Администрирование · 12 мин
Настройка прав пользователей в 1С 8: практическое руководство
Как настроить права пользователя в 1С 8: роли, профили групп доступа, RLS, типовые и нетиповые конфигурации. Пошаговая инструкция, ошибки и проверка результата.
Разграничение прав в 1С 8 — это защита данных от случайных изменений, утечек и ошибок персонала. Кассиру не нужен доступ к зарплате, менеджеру по продажам — к регламентированной отчётности, а стороннему бухгалтеру — к справочнику сотрудников с паспортными данными. Правильно выстроенная модель прав снижает риски и упрощает разбор инцидентов: по журналу регистрации всегда видно, кто и что изменил.
Механизм настройки зависит от типа конфигурации. В типовых решениях на библиотеке стандартных подсистем (1С:ERP, 1С:Комплексная автоматизация, 1С:ЗУП, современные редакции 1С:Бухгалтерии) используются профили групп доступа. В простых и самописных конфигурациях права назначаются напрямую через роли в списке пользователей. Ниже разобраны оба подхода, а также ограничение доступа на уровне записей (RLS) и проверка результата.
Перед любыми изменениями прав убедитесь, что у вас есть учётная запись с полными правами и свежая резервная копия информационной базы. Ошибка в настройке может заблокировать работу пользователей или, наоборот, открыть лишний доступ, который заметят нескоро.
Как устроена система прав в 1С 8
Права в платформе 1С:Предприятие 8 строятся на ролях. Роль — это набор разрешений на объекты конфигурации: справочники, документы, регистры, отчёты. Для каждого объекта роль определяет, можно ли его читать, добавлять, изменять, удалять, проводить и так далее. Роли создаёт разработчик в конфигураторе, администратор лишь назначает их пользователям.
Один пользователь может иметь несколько ролей, и права суммируются: если хотя бы одна роль разрешает действие, оно доступно. Это важно понимать при диагностике — если у пользователя есть «лишний» доступ, значит, он задан одной из назначенных ролей, и нужно искать, какой именно.
Поверх ролей в типовых конфигурациях работает механизм групп доступа и профилей. Профиль объединяет роли в осмысленный набор («Кассир», «Менеджер по продажам», «Главный бухгалтер»), а группа доступа связывает профиль с конкретными пользователями. Дополнительно существует ограничение доступа на уровне записей (RLS), которое фильтрует не объекты целиком, а отдельные строки — например, менеджер видит только документы своей организации.
Настройка прав в типовых конфигурациях через профили групп доступа
Откройте раздел «Администрирование» и перейдите в «Настройки прав и пользователей». Здесь находятся три ключевых объекта: пользователи, профили групп доступа и группы доступа. Сначала убедитесь, что пользователь создан: в списке пользователей укажите имя, пароль при необходимости и проверьте, что вход в программу разрешён.
Далее откройте «Профили групп доступа». Типовые конфигурации поставляются с готовыми профилями, покрывающими большинство должностей. Если готовый профиль подходит — используйте его. Если нужна своя комбинация, создайте новый профиль и на закладке «Роли» отметьте необходимые роли. Некоторые конфигурации также позволяют настраивать разрешённые действия и дополнительные права прямо в профиле.
Затем откройте «Группы доступа», создайте группу, укажите в ней профиль и добавьте пользователей. Пользователь получит все права профиля. Можно включить одного пользователя в несколько групп с разными профилями — права сложатся.
- 1Откройте «Администрирование → Настройки прав и пользователей»
- 2Создайте пользователя и задайте ему пароль
- 3Создайте или выберите профиль группы доступа, отметьте нужные роли
- 4Создайте группу доступа, укажите профиль и добавьте пользователя
- 5Войдите в базу под этим пользователем и проверьте доступные функции
Как добавить пользователю отдельное право вне профиля
В ряде типовых конфигураций в карточке пользователя доступна вкладка с индивидуальными правами, где можно расширить доступ сверх профиля. Пользуйтесь этим экономно: индивидуальные назначения плохо видны при аудите, и через полгода никто не вспомнит, почему у конкретного сотрудника есть доступ к регистру сведений с персональными данными. Предпочтительнее создать отдельный узкий профиль — так модель прав остаётся прозрачной.
Назначение ролей напрямую в простых конфигурациях
В конфигурациях без библиотеки стандартных подсистем (старые или самописные решения) роли назначаются в карточке пользователя. Откройте список пользователей через меню «Администрирование → Пользователи» (в старых версиях — через конфигуратор: «Администрирование → Пользователи»). В карточке пользователя перейдите на закладку «Прочие» или «Роли» и отметьте нужные роли флажками.
Состав ролей и их назначение смотрите в конфигураторе: «Конфигурация → Роли». Там для каждой роли видно, какие права она даёт на каждый объект. Если названия ролей не говорят сами за себя, пройдитесь по списку прав выборочно — особенно по правам на удаление, изменение регистров и административные функции.
Ограничение доступа на уровне записей (RLS)
RLS позволяет разграничить данные внутри одного объекта: например, менеджеры видят контрагентов только своей группы, а бухгалтеры филиалов — только документы своей организации. В типовых конфигурациях это настраивается через группы доступа контрагентов, организаций, складов, физических лиц — соответствующие настройки включаются в разделе настроек прав.
Чтобы включить ограничение по организациям, в настройках прав отметьте использование ограничения доступа на уровне записей, затем в группе доступа укажите разрешённые значения — конкретные организации. Пользователь увидит в списках и отчётах только данные этих организаций.
Учтите ограничение: RLS заметно усложняет запросы к базе и может снизить производительность на больших объёмах данных, особенно при неаккуратно настроенных шаблонах ограничений. Включайте RLS только там, где это действительно требуется по смыслу, а не «на всякий случай».
Проверка результата и аудит прав
Единственный надёжный способ проверить настройку — войти в базу под учётной записью пользователя и пройти его типовые сценарии: открыть рабочие документы, попробовать создать и провести документ, открыть запрещённый раздел. Проверяйте не только наличие нужного доступа, но и отсутствие лишнего: попытайтесь открыть зарплатные отчёты, регламентированную отчётность, настройки программы.
Для аудита в типовых конфигурациях есть отчёт «Права доступа» (или аналогичный) в разделе администрирования: он показывает, какие роли и через какие профили получил пользователь. Дополнительно полезен журнал регистрации — по нему можно установить, кто изменил документ или настройки, если возник спорная ситуация.
Как проверить результат
Программа открывается, видны только нужные разделы и журналы
Пустой интерфейс или, наоборот, доступны административные разделы
Документ создаётся и проводится без ошибок доступа
Ошибка «Нарушение прав доступа» при записи или проведении
Раздел не виден или отказ в доступе
Раздел открывается и данные доступны для чтения
Состав ролей соответствует задуманному профилю
В списке лишние роли из старых назначений
Типичные ошибки при настройке прав
Самая частая ошибка — копирование прав с действующего сотрудника без анализа. Новый бухгалтер получает права предшественника «как было», а вместе с ними — накопленные годами лишние доступы. Правильнее стартовать от должностного профиля и добавлять права по мере необходимости.
Вторая ошибка — назначение ролей и в профиле, и индивидуально, и напрямую в конфигураторе одновременно. При такой смешанной модели отозвать доступ становится сложно: убрали из профиля, а роль осталась в индивидуальных настройках. Выберите один основной механизм и придерживайтесь его.
Третья группа ошибок связана с забытыми учётными записями: уволенные сотрудники, тестовые пользователи, учётки внешних специалистов с полными правами. Регулярно — хотя бы раз в квартал — просматривайте список пользователей и отключайте неиспользуемые записи, не удаляя их, чтобы сохранить историю в журнале регистрации.
Когда нужны доработки конфигуратора
Штатных средств хватает для большинства сценариев, но есть задачи, требующие вмешательства разработчика: создание новой роли с нестандартным набором прав, тонкий шаблон RLS (например, доступ к контрагентам по ответственному менеджеру), запрет на изменение документов старше заданной даты сверх типовой даты запрета изменения данных.
Обратите внимание на штатный механизм «Даты запрета изменения данных» в типовых конфигурациях — он закрывает редактирование прошлых периодов для выбранных пользователей или групп и часто решает задачу, которую администраторы пытаются закрыть сложными схемами ролей. Настраивается в разделе «Администрирование → Настройки прав и пользователей».
Как выбрать действие
Что важно запомнить
В типовых конфигурациях права настраиваются через профили и группы доступа, в простых — через роли в карточке пользователя. Права суммируются, поэтому лишний доступ ищите во всех назначенных ролях. Перед изменениями делайте резервную копию, после — проверяйте результат входом под учётной записью пользователя, а полные права не выдавайте никому, кроме администраторов.
Частые вопросы
Пользователю не хватает прав на конкретный документ. Как быстро найти нужную роль?
В типовых конфигурациях откройте отчёт о правах пользователя и сравните его состав ролей с профилем сотрудника, у которого доступ есть. Альтернатива — в конфигураторе просмотреть, какие роли дают право на изменение нужного вида документов, и добавить подходящую роль в профиль. Избегайте назначения прав наугад.
Можно ли настроить права, не заходя в конфигуратор?
Да, в типовых конфигурациях вся настройка выполняется в режиме «Предприятие» через раздел «Администрирование». Конфигуратор нужен только для создания новых ролей, изменения шаблонов RLS и назначения ролей напрямую в простых конфигурациях без подсистемы управления доступом.
Почему пользователь видит документы, хотя RLS настроен?
Чаще всего причина в том, что у пользователя есть роль с полными правами на объект без шаблона ограничения — такие роли обходят RLS. Проверьте состав ролей пользователя, уберите лишние и убедитесь, что в группе доступа указаны конкретные разрешённые значения, а не «все разрешены».
Как временно заблокировать пользователя, не удаляя его?
В карточке пользователя снимите признак разрешения входа в программу (или установите признак «недействителен» — название зависит от конфигурации). Учётная запись и история действий в журнале регистрации сохранятся, а вход станет невозможен. Удалять пользователя не требуется.
Чем отличаются роли «Полные права» и «Администратор системы»?
«Полные права» дают все права на объекты конфигурации, но не на административные действия с самой информационной базой. «Администратор системы» дополнительно позволяет управлять пользователями, кластером и настройками. В файловых базах часто назначают обе роли одному человеку, в клиент-серверных их разумно разделять.
Нужно ли перезапускать сеанс пользователя после изменения прав?
Да. Изменения ролей и профилей применяются к новым сеансам. Если пользователь уже работает в программе, попросите его выйти и войти снова — иначе он продолжит работать со старым набором прав, и проверка настройки даст ложный результат.