Права пользователя в 1С 8.3: роли через конфигуратор и профили групп доступа

Чтобы установить роль пользователю в 1С 8.3, откройте его карточку и выдайте права. В типовых конфигурациях (БП 3.0, ЗУП 3.1, УТ 11) это делают в режиме «Предприятие»: Администрирование → Настройки пользователей и прав → Группы доступа, пользователя включают в группу с нужным профилем. В самописных базах без подсистемы управления доступом роль отмечают галочкой в конфигураторе: Администрирование → Пользователи, вкладка Прочие.

Путать эти два способа нельзя. В типовой базе роли, выставленные вручную в конфигураторе, программа пересчитает по группам доступа, и ваши галочки пропадут при ближайшей записи пользователя.

Роль, профиль и группа доступа: как это связано

Роль — объект метаданных конфигурации. В ней разработчик описал, что можно делать с каждым справочником, документом, регистром и отчётом: читать, добавлять, изменять, удалять, проводить, просматривать.

Платформа знает только роли. Всё остальное — надстройка Библиотеки стандартных подсистем (БСП), на которой построены почти все типовые решения.

Итоговые права пользователя — объединение всех ролей из всех его групп доступа. Права только добавляются: если одна роль разрешает изменение документа, а другая нет, изменение будет разрешено.

Подготовка: что проверить до назначения прав

Проверьте это до первого изменения: так бухгалтер не увидит чужие организации, а администратор не потеряет доступ к базе.

1. Кто вы сами. Менять права может только пользователь с правом Администрирование (в типовых — профиль «Администратор»).
2. Есть ли БСП. Если в разделе Администрирование есть пункт Настройки пользователей и прав — база на БСП, работаем через профили.
3. Сколько администраторов. Должно быть минимум два: если единственный администратор забудет пароль или уволится, восстановление прав превратится в отдельный проект.
4. Включены ли группы пользователей и ограничение на уровне записей. Это флажки на той же странице настроек. От них зависит, какие вкладки вы увидите в группе доступа.
5. Связан ли пользователь справочника с пользователем ИБ. В карточке должен стоять флажок Вход в программу разрешён, иначе права есть, а войти нельзя.

Как назначить роль пользователю: пошагово

В типовой конфигурации (БСП)

Путь к настройкам почти одинаковый:

Порядок действий:

1. Откройте Пользователи и создайте нового или откройте существующего.
2. Заполните имя для входа, задайте пароль, установите Вход в программу разрешён. Запишите карточку.
3. Перейдите в Группы доступа. Откройте подходящую группу, например «Бухгалтеры».
4. На вкладке участников добавьте пользователя.
5. Если включено ограничение на уровне записей — на вкладке ограничений укажите разрешённые организации или склады.
6. Нажмите Записать и закрыть.
7. Попросите сотрудника перезапустить 1С. Новые роли применяются только при следующем входе — в открытом сеансе ничего не изменится.

В БП 3.0 есть упрощённый вариант: в карточке пользователя ссылка Права доступа открывает список профилей с флажками. Отметили «Бухгалтер» — программа сама создала персональную группу доступа.

В конфигураторе (база без БСП)

1. Запустите конфигуратор под администратором.
2. Меню Администрирование → Пользователи.
3. Откройте пользователя или создайте нового кнопкой добавления.
4. На вкладке Основные задайте имя, аутентификацию 1С или ОС.
5. На вкладке Прочие отметьте роли галочками, выберите основной интерфейс и язык.
6. Нажмите ОК.

Если в списке есть пользователи, но ни у одного нет роли с правом Администрирование, платформа не даст сохранить такой список. Это защита от ситуации «вход закрыт для всех».

Своя роль: когда стандартных профилей не хватает

Новая роль нужна редко. Чаще всего задачу решает копия профиля с другим набором поставляемых ролей. Собственная роль оправдана, когда нужно право, которого нет ни в одной типовой: например, только просмотр конкретного регистра или запуск внешней обработки без полных прав.

Шаг 1. Роль в расширении

Не меняйте основную конфигурацию: снимать её с поддержки ради одной роли — значит усложнить каждое обновление.

1. В конфигураторе: Конфигурация → Расширения конфигурации, создайте расширение.
2. В дереве расширения откройте ветку Общие → Роли, добавьте роль.
3. В окне прав отметьте нужные объекты и действия: Чтение, Просмотр, Добавление, Изменение и так далее.
4. Обновите конфигурацию базы данных для расширения.

Расширения конфигурации доступны с платформы 8.3.6. Добавлять в них собственные роли можно в актуальных версиях платформы.

Шаг 2. Роль в профиль

1. В режиме «Предприятие» откройте Профили групп доступа.
2. Поставляемый профиль изменить нельзя — выделите его и скопируйте.
3. В копии на вкладке ролей отметьте новую роль. Включите отбор, чтобы показать все роли, а не только выбранные.
4. Создайте группу доступа на основе нового профиля и добавьте туда участников.

Копия профиля не обновляется вместе с конфигурацией. После крупного обновления сверьте её с исходным профилем: в нём могли появиться новые роли.

Ограничения на уровне записей (RLS)

Роль разрешает работать с объектом целиком. Если бухгалтер должен видеть документы только одной организации из пяти — это задача RLS, а не новой роли.

В типовой конфигурации:

1. На странице Настройки пользователей и прав включите флажок ограничения доступа на уровне записей.
2. Откройте группу доступа. Появится вкладка с видами доступа: Организации, в торговых решениях также склады, виды цен и другие.
3. Для вида доступа выберите режим: «Все разрешены» с исключениями или «Все запрещены» с разрешёнными значениями.
4. Укажите значения и запишите группу.

В самописной конфигурации ограничение пишут в самой роли. В окне прав объекта задаётся текст условия для действия Чтение или Изменение на языке запросов. Это работа программиста, а не администратора.

Что учесть до включения:

• 🐢 RLS утяжеляет запросы. На больших базах отчёты могут заметно замедлиться — включайте и проверяйте на копии.
• 🔍 Пользователь с ограничением не увидит документы чужой организации даже в общем журнале. Для сотрудника это выглядит как «пропали документы» — предупредите заранее.
• 🧩 Права складываются: если пользователь состоит в двух группах, и в одной ограничений нет, он увидит всё.

Как автоматизировать выдачу прав

При штате от двадцати человек назначать роли поштучно неудобно и опасно: кто-то получит лишнее, кто-то забудет вернуть права после перевода.

Группы пользователей

Включите группы пользователей в настройках. Создайте группы по отделам: «Бухгалтерия», «Склад», «Отдел продаж». Добавьте в группу доступа не людей, а группу пользователей целиком.

Новый кладовщик → добавили в группу «Склад» → права пришли сами. Перевели в продажи → перенесли в другую группу → складские права ушли.

Копирование настроек

В списке пользователей есть команда копирования настроек от одного пользователя другому: внешний вид, настройки отчётов, избранное. Права доступа удобнее задавать через группы, а копирование оставить для интерфейса.

Программное назначение

В базе без БСП роли можно выдавать кодом, например из обработки при массовом заведении сотрудников:

Пользователь = ПользователиИнформационнойБазы.НайтиПоИмени("Иванова");
Если Пользователь <> Неопределено Тогда
    Роль = Метаданные.Роли.Найти("ЧтениеОтчетов");
    Если Роль <> Неопределено И Не Пользователь.Роли.Содержит(Роль) Тогда
        Пользователь.Роли.Добавить(Роль);
        Пользователь.Записать();
    КонецЕсли;
КонецЕсли;

Код выполняется под пользователем с административными правами. В типовой базе так делать не стоит: подсистема управления доступом приведёт роли в соответствие с группами доступа.

Регламент заявок

Технику дополняет порядок: права выдают по письменной заявке руководителя, администратор фиксирует, кто и когда согласовал. Хватит простого журнала в общей таблице или задачи в трекере. При увольнении первым делом снимается флажок Вход в программу разрешён, а не удаляется пользователь: история его действий должна остаться.

Проверка и аудит прав

Права — не настройка «один раз и навсегда». Раз в квартал полезно пройтись по списку.

Что смотреть:

1. Отчёт по правам. В типовых конфигурациях из карточки пользователя открывается отчёт о его правах доступа: какие роли действуют, из каких групп они пришли, какие ограничения наложены.
2. Журнал регистрации. Администрирование → Обслуживание → Журнал регистрации, отбор по событиям изменения пользователей. Видно, кто и когда менял права.
3. Тестовый вход. Самая надёжная проверка — войти под пользователем на копии базы и пройти его типичный день: открыть документы, провести, сформировать отчёт.
4. Конфигуратор. В редакторе ролей есть сводная таблица Все роли: по выбранному объекту видно, какие роли дают на него какие права.

Ошибки при назначении ролей

«Недостаточно прав для выполнения операции». Пользователю не хватает роли на конкретный объект. Узнайте из текста ошибки, что именно он пытался сделать, и найдите профиль, который это право даёт. Не решайте вопрос выдачей полных прав.

Галочки в конфигураторе «слетели». Классика типовых баз: роли выставили в конфигураторе, потом кто-то открыл карточку пользователя в режиме «Предприятие» и записал её. Подсистема пересчитала роли по группам доступа.

Права выданы, а у сотрудника ничего не изменилось. Он не перезапустил сеанс. Закрыть программу полностью и войти заново.

Пользователь видит лишнее. Он состоит в нескольких группах доступа, и одна из них без ограничений. Откройте отчёт по правам — источник лишнего права там виден.

После обновления не работает самодельный профиль. В новом релизе разработчики добавили объекты и роли, которые в вашу копию профиля не попали. Сравните копию с поставляемым профилем и добавьте недостающие роли.

Частые вопросы