Как выдать сотруднику ровно те права в 1С, которые ему нужны
Содержание
Права пользователей в типовой 1С 8.3 (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) настраивают не в Конфигураторе, а в режиме «Предприятие»: Администрирование → Настройки пользователей и прав (в УТ 11 — НСИ и администрирование → Настройки пользователей и прав). Сотрудника включают в группу доступа, а набор прав группы задаёт профиль.
Самая частая ошибка — поставить пользователю роли галочками в Конфигураторе. Программа их не учитывает так, как вы ожидаете: при следующей записи пользователя или обновлении состав ролей пересчитается по группам доступа, и «ручные» права пропадут. Правильно настроить права в 1С — значит работать через профили и группы.
Как устроена система прав: роли, профили, группы доступа
В основе всего лежит роль. Это объект конфигурации, в котором для каждого справочника, документа, отчёта и регистра отмечено, что с ним можно делать: читать, добавлять, изменять, удалять, проводить. Роли создаёт разработчик в Конфигураторе.
Над ролями в типовых конфигурациях есть два уровня, которые даёт Библиотека стандартных подсистем:
- 🧩 Профиль группы доступа — набор ролей под должность: «Бухгалтер», «Главный бухгалтер», «Администратор» и другие. Плюс список видов доступа, по которым можно ограничить данные.
- 👥 Группа доступа — профиль, применённый к конкретным людям. В группе указывают участников и, если включено ограничение на уровне записей, разрешённые значения (например, организации).
- 👤 Пользователь — учётная запись для входа. Его итоговые права — сумма ролей всех групп, в которые он входит.
Права только складываются. Если сотрудник состоит в группе «Кассир» и в группе «Бухгалтер», у него будет всё из обеих. Запретить что-то одной группой, когда другая это разрешает, нельзя.
| Уровень | Где настраивают | Кто меняет |
|---|---|---|
| Роль | Конфигуратор или расширение | Разработчик |
| Профиль | Режим «Предприятие» | Администратор базы |
| Группа доступа | Режим «Предприятие» | Администратор базы |
| Пользователь | Режим «Предприятие» | Администратор базы |
Подготовка: первый администратор и учётные записи пользователей
Пока в базе нет ни одного пользователя, 1С пускает любого без пароля и с полными правами. Поэтому первый шаг — завести администратора.
Если пользователей ещё нет
- Запустите базу в режиме «Предприятие».
- Откройте
Администрирование → Настройки пользователей и прав → Пользователи. - Создайте пользователя для себя. Программа сама включит его в группу «Администраторы».
- Задайте пароль и перезапустите базу — теперь вход будет по списку.
Если первого пользователя всё же создали в Конфигураторе (Администрирование → Пользователи), дайте ему роли «Полные права» и «Администратор системы». Без них после входа в «Предприятие» вы не сможете управлять остальными пользователями.
Карточка сотрудника
В карточке пользователя заполните:
- Полное имя — как сотрудник будет отображаться в документах и журналах.
- Имя для входа — то, что он выбирает в окне запуска. Латиница не обязательна.
- Вход в программу разрешён — снимите флажок, чтобы временно заблокировать доступ без удаления учётной записи.
- Способ аутентификации — по паролю 1С:Предприятия или по учётной записи Windows. Второй удобен в домене: сотрудник входит без пароля, 1С узнаёт его по логину Windows.
💡 Уволенного сотрудника не удаляйте. Снимите флажок входа: его имя останется в журнале регистрации и в поле «Ответственный» старых документов.
Группы пользователей
Когда сотрудников больше десяти, включите флажок «Группы пользователей» в Настройки пользователей и прав. Тогда людей можно разложить по отделам: «Бухгалтерия», «Склад», «Продажи».
Группу пользователей потом добавляют в группу доступа целиком. Новый кладовщик попадает в отдел «Склад» — и сразу получает все складские права. Не нужно вспоминать, в какие пять групп доступа его включить.
Требования к паролям
В тех же настройках есть параметры входа. Там задают минимальную длину пароля, требование сложности и срок его действия. Для обычных пользователей разумный минимум — 8 символов со сменой раз в несколько месяцев.
При создании учётной записи удобно отметить, что пользователь должен сменить пароль при первом входе. Тогда администратор не знает итоговый пароль сотрудника, и спорить, «кто провёл документ», не придётся.
Профили групп доступа: готовые наборы прав
Типовая конфигурация поставляется с готовыми профилями. Посмотреть их можно в Администрирование → Настройки пользователей и прав → Профили групп доступа. Открыв профиль, вы увидите список ролей и виды доступа.
Поставляемые профили менять нельзя: при обновлении конфигурации они перезаписываются. Если нужен «бухгалтер, но без кассы», делайте так:
- Выделите близкий по смыслу профиль и скопируйте его.
- Переименуйте копию понятно: «Бухгалтер без кассы».
- На вкладке ролей снимите лишние, добавьте недостающие.
- Запишите профиль.
Названия ролей в списке бывают длинными. Ориентируйтесь по словам «Чтение», «Добавление и изменение», «Использование» — они прямо говорят, что даёт роль. Если сомневаетесь, сначала дайте роль чтения, а право изменения добавьте, когда сотрудник упрётся в запрет.
Не делайте один профиль под каждого человека. Пять–семь профилей по должностям проще поддерживать, чем тридцать «персональных». Особые случаи решают дополнительной группой доступа поверх основной.
Группы доступа: как назначить права пользователям
Профиль сам по себе никому прав не даёт. Права появляются, когда вы создаёте группу доступа и добавляете в неё людей.
- Откройте
Администрирование → Настройки пользователей и прав → Группы доступа. - Нажмите «Создать», укажите наименование и профиль.
- На вкладке участников добавьте пользователей. Можно добавить и группу пользователей целиком, если включены группы пользователей.
- Если профиль поддерживает ограничения, на вкладке видов доступа укажите разрешённые значения.
- Запишите группу.
Второй путь — из карточки пользователя. Ссылка «Права доступа » открывает список групп, где можно отметить нужные флажками. Это удобно, когда вы оформляете одного нового сотрудника.
Изменения ролей вступают в силу при следующем входе пользователя. Если сотрудник жалуется, что «ничего не поменялось», попросите его закрыть 1С и открыть заново.
Пример раскладки для небольшой фирмы
| Сотрудник | Группы доступа | Что получает |
|---|---|---|
| Главный бухгалтер | Главный бухгалтер | Весь учёт, закрытие месяца, отчётность |
| Бухгалтер по банку | Бухгалтер + ограничение по одной организации | Документы только своей организации |
| Кассир | Кассир | Кассовые документы, справочники на чтение |
| Директор | Только просмотр (своя копия профиля) | Отчёты без права менять данные |
| ИТ-специалист | Администраторы | Пользователи, обновления, обмены |
Свои роли: когда готовых не хватает
Иногда в профиле нет нужного сочетания. Например, менеджеру нужно видеть одну обработку, а роль, которая её открывает, тянет за собой лишние права. Тогда создают собственную роль.
Не правьте роли основной конфигурации напрямую: это снимает её с поддержки и усложняет каждое обновление. Используйте расширение — оно появилось в платформе 8.3.6 и подходит для ролей лучше всего.
Порядок работы в Конфигураторе
- Откройте
Конфигурация → Расширения конфигурации, добавьте новое расширение. - В дереве расширения создайте роль, назовите её по смыслу: «ЗапускОбработкиЗагрузкиЦен».
- Нужные объекты основной конфигурации сначала заимствуйте в расширение (контекстное меню объекта в основной конфигурации → «Добавить в расширение»).
- В окне прав роли отметьте только необходимое: для отчёта — «Использование» и «Просмотр», для справочника на чтение — «Чтение» и «Просмотр».
- Сохраните расширение и обновите конфигурацию базы данных расширения.
После этого в режиме «Предприятие» роль появится в списке ролей вашего профиля-копии. Добавьте её туда и проверьте под тестовым пользователем.
Как проверить новый набор прав
Заведите служебного пользователя «Тест_права» и включите его в ту же группу доступа, что и сотрудника. Войдите под ним во втором окне 1С и пройдите типичный рабочий день: создайте документ, проведите, распечатайте, откройте нужные отчёты.
Так вы увидите запреты раньше сотрудника. После проверки снимите у тестового пользователя флажок входа, чтобы учётная запись не стала лазейкой.
| Что дать | Какие права отметить в роли |
|---|---|
| Открыть отчёт или обработку | Использование, Просмотр |
| Смотреть справочник | Чтение, Просмотр |
| Заводить элементы справочника | Чтение, Добавление, Изменение, Просмотр, Редактирование |
| Проводить документы | Чтение, Изменение, Проведение, Отмена проведения |
Флажок «Устанавливать права для новых объектов» в свойствах роли оставьте снятым. Иначе любой объект, добавленный в будущем, автоматически станет доступен всем с этой ролью.
Ограничение доступа на уровне записей (RLS)
Роли решают, к какому объекту есть доступ. Но часто нужно другое: бухгалтер видит документы только своей организации. Для этого в 1С есть ограничение на уровне записей — RLS.
Как включить
- Откройте
Администрирование → Настройки пользователей и прав. - Установите флажок «Ограничивать доступ на уровне записей».
- Дождитесь окончания обновления доступа. В большой базе это фоновое задание может идти долго.
- В группе доступа на вкладке видов доступа выберите вид, например «Организации», и режим: «Все запрещены, кроме…» с перечнем разрешённых или «Все разрешены, кроме…».
В Бухгалтерии 3.0 основной вид доступа — организации. В УТ 11 и ЗУП 3.1 видов больше: по складам, подразделениям, группам контрагентов. Список доступных видов зависит от профиля.
Проверить результат просто. Войдите под пользователем с ограничением и откройте журнал документов за месяц. В колонке «Организация» должны остаться только разрешённые значения. Затем сформируйте оборотно-сальдовую ведомость: в отборе по организации будут доступны только те же значения, а чужие данные в итог не попадут.
Что учесть до включения
- ⏳ Скорость. Каждая выборка данных проверяет условие ограничения. На слабом сервере отчёты по большим периодам станут медленнее.
- 🧮 Итоги в отчётах. Пользователь видит итог только по разрешённым записям. Это ожидаемо, но директора, сравнивающие цифры с главбухом, удивляются.
- 🔧 Свои роли с ограничениями. Условия RLS пишут в роли на языке запросов. В типовых конфигурациях этим занимается механизм стандартных подсистем; если вы пишете свои ограничения в расширении, проверяйте их на копии базы.
Диагностика: почему у пользователя не хватает прав
Типичная жалоба звучит как окно с текстом Нарушение прав доступа! или Недостаточно прав для просмотра. Разбираться лучше по порядку, а не добавлять роли наугад.
Пошаговая проверка
- Нажмите в окне ошибки «Подробно» или скопируйте полный текст. В нём часто указан объект и операция, на которую нет прав.
- Откройте карточку пользователя и по ссылке «Права доступа» посмотрите, в каких группах он состоит.
- Проверьте профиль этих групп: есть ли роль, дающая доступ к найденному объекту.
- Если роль есть, а доступа нет — смотрите ограничения на уровне записей в группе: возможно, не разрешена нужная организация.
- Попросите пользователя перезайти и повторить действие.
Полезный источник — журнал регистрации (Администрирование → Обслуживание → Журнал регистрации). Отберите события по пользователю за нужное время: отказы в доступе фиксируются отдельным событием группы «Доступ».
Частые ошибки при раздаче прав
- ❌ Всем «Администратор», чтобы не мешало. Такой сотрудник может удалить объекты, поменять учётную политику и закрытый период. Права администратора — одному-двум людям.
- ❌ Общий пользователь «Бухгалтерия» на троих. В журнале регистрации не видно, кто провёл или удалил документ. Каждому сотруднику — своя учётная запись.
- ❌ Правка поставляемых профилей. Изменения пропадут при обновлении. Работайте только с копиями.
- ❌ Включение RLS в рабочее время. Обновление доступа нагружает базу. Включайте ограничение вечером или в выходной.
- ❌ Пароли вроде «123». Включите требования к сложности пароля в настройках входа и попросите сотрудников сменить пароль при первом входе.