Группы доступа, профили и ограничения: выдаём сотруднику нужные права в 1С 8.3
Содержание
Чтобы добавить права пользователю
в типовой 1С 8.3, откройте Администрирование → Настройки пользователей и прав, найдите сотрудника в списке «Пользователи» и включите его в нужную группу доступа (или отметьте профиль в форме «Права доступа
»). Роли в Конфигураторе вручную не назначают: в конфигурациях на БСП программа сама пересобирает роли по группам доступа и затрёт ручные правки.
Схема одинакова для 1С:Бухгалтерии 3.0, ЗУП 3.1, УТ 11 и других типовых решений на Библиотеке стандартных подсистем. Отличается только раздел меню верхнего уровня и набор готовых профилей. Права добавляет пользователь с профилем «Администратор».
Что проверить до настройки доступа
Начните с трёх вопросов. От ответов зависит, сколько времени займёт настройка.
- 🔑 Есть ли у вас права администратора. Без профиля «Администратор» раздел настройки пользователей будет недоступен или откроется только на просмотр.
- 👥 Как в базе устроены права. В Бухгалтерии 3.0 по умолчанию включена упрощённая настройка: профили отмечаются галочками прямо у пользователя. В ЗУП и УТ работают с группами доступа явно.
- 🏢 Нужно ли ограничивать данные. Если бухгалтер должен видеть только одну из пяти организаций базы, понадобится ограничение на уровне записей. Это отдельная настройка, и она влияет на скорость работы.
Где лежат нужные настройки:
| Конфигурация | Путь к настройкам прав |
|---|---|
| Бухгалтерия предприятия 3.0 | Администрирование → Настройки пользователей и прав |
| Зарплата и управление персоналом 3.1 | Администрирование → Настройки пользователей и прав |
| Управление торговлей 11 | НСИ и администрирование → Настройки пользователей и прав |
Если базу сопровождает обслуживающая организация, уточните у неё, не настроены ли нетиповые профили. Новые права лучше выдавать по той же логике, что и остальным сотрудникам.
Как завести нового пользователя в базе
Если сотрудника в базе ещё нет, сначала его нужно создать. Права выдаются уже потом.
- Откройте
Настройки пользователей и прав → Пользователии нажмитеСоздать. - Заполните «Полное имя» — так сотрудник будет виден в документах и отчётах.
- Проверьте, что включён флажок «Вход в программу разрешён».
- Укажите имя для входа в блоке аутентификации 1С:Предприятия и задайте пароль кнопкой установки пароля.
- При необходимости включите аутентификацию операционной системы и выберите доменную учётную запись. Тогда пароль 1С при входе спрашиваться не будет.
- Запишите карточку.
Сразу после записи у нового пользователя прав почти нет. Если он попробует войти, программа либо не пустит его, либо покажет пустой интерфейс без разделов. Это нормально: доступ появится после включения в группу доступа.
Не создавайте пользователей через Администрирование → Пользователи в Конфигураторе, если база типовая. Такой пользователь не попадёт в справочник «Пользователи» с нужными связями, и права для него в режиме 1С:Предприятие настроить не получится. Если так уже вышло — откройте справочник «Пользователи» в пользовательском режиме и сопоставьте его с учётной записью.
Быстрый приём для однотипных сотрудников — скопировать карточку уже настроенного коллеги командой Скопировать (клавиша F9) и заменить имя и пароль. После записи проверьте, в каких группах доступа оказался новичок. Если группы не перенеслись, добавьте его вручную по шагам ниже.
Роли, профили и группы доступа: как они связаны
В 1С права устроены в три уровня. Понимание этой связки снимает половину вопросов.
| Уровень | Что это | Кто меняет |
|---|---|---|
| Роль | Набор прав на объекты конфигурации: чтение, добавление, проведение | Разработчик в Конфигураторе |
| Профиль групп доступа | Набор ролей под должность: «Бухгалтер», «Главный бухгалтер», «Кадровик» | Администратор базы |
| Группа доступа | Профиль + список участников + ограничения по данным | Администратор базы |
Пользователь получает права только через группу доступа. Профиль сам по себе ничего не даёт, пока нет группы с участниками.
Пара практических следствий:
- 📌 Поставляемые профили нельзя редактировать. Их создала фирма-разработчик, и обновление конфигурации вернёт их к исходному виду. Если нужен «Бухгалтер, но без удаления документов», скопируйте профиль и меняйте роли в копии.
- 📌 Права суммируются. Если человек входит в две группы, у него объединение прав обеих. Отнять право одной группой, когда его даёт другая, нельзя.
- 📌 Роли из Конфигуратора перезаписываются. Программа пересчитывает роли пользователя по его группам доступа. Ручная галочка в Конфигураторе продержится до первого изменения групп.
Профиль «Администратор» — единственный, который даёт полные права. Выдавайте его только тем, кто реально настраивает базу. Главному бухгалтеру обычно хватает одноимённого профиля.
Пошагово: как добавить права пользователю в 1С
Ниже — два варианта. Выберите тот, что соответствует вашей базе.
Вариант 1. Упрощённая настройка (типично для Бухгалтерии 3.0)
- Откройте
Администрирование → Настройки пользователей и прав → Пользователи. - Откройте карточку сотрудника.
- Перейдите по ссылке или команде «Права доступа» в карточке.
- Отметьте галочками нужные профили: например, «Бухгалтер» и дополнительный профиль для открытия внешних отчётов и обработок, если сотрудник работает с внешними печатными формами.
- Нажмите
Записать.
Программа сама создаст персональную группу доступа и включит в неё пользователя.
Вариант 2. Через группы доступа (ЗУП 3.1, УТ 11, БП с отключённым упрощением)
- Откройте
Настройки пользователей и прав → Группы доступа. - Найдите группу с подходящим профилем. Если её нет — нажмите
Создать, выберите профиль и дайте группе понятное имя, например «Кадровики ООО Альфа». - На вкладке участников нажмите
Добавитьи выберите пользователя. - Если в профиле есть виды доступа (организации, склады, подразделения), заполните ограничения на соответствующей вкладке.
- Нажмите
Записать и закрыть.
Удобно называть группы по схеме «должность + организация». Через год в базе может набраться два-три десятка групп, и по имени «Группа 7» уже никто не вспомнит, кому и зачем она выдавалась.
Участником можно сделать не только пользователя, но и группу пользователей. Это удобно для отделов: новичка достаточно добавить в группу пользователей «Бухгалтерия», и он автоматически получит все права отдела.
Как увидеть изменения
Права, назначенные во время работы сотрудника, вступают в силу после перезапуска его сеанса. Попросите пользователя закрыть программу и зайти снова. До этого он будет работать со старым набором ролей.
Ограничение прав на уровне записей
Обычные роли отвечают на вопрос «что можно делать с документами». Ограничение на уровне записей (RLS, Record Level Security) отвечает на вопрос «с какими именно документами». Например, бухгалтер может проводить реализации, но только по ООО «Альфа».
Как включить
- Откройте
Настройки пользователей и прав. - Включите флажок «Ограничивать доступ на уровне записей».
- Дождитесь окончания фонового обновления доступа. В большой базе это занимает от нескольких минут до нескольких часов.
Как настроить для группы
- Откройте группу доступа.
- На вкладке ограничений выберите вид доступа, например «Организации».
- Задайте режим: «Все разрешены» с исключениями или «Все запрещены» с исключениями.
- Добавьте значения: конкретные организации, склады, подразделения.
- Запишите группу.
Пример. В базе 4 организации. Бухгалтер ведёт две из них. Для его группы выберите режим «Все запрещены» и добавьте в разрешённые эти 2 организации. Остальные две пропадут из его списков документов и отчётов.
Ограничение на уровне записей заметно нагружает базу. На слабом сервере или в файловом варианте с десятком пользователей списки и отчёты начнут открываться медленнее. Включайте RLS, только если разграничение по данным действительно нужно, а не «на всякий случай».
Какой вариант выбрать:
| Задача | Чем решать | Риски |
|---|---|---|
| Запретить удаление документов | Копия профиля без права удаления | Нужно поддерживать копию после обновлений |
| Скрыть зарплату от бухгалтера | Профиль без зарплатных ролей | Пропадут и связанные отчёты |
| Показать только свою организацию | Ограничение на уровне записей | Нагрузка на базу |
| Дать право на одну обработку | Дополнительный профиль или расширение конфигурации | Расширение требует разработчика |
Почему права не работают: диагностика
Права выданы, а сотрудник жалуется — типичная ситуация. Сообщения платформы обычно звучат так: Нарушение прав доступа!, Недостаточно прав для просмотра, Недостаточно прав на добавление. Само сообщение подсказывает, какого права не хватает.
Как посмотреть, какие права у пользователя на самом деле
В конфигурациях на БСП есть отчёт о правах доступа. Он вызывается из формы «Права доступа» пользователя и показывает итоговый набор: какие группы дают какие роли и какие ограничения действуют. Это быстрее, чем открывать группы по одной.
Второй приём — сравнение. Найдите сотрудника с такой же должностью, у которого всё работает, и сопоставьте его группы доступа с группами проблемного пользователя. Расхождение обычно видно сразу.
Не решайте проблему выдачей профиля «Администратор». Ошибка исчезнет, но сотрудник получит право удалять пользователей, менять учётную политику и обновлять конфигурацию.
Когда права в Конфигураторе всё-таки нужны
Есть два случая, когда без Конфигуратора не обойтись.
- 🛠 Нетиповая или самописная конфигурация без БСП. Там нет групп доступа. Права выдают в Конфигураторе:
Администрирование → Пользователи, карточка пользователя, вкладка «Прочие», где отмечают роли. - 🛠 В базе нет ни одного администратора. Например, его карточку удалили или потерян пароль. Восстановить доступ помогает Конфигуратор: войти можно под пользователем с административной ролью, а если пользователей в списке нет совсем, база открывается без авторизации.
Перед любыми изменениями в списке пользователей Конфигуратора сделайте резервную копию базы. Удаление последнего пользователя с административными правами может закрыть доступ к настройкам для всех.
Для своей новой роли в типовой базе путь другой: роль добавляют в расширение конфигурации, а затем включают в копию профиля групп доступа в режиме 1С:Предприятие. Так доработка переживёт обновления.