Права пользователей 1С 8.3: профили, группы доступа и ограничения по записям
Содержание
Чтобы установить права в 1С 8.3 (Бухгалтерия 3.0, ЗУП 3.1, УТ 11 и другие типовые конфигурации), откройте Администрирование → Настройки пользователей и прав → Пользователи, откройте карточку сотрудника, перейдите в «Права доступа
» и отметьте нужные группы доступа. Роли в Конфигураторе для этого трогать не нужно.
Частое заблуждение админов, пришедших с 7.7 или самописных баз, — что права настраиваются галочками ролей в Конфигураторе. В типовых конфигурациях на Библиотеке стандартных подсистем (БСП) роли назначает сама программа по профилю группы доступа. Ручные правки ролей она перезапишет при ближайшем изменении групп.
Из чего складываются права: роли, профили, группы доступа
В типовой конфигурации права собираются из трёх уровней. Разберитесь в них один раз — дальше настройка займёт минуты.
| Уровень | Что это | Где живёт | Кто меняет |
|---|---|---|---|
| Роль | Набор разрешений на объекты метаданных: чтение, добавление, проведение | Конфигурация | Разработчик |
| Профиль группы доступа | Набор ролей под должность: «Бухгалтер», «Главный бухгалтер», «Администратор» | Справочник в базе | Администратор |
| Группа доступа | Профиль + список участников + ограничения по значениям | Справочник в базе | Администратор |
Пользователь получает объединение прав всех групп, в которые входит. Права складываются, а не вычитаются. Если одна группа разрешает видеть кассу, а другая нет — касса будет видна.
💡 Отсюда главное правило: запретить что-то, добавив пользователя в ещё одну группу, нельзя. Чтобы сузить права, уберите его из лишней группы или сделайте профиль уже.
Где находятся настройки в разных конфигурациях
| Конфигурация | Путь к настройкам |
|---|---|
| Бухгалтерия предприятия 3.0 | Администрирование → Настройки пользователей и прав |
| ЗУП 3.1 | Администрирование → Настройки пользователей и прав |
| Управление торговлей 11 | НСИ и администрирование → Настройки пользователей и прав |
Внутри — одинаковый набор ссылок: «Пользователи», «Группы доступа», «Профили групп доступа», флажок ограничения доступа на уровне записей, копирование и очистка настроек.
Как установить права пользователю 1С: пошагово
Порядок для нового сотрудника, если подходящий профиль уже есть.
Шаг 1. Создайте пользователя
- Откройте
Настройки пользователей и прав → Пользователии нажмите «Создать». - Заполните полное имя и имя для входа. Привяжите физическое лицо, если конфигурация это предлагает (в ЗУП и БП это нужно для кадровых и отчётных документов).
- Поставьте флажок «Вход в программу разрешен».
- Выберите способ входа: аутентификация 1С с паролем или аутентификация операционной системы (вход под доменной учёткой Windows без пароля 1С).
- Задайте пароль и сохраните карточку.
Шаг 2. Включите пользователя в группы доступа
- В карточке пользователя перейдите по ссылке «Права доступа».
- Отметьте флажками группы, в которые он должен входить, например «Бухгалтеры».
- Нажмите «Записать».
Альтернатива — зайти от обратного: открыть группу доступа и добавить пользователя в её табличную часть участников. Результат одинаковый.
Шаг 3. Проверьте результат
Пусть сотрудник закроет программу и войдёт заново. Новые роли применяются только к новому сеансу: пока пользователь сидит в базе, он работает со старым набором прав.
Если в базе нет ни одного пользователя, 1С пускает без пароля с полными правами. Поэтому первым всегда создают администратора и только потом остальных. Иначе при первой же записи пользователя можно отрезать себе доступ к администрированию.
Если конфигурация не на БСП
В самописных и старых отраслевых базах групп доступа нет. Права там раздают в Конфигураторе: Администрирование → Пользователи, карточка пользователя, вкладка «Прочие» со списком ролей. Отмечаете роли, сохраняете, пользователь перезаходит. Как понять, что у вас именно этот случай: в режиме 1С:Предприятие нет пункта «Настройки пользователей и прав».
Свой профиль: когда поставляемых прав не хватает
Поставляемые профили менять нельзя: при обновлении конфигурации они вернутся к исходному виду. Поэтому рабочий приём такой.
- Откройте
Профили групп доступа. - Выделите ближайший по смыслу поставляемый профиль, например «Бухгалтер».
- Скопируйте его (кнопка копирования или
F9) и дайте понятное имя: «Бухгалтер без кассы», «Кладовщик склада №2». - В копии на вкладке ролей снимите лишнее и добавьте недостающее.
- Сохраните и создайте под профиль группу доступа.
Сравнение подходов к нестандартным правам:
| Способ | Когда подходит | Риски |
|---|---|---|
| Копия поставляемого профиля | Нужно чуть шире или уже типового | После обновления новые роли не добавятся в копию сами — сверяйте с исходным профилем |
| Дополнительная группа с узким профилем | Нужно добавить одно право, например «Чтение кассы» | Нельзя ничего забрать, только добавить |
| Новая роль в расширении конфигурации | Нужного права нет ни в одной типовой роли | Требует разработчика; расширение надо проверять после каждого обновления |
💡 Не правьте роли в основной конфигурации. Снятие с поддержки ради одной галочки превращает каждое обновление в ручное сравнение и объединение.
Ограничение прав на уровне записей: только своя организация или склад
Профиль отвечает на вопрос «что можно делать с документами». Ограничение на уровне записей (RLS, Record Level Security) — «с какими именно». Типовой пример: бухгалтер ведёт две организации из пяти и не должен видеть остальные.
Как включить
- В
Настройки пользователей и правпоставьте флажок «Ограничивать доступ на уровне записей». - Откройте нужную группу доступа.
- На вкладке ограничений выберите вид доступа, например «Организации».
- Установите режим «Все запрещены» и добавьте в список разрешённые организации. Или наоборот: «Все разрешены» и список исключений.
- Запишите группу.
Список доступных видов зависит от профиля и конфигурации. В БП это прежде всего организации, в УТ — ещё склады, партнёры, виды цен.
Что учесть до включения
- 🐢 Ограничение по записям утяжеляет запросы. На больших базах отчёты могут заметно замедлиться — включайте на тесте и замеряйте.
- ⏳ После включения программа заполняет служебные данные для ограничения доступа регламентным заданием. Пока оно не закончилось, пользователи могут видеть пустые списки. В файловой базе регламентные задания выполняются, только когда кто-то работает в программе.
- 🔁 Права по-прежнему складываются: если пользователь состоит в двух группах с разными наборами организаций, он увидит обе.
- 👤 Администраторов ограничение не касается.
Права для внешних пользователей, веб-клиента и мобильного приложения
Веб-клиент и тонкий клиент через интернет
Отдельных прав для браузера нет. Публикация базы на веб-сервере (IIS или Apache) только открывает дорогу. Пользователь входит под той же учёткой и получает те же группы доступа, что и в обычном клиенте.
На что смотреть при публикации наружу:
- 🔐 только аутентификация 1С с надёжным паролем или доменная — пустые пароли в опубликованной базе недопустимы;
- 🚫 у служебных учёток, которым интернет не нужен, снимите флажок «Вход в программу разрешен»;
- 🧱 доступ к публикации лучше закрыть VPN или HTTPS с ограничением по адресам.
Мобильный клиент
Мобильный клиент 1С подключается к той же опубликованной базе и работает с правами пользователя. Отдельный профиль под телефон обычно не нужен. Но если мобильное приложение — отдельная конфигурация, например для курьеров или склада, права там настраиваются уже в ней.
Внешние пользователи
Это контрагенты и их сотрудники, которых пускают в вашу базу: портал для клиентов, личный кабинет поставщика. Механизм есть в конфигурациях на БСП, где он предусмотрен разработчиком (например, УТ 11, КА, ERP).
- В
Настройки пользователей и праввключите использование внешних пользователей. - Создайте внешнего пользователя и привяжите его к объекту авторизации — например, к партнёру.
- Включите в группу доступа, профиль которой предназначен для внешних пользователей.
Внешний пользователь по построению видит только данные своего объекта авторизации. Обычные профили к нему не применяются.
Почему права не работают: диагностика
Начинайте с текста ошибки. Платформа выдаёт Нарушение прав доступа! или Недостаточно прав для просмотра и обычно в подробностях называет объект. Это уже половина ответа: ясно, какой роли не хватает.
Дальше по порядку:
- Отчёт по правам пользователя. В форме «Права доступа» карточки пользователя есть отчёт о его правах: какие роли получены, из каких групп, какие ограничения действуют. Ищите в нём нужный объект.
- Журнал регистрации.
Администрирование → Обслуживание → Журнал регистрации, отбор по пользователю и времени. Событие «Доступ. Отказ в доступе» показывает, к чему именно не пустили. - Сравнение с работающим коллегой. Откройте права двух пользователей рядом и найдите разницу в группах.
- Повторный вход. Банально, но многие обращения «дал права — не работает » снимает перезапуск сеанса.
Как автоматизировать выдачу прав
Когда пользователей больше двадцати, ручная раздача галочек становится источником ошибок. Три уровня автоматизации, от простого к сложному.
Группы пользователей вместо отдельных людей
Создайте группы пользователей по отделам: «Бухгалтерия», «Склад», «Продажи». Включите в группу доступа не людей, а группу пользователей. Новый сотрудник получает все права отдела, как только его добавят в группу. Ушёл в другой отдел — перенесли в другую группу, права поменялись сами.
Копирование настроек
В Настройки пользователей и прав есть копирование настроек от одного пользователя другому: внешний вид, отчёты, рабочий стол. Удобно для новичка, который садится на место ушедшего. Права доступа при этом проверьте отдельно: настройки интерфейса и членство в группах — разные вещи.
Программное создание пользователей
Для массовой заливки или интеграции с кадровой системой пользователей создают кодом. На уровне платформы это выглядит так:
НовыйПользователь = ПользователиИнформационнойБазы.СоздатьПользователя();
НовыйПользователь.Имя = "ivanova";
НовыйПользователь.ПолноеИмя = "Иванова Анна Сергеевна";
НовыйПользователь.АутентификацияСтандартная = Истина;
НовыйПользователь.Пароль = "ВременныйПароль-123";
НовыйПользователь.Роли.Добавить(Метаданные.Роли.ПолныеПрава);
НовыйПользователь.Записать();
⚠️ Этот код подходит для конфигураций без БСП. В типовых базах так делать не стоит: пользователь информационной базы появится, но элемента справочника «Пользователи» и членства в группах доступа у него не будет, и программа будет считать его «чужим». Там пользователей создают через справочник «Пользователи» и программный интерфейс подсистемы, лучше силами программиста.
Ошибки, которые чаще всего ломают доступ
- ❌ Всем дали «Администратора», чтобы не разбираться. Так любой может удалить объекты, поменять учётную политику и даты запрета изменения. Профиль администратора — одному-двум людям.
- ❌ Одна общая учётка на отдел. В журнале регистрации не понять, кто провёл или удалил документ. Плюс каждый вход занимает лицензию так же, как личная учётка, экономии нет.
- ❌ Удаление уволенного сотрудника. Карточку не удаляют: на неё ссылаются документы и журнал. Снимите «Вход в программу разрешен» и исключите из групп доступа.
- ❌ Флажок RLS включили в разгар месяца на рабочей базе. Списки опустели, бухгалтерия встала. Включайте вечером и после проверки на копии.
- ❌ Защиту от опасных действий снимают всем подряд. Это свойство пользователя платформы предупреждает о запуске внешних обработок и подключении внешних компонент. Снимать его стоит только тем, кто понимает, что запускает.