Новый сотрудник в базе 1С: учётная запись, пароль и ровно те права, что нужны
Содержание
В типовых конфигурациях 8.3 (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) пользователя создают в режиме Предприятия: Администрирование → Настройки пользователей и прав → Пользователи → Создать. Там задают имя для входа, пароль и группы доступа. Конфигуратор (Администрирование → Пользователи) нужен в двух случаях: база пустая и в ней нет ни одного администратора или конфигурация самописная, без Библиотеки стандартных подсистем (БСП).
Разница между способами не косметическая. Типовая конфигурация ведёт свой справочник «Пользователи» и сама раздаёт роли через профили. Если создать пользователя только в Конфигураторе и вручную поставить ему роли, программа не увидит его в своём списке, а права при следующей записи групп доступа могут перезаписаться.
Что проверить до создания пользователя
Права на создание пользователей есть только у администратора. В режиме Предприятия это пользователь с профилем «Администратор», в Конфигураторе — пользователь с ролью «Полные права» и флагом административных прав.
Перед работой выясните четыре вещи:
- 👤 Кто вы в базе. Если раздела
Настройки пользователей и правв меню «Администрирование» не видно, у вас нет прав администратора. Создать пользователя из-под такой учётной записи нельзя. - 🗂 Пустой ли список пользователей. Если в базе нет ни одного пользователя, 1С пускает любого без пароля и с полными правами. Первым всегда создают администратора.
- 🔑 Как сотрудник будет входить. По паролю 1С, через учётную запись Windows или обоими способами. От этого зависят флажки в карточке.
- 🏢 Какие участки ему нужны. Бухгалтер по зарплате, кассир, менеджер по продажам, руководитель «только посмотреть». Под это подбираются группы доступа.
Платформа не даст сохранить список пользователей, в котором нет ни одного с административными правами. Поэтому в пустой базе начинайте с учётной записи «Администратор» и сразу задайте ей пароль: как только появится первый пользователь, вход без пароля закроется для всех.
Монопольный режим для создания пользователей не нужен. Остальные сотрудники могут работать в базе в это время.
Способы создать пользователя в 1С
Сначала короткое сравнение, затем шаги по каждому способу.
| Способ | Когда подходит | Что важно |
|---|---|---|
| Режим Предприятия (справочник «Пользователи») | Любая типовая конфигурация на БСП | Основной способ, права через группы доступа |
| Конфигуратор | Пустая база, первый администратор, нетиповая конфигурация | Роли ставятся вручную, справочник программы не заполняется |
| Копирование существующего | Новый сотрудник на ту же должность | Быстро, но проверьте, что не скопировали лишнее |
| Программно (код, внешняя обработка) | Десятки пользователей сразу, переезд базы | Нужен разработчик и тест на копии |
В режиме Предприятия
- Откройте
Администрирование → Настройки пользователей и прав. - Перейдите по ссылке «Пользователи» и нажмите «Создать».
- В поле «Полное имя» укажите ФИО: так сотрудник будет виден в документах в поле «Ответственный».
- Если в базе ведётся справочник «Физические лица», выберите физлицо. Для ЗУП это особенно нужно: тогда пользователь видит свои данные и может быть связан с сотрудником.
- Поставьте флажок «Вход в программу разрешён».
- В поле «Имя для входа» задайте короткий логин латиницей или кириллицей, например
ivanova. - Нажмите «Установить пароль » и задайте временный пароль. Отметьте, что пользователь должен сменить его при первом входе, если такая настройка есть в вашей версии.
- Нажмите «Записать», затем откройте ссылку «Права доступа » в карточке и включите нужные группы.
- Нажмите «Записать и закрыть».
Флажок «Показывать в списке выбора» решает, будет ли имя пользователя в выпадающем списке окна входа. В офисе на 5 человек это удобно. В базе на 50 пользователей или в облаке список лучше скрыть: тогда логин вводят вручную, и посторонний не видит, какие учётные записи есть.
В Конфигураторе
- Запустите базу в режиме «Конфигуратор».
- Откройте
Администрирование → Пользователии нажмите кнопку добавления. - На вкладке «Основные» заполните «Имя» и «Полное имя», задайте пароль, отметьте «Аутентификация 1С:Предприятия».
- На вкладке «Прочие» отметьте роли. Для первого администратора типовой конфигурации нужны «Полные права» и «Администратор системы».
- Там же выберите основной интерфейс и язык, если их несколько.
- Нажмите «ОК».
После этого в типовой конфигурации зайдите в режиме Предприятия под новым администратором. Программа сопоставит учётную запись со своим справочником. Остальных пользователей заводите уже оттуда.
Копированием
Откройте список пользователей, выделите сотрудника с такими же обязанностями и нажмите «Скопировать» (или F9). Программа создаст новую карточку и перенесёт членство в группах доступа. Имя для входа, пароль и физическое лицо задайте заново.
Копируйте только «чистые» учётные записи. Если у образца со временем накопились лишние группы («дали на неделю, забыли убрать»), новый сотрудник получит их тоже.
Роли, профили и группы доступа: как не выдать лишнего
В БСП права не ставят галочками ролей у каждого пользователя. Цепочка такая:
- 📦 Роль — набор прав на объекты конфигурации. Её создаёт разработчик, в типовой базе их сотни.
- 🧩 Профиль группы доступа — набор ролей под должность. В Бухгалтерии 3.0 есть готовые профили, например «Бухгалтер», «Главный бухгалтер», «Администратор», «Только просмотр».
- 👥 Группа доступа — профиль плюс список участников. Можно ограничить её организацией.
- 🙋 Пользователь — входит в одну или несколько групп и получает сумму их прав.
Профили и группы лежат там же: Администрирование → Настройки пользователей и прав → Профили групп доступа и Группы доступа.
Принцип минимальных прав
Права в 1С складываются, а не вычитаются. Если сотрудник состоит в группах «Кассир» и «Главный бухгалтер», он получает всё, что даёт главный бухгалтер. Запретить что-то вторым профилем нельзя.
Отсюда практические правила:
- Начинайте с одного профиля, ближайшего к должности.
- Не включайте пользователя в «Администраторы» «на время настройки». Такие права редко забирают обратно.
- Если готовый профиль даёт слишком много, скопируйте его и снимите лишние роли в копии. Поставляемые профили не правьте: при обновлении конфигурации их состав восстановится.
- Для аудитора или руководителя есть профиль «Только просмотр» (если его нет в вашей конфигурации, соберите копию с ролями на чтение).
Ограничение по организациям
Если в базе несколько юрлиц, а бухгалтер ведёт одно, включите Администрирование → Настройки пользователей и прав → Ограничивать доступ на уровне записей. После этого в группе доступа появится закладка с ограничениями, где выбирают разрешённые организации.
Ограничение на уровне записей замедляет работу на больших базах. Включайте его, когда разграничение реально нужно, а не «на всякий случай».
Вход через Windows: привязка к Active Directory
Аутентификация операционной системы избавляет сотрудника от второго пароля. 1С проверяет, под какой доменной учётной записью он вошёл в Windows, и пускает без окна логина.
Как настроить в режиме Предприятия:
- Откройте карточку пользователя.
- Включите вход через операционную систему (флажок про аутентификацию ОС в разделе входа).
- В поле пользователя ОС выберите или введите доменную учётную запись в формате
\\DOMAIN\ivanova. - Запишите карточку.
В Конфигураторе то же делается на вкладке «Основные»: флажок «Аутентификация операционной системы» и поле «Пользователь ОС».
Нюансы, на которых спотыкаются:
- 🔤 Формат имени. Два обратных слэша, затем NetBIOS-имя домена (короткое, как
CORP, а неcorp.local), затем логин. Опечатка в домене даёт вход с окном пароля вместо автоматического. - 🖥 Клиент-серверная база . Служба сервера 1С должна работать от учётной записи, которая может проверять пользователей домена. На веб-клиенте через IIS или Apache нужна отдельная настройка Windows-аутентификации на веб-сервере.
- 🔒 Пароль 1С можно оставить. Если включены оба способа, сотрудник войдёт и с чужого компьютера, введя логин и пароль 1С.
Чтобы на время войти под другим пользователем
при включённой аутентификации ОС, запускайте 1С с параметром /WA-: он отключает автоматический вход по Windows.
"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /WA-
Срок входа, пароли и другие ограничения доступа
В карточке пользователя типовой конфигурации есть настройки, которые часто пропускают.
Срок действия входа. В разделе входа можно указать, до какой даты пользователю разрешено заходить. Удобно для временного сотрудника, аудитора, подрядчика на внедрении: доступ закроется сам, даже если о нём забудут.
Блокировка неактивных. В Настройках входа (ссылка в разделе Настройки пользователей и прав) можно задать, через сколько дней без входа учётная запись перестаёт пускать. Например, 45 дней: уволенный сотрудник, которого не отключили, перестанет быть дырой.
Политика паролей. Там же задают минимальную длину, требование сложности и срок смены пароля. Разумный минимум для бухгалтерской базы — 8 символов и смена раз в 90 дней.
Чего в карточке пользователя нет:
- 🌐 Ограничения по IP-адресу. Средствами карточки пользователя доступ к базе по адресу не режут. Это делают на уровне сети: брандмауэр на сервере 1С (порты 1540, 1541 и диапазон рабочих процессов), правила для терминального сервера, ограничение по адресам на веб-сервере публикации.
- 🕘 Расписания «с 9 до 18». Готового флажка нет. Задачу решают доработкой (проверка при входе) или правилами терминального сервера.
Удалять пользователя после увольнения не нужно и вредно: его имя стоит в документах как ответственный. Снимите флажок «Вход в программу разрешён» и, при наличии, отметьте «Недействителен». Учётная запись перестанет пускать, а история останется.
Массовое создание пользователей: обработки и код
Когда нужно завести 30 человек сразу (открытие филиала, переезд на новую базу), руками долго. Варианты:
- Копирование + правка. До 10–15 человек быстрее всего скопировать эталонную карточку и поменять ФИО и логин.
- Обработка от разработчика. Читает список из Excel и создаёт карточки через справочник «Пользователи», чтобы БСП правильно назначила группы доступа.
- Код платформы. Создаёт учётные записи информационной базы напрямую. Подходит для нетиповых конфигураций.
Минимальный пример на встроенном языке для нетиповой базы без БСП:
НовыйПользователь = ПользователиИнформационнойБазы.СоздатьПользователя();
НовыйПользователь.Имя = "ivanova";
НовыйПользователь.ПолноеИмя = "Иванова Анна Сергеевна";
НовыйПользователь.АутентификацияСтандартная = Истина;
НовыйПользователь.Пароль = "Vremenny-2468";
НовыйПользователь.ПоказыватьВСпискеВыбора = Ложь;
НовыйПользователь.АутентификацияОС = Истина;
НовыйПользователь.ПользовательОС = "\\CORP\ivanova";
НовыйПользователь.Роли.Добавить(Метаданные.Роли.Бухгалтер);
НовыйПользователь.Записать();
Имя роли Бухгалтер здесь условное: подставьте роль, которая есть в вашей конфигурации. Код выполняется с правами администратора.
В типовой конфигурации так делать не стоит. Учётная запись, созданная мимо справочника «Пользователи», не попадёт в группы доступа. Программа покажет её как пользователя информационной базы, не связанного со справочником, и предложит сопоставить. Для типовых баз пишите обработку, которая создаёт элемент справочника.
Пароли из такого скрипта раздавайте как временные и требуйте смены при первом входе. Файл со списком логинов и паролей после работы удалите.
Ошибки при заведении пользователей
Ещё одна частая история: администратор ставит себе флажок «Недействителен» или снимает разрешение на вход, пробуя настройки на своей карточке. Если других администраторов нет, вернуть доступ можно только через Конфигуратор, а при пароле на Конфигураторе — через того, кто его знает. Держите в базе вторую учётную запись с правами администратора и паролем в сейфе.