Группы доступа, профили и ограничения: настройка прав пользователей 1С 8.3
Содержание
Права доступа
пользователя в 1С 8.3 меняют не в его карточке, а через группы доступа: Администрирование → Настройки пользователей и прав → Группы доступа. Пользователя добавляют в группу с нужным профилем или убирают из лишней. Изменения вступают в силу после того, как он заново войдёт в программу.
Так устроены все типовые конфигурации на БСП: Бухгалтерия 3.0, ЗУП 3.1, УТ 11, КА и ERP. Роли напрямую в Конфигураторе при этом не трогают. Ниже — порядок действий, точечные ограничения и разбор ситуаций, когда пользователь всё равно получает отказ.
Где в 1С настраиваются пользователи и права
Все настройки собраны в одном разделе. Отличается только название раздела верхнего уровня.
| Конфигурация | Путь к настройкам |
|---|---|
| Бухгалтерия предприятия 3.0 | Администрирование → Настройки пользователей и прав |
| ЗУП 3.1 | Администрирование → Настройки пользователей и прав |
| Управление торговлей 11 | НСИ и администрирование → Настройки пользователей и прав |
На этой странице есть ссылки на всё, что понадобится:
- 👤 Пользователи — список учётных записей и их карточки;
- 👥 Группы пользователей — появляются, если включить одноимённый флажок; удобны при 15–20 сотрудниках и больше;
- 🔐 Группы доступа — кто и что может делать;
- 📦 Профили групп доступа — наборы ролей, из которых собираются группы;
- 🧱 флажок Ограничивать доступ на уровне записей — включает разграничение по организациям, складам и другим видам доступа там, где конфигурация это поддерживает.
Как связаны пользователь, профиль и группа доступа
Логику проще понять на схеме из трёх звеньев:
- Профиль отвечает на вопрос «что можно делать»: набор ролей вроде «добавление и изменение документов поступления».
- Группа доступа берёт один профиль и добавляет к нему «с какими данными»: например, только организация «Альфа».
- Пользователь включается в одну или несколько групп и получает сумму их прав.
Последний пункт — ключевой. Права из разных групп складываются, а не вычитаются. Если сотрудник состоит в группе «Бухгалтер» и в группе «Только просмотр», он может всё, что разрешено бухгалтеру.
Как изменить права пользователя через группы доступа
Это основной способ, и в 9 случаях из 10 его хватает. Допустим, кассиру нужно дать право вести авансовые отчёты.
Шаг 1. Посмотрите, что у пользователя есть сейчас
- Откройте
Пользователии дважды щёлкните по сотруднику. - В карточке перейдите по ссылке Права доступа. Откроется список групп, в которые он включён.
- Запишите эти группы. Если что-то пойдёт не так, вы сможете вернуть исходное состояние.
Шаг 2. Добавьте пользователя в группу
- Откройте
Группы доступаи найдите группу с нужным профилем. - На вкладке Участники нажмите Подобрать и выберите сотрудника.
- Нажмите Записать и закрыть.
Подходящей группы нет? Создайте новую: кнопка Создать, затем укажите наименование и выберите профиль в одноимённом поле. Участников добавьте так же, через подбор.
Шаг 3. Уберите лишние права
Отнять право можно только одним способом: исключить пользователя из группы, которая его даёт. Выделите сотрудника на вкладке Участники и удалите строку.
Если та же группа нужна ему ради других прав, переходите к следующему разделу: придётся собрать отдельный профиль.
Шаг 4. Попросите пользователя перезайти
Сеанс, открытый до изменений, работает со старым набором ролей. Пусть сотрудник закроет 1С и откроет снова. Проверить, кто сейчас в базе, можно через Администрирование → Обслуживание → Активные пользователи (в УТ 11 — в том же разделе НСИ и администрирование).
Нужно дать новому сотруднику те же права, что у коллеги? Создайте карточку копированием (клавиша F9 в списке пользователей), затем откройте Права доступа нового пользователя и сверьте список групп с исходным.
Свой профиль групп доступа: когда поставляемого мало
В типовых конфигурациях есть готовые профили: «Администратор», «Главный бухгалтер», «Бухгалтер» и другие. Они поставляемые, то есть изменить их нельзя. Программа просто не даст снять флажок с роли.
Чтобы получить профиль «Бухгалтер, но без кассы» или «Менеджер с правом видеть себестоимость», делают копию:
- Откройте
Профили групп доступа. - Выделите похожий профиль и нажмите Скопировать (или
F9). - Дайте копии понятное имя, например «Бухгалтер без кассы».
- В списке ролей снимите флажки с лишних и поставьте на нужные. Названия ролей говорящие: ищите по слову «касс», «зарплат», «просмотр» через строку поиска над списком.
- Запишите профиль и создайте на его основе группу доступа.
Почему не стоит копить профили
Каждый свой профиль — это работа при обновлении. В новых релизах появляются роли, и поставляемые профили получают их автоматически. Ваши копии — нет.
Практичное правило: заводите свой профиль, только если отличие от типового существенное. Мелкие различия решайте составом групп.
Если после обновления конфигурации пользователи со «своими» профилями перестали открывать новый документ или отчёт, сравните их профиль с поставляемым прототипом и добавьте недостающие роли.
Точечные ограничения: организации, исключения, закрытый период
Профиль определяет, что можно делать. Дальше часто нужно сузить, с какими данными. Для этого есть три механизма.
Ограничение на уровне записей
Включите флажок Ограничивать доступ на уровне записей в настройках пользователей и прав. После этого в карточке группы доступа появится вкладка с видами доступа (организации, склады, группы номенклатуры — набор зависит от конфигурации).
Для каждого вида выбирают режим:
| Режим | Как работает | Когда подходит |
|---|---|---|
| Все разрешены | Ограничения нет | По умолчанию |
| Все разрешены, кроме указанных | Список — это запреты | Закрыть 1–2 организации из 10 |
| Все запрещены, кроме указанных | Список — это разрешения | Бухгалтер ведёт только 2 организации |
Это и есть «исключения» в терминах 1С. Например, бухгалтер участка видит только ООО «Альфа» и ИП Петров, а по остальным юрлицам группы документы ему не показываются.
После включения флажка программа в фоне пересчитывает доступ ко всем данным. На базе в десятки гигабайт это занимает от минут до часов. Включайте ограничения вечером, когда никто не работает с отчётами. Пока пересчёт не закончится, часть пользователей может не видеть документы.
Учтите и нагрузку: с ограничениями по записям отчёты и списки работают медленнее, потому что каждый запрос проверяет права. Если разграничивать нечего, флажок лучше не включать.
Запрет редактирования закрытого периода
Чтобы бухгалтер не правил документы прошлого квартала, используют даты запрета изменения. Их задают общей датой для всех или отдельно по пользователю и организации. Флажок включения находится в настройках пользователей и прав; в отдельных релизах его переносили в раздел настроек проведения документов.
Для одного сотрудника можно поставить запрет до 31 марта, а главному бухгалтеру оставить доступ без ограничения.
Отдельная группа для одного человека
Если двум сотрудникам с одинаковой должностью нужны разные права, не пытайтесь «вычесть» лишнее. Сделайте две группы доступа на одном профиле, но с разными ограничениями. Это прозрачнее, чем десяток уникальных профилей.
Права на вход, Конфигуратор и администрирование
Часть прав касается не данных, а самой программы. Их тоже меняют в 1С:Предприятии, в карточке пользователя и через профиль.
Сначала о том, кто вообще может менять права. Редактировать группы доступа , профили и карточки чужих пользователей может только сотрудник с профилем администратора. Обычный пользователь видит в своей карточке лишь собственные настройки и может сменить свой пароль. Поэтому если права «поменял кто-то из бухгалтерии», первым делом проверьте, у кого ещё есть административный профиль.
Вход в программу
В карточке пользователя есть флажок Вход в программу разрешён. Снимите его, и учётная запись останется в базе вместе с историей документов, но войти под ней будет нельзя. Так поступают при увольнении: удалять пользователя, который создавал документы, не нужно.
Там же задают способ аутентификации:
- 🔑 по паролю 1С:Предприятия;
- 🖥️ через учётную запись Windows (аутентификация ОС) — сотрудник входит без ввода пароля;
- ✅ можно включить оба способа.
Права администратора и запуск Конфигуратора
Открыть Конфигуратор может только пользователь с правом администрирования. В типовых решениях его даёт поставляемый профиль Администратор: в нём есть роли «Полные права» и «Администратор системы».
Если бухгалтеру нужно лишь обновлять конфигурацию, давать ему полный профиль администратора рискованно: он получит доступ ко всем данным и настройкам. Лучше оставить эти операции одному ответственному.
Внешние отчёты и обработки
Открытие внешних файлов .epf и .erf в типовых конфигурациях вынесено в отдельную роль. Её включают в профиль явно, и программа при этом предупреждает о риске: внешняя обработка может изменить любые данные. Давайте это право конкретным людям, а не через общий профиль «Бухгалтер».
Ошибки при изменении прав, которые приводят к сбоям
Роли назначены в Конфигураторе
В Конфигураторе есть список пользователей Администрирование → Пользователи с вкладкой ролей. В конфигурациях на БСП роли там вручную не назначают. Программа сама выставляет роли по группам доступа и при очередной проверке перезапишет ручную правку. В итоге права «то есть, то нет».
Конфигуратор для пользователей нужен в двух случаях: создать первого администратора в пустой базе и сбросить пароль, когда в 1С:Предприятие войти некому.
Выдали «Администратора», чтобы не разбираться
Сотрудник с полными правами может удалить помеченные объекты, поменять учётную политику и открыть любую обработку. Если не хватает одного права, найдите профиль с ним, а не расширяйте всё.
Удалили пользователя вместо отключения входа
Ссылки на автора остаются в документах и в журнале регистрации. Для уволенного сотрудника снимите флажок входа и исключите его из групп доступа.
Забыли про сумму прав
Пользователя включили в «урезанную» группу, но не убрали из старой широкой. Ограничение не работает , потому что старая группа по-прежнему даёт всё. Перед изменением всегда проверяйте ссылку Права доступа в карточке.
Пользователь не видит данные или получает отказ: диагностика
Когда права изменили, а сотрудник жалуется, идите от симптома к причине.
Журнал регистрации
Если по симптомам причина не ясна, откройте Администрирование → Обслуживание → Журнал регистрации. Отберите события по пользователю и времени, когда он получил отказ. В журнале видны и ошибки доступа, и то, кто и когда менял группы доступа. Последнее полезно, когда права «сами поменялись».
Отчёт по правам
В карточке пользователя из формы Права доступа можно сформировать отчёт о его правах. Он показывает, через какую группу пользователь получает доступ к конкретному объекту. Это быстрый способ найти «лишнюю» группу, из-за которой ограничение не работает.