Как закрыть сотруднику лишние документы в 1С 8.3: профили, группы доступа и RLS

Права на документы в типовых конфигурациях 1С 8.3 (БП 3.0, ЗУП 3.1, УТ 11) настраивают не на самих документах, а через профили групп доступа: Администрирование → Настройки пользователей и прав → Профили групп доступа. Профиль — это набор ролей, а роль определяет, какие документы пользователь видит, создаёт, проводит и удаляет. Чтобы сотрудник работал только со «своей» организацией или складом, дополнительно включают ограничение доступа на уровне записей (RLS).

Типичная ситуация: в базе три юрлица, кассир одного из них случайно провёл расходный ордер чужой фирмы. Или менеджер по продажам открыл банковские выписки и увидел зарплатные платежи. Обе проблемы решаются штатно, без программиста, если понимать, на каком уровне ставить запрет.

Из чего складываются права пользователя в 1С

В 1С 8.3 права работают в два слоя. Первый слой задаёт платформа, второй — Библиотека стандартных подсистем (БСП), на которой построены все типовые конфигурации.

Слой платформы — роли. Роль хранится в конфигурации и содержит флажки прав на каждый объект. Для документа это:

• 📖 Чтение и Просмотр — увидеть документ в списке и открыть его;
• ✏️ Добавление, Изменение, Интерактивное добавление — создать и править;
• ✅ Проведение, Отмена проведения, Интерактивное проведение, Интерактивное проведение неоперативное;
• 🗑️ Удаление, Интерактивная пометка удаления, Интерактивное удаление.

Права с префиксом «Интерактивное» касаются действий пользователя в форме. Права без префикса — программных операций. Если снять Интерактивное удаление, но оставить Интерактивная пометка удаления, сотрудник сможет только помечать документы, а удалять их окончательно будет администратор.

Слой БСП — профили и группы доступа. Пользователю в типовой конфигурации роли напрямую не назначают. Схема такая:

Итоговые права пользователя — это объединение всех его групп. Запрета «перекрыть» разрешение нет: если одна группа даёт право на документ, а другая не даёт, право будет. Отсюда главное правило: ограничивают не добавлением запрета, а тем, что лишнего не выдают.

Пошаговая настройка прав через профили групп доступа

Работайте под пользователем с профилем «Администратор». Предопределённые профили (например, «Бухгалтер», «Главный бухгалтер») поставляются с конфигурацией и не редактируются, поэтому основа — копия.

Шаг 1. Создайте свой профиль на основе типового

1. Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа.
2. Выделите профиль, ближайший к задаче, и скопируйте его (F9 или команда копирования в списке).
3. Дайте понятное имя: «Бухгалтер без банка», «Кладовщик склада № 2».

Шаг 2. Уберите лишние роли и добавьте нужные

На вкладке с разрешёнными действиями (ролями) профиля — список ролей с флажками. Типовые роли в БСП-конфигурациях названы по смыслу: «Чтение …» и «Добавление и изменение …» с названием группы документов.

1. Включите отбор по выбранным ролям, чтобы видеть только отмеченные.
2. Воспользуйтесь поиском по списку: введите слово из названия документа — «банк», «касс», «реализац».
3. Снимите роли на изменение тех документов, которые сотруднику не нужны. Оставьте роль чтения, если просматривать документы ему всё-таки надо.
4. Запишите профиль.

Одна роль часто охватывает несколько документов. Например, роль на кассовые операции обычно даёт права и на приходный, и на расходный ордер. Разделить их внутри типовой роли нельзя — для этого нужна своя роль (о ней ниже).

Шаг 3. Создайте группу доступа и добавьте участников

1. Перейдите в Администрирование → Настройки пользователей и прав → Группы доступа.
2. Создайте группу, в поле профиля укажите свой профиль из шага 1.
3. На вкладке участников добавьте пользователей.
4. Нажмите «Записать и закрыть».

Шаг 4. Уберите пользователя из лишних групп

Откройте карточку пользователя и посмотрите его права доступа : список групп, в которых он состоит. Если он остался в группе «Бухгалтеры» с полным профилем, ваш урезанный профиль ничего не изменит — права сложатся. Исключите его оттуда.

Шаг 5. Проверьте результат

В карточке пользователя есть отчёт о правах доступа: он показывает, какие права на какие объекты пользователь получил и из какой группы. Отфильтруйте отчёт по названию документа. Затем войдите под этим пользователем и попробуйте создать и провести документ .

Доступ к документам только своей организации или склада (RLS)

Роль отвечает на вопрос «какие документы». RLS (Row Level Security) — на вопрос «какие записи этих документов». С ним кассир ООО «Альфа» видит в журнале только ордера «Альфы», а документы ООО «Бета» для него просто не существуют.

Как включить ограничение на уровне записей

1. Откройте Администрирование → Настройки пользователей и прав.
2. Установите флажок ограничения доступа на уровне записей.
3. Дождитесь окончания обновления доступа: на большой базе это фоновое задание может идти от нескольких минут до нескольких часов.

Как задать значения ограничений

После включения флажка в профиле появляется вкладка ограничений доступа. В ней перечислены виды доступа, которые поддерживает конфигурация. В БП 3.0 основной вид — «Организации». В УТ 11 видов больше, среди них склады и группы партнёров. В ЗУП 3.1 есть «Организации» и «Группы физических лиц».

Для каждого вида выбирается режим:

Режим можно задать прямо в профиле или оставить для настройки в группе. Второй вариант удобнее: один профиль «Кассир» и по группе на каждую организацию со своим списком значений.

1. В профиле для вида «Организации» укажите, что значения настраиваются в группах доступа.
2. В группе «Кассиры ООО Альфа» на вкладке ограничений выберите «Все запрещены» и добавьте «Альфу».
3. В группе «Кассиры ООО Бета» — то же самое с «Бетой».

Тонкое разграничение без RLS

RLS бывает избыточен или недоступен: например, нужно запретить править документы прошлого квартала, а не прятать их. Для таких задач есть другие инструменты.

Даты запрета изменения

Запрещают менять и перепроводить документы до заданной даты. Флажок включается в разделе Администрирование → Настройки пользователей и прав, там же открываются сами даты.

• 📅 Общая дата для всех пользователей — например, по 30.06 включительно после сдачи отчётности за полугодие.
• 👤 Отдельная дата для конкретного пользователя или группы. Главному бухгалтеру можно оставить доступ, рядовым сотрудникам — закрыть.
• 🏢 Дата в разрезе организации, если учёт ведётся по нескольким юрлицам.

Документ за закрытый период откроется, но записать его не получится — программа сообщит о дате запрета.

Права только на чтение

Если документ нужно видеть, но не менять, оставьте в профиле только роль чтения по этой группе документов. Это проще, чем RLS, и не требует обновления служебных таблиц.

Свои роли в расширении конфигурации

Когда типовая роль слишком широкая (нужно разрешить приходный ордер, но запретить расходный), создают свою роль. Делать это в основной конфигурации не стоит: снятие с поддержки усложнит каждое обновление. Правильный путь — расширение (механизм есть с платформы 8.3.6).

1. В Конфигураторе: Конфигурация → Расширения конфигурации, создайте расширение.
2. В расширении добавьте новую роль, отметьте права только на нужный документ и связанные с ним объекты (справочники для реквизитов, регистры, в которые он пишет движения).
3. Обновите конфигурацию базы данных для расширения.
4. В пользовательском режиме добавьте новую роль в свой профиль и уберите из него широкую типовую роль.

RLS и роли вместе: типовые схемы

На практике права почти всегда собирают из двух уровней сразу. Несколько рабочих схем:

Как это выглядит в RLS-условии роли в Конфигураторе (упрощённо, без шаблонов БСП):

Док ГДЕ Док.Организация В (&РазрешенныеОрганизации)

Здесь РазрешенныеОрганизации — параметр сеанса, который заполняется при входе пользователя. В типовых конфигурациях такие условия уже прописаны через шаблоны ограничений, а значения берутся из групп доступа. Писать условия руками нужно только в собственных ролях и только если вы владеете разработкой.

Что ещё защищает документы, кроме ролей

Права на документы — только часть защиты. Остальное настраивается рядом и часто забывается.

• 🔐 Запрет внешних обработок. Право на интерактивное открытие внешних отчётов и обработок позволяет запускать любой код, в том числе меняющий документы в обход ролей. Выдавайте его только администраторам.
• 🔑 Пароли и вход. В настройках входа задают минимальную длину и сложность пароля, срок его действия, блокировку после нескольких неудачных попыток.
• 📝 Журнал регистрации. Фиксирует, кто и когда изменил или удалил документ. Открывается в разделе Администрирование → Обслуживание. Уровень детализации проверьте в настройках журнала.
• 🚫 Конфигуратор. Пользователь с правом «Администрирование» в роли может войти в Конфигуратор и выгрузить базу целиком. Рядовым сотрудникам такой роли быть не должно.
• 👥 Учётная запись «на всех». Общий логин «Бухгалтерия» делает журнал регистрации бесполезным: не понять, кто провёл документ. Заведите каждому сотруднику своего пользователя.

Почему права не работают так, как задумано

Настройка вроде сделана, а результат другой. Вот что чаще всего за этим стоит.

Отдельно об администраторе. Если у единственного пользователя с полными правами случайно забрать профиль «Администратор», войти в настройки прав будет некому. Перед правкой прав держите хотя бы двух пользователей с полными правами и проверяйте изменения под тестовой учётной записью, а не под своей.

Частые вопросы