Роли, профили и группы доступа: как администратору выдать права в 1С 8.3
Содержание
В типовых конфигурациях 1С 8.3 права пользователя устанавливают не в конфигураторе, а в режиме Предприятия: Администрирование → Настройки пользователей и прав → Пользователи. Откройте карточку сотрудника и отметьте нужные профили (Бухгалтер, Главный бухгалтер, Администратор) или включите его в группу доступа. Роли платформы программа выставит сама.
Конфигуратор нужен в двух случаях: база без библиотеки стандартных подсистем (самописная или очень старая) и аварийная ситуация, когда в базе не осталось ни одного администратора.
Как устроены права доступа в 1С 8.3
Платформа знает только одну сущность — роль. Роль — это набор разрешений на объекты: читать справочник, проводить документ, открывать отчёт. Пользователю информационной базы назначают одну или несколько ролей, и права складываются: если хотя бы одна роль разрешает действие, оно разрешено.
Типовые конфигурации (БП 3.0, ЗУП 3.1, УТ 11, КА, ERP) построены на библиотеке стандартных подсистем (БСП). Она добавляет над ролями ещё два слоя:
- 🧩 Профиль групп доступа — шаблон должности. Внутри — набор ролей и виды ограничений (по организациям, складам, контрагентам).
- 👥 Группа доступа — профиль плюс конкретные участники и значения ограничений. Например, «Бухгалтеры ООО Альфа»: профиль «Бухгалтер», доступ только к одной организации.
- 👤 Пользователь — элемент справочника «Пользователи», связанный с пользователем информационной базы.
Цепочка такая: пользователь входит в группу доступа → группа берёт роли из профиля → БСП записывает эти роли пользователю платформы. Если вручную поменять роли в конфигураторе, при следующем обновлении групп доступа программа перезапишет их по профилям. Поэтому в типовых базах права настраивают только в Предприятии.
| Где настраивать | Когда подходит | Риск |
|---|---|---|
| Режим Предприятия, профили и группы | Любая типовая конфигурация на БСП | Минимальный, изменения видны в журнале |
| Конфигуратор, роли | Самописная база, первый администратор, восстановление доступа | Ручные роли в типовой перезапишутся |
| Расширение с новой ролью | Нужно право, которого нет ни в одном профиле | Требует разработчика, роль надо добавить в профиль |
Где установить права пользователя в разных конфигурациях
Раздел настроек одинаков по смыслу, отличается только имя раздела верхнего уровня.
| Конфигурация | Путь к пользователям и правам |
|---|---|
| Бухгалтерия предприятия 3.0 | Администрирование → Настройки пользователей и прав |
| ЗУП 3.1 | Администрирование → Настройки пользователей и прав |
| Управление торговлей 11 | НСИ и администрирование → Настройки пользователей и прав |
Внутри раздела есть ссылки «Пользователи», «Группы пользователей», «Группы доступа», «Профили групп доступа» и флажок ограничения доступа на уровне записей. Набор ссылок зависит от режима: в Бухгалтерии по умолчанию включена упрощённая настройка, и групп доступа в меню может не быть.
Назначение прав и роли «Администратор» в режиме Предприятия
Упрощённый режим (Бухгалтерия 3.0)
- Откройте
Администрирование → Настройки пользователей и прав → Пользователи. - Создайте нового пользователя или откройте существующего.
- Заполните имя для входа, отметьте «Вход в программу разрешён», задайте пароль.
- Запишите карточку и нажмите в ней «Права доступа ».
- Отметьте флажками нужные профили и нажмите «Записать».
Пользователю бухгалтерии обычно хватает профиля «Бухгалтер». Главному бухгалтеру добавляют «Главный бухгалтер»: он открывает закрытие месяца и даты запрета изменения. Профиль «Администратор» даёт полный доступ, включая обновление и настройку прав других людей.
Права начинают действовать со следующего входа. Если пользователь работал в момент изменения, попросите его закрыть 1С и открыть снова.
Полный режим: группы доступа (ЗУП 3.1, УТ 11, КА, ERP)
- Перейдите в «Группы доступа» и создайте группу, например «Кадровики».
- Выберите профиль, на котором она строится.
- На вкладке участников добавьте пользователей или целую группу пользователей.
- Если профиль предусматривает ограничения, на вкладке ограничений выберите значения: «Разрешены выбранные» и список организаций.
- Запишите группу.
Один пользователь может входить в несколько групп. Права суммируются: кадровик, которого добавили ещё и в группу расчётчиков, получит оба набора.
Как сделать пользователя администратором
Включите его в группу доступа «Администраторы» (в упрощённом режиме — отметьте профиль «Администратор»). Эту группу нельзя удалить, а последнего участника из неё программа не даст исключить. Вручную назначать администратору роль «Полные права» в конфигураторе для типовой базы не нужно: профиль сделает это сам.
Держите в группе «Администраторы» минимум двух человек. Один уволившийся сотрудник с единственными правами администратора превращается в восстановление доступа через конфигуратор.
Настройка ролей в конфигураторе для технических специалистов
Путь в конфигураторе: Администрирование → Пользователи. Список пользователей открывается без монопольного режима, другие сеансы можно не выгонять.
Карточка пользователя состоит из двух вкладок:
- 🔑 Основные — имя, полное имя, аутентификация 1С:Предприятия с паролем, аутентификация операционной системы, флажок «Показывать в списке выбора», «Защита от опасных действий».
- 🧾 Прочие — список ролей с флажками, основной интерфейс, язык, режим запуска.
Для полного доступа отметьте роли «Полные права» и «Администратор системы» (у типовых конфигураций они так называются в синонимах). Первая даёт права на все данные, вторая — на административные функции платформы: управление пользователями, журнал регистрации, монопольный режим.
Когда конфигуратор действительно нужен
- Пустой список пользователей. Пока в базе нет ни одного пользователя, любой входит без пароля с полными правами. Первым создайте администратора с обеими ролями, иначе после добавления обычного пользователя администрировать будет некому.
- Потерян единственный администратор. Создайте в конфигураторе нового пользователя с ролями «Полные права» и «Администратор системы». Войдите им в Предприятие и сразу включите в группу «Администраторы», чтобы БСП связала его со справочником «Пользователи».
- Самописная конфигурация без БСП. Здесь роли и есть единственный механизм, профилей нет.
Чтобы попасть в конфигуратор, тоже нужны права. Если пароль администратора забыт и других администраторов нет, обращайтесь к тому, кто обслуживает базу. Советы «удалить файл пользователей» из интернета для современных версий не работают и рискуют повредить базу.
Если нужного права нет ни в одном профиле
Например, бухгалтер должен видеть только один нестандартный отчёт из расширения. Порядок такой:
- Разработчик добавляет в расширение новую роль с правом на этот отчёт.
- Расширение подключают к базе.
- В Предприятии копируют подходящий профиль (поставляемые профили менять нельзя), добавляют в копию новую роль.
- Группу доступа переводят на скопированный профиль.
Править роли типовой конфигурации напрямую нельзя без снятия с поддержки — это усложнит каждое обновление.
Группы пользователей вместо поштучной настройки
Когда сотрудников больше десяти, удобнее раздавать права через группы пользователей. Создайте в разделе «Группы пользователей» группы по отделам: «Бухгалтерия», «Отдел продаж», «Склад». В группу доступа добавьте не людей, а всю группу пользователей целиком.
Новый сотрудник тогда получает права одним действием: его включают в группу своего отдела. При переводе в другой отдел достаточно перенести его между группами, а не перебирать флажки в нескольких группах доступа.
Профили групп доступа и ограничение по организациям
Поставляемые профили помечены отдельным значком, их состав ролей менять нельзя. Чтобы собрать свой, откройте «Профили групп доступа», выделите близкий профиль и скопируйте его. В копии на вкладке ролей снимите или добавьте флажки, а на вкладке видов доступа решите, какие ограничения будут работать.
Ограничение на уровне записей
Типичная задача: в базе три организации, а бухгалтер должен видеть документы только одной. Для этого:
- В разделе настроек пользователей и прав включите флажок ограничения доступа на уровне записей.
- Дождитесь завершения обновления доступа. На большой базе оно идёт фоновым заданием и может занять заметное время.
- Откройте группу доступа бухгалтера, на вкладке ограничений для вида «Организации» выберите «Разрешены выбранные» и добавьте нужную.
Ограничение на уровне записей замедляет запросы: платформа добавляет к ним условия по каждому виду доступа. Включайте его только если разграничение по данным действительно нужно, и проверьте скорость на копии базы.
Виды ограничений зависят от конфигурации. В Бухгалтерии основной — по организациям. В УТ и КА добавляются склады, партнёры, виды цен. ЗУП умеет ограничивать доступ к данным физических лиц по группам.
Права доступа пользователя: диагностика ошибок
Когда пользователю не хватает прав, платформа показывает одно из сообщений:
Нарушение прав доступа!Недостаточно прав для просмотраНедостаточно прав на чтение данных
Сначала выясните, на что именно не хватает прав. Нажмите ссылку подробностей в окне ошибки: там указан объект (документ, справочник, регистр) и действие. Дальше откройте карточку пользователя и отчёт «Права доступа» — в БСП он показывает, какие права пользователь получил и из какой группы.
Частые ошибки администратора
- ❌ Роли из конфигуратора в типовой базе. Через день права «откатываются» — БСП перезаписала их по профилям.
- ❌ Изменение поставляемого профиля вместо копии. Программа такое не даст, а попытки обойти это правкой конфигурации ломают обновления.
- ❌ Всем — «Администратор», чтобы не разбираться. Любой бухгалтер получает доступ к удалению помеченных объектов, загрузке данных и настройке прав.
- ❌ Общий пользователь на отдел. В журнале регистрации невозможно понять, кто провёл документ задним числом.
Безопасность и контроль изменений прав
Пароли и вход
В разделе настроек пользователей и прав есть настройки входа. Там задают минимальную длину пароля, требование сложности, срок действия и предупреждение о его окончании. Для бухгалтерии разумный минимум — 8 символов с требованием сложности.
Если сотрудники работают в домене Windows, включите в карточке аутентификацию операционной системы и укажите учётную запись ДОМЕН\логин. Пароль 1С тогда не нужен, а увольнение отключает доступ вместе с блокировкой учётной записи в домене.
Защита от опасных действий
Флажок «Защита от опасных действий» в карточке пользователя (платформа 8.3.9 и новее) заставляет 1С предупреждать при запуске внешних обработок и подключении расширений из непроверенных источников. Оставьте его включённым у всех, кроме администраторов, которые сознательно работают с такими файлами.
Как отследить, кто менял права
Откройте журнал регистрации: в Бухгалтерии Администрирование → Обслуживание → Журнал регистрации. Установите отбор по событиям:
Пользователи. Новый— создание пользователя информационной базы;Пользователи. Изменение— смена ролей, пароля, флажков входа;Пользователи. Удаление— удаление пользователя.
Изменения групп доступа и профилей записываются как изменения данных соответствующих справочников. В отборе журнала укажите метаданные «Группы доступа» и «Профили групп доступа» — увидите, кто и когда добавил участника.
При увольнении сотрудника
Не удаляйте пользователя: на него ссылаются документы, и в журнале останутся «битые» записи. Достаточно снять в карточке флажок «Вход в программу разрешён». Пользователь останется в истории, но войти не сможет.