Роли, профили и группы доступа в 1С 8.3: кому что разрешить и как это проверить

Права доступа в 1С 8.3 настраивают не в Конфигураторе, а в режиме Предприятия: Администрирование → Настройки пользователей и прав (в УТ 11 — НСИ и администрирование → Настройки пользователей и прав). Там пользователю назначают профиль — готовый набор ролей. Если нужно, чтобы бухгалтер видел только свою организацию или кладовщик только свой склад, включают ограничение на уровне записей.

Способов настроить права три, и выбирают их по задаче. Готовый профиль — для типовых должностей. Копия профиля с добавленными ролями — когда типовой набор чуть шире или уже нужного. Своя роль в расширении — когда нужна новая комбинация прав на конкретные объекты. Всё это работает одинаково в БП 3.0, ЗУП 3.1 и УТ 11: механизм общий, он из Библиотеки стандартных подсистем.

Подготовка: матрица «должность → что делает в базе»

Начинать с кнопок — ошибка. Сначала составьте короткую таблицу: кто работает в базе и что ему нужно делать. Без неё права выдают «как у соседа», и через полгода у половины пользователей полные права.

Для каждой должности ответьте на четыре вопроса:

• 📄 Какие документы вводит и проводит сам.
• 👀 Какие разделы только смотрит (отчёты, справочники).
• 🏢 По каким организациям, складам, подразделениям работает.
• 🔒 Какой период ему разрешено менять.

Пример для небольшой фирмы:

Ещё одно правило подготовки: пользователей типовых конфигураций создавайте только в режиме Предприятия. Если завести пользователя в Конфигураторе через Администрирование → Пользователи, он появится в списке пользователей информационной базы, но не в справочнике «Пользователи». Профили и группы доступа к нему не применятся, а права придётся чинить вручную.

Типовые профили: что дают «из коробки»

Роль — это минимальный кирпичик: право читать, добавлять, изменять, проводить конкретный объект. Ролей в типовой конфигурации сотни, раздавать их по одной никто не будет. Поэтому разработчики собрали их в профили групп доступа.

Профили открываются в разделе Настройки пользователей и прав → Профили групп доступа. В типовых конфигурациях уже есть «Администратор» и профили под основные должности: в БП — «Бухгалтер», «Главный бухгалтер» и другие; в ЗУП и УТ свои наборы под кадровиков, расчётчиков, менеджеров, кладовщиков.

Как назначить профиль, зависит от конфигурации:

В БП по умолчанию включён упрощённый режим: группы доступа создаются автоматически, вы просто отмечаете профили в карточке. В ЗУП и УТ группы доступа видны явно. Группа — это профиль плюс список участников плюс значения ограничений (какие организации, склады).

Порядок создания пользователя

1. Откройте раздел настроек пользователей и прав, затем список «Пользователи».
2. Нажмите «Создать», заполните полное имя и имя для входа.
3. Установите пароль или включите вход через аутентификацию операционной системы.
4. Запишите карточку.
5. Назначьте профиль: в БП — по ссылке «Права доступа», в ЗУП и УТ — добавьте пользователя в нужную группу доступа.
6. Попросите сотрудника войти и проверить свои рабочие операции.

Своя роль: когда типового профиля мало

Типовые поставляемые профили менять нельзя: форма открывается только на просмотр. Это сделано специально, чтобы обновление конфигурации не перетёрло ваши правки. Порядок действий такой.

Шаг 1. Копия профиля

Выделите близкий по смыслу профиль и создайте его копию. В копии можно снять или добавить роли. Назовите профиль понятно: «Бухгалтер по банку (без зарплаты)», а не «Бухгалтер 2».

Этого хватает в большинстве задач. Например, рядовому бухгалтеру нужно дать право открывать внешние обработки — достаточно добавить в копию роль «Интерактивное открытие внешних отчетов и обработок».

Шаг 2. Новая роль в расширении

Если готовой роли с нужным набором прав нет, её создают в Конфигураторе. Править основную конфигурацию не стоит: она снимется с поддержки, обновления станут сложнее. Правильный путь — расширение:

1. В Конфигураторе откройте Конфигурация → Расширения конфигурации и создайте расширение.
2. В дереве расширения в ветке Общие → Роли добавьте роль.
3. Заимствуйте в расширение объекты, на которые раздаёте права, и отметьте нужные: чтение, добавление, изменение, проведение, просмотр.
4. Сохраните расширение и обновите конфигурацию базы данных.
5. В режиме Предприятия добавьте новую роль в свой профиль.

Последнее правило важно понимать до начала работы. В 1С нет «запрещающих» ролей. Чтобы что-то запретить, убирают роль, которая это разрешает, а не добавляют новую.

Группы доступа и сочетание нескольких профилей

Один пользователь может состоять в нескольких группах доступа. Права из всех его профилей складываются. На этом строится удобная схема: базовый профиль на должность плюс небольшие дополнительные профили под отдельные функции.

Пример. Бухгалтеру по банку дают профиль «Бухгалтер» с ограничением на одну организацию. Если ему раз в квартал нужно смотреть кадровые отчёты, лучше завести узкий профиль только с этим отчётом, чем расширять основной.

В ЗУП и УТ в группу доступа можно добавить не отдельного пользователя, а группу пользователей (например, «Бухгалтерия»). Тогда новый сотрудник получает права, как только его включают в группу пользователей.

Ограничения по организациям, складам и документам

Профиль отвечает на вопрос «какие объекты». Ограничение на уровне записей отвечает на вопрос «какие именно строки». Это и есть RLS: бухгалтер видит документы и отчёты только по своей организации.

Как включить

1. В разделе настроек пользователей и прав установите флажок «Ограничивать доступ на уровне записей».
2. Откройте профиль (вашу копию) и перейдите на вкладку «Ограничения доступа».
3. Для нужного вида доступа (например, «Организации» или «Склады») выберите, как задаются значения: «Все разрешены» с исключениями или «Все запрещены» с разрешёнными.
4. Если значения задаются в группе доступа, откройте группу и укажите конкретные организации или склады.
5. Дождитесь окончания обновления доступа: программа пересчитывает его в фоне.

Набор видов доступа зависит от конфигурации. В БП основной вид — организации. В УТ 11 их больше: склады, виды цен, группы партнёров и другие. Смотрите список на вкладке «Ограничения доступа» в профиле своей программы.

Запрет правки закрытого периода

Ещё одно ограничение не связано с ролями: дата запрета изменения. Она не даёт исправить документ за закрытый месяц или квартал. Включается флажком «Даты запрета изменения» в том же разделе настроек пользователей и прав. Дату можно задать общую для всех или отдельную для пользователя и организации.

Типичная схема: всем — запрет до конца прошлого квартала, главному бухгалтеру — без запрета или с датой на месяц раньше.

Частые промахи при раздаче прав

Ошибки здесь бывают не в кнопках, а в логике.

• 🔑 Профиль «Администратор» «на время». Его выдают, чтобы сотрудник срочно что-то сделал, и забывают забрать. Через год полные права у половины отдела.
• 🧩 Правка ролей прямо в основной конфигурации. После обновления правки теряются или конфликтуют, а база снимается с поддержки.
• 📦 RLS без нужных связанных объектов. Пользователю ограничили склады, а документ ссылается на склад вне его списка. При записи он видит Нарушение прав доступа!. Причину ищите в журнале регистрации: там видно, к какому объекту не хватило доступа.
• 👥 Общая учётная запись на отдел. В журнале регистрации невозможно понять, кто удалил документ. У каждого сотрудника должен быть свой пользователь.
• 🗂 Пользователи, заведённые в Конфигураторе. Их нет в справочнике, профили к ним не применяются. Такого пользователя нужно сопоставить с элементом справочника или завести заново из Предприятия.

Проверка прав и контроль изменений

Права со временем «расползаются». Проверку стоит делать хотя бы раз в квартал и после каждого увольнения.

Что смотреть

1. Отчёт по правам пользователя. В карточке пользователя есть отчёт о правах доступа: он показывает, что пользователь может делать с каждым объектом и из какого профиля это право пришло. В новых релизах библиотеки стандартных подсистем есть отдельный отчёт «Анализ прав доступа» в разделе настроек пользователей и прав.
2. Состав групп доступа. Откройте каждую группу и проверьте участников. Уволенных удалите из групп, даже если вход им уже запрещён.
3. Журнал регистрации. В нём видно, кто и когда менял профили, группы доступа и карточки пользователей. Отбор по событию и пользователю быстро показывает, кто выдал лишнее.
4. Список пользователей с административным профилем. Их должно быть два-три, не больше.

Выгрузка ролей обработкой

Если пользователей десятки, удобнее выгрузить список ролей каждого пользователя информационной базы. Это можно сделать внешней обработкой с таким кодом на сервере:

Для Каждого ПользовательИБ Из ПользователиИнформационнойБазы.ПолучитьПользователей() Цикл
    Для Каждого Роль Из ПользовательИБ.Роли Цикл
        Сообщить(ПользовательИБ.Имя + ": " + Роль.Имя);
    КонецЦикла;
КонецЦикла;

Код показывает итоговые роли, которые платформа выдала пользователю по всем его профилям. Сравните результат с матрицей из подготовки: лишние роли сразу видны.

Как ускорить настройку прав для многих пользователей

Когда сотрудников 20 и больше, настраивать каждого вручную долго. Помогают штатные приёмы.

• 👥 Группы пользователей. В ЗУП и УТ создайте группы пользователей по отделам и добавьте в группу доступа целую группу. Новичка достаточно включить в отдел.
• 📋 Создание копированием. Создайте нового пользователя копированием карточки коллеги на той же должности. После записи проверьте назначенные профили: сверьте их с коллегой.
• 🖥 Копирование персональных настроек. В разделе настроек пользователей и прав откройте «Персональные настройки пользователей». Там можно скопировать настройки интерфейса, отчётов и рабочего стола от одного пользователя другим. Права это не меняет, но новичок сразу видит привычный интерфейс.
• 🔁 Шаблонные профили. Держите один профиль на должность и меняйте именно его. Изменение профиля сразу действует для всех групп доступа, где он используется.

Если в компании несколько баз (бухгалтерия, зарплата, торговля), права в каждой настраиваются отдельно. Синхронизации прав между базами в типовых конфигурациях нет, поэтому матрица должностей из подготовки пригодится для всех баз сразу.

Частые вопросы