Кто какие документы видит в 1С: разграничение доступа

Видимость документов в 1С 8.3 ограничивают тремя механизмами, и настраиваются они в одном месте — Администрирование → Настройки пользователей и прав. Первый механизм — роли в профиле группы доступа: они решают, виден ли пользователю тип документа вообще. Второй — ограничение доступа на уровне записей (RLS): какие именно документы из списка человек увидит, а какие нет. Третий — настройка интерфейса : что показывать в меню и на формах.

Важная развилка в самом начале. Роли и RLS — это защита: пользователь не обойдёт их из своего сеанса. Настройку навигации и форм человек меняет сам под себя, поэтому для безопасности опираются на первые два механизма, а интерфейс используют только для удобства.

Что понадобится: права администратора, типовая конфигурация на Библиотеке стандартных подсистем — Бухгалтерия предприятия 3.0, ЗУП 3.1, Управление торговлей 11, ERP — и платформа 8.3 с интерфейсом «Такси». В самописных базах без БСП права настраиваются только ролями в Конфигураторе, подсистемы групп доступа там нет.

Три уровня доступа: пользователь, группа, профиль

Разграничение в типовой 1С держится на трёх связанных объектах. Понимание их связи экономит время при любой настройке.

• 👤 Пользователь — учётная запись для входа в программу.
• 🧩 Группа доступа — объединяет пользователей и ссылается на один профиль. Здесь же задают значения доступа для RLS (конкретные организации, склады).
• 📋 Профиль группы доступа — именованный набор ролей. Отвечает на вопрос «что в принципе разрешено делать».

Логика такая: пользователь входит в одну или несколько групп доступа, каждая группа берёт права из своего профиля, а поверх ролей накладывается ограничение на уровне записей. Итоговые права пользователя — это объединение прав всех его групп.

Профили групп доступа и роли

Профиль — это ответ на вопрос, какие разделы и документы пользователю доступны в принципе. Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа.

В типовой базе уже есть предопределённые профили: «Администратор», «Главный бухгалтер», «Бухгалтер», «Только просмотр», «Открытие внешних отчётов и обработок» и другие. Предопределённые менять нельзя — под свои задачи создают копию.

Порядок создания своего профиля:

1. В списке профилей нажмите Создать (или выделите близкий профиль и используйте команду создания копии в командной панели списка).
2. Задайте понятное имя, например «Кассир — только свои документы».
3. На вкладке Разрешённые действия (роли) отметьте галочками нужные роли.
4. Запишите профиль.
5. Назначьте профиль через группу доступа: в карточке группы укажите этот профиль и добавьте пользователей.

Чтобы скрыть целый вид документа, в профиле не включайте роль, дающую его чтение. Роли в типовой базе сгруппированы по подсистемам — например, отдельно идут права на кадровый учёт, на зарплату, на банк и кассу. Если роль чтения раздела не выдана, документы этого раздела пропадут из навигации и из списков у всех пользователей профиля.

Ограничение доступа на уровне записей (RLS)

RLS (Row Level Security) ограничивает видимость не типа документа, а конкретных записей. Классический пример: бухгалтер видит в списке «Реализации» только документы своей организации, а чужие для него будто не существуют.

Механизм выключен по умолчанию. Включают его так:

1. Откройте Администрирование → Настройки пользователей и прав.
2. В группе настроек Группы доступа установите флажок Ограничивать доступ на уровне записей.
3. Дождитесь, пока программа обновит ключи доступа — на большой базе это занимает время.

После включения в каждой группе доступа появляется возможность задавать значения доступа по видам доступа. Виды доступа — это то, по чему режут данные: Организации, Склады, Контрагенты, Физические лица, Группы партнёров и другие, в зависимости от конфигурации.

Как задать ограничение в группе:

1. Откройте нужную группу доступа.
2. Перейдите к таблице видов и значений доступа.
3. Выберите вид доступа (например, «Организации») и укажите разрешённые значения — одну или несколько организаций.
4. Сохраните.

Теперь пользователи этой группы видят в списках и отчётах только документы указанных организаций.

Ещё одна тонкость: если в группе доступа по какому-то виду доступа не задано ни одного значения, поведение зависит от настройки вида доступа — он может трактоваться как «разрешено всё» или «запрещено всё». Проверяйте результат под учётной записью пользователя, а не по своему представлению о логике.

Изоляция по организациям, складам и группам

RLS по одному виду доступа — только начало. Реальная изоляция обычно собирается из нескольких видов доступа сразу.

Чаще всего документы разделяют так:

• 🏢 По организациям — у каждого бухгалтера своя фирма, чужие документы не видны. Самый частый сценарий в Бухгалтерии и ЗУП.
• 📦 По складам — кладовщик видит движения только своего склада. Актуально в Управлении торговлей и ERP.
• 🤝 По контрагентам или группам партнёров — менеджер работает только со своими клиентами.
• 👥 По физическим лицам / подразделениям — в ЗУП расчётчик видит сотрудников только своих подразделений.

В Управлении торговлей и ERP для тонкой изоляции номенклатуры и партнёров используют группы доступа справочников — товарные группы и группы партнёров. Сегменты номенклатуры и сегменты партнёров в этих конфигурациях — это в первую очередь инструмент маркетинга и ценообразования; разграничивают доступ всё же через виды доступа и группы доступа справочников, поэтому не путайте одно с другим.

Чтобы собрать изоляцию по нескольким признакам, в одной группе доступа задают значения сразу по нескольким видам доступа — например, организация «Торговый дом» плюс склад «Основной». Пользователь увидит только документы, которые проходят по обоим условиям.

Набор доступных видов доступа зависит от конфигурации. Ориентир, по чему чаще всего режут документы:

Если нужного вида доступа в списке нет, это значит, что в конкретной конфигурации документы по этому признаку не разделяются штатно — потребуется доработка специалистом, а не настройка в пользовательском режиме.

Скрытие документов в интерфейсе и на формах

Интерфейсные механизмы убирают лишнее с глаз, но не защищают данные. Их применяют, когда нужно разгрузить меню, а не закрыть информацию.

Функциональные опции. Они включают и выключают целые блоки функциональности в Администрирование и смежных разделах настроек. Если опция выключена, связанные с ней документы и команды скрываются у всех. Это ближе к настройке возможностей программы, чем к правам конкретного пользователя: опция действует на всю базу, а не на одного человека.

Настройка навигации и панели разделов. Любой пользователь через меню настроек (значок шестерёнки в правом верхнем углу) открывает Настройка навигации и Настройка панели разделов и убирает ненужные ему пункты. Это персональная настройка.

Настройка навигации — это удобство, а не безопасность: пользователь вернёт скрытый пункт обратно за пару кликов. Для защиты данных полагайтесь на роли и RLS.

Права на отдельные реквизиты. Если нужно скрыть не документ целиком, а отдельное поле (например, сумму), это решается на уровне ролей в Конфигураторе — правами на реквизит объекта. В пользовательском режиме такой настройки нет, потребуется доработка конфигурации специалистом.

Как проверить, кто какие документы видит

Настроили права — обязательно проверьте результат. Полагаться на то, что «вроде всё отметил правильно», здесь нельзя.

Способы проверки:

1. Отчёты по правам доступа. В разделе Администрирование → Настройки пользователей и прав есть ссылка на отчёты по правам. Они показывают, какие роли и значения доступа действуют на выбранного пользователя. Это самый быстрый способ увидеть итоговую картину.
2. Карточка группы доступа. Откройте группу и посмотрите список участников, профиль и заданные значения доступа. Убедитесь, что человек состоит именно в той группе, в которой нужно.
3. Вход под учётной записью пользователя. Самая честная проверка — открыть базу под его логином (или попросить его открыть нужный список при вас) и убедиться, что лишние документы не видны. То, что показывает отчёт, и то, что реально видит человек, иногда расходится из-за членства сразу в нескольких группах.

Частые ошибки при настройке

Ошибки в правах коварны: пользователь либо видит лишнее (утечка), либо не видит нужное (не может работать). Самые частые промахи:

• Правят предопределённый профиль. Его менять нельзя. Нужно создать копию и работать с ней.
• Забывают включить RLS. Задали значения доступа по организациям, а флажок «Ограничивать доступ на уровне записей» так и не поставили — ограничение не работает , видно всё.
• Человек в двух группах. Одна группа режет доступ, вторая открывает. В сумме пользователь видит лишнее. Проверяйте все группы пользователя.
• Скрыли пункт меню вместо настройки прав. Убрали документ из навигации и считают, что защитили данные. Пользователь вернёт пункт сам или откроет документ по ссылке из другого места.
• Не проверили под пользователем. Настроили «на глаз» и не зашли под учёткой. Расхождение между ожиданием и реальностью обнаруживает уже сам сотрудник.
• Не учли нагрузку от RLS. Включили ограничение на уровне записей на большой базе без слабого сервера — и получили медленные списки. Проверяйте скорость после включения.

Отдельно про персональные данные: если ограничение видимости связано с защитой сведений о сотрудниках (зарплата, паспортные данные), настройка прав — часть выполнения требований закона о персональных данных. Доступ к таким документам стоит давать по минимуму — только тем, кому он нужен для работы.