Роли, профили и группы доступа: как выдать пользователю права в 1С 8.3

Роли в 1С 8.3 устанавливают двумя способами. В типовых конфигурациях (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) права выдают в режиме Предприятие: Администрирование → Настройки пользователей и прав, через профили и группы доступа. В Конфигураторе роли ставят галочками на вкладке «Прочие» в карточке пользователя (Администрирование → Пользователи), но так делают только в нетиповых и самописных базах.

Выбор способа зависит не от вкуса администратора, а от того, на чём построена конфигурация. Если в ней есть справочник «Профили групп доступа», роли, отмеченные вручную в Конфигураторе, программа при следующем пересчёте прав перезапишет. Поэтому сначала определите тип базы, а потом идите по нужной ветке инструкции.

Как устроены права в 1С: роль, профиль, группа доступа

На уровне платформы есть один механизм — роль. Это объект конфигурации, в котором для каждого справочника, документа, отчёта и регистра отмечены разрешённые действия: чтение, добавление, изменение, удаление, проведение, просмотр и так далее. Пользователь получает сумму прав всех своих ролей. Запретить что-то ролью нельзя: если одна роль даёт право, а другая нет, право у пользователя будет.

Типовые конфигурации надстраивают над ролями ещё два уровня из Библиотеки стандартных подсистем (БСП):

Схема работы простая. Профиль «Бухгалтер» собирает 20–40 ролей. Группа доступа «Бухгалтеры ООО Ромашка» берёт этот профиль и добавляет к нему участников. Пользователь получает роли из всех групп, в которые входит.

Ещё один слой — ограничение доступа на уровне записей (RLS). Роль говорит «можно читать документы реализации», а RLS уточняет «только по организации Ромашка». В типовых конфигурациях RLS включают флажком Ограничивать доступ на уровне записей в разделе настроек пользователей и прав.

Перед назначением прав: что проверить

Пять минут подготовки избавляют от ситуации, когда администратор случайно лишил прав самого себя.

1. Определите тип конфигурации. Откройте раздел Администрирование в режиме Предприятие. Есть пункт «Настройки пользователей и прав» — работаете через профили. Нет — роли назначаются в Конфигураторе.
2. Убедитесь, что вы сами администратор. В карточке своего пользователя должен стоять профиль «Администратор» или роль ПолныеПрава (в нетиповой базе — роль с правом «Администрирование»).
3. Составьте матрицу доступа. Таблица «сотрудник → что делает → какие организации и склады видит». Без неё права раздают по принципу «дайте как у Иванова», и через год никто не понимает, кому что открыто.
4. Проверьте, нет ли уже готового профиля. В БП 3.0 поставляются профили под типовые должности: «Бухгалтер», «Главный бухгалтер», «Администратор» и другие. Часто достаточно выбрать из списка.
5. Сделайте резервную копию, если собираетесь менять роли в Конфигураторе или создавать новые роли в конфигурации. Для настройки профилей в режиме Предприятие копия не обязательна: это обычные данные, их можно поправить обратно.

Как установить роли в типовой конфигурации (БП 3.0, ЗУП 3.1, УТ 11)

Путь к настройкам почти одинаковый, отличается только название раздела:

Шаг 1. Создайте пользователя

1. Откройте Настройки пользователей и прав → Пользователи.
2. Нажмите «Создать», заполните полное имя. Если в базе есть справочник «Физические лица», свяжите пользователя с сотрудником.
3. Проверьте, что стоит флажок «Вход в программу разрешён», и задайте имя для входа.
4. Назначьте пароль или включите аутентификацию операционной системы — тогда сотрудник будет входить под своей учётной записью Windows без пароля 1С.
5. Запишите карточку.

Шаг 2. Назначьте права

Дальше два варианта, в зависимости от того, включены ли в базе группы доступа.

• 📌 Упрощённая настройка (обычно в БП 3.0 для небольших организаций). В карточке пользователя нажмите «Права доступа » и отметьте нужные профили. Программа сама создаст персональную группу доступа.
• 📌 Полная настройка (ЗУП, УТ, крупные базы). Откройте Настройки пользователей и прав → Группы доступа, выберите группу или создайте новую, укажите профиль и добавьте пользователя на вкладку участников.

Шаг 3. Задайте ограничения, если они нужны

Если в профиле есть виды доступа, у группы доступа появится вкладка с ограничениями. Здесь выбирают, какие организации, склады или подразделения видят участники. Режимы обычно такие: «Все разрешены» с исключениями или «Все запрещены» с перечнем разрешённых.

Шаг 4. Проверьте результат

Попросите сотрудника перезайти в программу. Пока он не перезапустил сеанс, новые права не действуют. Проверить состав прав можно отчётом по правам доступа, который открывается из карточки пользователя: там видно, какие объекты пользователь может читать и изменять и из какой группы пришло каждое право.

Свой профиль групп доступа: когда типового не хватает

Поставляемые профили менять нельзя: они обновляются вместе с конфигурацией, и их состав ролей заблокирован для редактирования. Если нужен профиль «Бухгалтер, но без права удалять документы» или «Кладовщик с доступом к отчётам по продажам», делают так.

1. Откройте Настройки пользователей и прав → Профили групп доступа.
2. Выделите ближайший по смыслу поставляемый профиль и скопируйте его.
3. Переименуйте копию, например «Бухгалтер (без удаления)».
4. На вкладке с разрешёнными действиями (ролями) снимите или поставьте галочки. Названия ролей в списке говорят сами за себя: «Добавление и изменение…», «Чтение…», «Удаление…».
5. На вкладке ограничений доступа укажите виды доступа (организации, склады), если права нужно резать по записям.
6. Запишите профиль и подключите его к группам доступа.

Несколько правил, которые сэкономят время при обновлениях:

• 🔹 Не стройте профиль с нуля, если есть близкий поставляемый. Копия наследует продуманный набор служебных ролей, без которых часть форм просто не открывается.
• 🔹 После обновления конфигурации проверяйте свои профили. В новом релизе могут появиться роли для новых документов, и в скопированный профиль они автоматически не попадут.
• 🔹 Роль ПолныеПрава давайте только администраторам. Она открывает всё, включая удаление помеченных объектов и настройки самой программы.

Если нужной роли нет совсем

Бывает, что ни одна роль конфигурации не даёт нужного сочетания прав. Например, пользователю надо видеть один регистр, а существующая роль открывает ещё десяток объектов. Тогда роль создают сами.

Правильный путь для типовой конфигурации — расширение, а не правка основной конфигурации. Расширения доступны с платформы 8.3.6. В расширении добавляют новую роль, отмечают права, сохраняют расширение и подключают его в режиме Предприятие. После этого роль появляется в списке ролей при редактировании профиля. Основная конфигурация остаётся на поддержке и обновляется без объединения.

Назначение ролей через Конфигуратор

Этот способ нужен для нетиповых баз, старых самописных решений и для аварийного восстановления доступа.

1. Откройте базу в режиме Конфигуратор.
2. Выберите Администрирование → Пользователи.
3. Создайте пользователя кнопкой «Добавить» или откройте существующего двойным щелчком.
4. На вкладке «Основные» задайте имя, пароль и способ аутентификации.
5. Перейдите на вкладку «Прочие». Там список всех ролей конфигурации с флажками.
6. Отметьте нужные роли, выберите основной интерфейс и язык, нажмите «ОК».

Права начинают действовать со следующего входа пользователя. Перезапускать сервер или обновлять конфигурацию базы данных не требуется.

Создание роли в самописной конфигурации

В нетиповой базе новую роль добавляют прямо в дерево: Общие → Роли, правой кнопкой — «Добавить». В окне роли слева дерево объектов, справа права на выбранный объект. Для каждого документа отдельно отмечают чтение, добавление, изменение, проведение, отмену проведения и другие права.

Флажок «Устанавливать права для новых объектов» у роли решает, получит ли она автоматически права на объекты, которые разработчик добавит позже. Для пользовательских ролей его лучше выключать: иначе любой новый документ окажется открыт всем.

После изменения ролей сохраните конфигурацию и обновите конфигурацию базы данных. Пользователи увидят новые права после перезапуска сеанса.

Ошибки доступа: что означают и как исправить

Сообщения о нехватке прав выглядят похоже, а причины у них разные. Ниже — разбор по симптомам.

Файловая и клиент-серверная база: что меняется

Сами роли, профили и группы доступа работают одинаково в обоих вариантах. Отличается то, что вокруг них.

Для файловой базы главный практический вывод такой: права в 1С не заменяют прав доступа к папке. Закройте каталог базы на файловом сервере от всех, кроме тех, кто реально работает в программе, иначе любой сотрудник скопирует 1Cv8.1CD и откроет его у себя.

В клиент-серверном варианте разделяйте три уровня администрирования:

• 🖥 Администратор кластера управляет серверами, рабочими процессами, базами в кластере.
• 🗄 Администратор информационной базы — пользователь 1С с полными правами внутри конкретной базы.
• 🔐 Учётная запись СУБД даёт серверу 1С доступ к базе данных; пользователям её не выдают.

Ещё одно отличие касается аутентификации ОС. В клиент-серверной базе с доменом удобно привязать пользователя 1С к учётной записи Windows вида ДОМЕН\пользователь: сотрудник входит без пароля, а при увольнении достаточно заблокировать доменную учётку.

Частые вопросы