Кто что видит в базе: учётные записи, профили и группы доступа в 1С 8.3
Содержание
Пользователей в типовых конфигурациях 1С 8.3 создают не в Конфигураторе, а в пользовательском режиме: Администрирование → Настройки пользователей и прав → Пользователи. Права там же назначают через группы доступа: пользователя включают в группу, а группа опирается на профиль — готовый набор ролей «Бухгалтер», «Главный бухгалтер», «Администратор» и другие.
Частое заблуждение: «права настраиваются галочками по ролям в карточке пользователя». Так было в старых конфигурациях на 8.2. В БП 3.0, ЗУП 3.1, УТ 11 и других решениях на Библиотеке стандартных подсистем роли напрямую не раздают. Схема одна для всех этих конфигураций: пользователь → группа доступа → профиль → роли. Поняв её, вы настроите права в любой современной типовой базе.
С чего начать: раздел администрирования и первая учётная запись
Пока в базе нет ни одного пользователя, 1С пускает любого без пароля и с полными правами. Поэтому первым всегда создают администратора, а уже потом — рядовых сотрудников.
Что проверить до старта:
- 🔑 вы сами входите под пользователем с профилем «Администратор» — иначе раздел настроек будет недоступен;
- 📋 у вас есть список сотрудников с их обязанностями: кто проводит документы, кто только смотрит отчёты, кто работает с одной организацией;
- 🏢 решено, нужно ли делить доступ по организациям (об этом ниже) — от этого зависит, сколько групп доступа понадобится.
Как добавить нового пользователя
- Откройте
Администрирование → Настройки пользователей и прав → Пользователи. - Нажмите
Создать. - Заполните Полное имя — так сотрудник будет виден в документах в поле «Ответственный».
- Проверьте Имя для входа — его 1С подставляет из ФИО, можно сократить до фамилии или логина.
- Убедитесь, что включён флажок «Вход в программу разрешён».
- Выберите способ входа (таблица ниже) и задайте пароль кнопкой установки пароля.
- Запишите карточку.
- Нажмите в карточке
Права доступаи включите пользователя в нужные группы доступа.
В БП 3.0 и ЗУП 3.1 в карточке есть поле Физическое лицо. Заполните его, если сотрудник будет подписывать документы или отчёты: из физлица берутся данные для подписи.
| Способ аутентификации | Как входит сотрудник | Когда выбирать |
|---|---|---|
| 1С:Предприятия | имя из списка + пароль | небольшой офис, нет домена |
| Операционной системы | автоматически под учёткой Windows (ДОМЕН\логин) | есть Active Directory, хочется входа без пароля |
| OpenID / по токену | через внешний сервис | веб-публикации и облако, настраивает администратор сервера |
Флажок «Показывать в списке выбора» стоит снимать для служебных учёток (обмены, регламентные задания): так их не выберут случайно при входе.
Создавать пользователей в Конфигураторе (Администрирование → Пользователи) в типовой базе стоит только в аварийной ситуации. Такой пользователь не попадёт в справочник «Пользователи» и группы доступа, и права у него будут «мимо» механизма, который выдаёт и проверяет конфигурация.
Профили групп доступа: готовые наборы ролей
Профиль отвечает на вопрос «что может делать сотрудник». Внутри — список ролей: чтение справочников, проведение кассовых документов, формирование регламентированной отчётности и так далее.
Список открывается здесь: Администрирование → Настройки пользователей и прав → Профили групп доступа.
Поставляемые профили (с пиктограммой предопределённого элемента) менять нельзя: их обновляет сама конфигурация при переходе на новый релиз. Если нужен «Бухгалтер, но без права удалять документы», делают так:
- Выделите поставляемый профиль, ближайший по смыслу.
- Скопируйте его — получится профиль-копия, доступный для правки.
- Переименуйте копию понятно: «Бухгалтер без кассы», «Только просмотр отчётов».
- На вкладке ролей снимите или добавьте нужные роли.
- Запишите профиль.
💡 Не создавайте профиль с нуля, собирая роли по одной. Легко забыть базовые роли, без которых программа вообще не откроет рабочий стол. Копия поставляемого профиля уже содержит этот минимум.
У копии есть минус: при обновлении релиза поставляемый профиль получит новые роли, а ваша копия — нет. После крупных обновлений сравнивайте свои профили с исходными, особенно если пользователи начали жаловаться на нехватку прав в новых документах.
Группы доступа — где профиль встречается с людьми
Группа доступа — это «профиль + список участников + ограничения». Один профиль может стоять в нескольких группах: например, профиль «Бухгалтер» в группе «Бухгалтеры ООО Альфа» и в группе «Бухгалтеры ООО Бета».
Открываются группы в том же разделе: Администрирование → Настройки пользователей и прав → Группы доступа. В карточке группы укажите профиль и на вкладке участников добавьте пользователей.
Права складываются. Если сотрудник состоит в двух группах, он получает объединение ролей обоих профилей. Отнять право одной группой, когда его выдала другая, нельзя.
Тонкая настройка прав на объекты
Иногда нужно не «бухгалтер целиком», а точечное ограничение: запретить менять справочник номенклатуры, закрыть доступ к зарплатным документам, разрешить только просмотр. Для этого и служит связка «копия профиля + своя группа».
Как действовать на примере «бухгалтер, который не видит зарплату»:
- Скопируйте профиль «Бухгалтер».
- В списке ролей копии найдите поиском по слову «зарплат» роли, связанные с расчётом и выплатой зарплаты, и снимите их.
- Создайте группу доступа с этой копией и перенесите туда сотрудника из стандартной группы.
- Попросите сотрудника перезапустить 1С: новые права действуют только с новой сессии.
- Проверьте результат отчётом о правах (ниже).
Чего ролью не добиться:
- 🗓 запретить правку закрытого периода — для этого есть «Даты запрета изменения» в разделе администрирования, а не профиль;
- 🏢 показать сотруднику только одну организацию — это ограничение на уровне записей;
- 📄 спрятать отдельное поле в документе — штатно типовые конфигурации так не умеют, нужна доработка через расширение.
Как проверить, что получилось
В карточке пользователя есть отчёт о правах доступа: он показывает, к каким объектам у сотрудника есть чтение, изменение и интерактивное добавление, и через какие группы это право пришло. Отчёт удобен, когда «откуда-то» у человека лишнее право: видно, какая группа его дала.
Второй способ — честный: войдите под пользователем сами. Для этого временно задайте ему известный пароль, проверьте нужные документы и сразу попросите сотрудника сменить пароль при следующем входе.
Ограничение доступа на уровне записей (RLS)
RLS (Record Level Security) — это когда у двух бухгалтеров одинаковые роли, но каждый видит документы только своей организации. Роль отвечает «можно ли работать с документом вообще», RLS — «с какими именно записями».
Включается одним флажком: Администрирование → Настройки пользователей и прав → Ограничивать доступ на уровне записей.
После включения в карточке группы доступа появляется вкладка с видами доступа. Основной вид во всех учётных конфигурациях — Организации. Что можно выбрать:
| Режим | Что видит участник группы | Пример |
|---|---|---|
| Все разрешены, кроме указанных | все организации, кроме перечисленных | закрыть одну «чужую» фирму холдинга |
| Все запрещены, кроме указанных | только перечисленные организации | бухгалтер ведёт одно ИП |
Настройка ограничения на примере двух фирм:
- Включите флажок ограничения на уровне записей.
- Создайте группу «Бухгалтеры — Альфа» с профилем «Бухгалтер».
- На вкладке ограничений для вида «Организации» выберите режим «Все запрещены, кроме указанных» и добавьте ООО «Альфа».
- Повторите для ООО «Бета» отдельной группой.
- Перезапустите сеансы пользователей.
RLS заметно нагружает базу. Каждый запрос к данным получает дополнительное условие. На файловой базе с десятками тысяч документов списки и отчёты могут открываться медленнее. Включайте ограничение, только если оно действительно нужно, и проверьте скорость на копии базы.
В ЗУП 3.1 кроме организаций бывает нужно делить доступ по подразделениям или группам сотрудников — набор видов доступа там шире. Смотрите, какие виды появились на вкладке ограничений в карточке группы именно вашей базы.
💡 Если ограничение включили, а сотрудник по-прежнему видит всё, проверьте, не состоит ли он ещё в одной группе без ограничений. Ограничения разных групп тоже складываются по принципу «разрешено хоть где-то — значит разрешено».
Безопасность учётных записей и аудит действий
Права — половина защиты. Вторая половина — пароли и понимание, кто и что менял.
Политика паролей
Требования к паролям настраивают в Администрирование → Настройки пользователей и прав → Настройки входа. Там задают:
- 🔢 минимальную длину и сложность пароля;
- ⏳ срок действия, после которого 1С попросит сменить пароль;
- 🚫 запрет входа для тех, кто долго не заходил в программу.
Для новых сотрудников задавайте временный пароль и отмечайте, что его нужно сменить при первом входе. Так пароль будет знать только владелец учётной записи.
Журнал регистрации: кто что изменил
Журнал регистрации пишет вход и выход пользователей, запись и удаление объектов, ошибки. В типовой конфигурации он открывается из раздела Администрирование → Обслуживание, в группе отчётов администратора.
Как найти, кто удалил или исправил документ:
- Откройте журнал регистрации.
- В отборе укажите период и событие «Данные. Изменение» или «Данные. Удаление».
- При необходимости отберите по метаданным — например, только «Поступление на расчётный счёт».
- В строке события смотрите колонки «Пользователь», «Компьютер» и представление данных.
Если в журнале пусто за нужный день, проверьте уровень логирования. Он задаётся в Конфигураторе: Администрирование → Настройка журнала регистрации. Уровень «Не регистрировать» отключает журнал полностью.
Ещё одна точка контроля — список активных пользователей в том же разделе «Обслуживание». Там видно, кто сейчас работает в базе, с какого компьютера и сколько сеансов открыто.
Увольнение сотрудника
Пользователя, который уже вёл документы, не удаляют: его имя стоит в поле «Ответственный» и в журнале. Порядок такой:
Ошибки, из-за которых права работают не так
Большинство обращений «не хватает прав» или «видит лишнее» сводится к нескольким сценариям.
Ещё три ошибки, которые не дают сообщений, но потом дорого обходятся:
- 👥 одна учётка на троих. В журнале регистрации невозможно понять, кто провёл документ. Каждому сотруднику — свой пользователь;
- 🛡 «дадим админа, чтобы не дёргал». Профиль «Администратор» открывает обновление базы, удаление помеченных объектов и смену чужих паролей. Его держат одному-двум людям;
- 🧩 один администратор в базе. Если он забыл пароль или уволился, восстановление доступа превращается в работу через Конфигуратор. Держите вторую учётную запись с полными правами, пароль от которой хранится у руководителя.