Вложенные группы пользователей и групп доступа в 1С 8.3

Подгруппа в 1С создаётся в списке пользователей: включите флажок «Группы пользователей» в Администрирование → Настройки пользователей и прав, откройте список пользователей, выделите в дереве слева нужную группу и нажмите «Создать». Новая группа ляжет внутрь выделенной. Пользователи подгруппы автоматически считаются участниками всех вышестоящих групп.

Это работает одинаково в типовых конфигурациях на Библиотеке стандартных подсистем: Бухгалтерии 3.0, ЗУП 3.1, Управлении торговлей 11, Комплексной автоматизации и ERP. Отличается только раздел верхнего уровня, где лежат настройки. Права при этом дают не группы пользователей, а группы доступа. Это главное, что нужно держать в голове при построении структуры.

Как устроена иерархия: три разных «группы» в 1С

В интерфейсе 1С слово «группа» встречается в трёх местах. Путаница между ними — частая причина того, что подгруппу создали, а права у людей не поменялись.

Логика простая. Группа пользователей отвечает на вопрос «кто это». Группа доступа отвечает на вопрос «что ему можно». Участником группы доступа может быть и отдельный пользователь, и целая группа пользователей.

Пример структуры для фирмы с двумя филиалами:

• 📂 Все пользователи
  • 📂 Бухгалтерия
    • 📂 Бухгалтерия — Москва
    • 📂 Бухгалтерия — Казань
  • 📂 Склад
  • 📂 Руководство

Группа «Все пользователи» служебная. Её нельзя удалить или переименовать, в неё входят все пользователи базы.

Подготовка: что проверить перед созданием подгруппы

Перед работой убедитесь в трёх вещах:

1. ✅ У вас есть права полного администратора в программе. Без них команды создания групп недоступны.
2. ✅ Включено использование групп пользователей. Если флажка нет, в списке пользователей не будет дерева слева.
3. ✅ Вы понимаете, нужна ли подгруппе отдельная группа доступа. Если права будут другими, чем у родительской группы, это решение принимается заранее.

Где искать настройки в разных конфигурациях:

Создание подгруппы пользователей по шагам

Шаг 1. Включите группы пользователей

Откройте Администрирование → Настройки пользователей и прав (в УТ и КА — раздел НСИ и администрирование). Установите флажок «Группы пользователей». Настройка применяется сразу, перезапуск не нужен.

Шаг 2. Откройте список пользователей

На той же странице перейдите по ссылке «Пользователи». Слева появится дерево групп с корнем «Все пользователи», справа — список людей выделенной группы.

Шаг 3. Создайте группу первого уровня

1. Выделите в дереве «Все пользователи».
2. Нажмите «Создать» над деревом групп (не над списком пользователей справа — там создаётся пользователь).
3. Введите наименование, например «Бухгалтерия».
4. Нажмите «Записать и закрыть».

Шаг 4. Создайте подгруппу внутри неё

1. Выделите в дереве только что созданную группу «Бухгалтерия».
2. Снова нажмите «Создать» над деревом.
3. В карточке новой группы проверьте поле, в котором указана вышестоящая группа. Там должна стоять «Бухгалтерия». Если стоит другая, выберите нужную.
4. Введите наименование, например «Бухгалтерия — Москва», и запишите.

Подгруппа появится в дереве на уровень ниже. Глубина вложенности не ограничена, но больше трёх уровней на практике читать тяжело.

Шаг 5. Добавьте в подгруппу пользователей

Есть два способа:

• 🖱️ Перетащите пользователя мышью из правого списка на подгруппу в дереве. Пользователь будет добавлен в группу.
• 📝 Откройте карточку группы и добавьте людей в табличную часть состава через подбор.

Один пользователь может состоять сразу в нескольких группах. Например, главбух может быть и в «Бухгалтерии — Москва», и в «Руководстве».

Наследование прав: как подгруппа получает доступ

Сама подгруппа пользователей прав не даёт. Доступ появляется, когда группа пользователей включена в участники группы доступа.

Как работает вложенность при выдаче прав

Пользователь подгруппы считается участником всех её родителей. Отсюда правило:

• ⬇️ Если в группу доступа добавлена «Бухгалтерия», права получат все, кто в «Бухгалтерии — Москва» и «Бухгалтерии — Казань».
• ⬆️ Если добавлена только «Бухгалтерия — Москва», казанские сотрудники этих прав не получат.
• ➕ Права из разных групп доступа складываются. Если человек участвует в двух группах доступа, у него объединение ролей обеих.

Запретить право, выданное родительской группе, через подгруппу нельзя. В типовых конфигурациях права только разрешающие. Если подгруппе нужно меньше прав, чем родителю, родитель не должен быть участником широкой группы доступа.

Как дать подгруппе свои права

1. Откройте Настройки пользователей и прав → Группы доступа.
2. Создайте группу доступа, например «Бухгалтер — Москва».
3. Выберите профиль: готовый поставляемый («Бухгалтер», «Кассир» и т. п.) или свой.
4. На закладке участников добавьте подгруппу «Бухгалтерия — Москва» целиком.
5. Если в базе включено ограничение доступа на уровне записей, укажите на закладке ограничений, какие организации или склады доступны группе.
6. Запишите группу доступа.

Мини-кейс: филиал с урезанными правами

Задача: московские бухгалтеры работают со всеми организациями группы, казанские — только со своей. Решение без лишних групп доступа:

1. Группа «Бухгалтерия» в участники групп доступа не входит. Она нужна только для структуры.
2. Группа доступа «Бухгалтер — все организации» с профилем «Бухгалтер»: участник — подгруппа «Бухгалтерия — Москва».
3. Группа доступа «Бухгалтер — Казань» с тем же профилем: участник — подгруппа «Бухгалтерия — Казань», в ограничениях указана одна организация.

Новый сотрудник казанского офиса получает правильные права, как только его добавили в подгруппу. Отдельно трогать группы доступа не нужно.

Папки для групп доступа

Группы доступа тоже раскладываются по папкам. В списке групп доступа есть команда создания папки (группы). Папка служит только для порядка: например, «Москва» и «Казань» с набором групп доступа в каждой. Права от папки к вложенным группам доступа не переходят. Каждая группа доступа задаёт их сама.

Так же папками упорядочивают профили групп доступа. Поставляемые профили лежат в корне, свои удобно держать в отдельной папке «Профили компании», чтобы не путать их при обновлении конфигурации.

Типичные ошибки при построении структуры доступа

Ошибки, на которые чаще всего натыкаются при работе с подгруппами:

• ❌ Подгруппу создали, права не появились. Подгруппа пользователей — не группа доступа. Пока её или её родителя не добавили в участники группы доступа, прав нет.
• ❌ Пользователь видит больше, чем нужно. Он состоит ещё в какой-то группе, которая участвует в широкой группе доступа. Чаще всего виновата родительская группа или служебная «Все пользователи», которую кто-то включил в участники.
• ❌ Подгруппу создали в списке пользователей, а не в дереве. Нажали «Создать» над правым списком и получили карточку нового пользователя. Закройте её без записи.
• ❌ Свой профиль собрали, меняя поставляемый. При обновлении конфигурации поставляемые профили обновляются, и ручные правки в них могут потеряться. Свой профиль делайте копированием.
• ❌ Одна группа доступа на каждого человека. Через год это сотни групп, в которых никто не разберётся. Давайте права подгруппам, а людей просто переносите между подгруппами.

Производительность и безопасность при сложной иерархии

Что влияет на скорость

Сама вложенность групп пользователей на скорость почти не влияет. Тормозить начинает ограничение доступа на уровне записей, когда групп доступа много и у каждой свои ограничения.

После изменения состава групп программа пересчитывает права в фоновом задании обновления доступа. В крупной базе с включённым ограничением по записям это может занять от минут до часов. Пока пересчёт не закончен, пользователь может видеть старый набор данных.

Практичные приёмы:

• 📉 Держите число групп доступа разумным: группа на роль и подразделение, а не на человека.
• 🗂️ Ограничения по организациям и складам задавайте на уровне группы доступа, а не дублируйте их в десяти похожих группах.
• 🕐 Массовые перестановки пользователей делайте вечером, чтобы обновление доступа прошло без нагрузки от работающих сотрудников.

Что важно для безопасности

• 🔒 Не добавляйте «Все пользователи» в группы доступа с широкими правами. Любой новый сотрудник сразу их получит.
• 🔒 Профиль «Администратор» давайте конкретным людям, а не подгруппам. Так проще отследить, у кого полные права.
• 🔒 Уволенных не удаляйте, а снимайте флажок входа в программу и убирайте из групп. Удаление пользователя, на которого ссылаются документы, ломает историю.
• 🔒 Раз в квартал просматривайте участников групп доступа с правами на изменение данных прошлых периодов и на администрирование.

Как найти причину, если в подгруппе не работает доступ

Начинайте с отчёта, а не с догадок. В карточке пользователя есть команда, открывающая отчёт о его правах доступа. Отчёт показывает, из каких групп доступа пришло каждое право. Если право пришло неожиданно, сразу видно, через какую группу.

Порядок проверки:

1. Откройте карточку пользователя и посмотрите, в каких группах пользователей он состоит. Проверьте и родительские группы.
2. Откройте отчёт о правах доступа этого пользователя.
3. Найдите группу доступа, которая даёт лишнее право или в которой нет нужного.
4. Проверьте участников этой группы доступа и ограничения на закладке ограничений.
5. Если всё настроено верно, а пользователь видит старое, попросите его перезайти в программу. Права применяются при новом сеансе.

Частые вопросы