Создание учётной записи в 1С: от файловой базы до кластера

Учётку в типовой конфигурации 1С 8.3 заводят в режиме 1С:Предприятие, а не в Конфигураторе: Администрирование → Настройки пользователей и прав → Пользователи → Создать. Это важно — создашь пользователя только в Конфигураторе, и в самой программе он не появится, права назначить будет негде.

Разберём оба пути: через интерфейс программы (так правильно в типовых конфигурациях — БП 3.0, ЗУП 3.1, УТ 11) и через Конфигуратор (нужен для нетиповых баз и для аварийного доступа). Покажу, где файловая база отличается от клиент-серверной, как раздать роли и чем на самом деле ограничивают доступ «по времени и IP».

Два уровня пользователей: почему это главное

В 1С пользователь живёт на двух уровнях, и путаница между ними — причина большинства проблем.

• Пользователь информационной базы — техническая учётка платформы: логин, пароль, тип аутентификации, набор ролей. Именно её проверяет платформа при входе.
• Элемент справочника «Пользователи» — карточка в прикладном решении: ФИО, подразделение, настройки, профили групп доступа.

В типовых конфигурациях на управляемых формах эти два уровня связаны автоматически. Когда вы создаёте пользователя через Администрирование, программа сама заводит и элемент справочника, и пользователя ИБ. Поэтому в типовой базе заводите учётки только через интерфейс программы, а не через Конфигуратор — иначе связь не установится.

Конфигуратор остаётся нужен в двух случаях: нетиповая самописная база без подсистемы управления пользователями и аварийный доступ, когда в программу уже никто не может войти.

Что подготовить до создания учётки

Создавать пользователей может только тот, у кого есть права администратора (профиль «Администратор» или роль «ПолныеПрава»). Если пункта Пользователи в разделе Администрирование нет — у вас недостаточно прав, зайдите под администратором.

Заранее определитесь по трём пунктам, иначе придётся переделывать карточку:

Тип аутентификации выбирают исходя из инфраструктуры. Пароль 1С подходит везде и не зависит от домена. Аутентификация ОС удобна там, где есть Active Directory: сотрудник входит в базу без отдельного пароля, под своей доменной учёткой.

Создание пользователя в файловой базе

Файловая база — это каталог с файлом 1Cv8.1CD, пользователи хранятся внутри него. Порядок действий полностью совпадает с клиент-серверным, разница только в том, где физически лежат учётки.

1. Откройте базу в режиме 1С:Предприятие под администратором.
2. Перейдите в Администрирование → Настройки пользователей и прав → Пользователи.
3. Нажмите Создать.
4. В поле Полное имя впишите ФИО — оно пойдёт в документы и журнал регистрации.
5. Установите флажок Вход в программу разрешён — без него учётка создастся, но войти под ней будет нельзя.
6. В поле Имя (для входа) задайте логин латиницей или кириллицей без пробелов.
7. Выберите Аутентификация 1С:Предприятия, задайте пароль. Флажок Потребовать установку пароля при входе заставит сотрудника сменить пароль при первом входе.
8. Запишите карточку. Программа предложит сразу перейти к назначению прав — согласитесь.

Если нужен вход по учётке Windows, вместо пароля поставьте флажок Аутентификация операционной системы и выберите пользователя домена. Можно оставить оба способа сразу: тогда из офиса сотрудник заходит по домену, а удалённо — по паролю.

Ещё один флажок, который часто забывают, — Показывать в списке выбора. Если он снят, пользователь в окне входа не появится в выпадающем списке, но войти сможет, введя логин вручную. Так прячут служебные и администраторские учётки от посторонних глаз. Есть и третий способ входа — Аутентификация по протоколу OpenID: его применяют, когда вход централизован через внешний сервер OpenID, в небольших базах он обычно не нужен.

Регистрация пользователя в клиент-серверной базе

В клиент-серверном варианте учётки хранятся не в файле, а в кластере серверов 1С. Для администратора это незаметно: тот же путь Администрирование → Настройки пользователей и прав → Пользователи, та же карточка, те же поля. Отдельно «регистрировать» пользователя в кластере не нужно — платформа сделает это сама.

Разница проявляется в трёх вещах:

• Лицензии. В клиент-серверной базе лицензии выдаёт сервер лицензирования. Если свободных лицензий нет, новый пользователь получит отказ при входе, хотя учётка создана верно.
• Администрирование кластера. Список сеансов и соединений смотрят в консоли администрирования или командой rac session list — но это управление сеансами, а не создание пользователей.
• Аутентификация ОС. Для доменного входа служба 1C:Enterprise 8.3 Server Agent и клиент должны работать в одном домене или в доверенных доменах.

Создавать пользователей ИБ напрямую в консоли кластера технически можно, но в типовой базе так не делают: учётка появится без элемента справочника и без профилей доступа. Заводите через интерфейс программы.

Настройка прав: роли и профили групп доступа

Права в типовых конфигурациях раздают не ролями напрямую, а профилями групп доступа — это набор ролей, собранный под должность. Так проще: не нужно разбираться в сотнях технических ролей.

После записи пользователя откройте Права доступа в его карточке (или перейдите в Администрирование → Настройки пользователей и прав → Группы доступа). Отметьте нужный профиль:

Профиль «Администратор» даёт полные права — выдавайте его только тем, кто действительно настраивает базу. Рядовому сотруднику хватает профиля по должности.

Если готового профиля под задачу нет, создайте свой в Группы доступа → Профили групп доступа и соберите в него нужные роли. Удобнее не собирать с нуля, а скопировать близкий поставляемый профиль и подправить. Для ограничения доступа к конкретным организациям, складам или подразделениям в профиле включают ограничения доступа на уровне записей (RLS) — например, чтобы бухгалтер видел документы только своей организации, а кладовщик — остатки только своего склада.

Один пользователь может входить сразу в несколько групп доступа. Права при этом складываются: если в одной группе доступ разрешён, а в другой об этом профиле ничего не сказано, итоговый доступ будет. Поэтому не раздавайте лишние профили «на всякий случай» — убрать доступ потом сложнее, чем добавить.

Отдельно стоит знать про режим запуска в карточке пользователя. По умолчанию он Авто — программа сама выбирает тонкий или толстый клиент. Менять его на Обычное приложение в типовых конфигурациях на управляемых формах не нужно: обычные формы там не используются, и сотрудник просто не сможет войти.

Ограничение входа: пароли, блокировка и доступ по сети

Здесь важно не обещать того, чего платформа не делает. Встроенного ограничения «пускать только с 9 до 18» или «только с этого IP» у пользователя 1С нет. Но часть задач решается штатно, а часть — средствами инфраструктуры.

Что умеет сама 1С (раздел Администрирование → Настройки пользователей и прав → Настройка входа):

• минимальная длина и сложность пароля;
• срок действия пароля — заставить менять его раз в N дней;
• запрет повторять прежние пароли;
• автоматическая блокировка входа после N дней без активности — удобно для уволенных и уходящих в отпуск.

Что решается вне 1С:

• Доступ по IP и по времени — на уровне сети: правила терминального сервера, брандмауэр, политики RDP. Платформа такие ограничения на пользователя не накладывает.
• Разрыв соединения для веб-клиента — тайм-аут на стороне веб-сервера.

Если сотрудник уволился, не удаляйте учётку сразу — снимите флажок Вход в программу разрешён. Так сохранится история его действий в журнале регистрации, а войти под учёткой уже не получится.

Отдельно стоит помнить про внешних пользователей. В конфигурациях, где есть обмен с сайтом или кабинет контрагента, помимо обычных сотрудников заводят внешних пользователей — они входят с урезанными правами и видят только свою часть данных. Это отдельный список Внешние пользователи в том же разделе настроек; смешивать их с внутренними сотрудниками нельзя. Если такого пункта в вашей базе нет, значит конфигурация внешних пользователей не поддерживает — и это нормально.

Копирование прав и настроек на нового сотрудника

Когда в отдел приходит человек на уже знакомую должность, не собирайте права заново — скопируйте их с действующего коллеги. Это быстрее и исключает расхождения в доступе внутри одного отдела.

В типовых конфигурациях для этого есть отдельный инструмент: Администрирование → Настройки пользователей и прав → Копирование настроек. Он переносит с одного пользователя на другого не только профили доступа, но и персональные настройки — внешний вид списков, отборы, настройки отчётов.

Порядок такой:

1. Сначала создайте нового пользователя обычным способом (см. выше) — учётка должна уже существовать.
2. Откройте Копирование настроек.
3. В поле источника выберите сотрудника-образец, в поле назначения — нового.
4. Отметьте, что копировать: настройки отчётов, внешний вид, прочее. Права доступа переносятся отдельно — через добавление нового пользователя в те же группы доступа.
5. Выполните копирование и проверьте карточку нового сотрудника.

Для прав доступа есть и более прямой путь: откройте нужную группу доступа в Группы доступа и добавьте в её состав нового пользователя. Один раз настроенная группа «Бухгалтеры» или «Кладовщики» позволяет подключать новичков в один клик.

Частые ошибки при создании учётки

Отдельная болезненная ситуация — утерян пароль единственного администратора, и в базу больше никто не может войти с полными правами. Готового «сброса пароля» в 1С нет.

• В файловой базе восстановите копию базы из резервной, где пароль ещё был известен, либо откройте базу в Конфигураторе под другим пользователем с полными правами и задайте новый пароль администратору.
• В клиент-серверной базе действуйте так же через Конфигуратор; если администраторских учёток не осталось вовсе — восстанавливайте базу из резервной копии.

Не пытайтесь «пересоздать базу» или сносить служебные файлы — потеряете данные. Правильный путь — резервная копия.

Частые вопросы