Доступ сотрудника к базе 1С 8.3: роли, профили и ограничение по организациям

Чтобы ограничить права пользователя в 1С 8.3, в типовых конфигурациях (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) откройте Администрирование → Настройки пользователей и прав → Профили групп доступа, скопируйте подходящий поставляемый профиль, снимите в копии лишние роли и включите сотрудника в группу доступа с этим профилем. В УТ 11 тот же раздел находится в НСИ и администрирование.

Роли напрямую в карточке пользователя в таких конфигурациях не назначают: права собираются из групп доступа. В самописных и старых конфигурациях без библиотеки стандартных подсистем (БСП) роли назначают в конфигураторе, в списке пользователей информационной базы.

Как устроены права в 1С: роли, профили и группы доступа

Платформа 1С понимает только роли. Роль — это набор разрешений на объекты: чтение справочника, проведение документа, вывод отчёта, запуск обработки. У пользователя может быть несколько ролей, и их права складываются.

В типовых конфигурациях над ролями надстроены ещё два уровня:

• 👤 Пользователь — карточка сотрудника в справочнике «Пользователи», связанная с пользователем информационной базы.
• 📦 Профиль группы доступа — набор ролей под должность: бухгалтер, кладовщик, кадровик.
• 👥 Группа доступа — профиль плюс список участников плюс ограничения по данным (какие организации, склады видны).

Итоговые права сотрудника = объединение ролей всех профилей всех групп, в которые он входит.

Кто должен остаться администратором

Перед любыми ограничениями проверьте, что в базе есть хотя бы один пользователь с полными правами, пароль от которого известен. Если урезать права единственному администратору, вернуть доступ можно будет только через конфигуратор, и то если у вас есть пользователь с правом администрирования.

Не настраивайте права под своей единственной учётной записью администратора. Заведите тестового пользователя и экспериментируйте на нём.

Шаг 1. Создаём ограниченный профиль: копия вместо правки

Поставляемые профили («Бухгалтер», «Главный бухгалтер», «Администратор» и другие) защищены от изменения состава ролей: их обновляет фирма-разработчик вместе с релизом. Поэтому рабочий приём — копировать.

1. Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа.
2. Выделите профиль, ближе всего подходящий к должности сотрудника.
3. Нажмите «Скопировать» (или клавишу F9).
4. Дайте копии понятное имя: «Бухгалтер по банку без зарплаты».
5. На вкладке со списком ролей снимите флажки с того, что сотруднику не нужно.
6. Запишите профиль.

Чтобы понимать, что именно снимаете, включите в форме профиля показ всех ролей и группировку по подсистемам, если она есть в вашем релизе. Названия ролей длинные, но говорящие: «Добавление и изменение банковских документов», «Чтение кадровых данных» и так далее.

Когда нужна своя роль в конфигураторе

Иногда готовых ролей не хватает. Например, нужно дать право проводить только один вид документа, а типовая роль открывает сразу группу документов.

Тогда роль создают в конфигураторе:

1. Запустите конфигуратор, откройте конфигурацию: Конфигурация → Открыть конфигурацию.
2. В дереве Общие → Роли добавьте новую роль.
3. В редакторе роли выберите объект и отметьте нужные права: «Чтение», «Добавление», «Изменение», «Проведение», «Просмотр», «Редактирование».
4. Для каждого объекта включайте только то, что требуется.

В типовой конфигурации на поддержке новую роль удобнее добавить в расширение, а не в саму конфигурацию: так не придётся снимать её с поддержки и вручную переносить правки при каждом обновлении. После подключения расширения роль появится в списке ролей при редактировании профиля (копии).

В редакторе роли есть флажок «Устанавливать права для новых объектов». Для ограничивающей роли его держат выключенным, иначе каждый новый объект из обновления откроется этой роли автоматически.

Почему права нельзя «отнять» второй ролью

Частая ошибка: сотруднику оставили профиль «Бухгалтер», а чтобы закрыть ему зарплату, добавили вторую группу с каким-то «урезанным» профилем. Не сработает.

В 1С нет запрещающих ролей. Права только суммируются: если хотя бы одна роль разрешает действие, оно разрешено. Поэтому «исключить» право можно лишь одним способом — убрать роль, которая его даёт, из всех профилей пользователя.

Порядок действий, когда нужно что-то запретить:

1. Откройте карточку пользователя и посмотрите, в каких группах доступа он состоит.
2. Найдите в профилях этих групп роль, которая даёт лишнее право.
3. Если роль нужна целиком, кроме одного объекта, — создайте свою роль без этого объекта (см. выше) и замените ею исходную в копии профиля.
4. Исключите пользователя из групп, которые дают права с запасом.

Шаг 2. Ограничиваем данные: организации, склады, контрагенты

Роли отвечают на вопрос «с какими объектами работать». Чтобы сотрудник видел документы только своей организации, нужно ограничение на уровне записей (в документации — RLS).

Включаем ограничение на уровне записей

1. Откройте Администрирование → Настройки пользователей и прав.
2. Установите флажок «Ограничивать доступ на уровне записей».
3. Подтвердите. Программа запустит фоновое обновление доступа: в базе на десятки тысяч документов оно может идти долго, работать при этом можно.

Пока флажок выключен, вкладки с ограничениями в профилях и группах есть, но на данные не влияют.

Задаём значения в группе доступа

1. Откройте Администрирование → Настройки пользователей и прав → Группы доступа.
2. Создайте группу, выберите для неё ограниченный профиль, добавьте участников.
3. Перейдите на вкладку с ограничениями доступа.
4. Для вида доступа «Организации» выберите режим «Все запрещены» и добавьте в список разрешённые организации.
5. Запишите группу.

Обратный режим — «Все разрешены» со списком исключений. Он удобен, если закрыть нужно одну-две организации из десяти.

Какие виды доступа доступны, зависит от конфигурации:

В Бухгалтерии 3.0 ограничить кладовщика одним складом штатными средствами нельзя: там это решают только доработкой. В УТ 11 склады есть среди видов доступа. Точный список видов смотрите в профиле: он показан на вкладке с ограничениями.

Шаг 3. Прячем лишнее из интерфейса — и почему это не защита

Сотрудники часто просят «убрать ненужные разделы». Это два разных запроса: ограничение прав и настройка интерфейса.

Что убирает лишнее с экрана:

• 🎛️ Роли. Если у пользователя нет прав на объекты раздела, раздел и команды исчезают сами.
• ⚙️ Функциональные опции. В Администрирование → Функциональность выключаются целые механизмы для всей базы, например учёт по складам или валютные операции.
• 🖥️ Настройка панели разделов. Пользователь сам скрывает разделы через меню «Сервис и настройки» → «Настройка» (шестерёнка в шапке окна).
• 📋 Копирование настроек. Настроенный интерфейс одного сотрудника можно скопировать другим: Администрирование → Настройки пользователей и прав → Копирование настроек.

Скрытая команда — не запрет. Если права у роли есть, сотрудник откроет объект через меню «Все функции», по навигационной ссылке или из отчёта. Защищают данные только роли и ограничения на уровне записей.

Меню «Все функции» само по себе контролируется отдельным правом «Режим “Все функции”» в корне конфигурации. В типовых ролях обычного пользователя его нет, но проверьте, если создавали роль сами.

Права, о которых забывают

В корне конфигурации у роли есть общие права, не привязанные к объектам:

• 🖨️ Вывод — печать, сохранение в файл, копирование в буфер табличных документов. Без него сотрудник видит отчёт, но не выгрузит его в Excel.
• 💾 Сохранение данных пользователя — без него не запоминаются настройки форм и отчётов.
• 🔌 Внешнее соединение, Automation — подключение к базе из других программ. Обычному пользователю не нужно.
• 📂 Интерактивное открытие внешних обработок и отчётов — запуск файлов .epf и .erf с диска. Это право стоит закрыть: внешняя обработка выполняет код и может обходить ограничения интерфейса.

Шаг 4. Проверяем, что получилось

Проверять права нужно до того, как сотрудник сядет работать, а не по его жалобе.

Отчёт по правам

В карточке пользователя (Администрирование → Настройки пользователей и прав → Пользователи) есть команда отчёта о правах доступа. Отчёт показывает, какие объекты доступны пользователю, через какие группы и с какими ограничениями.

В новых релизах БСП есть и отчёт «Анализ прав доступа»: в нём удобно ответить на обратный вопрос — кто из пользователей видит конкретный справочник или документ.

Вход под тестовым пользователем

Отчёт показывает теорию, а вход — практику:

1. Создайте тестового пользователя с тем же набором групп доступа, что у сотрудника.
2. Запустите второй сеанс под ним.
3. Пройдите сценарий рабочего дня: создайте документ, проведите, распечатайте, сформируйте нужные отчёты.
4. Попробуйте открыть то, что должно быть закрыто: раздел, документ чужой организации.

Если при проведении появляется ошибка вида Нарушение прав доступа!, значит, у пользователя нет права на какой-то объект, который документ затрагивает при проведении, например регистр. Подробности ищите в журнале регистрации: Администрирование → Обслуживание → Журнал регистрации, отбор по пользователю.

В конфигураторе

Для конфигураций без БСП удобна сводная таблица: в дереве конфигурации щёлкните правой кнопкой по ветке «Роли» и выберите «Все роли». Откроется матрица «объект × роль» с отметками прав.

Частые вопросы о правах пользователей в 1С