Права пользователей в 1С 8.3: от учётной записи до ограничений по организациям
Содержание
Чтобы создать права доступа
в типовой 1С 8.3 (БП 3.0, ЗУП 3.1, УТ 11), откройте Администрирование → Настройки пользователей и прав. Там вы собираете профиль групп доступа из ролей, создаёте группу доступа на его основе и включаете в неё пользователя. Роли вручную в Конфигураторе в типовых базах не назначают: программа перезапишет их при следующем сохранении группы.
Способов два, и выбор зависит от конфигурации. Профили и группы доступа — для всех типовых решений на Библиотеке стандартных подсистем (БСП). Прямое назначение ролей в Конфигураторе — для самописных баз, где БСП нет. Ниже — оба варианта и то, как проверить результат.
Перед настройкой прав доступа: что подготовить
Права настраивает пользователь с профилем «Администратор». Если в базе ещё нет ни одного пользователя, программа пускает всех без пароля с полными правами. Первого пользователя поэтому создают сразу администратором.
Где находятся настройки в разных конфигурациях:
| Конфигурация | Путь к настройкам |
|---|---|
| Бухгалтерия предприятия 3.0 | Администрирование → Настройки пользователей и прав |
| ЗУП 3.1 | Администрирование → Настройки пользователей и прав |
| Управление торговлей 11 | НСИ и администрирование → Настройки пользователей и прав |
Перед началом проверьте две галочки в этой панели:
- ✅ Группы пользователей — нужна, если права будут выдаваться отделам, а не людям по одному;
- ✅ Ограничивать доступ на уровне записей — нужна, если бухгалтер должен видеть только свою организацию или кладовщик только свой склад.
Включение ограничения на уровне записей запускает пересчёт служебных данных. В большой базе это заметно нагружает сервер. Делайте это вне рабочего времени.
Ещё одна подготовительная вещь — список людей и их обязанностей. Составьте его до входа в программу: «Иванова — счета и банк по ООО Альфа, без зарплаты». Права проще собрать по такой таблице, чем подбирать роли на ходу.
Как создать пользователя и настроить вход
Пользователь — это учётная запись, к которой потом привязываются права. Сама по себе она ничего не разрешает.
- Откройте
Настройки пользователей и прав → Пользователи. - Нажмите Создать.
- Заполните полное имя — так человек будет отображаться в документах и журналах.
- Поставьте флажок Вход в программу разрешён. Без него запись существует, но войти под ней нельзя.
- Задайте имя для входа и способ аутентификации.
- Запишите карточку.
Способов входа три, их можно сочетать:
| Способ | Как работает | Когда выбирать |
|---|---|---|
| Аутентификация 1С:Предприятия | Имя и пароль, заданные в самой 1С | Небольшой офис, нет домена |
| Аутентификация операционной системы | Вход под учётной записью Windows вида DOMAIN\ivanova без пароля | Есть Active Directory |
| OpenID | Вход через внешний сервер подтверждения | Публикация базы на веб-сервере |
💡 Для пароля 1С поставьте флажок требования сменить пароль при первом входе. Тогда администратор не знает итоговый пароль сотрудника, и спорных ситуаций меньше.
Флажок Показывать в списке выбора уберите, если не хотите, чтобы в окне входа выпадал список всех сотрудников. Пользователю придётся вводить имя вручную.
Уволенного сотрудника не удаляйте. Снимите флажок входа или отметьте запись как недействительную. Удаление ломает ссылки на автора в документах и истории изменений.
Из чего складываются права доступа в 1С: роли, профили, группы
Платформа 1С знает только роли. Роль — это набор разрешений на объекты: читать справочник, проводить документ, открывать отчёт. В Конфигураторе роли лежат в ветке Общие → Роли.
В типовых конфигурациях ролей сотни, и назначать их по одной неудобно. Поэтому БСП добавляет два уровня поверх ролей:
- 🧩 Профиль групп доступа — шаблон: какие роли входят и какие виды ограничений действуют (организации, склады, физлица);
- 👥 Группа доступа — профиль плюс конкретный состав участников и конкретные значения ограничений («только ООО Альфа»).
Цепочка выглядит так: роли → профиль → группа доступа → пользователь. У одного пользователя может быть несколько групп. Права складываются: если одна группа разрешает просмотр зарплаты, а другая нет, просмотр будет разрешён.
Запрета, который перекрывает разрешение, в ролях 1С нет. Права только добавляются. Если человеку что-то открыто хотя бы через одну группу, убрать доступ другой группой нельзя.
В конфигурации поставляются готовые профили. В БП это, например, «Администратор», «Главный бухгалтер», «Бухгалтер». Поставляемый профиль изменить нельзя — его копируют и правят копию.
Как создать свой профиль и группу доступа
Типичный случай: бухгалтеру нужны права «Бухгалтера», но без кадровых данных и с возможностью менять настройки обмена с банком.
Шаг 1. Создайте профиль на основе готового
- Откройте
Настройки пользователей и прав → Профили групп доступа. - Выделите профиль, близкий к нужному, и нажмите Скопировать.
- Дайте копии понятное имя: «Бухгалтер без кадров».
- На вкладке Разрешённые действия (роли) снимите лишние роли и отметьте недостающие. Используйте поиск по списку: роли называются по смыслу («Чтение…», «Добавление и изменение…»).
- На вкладке Ограничения доступа выберите для каждого вида, как он настраивается: все разрешены, все запрещены или задаётся в группах доступа.
- Запишите профиль.
Не создавайте профиль с нуля, если есть похожий поставляемый. У каждого документа есть служебные роли на связанные регистры и справочники. Пропустите одну — получите ошибку при проведении.
Шаг 2. Создайте группу доступа
- Откройте
Группы доступав той же панели. - Нажмите Создать, выберите профиль «Бухгалтер без кадров».
- На вкладке Участники добавьте пользователей или группы пользователей.
- Если в профиле есть виды ограничений «настраивается в группах», задайте значения на соответствующей вкладке.
- Запишите группу.
Шаг 3. Проверьте под пользователем
Права применяются при новом входе. Пользователь, который уже работает в базе, должен закрыть программу и зайти снова.
Откройте карточку пользователя и перейдите по ссылке Права доступа. Там видно, в каких группах он состоит. Добавлять и убирать группы можно прямо отсюда.
Если база самописная, без БСП
Профилей и групп в такой базе нет. Права назначаются в Конфигураторе:
- Откройте базу в режиме Конфигуратора.
- Меню
Администрирование → Пользователи. - Откройте пользователя, на вкладке Прочие отметьте нужные роли.
Если нужной роли нет, её создают в ветке Общие → Роли: на каждый объект отмечают права чтения, добавления, изменения, удаления, проведения. Этот путь требует доработки конфигурации. В типовой базе свою роль лучше добавить расширением, а не снимать конфигурацию с поддержки.
Ограничения на уровне записей и исключения
Роль отвечает на вопрос «можно ли работать с документами реализации». Ограничение на уровне записей (RLS) — на вопрос «с какими именно».
Типовые сценарии:
- 🏢 бухгалтер видит документы только своей организации из трёх;
- 📦 кладовщик работает только со складом №2;
- 🔒 рядовой кадровик не видит карточки руководства.
Как настроить на примере организаций:
- В панели настроек включите Ограничивать доступ на уровне записей.
- В профиле на вкладке ограничений для вида «Организации» выберите вариант, при котором значения задаются в группе доступа.
- В группе доступа на вкладке ограничений отметьте «Все запрещены» и добавьте разрешённые: «ООО Альфа».
- Запишите и попросите пользователя перезайти.
Исключения делаются тем же механизмом с обратной логикой. Нужно «все организации, кроме ООО Бета» — выберите «Все разрешены» и добавьте ООО Бета в список исключений.
| Задача | Вариант в группе | Что добавить в список |
|---|---|---|
| Доступ к 1 организации из 10 | Все запрещены | Разрешённую организацию |
| Доступ ко всем, кроме одной | Все разрешены | Запрещённую организацию |
| Полный доступ без ограничений | Все разрешены | Ничего |
Отдельный инструмент — даты запрета изменения. Он не скрывает данные, а запрещает править документы закрытого периода. Его настраивают ссылкой «Даты запрета изменения» в разделе администрирования: общую дату для всех и персональные даты для отдельных людей, например главбуху — без запрета.
Ограничения на уровне записей замедляют списки и отчёты. Не включайте вид ограничения «на всякий случай», если в базе одна организация и один склад.
Как выдать права сразу нескольким пользователям
Когда сотрудников больше десяти, настройка по одному превращается в рутину. Помогают три приёма.
Группы пользователей. Включите одноимённую галочку и создайте группы по отделам: «Бухгалтерия», «Склад», «Продажи». В группу доступа добавляйте не людей, а группу пользователей. Новый кладовщик получает права в момент, когда его добавили в группу «Склад».
Одна группа доступа на должность. Не плодите группы под каждого человека. «Бухгалтер ООО Альфа» и «Бухгалтер ООО Бета» — две группы на одном профиле с разными ограничениями. Профиль правится один раз, изменения расходятся по обеим группам.
Копирование пользователя. Скопируйте карточку сотрудника с такими же обязанностями. Программа предложит перенести права, а через обработку настроек пользователей можно скопировать и персональные настройки: состав рабочего стола, отборы в списках, варианты отчётов.
Диагностика: почему не хватает прав доступа
Самая частая жалоба — сообщение Нарушение прав доступа! или Недостаточно прав для просмотра. Платформа не пишет, какой именно роли не хватает, поэтому причину ищут по шагам.
Первое, что стоит сделать — отчёт по правам. В карточке пользователя откройте Права доступа и сформируйте отчёт: он показывает, какие таблицы пользователю доступны на чтение и изменение и через какую группу пришло право. В актуальных версиях БСП есть также отчёт «Анализ прав доступа» в той же панели настроек.
Если отчёт показывает, что право есть, а ошибка остаётся, проверьте даты запрета изменения. Попытка записать документ закрытого периода тоже выдаёт отказ, хотя к ролям отношения не имеет.
Сохраните профиль, который работает, как эталон. При следующем обновлении конфигурации в поставляемые профили могут добавиться новые роли, а в копии их не будет. После крупного обновления сравните свой профиль с исходным.