Ограничиваем доступ сотрудника в 1С через профили и группы доступа

Чтобы создать в 1С пользователя с ограниченными правами, откройте Администрирование → Настройки пользователей и прав → Пользователи, нажмите «Создать», задайте имя и пароль, а права выдайте не ролями, а через группу доступа с подходящим профилем. Если готовый профиль даёт лишнее — скопируйте его и уберите ненужные роли. Ограничение «только своя организация» включается отдельным флажком ограничения доступа на уровне записей.

Порядок одинаков для типовых конфигураций на платформе 8.3 с интерфейсом «Такси»: Бухгалтерии 3.0, ЗУП 3.1, УТ 11, КА и ERP. Все они построены на Библиотеке стандартных подсистем (БСП), поэтому права настраиваются в пользовательском режиме, а не в Конфигураторе.

Как устроены права пользователей в 1С

В типовой конфигурации права собираются из трёх уровней. Понимание этой схемы снимает половину вопросов «почему у бухгалтера не открывается отчёт».

• 🧱 Роль — минимальный набор прав на объекты: читать справочник, проводить документ, открывать отчёт. Роли создаёт разработчик, в пользовательском режиме их не меняют.
• 📦 Профиль группы доступа — набор ролей под должность: «Бухгалтер», «Главный бухгалтер» и т. п. Профиль можно скопировать и отредактировать.
• 👥 Группа доступа — связка «профиль + список пользователей + ограничения». Именно через неё сотрудник получает права.

Права складываются. Если человек состоит в двух группах доступа, он получит сумму ролей обоих профилей. Запретить что-то «поверх» другой группы нельзя — отнять право можно только тем, что его не выдавать.

Где создаётся пользователь в разных конфигурациях

Раздел верхнего уровня различается только названием.

Если раздела «Администрирование» в панели нет — вы вошли не администратором. Создавать пользователей может только тот, у кого есть профиль «Администратор».

Создание учётной записи сотрудника по шагам

Шаг 1. Карточка пользователя

1. Откройте список пользователей по пути из таблицы выше и нажмите «Создать».
2. В поле Полное имя укажите ФИО — так человек будет виден в документах и отчётах.
3. Включите флажок Вход в программу разрешён.
4. Задайте Имя для входа — короткое, без пробелов: ivanova, sklad1.
5. Отметьте способ входа:
   • 🔑 Аутентификация 1С:Предприятия — вход по имени и паролю;
   • 🖥️ Аутентификация операционной системы — вход по учётной записи Windows вида \\DOMAIN\ivanova, без отдельного пароля.
6. Нажмите кнопку установки пароля и задайте временный пароль. Флажок «Потребовать смену пароля при входе» (если есть в вашем релизе) заставит сотрудника сразу заменить его на свой.
7. Запишите карточку.

В ЗУП 3.1 и КА пользователя удобно сразу связать с физическим лицом: тогда сотрудник увидит свои данные в сервисах самообслуживания, а в кадровых документах подставится как ответственный.

Шаг 2. Выдача прав

Сразу после записи у пользователя нет никаких прав: войти он сможет, но увидит пустое окно или ошибку о недостаточности прав. Права выдаются кнопкой Права доступа в карточке.

В форме прав, в зависимости от конфигурации и настроек, вы увидите либо список групп доступа, либо сразу список профилей с флажками (упрощённый режим, который часто включён в Бухгалтерии). Отметьте нужную группу или профиль и запишите.

Никогда не включайте обычного сотрудника в группу «Администраторы» «на время, чтобы заработало». Через неделю об этом забывают, а человек остаётся с правом удалять объекты и менять настройки всей базы.

Профили групп доступа: копируем и урезаем

Готовые профили защищены от изменения — это поставляемые данные, их перезаписывает обновление конфигурации . Поэтому рабочий приём один: скопировать поставляемый профиль и править копию.

Как сделать свой профиль

1. Откройте Настройки пользователей и прав → Профили групп доступа.
2. Выделите профиль, ближайший к должности, например «Бухгалтер».
3. Нажмите «Скопировать» (F9). Дайте копии понятное имя: «Бухгалтер — без зарплаты», «Кладовщик — только просмотр».
4. На вкладке ролей снимите флажки с лишних ролей. Удобно включить отображение только выбранных ролей — список станет коротким.
5. Запишите профиль.

Группа доступа под профиль

1. Откройте Настройки пользователей и прав → Группы доступа и нажмите «Создать».
2. Укажите наименование и выберите свой профиль.
3. На вкладке участников добавьте пользователей.
4. Запишите группу.

После этого у всех участников группы будут ровно те права, что собраны в профиле. Изменили профиль — права поменяются у всех участников всех групп с этим профилем.

Тонкая настройка: организации, склады и опасные операции

Роли отвечают на вопрос «что можно делать». Вопрос «с какими данными» решают ограничения доступа на уровне записей (RLS).

Ограничение по организациям и другим видам доступа

1. В Настройки пользователей и прав включите флажок Ограничивать доступ на уровне записей.
2. Откройте свой профиль, вкладку Ограничения доступа. Для нужного вида доступа — «Организации», «Склады», «Группы номенклатуры» и т. д. — выберите вариант, при котором значения задаются в группах доступа, и укажите «Все запрещены» (кроме разрешённых).
3. Откройте группу доступа, вкладку Ограничения доступа, и добавьте разрешённые значения — например, одну организацию.

Набор видов доступа зависит от конфигурации: в Бухгалтерии основной — по организациям, в УТ и ERP добавляются склады, партнёры, виды цен и другие.

Что обычно убирают из профиля

Название роли в профиле ищите по ключевому слову — «удаление», «внешних», «зарплат»: в длинном списке так быстрее, чем пролистывать.

Даты запрета изменения

Это самый недооценённый инструмент. Включается в Настройки пользователей и прав → Даты запрета изменения. Можно задать общую дату для всех и отдельную — для конкретного пользователя или организации.

Пример: квартал закрыт 30 сентября. Ставите дату запрета 30.09 для всех, кроме главного бухгалтера. Рядовой бухгалтер больше не сможет перепровести сентябрьский документ, даже если роль позволяет ему проводить документы.

Политика паролей

В разделе настроек входа (Настройки пользователей и прав → Настройки входа) задаются минимальная длина пароля, требование сложности и срок действия. Для учётных записей с доступом к зарплате и банку разумно включить сложные пароли и срок смены 60–90 дней.

Проверка выданных прав перед передачей доступа

Права нужно проверить до того, как сотрудник сядет работать. Два способа дополняют друг друга.

Отчёт по правам

В карточке пользователя и в форме группы доступа есть отчёты о правах — найдите их в группе отчётов на командной панели. Отчёт показывает, к каким объектам у пользователя есть чтение, изменение и проведение, и через какую группу доступа получено каждое право. Если в отчёте видно право, которого быть не должно, — сразу понятно, из какой группы оно пришло.

Тестовый вход

1. Запустите второй сеанс 1С и войдите под новым пользователем.
2. Пройдите типовой рабочий день сотрудника: откройте нужные журналы, создайте и проведите документ, сформируйте 2–3 привычных отчёта.
3. Попробуйте то, чего быть не должно: открыть чужую организацию, раздел зарплаты, удаление помеченных, документ в закрытом периоде.

Права применяются при входе. После любых изменений профиля или группы пользователь должен перезапустить 1С — в уже открытом сеансе останутся старые права.

Ошибки при настройке прав и что с ними делать

Большинство проблем после ограничения прав выглядят одинаково: сотрудник что-то не может открыть или видит лишнее.

Как поддерживать права в актуальном состоянии

Права «зарастают»: человек сменил должность, а старая группа доступа осталась. Через год у половины отдела набирается лишнее.

• 🗓️ Раз в квартал выгружайте состав групп доступа и сверяйте со штатным расписанием. Кто сменил отдел — убрать из старой группы.
• 🚪 При увольнении в тот же день снимайте флажок «Вход в программу разрешён» и отмечайте пользователя недействительным . Удалять его не нужно: на него ссылаются документы, где он автор.
• 🔄 После обновления конфигурации просмотрите свои профили: в релизе могли появиться новые роли для новых разделов, и в копию профиля они сами не попадут.
• 📝 Ведите короткий реестр: какой профиль кому и по чьей заявке выдан. Это пригодится при проверке доступа к персональным данным.
• 🔐 Администраторов — минимум. Обычно хватает двух учётных записей с полными правами: основной и резервной.