Профили, группы доступа и ограничения: раздаём права в 1С 8.3 без лишнего
Содержание
Права доступа
пользователей в типовых конфигурациях 1С 8.3 настраивают не ролями в Конфигураторе, а в самой программе: Администрирование → Настройки пользователей и прав. Схема такая: создаёте пользователя, включаете его в группу доступа, а группа получает набор прав из профиля. Ограничения по организациям, складам или подразделениям задаются там же, в группе доступа.
Это работает одинаково в Бухгалтерии 3.0, ЗУП 3.1, УТ 11 и других решениях на Библиотеке стандартных подсистем (БСП). Отличается только раздел, где лежит пункт меню, и набор поставляемых профилей.
| Конфигурация | Где настраивать пользователей и права |
|---|---|
| Бухгалтерия предприятия 3.0 | Администрирование → Настройки пользователей и прав |
| ЗУП 3.1 | Администрирование → Настройки пользователей и прав |
| Управление торговлей 11 | НСИ и администрирование → Настройки пользователей и прав |
Подготовка: три понятия, на которых держится настройка прав
Прежде чем раздавать доступ, разведите три сущности. Путаница между ними — источник половины проблем вида «дал права, а он всё равно не видит».
- 👤 Пользователь — учётная запись: имя, пароль, способ входа. Сам по себе прав не имеет.
- 🧩 Профиль группы доступа — набор ролей. Отвечает на вопрос «что можно делать»: вводить документы, смотреть отчёты, менять справочники.
- 👥 Группа доступа — связывает профиль с конкретными людьми и добавляет ограничения. Отвечает на вопрос «с какими данными»: с какими организациями, складами, сотрудниками.
Один пользователь может состоять в нескольких группах доступа. Права при этом складываются: если хотя бы одна группа что-то разрешает, это разрешено.
Из этого правила следует простой вывод: запретить что-то «сверху» нельзя. Если у сотрудника лишние права, ищите группу, которая их даёт, а не способ их отнять.
Создание пользователя и параметры входа
Откройте Администрирование → Настройки пользователей и прав → Пользователи и нажмите Создать.
- Заполните Полное имя — так человек будет виден в документах и журналах.
- Имя для входа — короткий логин, например
ivanova. Его вводят при запуске. - Убедитесь, что включён флажок Вход в программу разрешён. Без него запись есть, а войти нельзя.
- Выберите способ аутентификации:
- Аутентификация 1С:Предприятия — логин и пароль 1С;
- Аутентификация операционной системы — вход под учётной записью Windows без ввода пароля, указывается в формате
\\ДОМЕН\логин.
- Задайте пароль кнопкой
Установить парольили включите требование сменить пароль при первом входе. - Флажок Показывать в списке выбора уберите, если не хотите, чтобы все логины были видны в окне входа.
- Запишите карточку.
Если в базе ещё нет ни одного пользователя, программа пускает всех без пароля с полными правами. Первым всегда создавайте администратора и включайте его в группу «Администраторы». Иначе после появления первого обычного пользователя вы рискуете остаться без доступа к администрированию.
Требования к паролям — минимальная длина, сложность, срок действия — задаются централизованно. Ищите ссылку Настройки входа в том же разделе Настройки пользователей и прав.
Профили и группы доступа: как выдать права по должностям
Поставляемые профили
В каждой конфигурации есть готовые профили под типовые должности. В Бухгалтерии это, например, «Администратор», «Бухгалтер», «Главный бухгалтер», в ЗУП — профили кадровика и расчётчика. Список профилей открывается по ссылке Профили групп доступа.
Поставляемые профили менять нельзя: они обновляются вместе с конфигурацией. Если набор прав не подходит, действуйте так:
- Выделите близкий по смыслу профиль и нажмите
Скопировать. - Дайте копии понятное имя: «Бухгалтер по банку», «Кладовщик без цен».
- В дереве ролей снимите или поставьте нужные флажки.
- Запишите профиль.
Скопированный профиль при обновлении конфигурации не перезаписывается. Но новые роли, которые фирма 1С добавит в поставляемый профиль, в копию сами не попадут. После крупных обновлений сравнивайте свою копию с оригиналом.
Группы доступа
Группа — это профиль плюс участники. Откройте Группы доступа и нажмите Создать:
- Укажите наименование, например «Бухгалтерия ООО Север».
- В поле Профиль выберите профиль.
- На вкладке Участники добавьте пользователей или целые группы пользователей.
- Запишите.
Права вступают в силу при следующем входе. Попросите пользователя перезапустить программу — открытый сеанс работает со старым набором ролей.
| Задача | Что делать | Чем рискуете |
|---|---|---|
| Новый сотрудник на типовую должность | Включить в существующую группу | Ничем, самый безопасный путь |
| Нужна пара дополнительных прав | Создать отдельную группу с узким профилем и добавить человека в неё | Права «расползаются», если таких групп много |
| Должность сильно отличается от типовой | Скопировать профиль и настроить роли | Копия отстаёт от обновлений конфигурации |
| Нужно ограничить данные, а не действия | Настроить ограничения в группе доступа | Замедление работы на больших базах |
Почему не стоит назначать роли в Конфигураторе
В Конфигураторе есть список пользователей с вкладкой ролей, и рука тянется поставить флажки там. В конфигурациях на БСП этого делать не нужно: программа сама выставляет роли по составу групп доступа и при ближайшем изменении групп перезапишет ваши ручные флажки. Используйте Конфигуратор только для аварийного входа, а права меняйте в режиме «Предприятие».
Как ограничить интерфейс и разделы для пользователя
Разделы, к которым у человека нет прав, скрываются сами: если в профиле нет ролей по зарплате, раздел «Зарплата и кадры» он не увидит. Поэтому первое средство «убрать лишнее с экрана» — правильный профиль.
Бывает, что права нужны, а пункты меню мешают. Тогда настройте внешний вид, не трогая права:
- 🗂 Панель разделов. Главное меню (кнопка с тремя полосками) →
Вид → Настройка панели разделов. Ненужные разделы переносятся в правую колонку — они исчезают с панели, но остаются доступны. - 📌 Навигация внутри раздела. Значок шестерёнки в правом верхнем углу раздела →
Настройка навигации. Здесь убирают редко используемые команды. - 🔁 Тиражирование настроек. Настроили интерфейс одному бухгалтеру — скопируйте другим:
Настройки пользователей и прав → Настройки пользователей, выберите источник и скопируйте внешний вид остальным.
Скрытый с панели раздел — не ограничение доступа. Пользователь вернёт его за пару кликов, а отчёты и документы откроет поиском. Если данные действительно нужно закрыть, убирайте роли в профиле.
Отдельно стоит закрыть открытие внешних отчётов и обработок. Это право даёт возможность запустить любой файл .erf или .epf, а значит, выполнить произвольный код в базе. В профиле его снимают отдельным флажком; обычным сотрудникам оно ни к чему.
Исключения и ограничения на уровне записей
Профиль решает, какие действия доступны. Ограничения на уровне записей решают, с какими данными. Типичный пример — бухгалтер ведёт одну организацию из трёх и не должен видеть остальные.
Включение механизма
В разделе Настройки пользователей и прав включите флажок Ограничивать доступ на уровне записей. Программа предупредит, что работа может замедлиться: каждый запрос будет проверять права по строкам.
В Бухгалтерии 3.0 этот флажок есть в редакции КОРП. В ЗУП 3.1 и УТ 11 он доступен в типовой поставке.
Настройка группы доступа
После включения в карточке группы доступа появляется вкладка с видами доступа: организации, склады, подразделения, физические лица — набор зависит от профиля и конфигурации.
Для каждого вида выбирается режим и список исключений:
| Режим | Как читается | Когда применять |
|---|---|---|
| Все разрешены, исключения в списке | Всё доступно, кроме перечисленного | Закрыть одну-две «чувствительные» организации |
| Все запрещены, исключения в списке | Ничего не доступно, кроме перечисленного | Дать доступ к одной-двум организациям |
Режим «Все запрещены» с явным списком безопаснее: когда в базе появится новая организация, она по умолчанию будет закрыта. В режиме «Все разрешены» новая организация сразу откроется всем.
Пример. В базе три организации: «Север», «Юг», «Восток». Бухгалтер Иванова ведёт только «Юг». Группа «Бухгалтерия Юг» → профиль «Бухгалтер» → вид доступа «Организации» → «Все запрещены» → исключение «Юг». Ивановой видны документы и отчёты только по «Югу».
Где исключения не спасут
Помните о сложении прав. Если Иванова одновременно состоит в группе «Бухгалтерия» без ограничений, ограничения группы «Бухгалтерия Юг» ничего не дадут: другая группа уже открыла ей все организации.
Для защиты закрытых периодов используйте не права, а даты запрета изменения. Их включают в разделе Администрирование (найдите по слову «запрет» на панели раздела) и задают общую дату или отдельную для пользователя и организации. Это отдельный механизм: роль позволяет редактировать документ, а дата запрета не даёт его изменить задним числом.
Проверка прав: как убедиться, что настроено правильно
Не полагайтесь на «вроде должно работать». Проверьте тремя способами.
- Отчёт по правам. Откройте карточку пользователя и найдите отчёт «Права доступа» среди отчётов карточки. Он показывает, какие права есть у человека и через какие группы они получены. Отсюда быстро видно, откуда взялось лишнее право.
- Вход под пользователем. Самая честная проверка — зайти под его логином на тестовой копии базы или с временным паролем и пройти рабочий сценарий: создать документ , провести, открыть нужный отчёт.
- Ревизия групп. Раз в квартал открывайте список групп доступа и смотрите участников. Уволенные сотрудники и стажёры, которым «временно дали админа», находятся именно так.
Уволенного сотрудника не удаляйте: на него ссылаются документы и журнал регистрации. Снимите флажок «Вход в программу разрешён» и выведите его из всех групп доступа.
Журнал регистрации (в БП 3.0 — раздел Администрирование → Обслуживание, группа протоколов работы программы) показывает, кто и когда менял пользователей и группы. Отфильтруйте события по пользователю или по типу «Пользователи» — это быстрый аудит после инцидента.
Типичные ошибки при настройке безопасности
- ❌ Всем роль «Администратор», чтобы не мешали. Администратор может менять права других, выгружать базу и открывать внешние обработки. Дайте этот профиль двум людям максимум: себе и резервному администратору.
- ❌ Общий логин на отдел. Журнал регистрации покажет «Бухгалтерия», а не конкретного человека. Расследовать удалённый документ станет невозможно.
- ❌ Редактирование поставляемого профиля через конфигурацию. Доработанный поставляемый профиль усложняет обновления. Копия решает ту же задачу без вмешательства в конфигурацию.
- ❌ Ограничения на уровне записей «на всякий случай». На базах с десятками пользователей механизм заметно тормозит отчёты. Включайте его, когда реально нужно разделить данные.
- ❌ Пароль администратора кластера или базы в общем файле. Тот, кто знает пароль администратора базы, обходит все ваши группы доступа.
- ❌ Изменения прав без записи, кто и зачем их запросил. Через полгода никто не вспомнит, почему у кладовщика есть доступ к ценам закупки.