограничение доступа к реквизитам и полям
Иногда нужно разрешить документ, но запретить в нём одно поле. Например, кладовщик видит накладную, но не цены.
Ключевые реквизиты справочников
В типовых конфигурациях есть защита ключевых реквизитов: ИНН контрагента, вид номенклатуры, организация в договоре. Когда объект уже используется в документах, эти поля заблокированы. Чтобы их изменить, нужно выбрать в форме команду «Разрешить редактирование реквизитов» (она в меню «Ещё»). Право на эту команду дают отдельной ролью, и её можно не включать в профиль рядовых сотрудников.
Права на отдельные реквизиты
Платформа умеет давать права «Просмотр» и «Редактирование» на каждый реквизит объекта. Делается это только в Конфигураторе, в редакторе роли: выделяете объект, раскрываете реквизиты и снимаете флажки для нужного поля.
Ловушка та же: права складываются. Если поле скрыто в вашей роли, но открыто в любой другой роли пользователя, он его увидит. Поэтому полевые ограничения требуют, чтобы все роли пользователя по этому объекту были согласованы. Это работа программиста, а не пользователя-администратора.
Если поле нужно спрятать с экрана, а не защитить от чтения, проще убрать его с формы через «Ещё → Изменить форму». Но через отчёты или выгрузку пользователь данные всё равно получит.
Скрытие разделов, меню и команд интерфейса
Интерфейс 1С сам подстраивается под права. Если у пользователя нет ни одной роли на объекты раздела, раздел не показывается. Команды, на которые нет прав, исчезают из меню и панелей.
Отдельно можно убрать то, на что права есть, но что мешает работе:
- 🧭 Функциональность программы.
Администрирование → Функциональностьотключает целые блоки для всех пользователей базы: например, если нет кассы ККТ или валютных операций. - 🗂 Панель разделов. Пользователь настраивает её сам через меню «Вид» главного окна (кнопка с тремя полосками в заголовке).
- 📑 Навигация раздела. В каждом разделе можно настроить, какие команды видны, через пункт «Настройка навигации».
- 📤 Копирование настроек.
Администрирование → Настройки пользователей и прав → Персональные настройки пользователей→ «Копирование настроек». Настроили интерфейс у одного бухгалтера — скопировали остальным.
Скрытие команды — не ограничение прав. Пользователь вернёт её в настройках навигации или откроет объект через «Все функции», если они включены. Всё, что действительно нельзя, закрывайте профилем.
Режим «Все функции» показывают через параметры программы (Сервис и настройки → Параметры, флажок отображения команды «Все функции»). Пункт показывает только объекты, на которые у пользователя есть права, поэтому дыры в правах он не открывает, а только выставляет их напоказ.
Как проверить, что права настроены правильно
Не ждите, пока сотрудник позвонит со словами «не могу провести». Проверьте сами.
Отчёт по правам пользователя
В карточке пользователя есть переход к отчёту о правах доступа. Он показывает, какие права на каждый объект пользователь получил и из какой группы доступа. В свежих релизах БСП отчёт называется «Анализ прав доступа» и доступен также из Администрирование → Настройки пользователей и прав.
Отчёт отвечает на главный вопрос: «откуда у него это право». Если видите лишнее — смотрите колонку с группой доступа, через которую право пришло.
Тестовый вход
Самая надёжная проверка — войти под пользователем.
- Создайте тестового пользователя и включите его в те же группы доступа.
- Задайте ему пароль и войдите в базу под ним.
- Пройдите сценарий должности: создать документ , провести, открыть отчёт, открыть данные «чужой» организации.
Входить под настоящим сотрудником со сбросом его пароля не стоит: потом придётся объяснять, кто и когда работал в его учётной записи.
Сообщение «Недостаточно прав»
Если пользователь видит Недостаточно прав для просмотра или Нарушение прав доступа!, при ошибке обычно указан объект. По имени объекта найдите в профиле роль, которая его открывает. Часто проблема не в документе, а в справочнике или регистре, к которому документ обращается при проведении.
Если не помогло
- 🔄 Права не изменились — пользователь не перезапускал программу или остался в старой группе.
- 🧩 Роли «слетают» — их назначали в Конфигураторе, а не через группы доступа.
- 🐢 Ограничение по организациям не работает сразу — фоновое обновление доступа ещё не закончено. Дождитесь его завершения.
- 👑 Пользователь видит всё — он в группе «Администраторы» или у него роль «Полные права».