Что даёт право администрирования в 1С и как его настроить

Право администрирования в 1С определяет, какие служебные функции доступны пользователю: управление списком пользователей, настройка прав, работа с журналом регистрации, обновление конфигурации, выполнение регламентных заданий и другие действия, влияющие на всю информационную базу. Без этих прав сотрудник работает только с прикладными данными — документами, справочниками и отчётами — в рамках своей роли.

Административные права бывают двух уровней. Первый — полные права (роль «Полные права» в типовых конфигурациях), которые открывают все объекты и функции без исключений. Второй — право «Администрирование» и связанные с ним расширенные права («Администрирование данных», «Обновление конфигурации базы данных»), которые назначаются точечно отдельным пользователям. Понимание разницы между ними критично: ошибка в назначении либо блокирует работу сотрудника, либо открывает ему доступ к разрушительным действиям.

Ниже разобрано, что конкретно открывает каждое право, как назначить права в файловой и клиент-серверной базе, какие операции требуют прав администратора кластера, чем администрирование отличается от полных прав и как проверить результат настройки.

Что именно открывает право администрирования

Право «Администрирование» в платформе 1С разрешает пользователю выполнять действия, которые влияют на всю информационную базу, а не на отдельные документы. В типовых конфигурациях на базе Библиотеки стандартных подсистем (БСП) оно выделено в отдельную роль «Администратор системы» или входит в профиль «Администратор».

Ключевые возможности, которые появляются у пользователя с правами администрирования:

• создание, изменение и блокировка учётных записей пользователей информационной базы;
• назначение ролей, профилей групп доступа и индивидуальных прав;
• просмотр и отбор событий в журнале регистрации;
• управление активными сеансами и завершение чужих сеансов;
• запуск обновления конфигурации базы данных;
• настройка регламентных и фоновых заданий;
• работа со служебными обработками: загрузка и выгрузка данных, тестирование и исправление, управление итогами;
• установка и снятие блокировки информационной базы.

Важно понимать: право администрирования само по себе не открывает доступ ко всем документам и справочникам. Если у пользователя есть только роль администратора системы без прикладных ролей, он увидит служебные разделы, но не сможет провести реализацию или начислить зарплату. Прикладной доступ определяется отдельными ролями конфигурации.

Полные права против роли администратора: в чём разница

Частая путаница — смешение полных прав и прав администрирования. Роль «Полные права» включает все права на все объекты конфигурации: любые документы, справочники, регистры, а также административные функции. Пользователь с полными правами может всё, включая прямое редактирование данных в обход прикладной логики.

Роль администратора системы (право «Администрирование») — это отдельный, более узкий контур. Она нужна сотруднику, который обслуживает базу: заводит пользователей, следит за сеансами, обновляет конфигурацию, но не ведёт учёт. Разделение этих ролей — основа безопасной схемы доступа.

Сравнение вариантов

Полные права

Подходят разработчику и ответственному за сопровождение. Риск: пользователь может случайно изменить или удалить любые данные без контроля.

Роль администратора системы

Подходит для обслуживания базы: пользователи, сеансы, обновления. Не открывает прикладные данные, безопаснее для дежурного персонала.

Профиль с отдельными ролями

Подходит рядовым сотрудникам: бухгалтеру, менеджеру, кадровику. Административные функции не включаются.

Как назначить права администрирования пользователю

Порядок назначения зависит от того, используется ли в конфигурации механизм профилей групп доступа (все современные типовые решения) или права назначаются напрямую через роли (старые и самописные конфигурации).

Через профили групп доступа (типовые конфигурации)

В конфигурациях на базе БСП права назначаются через раздел «Администрирование» → «Настройки пользователей и прав» → «Профили групп доступа». Для административного доступа используется встроенный профиль «Администратор». Пользователя включают в группу доступа с этим профилем — и он получает весь набор административных ролей.

1. 1
   Откройте раздел «Администрирование» → «Настройки пользователей и прав».
2. 2
   Перейдите в «Профили групп доступа» и найдите профиль «Администратор».
3. 3
   Откройте профиль и на закладке с пользователями добавьте нужного сотрудника.
4. 4
   Проверьте, что у пользователя в списке пользователей стоит признак входа в программу.
5. 5
   Попросите пользователя перезайти в базу — новые права применяются при новом сеансе.

Через конфигуратор (прямое назначение ролей)

В конфигураторе права назначаются через меню «Администрирование» → «Пользователи». В карточке пользователя на закладке «Прочие» отмечаются доступные роли: «Администратор системы», «Полные права» и другие. Дополнительно там же задаётся аутентификация: парольная, аутентификация операционной системы или OpenID.

Прямое назначение ролей через конфигуратор имеет ограничение: если конфигурация использует механизм групп доступа, роли, выставленные в конфигураторе, могут не применяться так, как ожидается, — прикладная логика БСП управляет доступом сама. Поэтому в типовых решениях основной способ — профили, а конфигуратор используют для аварийных случаев.

Администрирование базы и администрирование кластера: два разных уровня

В клиент-серверном варианте работы существует второй уровень прав — администратор кластера серверов 1С. Это учётная запись в консоли администрирования серверов, а не в списке пользователей информационной базы. Администратор кластера управляет самими базами: создаёт и удаляет информационные базы, настраивает блокировки, смотрит сеансы и соединения всех баз кластера.

Разграничение такое: администратор кластера не имеет автоматического доступа внутрь информационных баз — чтобы войти в базу, ему нужна отдельная учётная запись пользователя этой базы. И наоборот, администратор информационной базы не может через консоль управлять кластером. На практике эти роли часто совмещает один человек, но технически это независимые контуры.

Отдельно стоит упомянуть администратора СУБД (MS SQL, PostgreSQL). Он управляет базой на уровне сервера баз данных: резервное копирование, обслуживание индексов, мониторинг. Для штатной работы 1С давать пользователям прямой доступ к СУБД не требуется — все операции выполняются через сервер 1С.

Какие операции требуют прав администратора

Чтобы спланировать, кому выдавать права, полезно знать, какие типовые операции без них не выполнить:

• загрузка и выгрузка информационной базы в файл .dt;
• тестирование и исправление базы (chdbfl для файловых баз, штатное ТиИ в конфигураторе);
• динамическое обновление конфигурации и обновление с реструктуризацией;
• установка монопольного режима, необходимого для большинства обновлений;
• управление итогами регистров и пересчёт итогов;
• работа с внешними компонентами и расширениями конфигурации (при соответствующих настройках безопасности);
• очистка и настройка журнала регистрации, сокращение его объёма.

Безопасная организация прав: кому и что выдавать

Практический принцип — минимально необходимые права. Полные права в рабочей базе должны быть у одного-двух человек: ответственного за сопровождение и резервного специалиста. Всем остальным, включая руководителей, выдаются прикладные профили под их задачи.

Роль администратора системы разумно выделить сотруднику, который заводит пользователей и следит за сеансами, но не должен видеть финансовые и кадровые данные. Такая схема снижает риск утечки и случайной порчи учётных данных.

Дополнительные меры, которые стоит применить:

• задать пароль и для пользователя «Администратор» в файловой базе — пустой пароль открывает базу любому, кто получил файл;
• включить запрет интерактивного удаления объектов через профили доступа;
• ограничить запуск внешних отчётов и обработок для пользователей без полных прав;
• регулярно просматривать журнал регистрации по событиям изменения прав и входа в систему;
• при увольнении сотрудника сразу снимать признак входа в программу, а не только менять пароль.

Как проверить, что права настроены правильно

После назначения прав проверку выполняют с двух сторон: от имени самого пользователя и со стороны администратора. Пользователь заходит в базу и убеждается, что нужные разделы доступны, а лишние — нет. Администратор дополнительно использует штатные отчёты.

В типовых конфигурациях есть отчёт «Права доступа» (раздел «Администрирование» → «Обслуживание» или в карточке пользователя), который показывает, какие роли и профили действуют у конкретного сотрудника и откуда они взяты. Это основной инструмент разбора ситуаций «почему у пользователя есть/нет доступа».

Контрольные точки

Как проверить результат

Вход пользователя в базу

Норма

Пользователь входит и видит только свои разделы

Тревожный признак

Вход невозможен или видны лишние административные функции

Отчёт «Права доступа»

Норма

Состав ролей соответствует задуманному профилю

Тревожный признак

Присутствуют лишние роли, источник прав неясен

Журнал регистрации

Норма

Действия фиксируются под конкретным пользователем

Тревожный признак

Операции записаны под общей учётной записью

Попытка запрещённого действия

Норма

Программа выдаёт сообщение о нарушении прав

Тревожный признак

Действие выполняется без ограничений

Если проверка выявляет лишний доступ, сначала смотрят состав профиля и группы доступа, затем — индивидуальные роли в конфигураторе. Чаще всего лишние права «приезжают» из включения пользователя сразу в несколько групп доступа, где одна из групп шире необходимой.

Частые вопросы

Может ли пользователь с правами администратора видеть все документы?

Нет, если у него только роль администратора системы. Доступ к документам определяется прикладными ролями. Однако администратор может назначить себе дополнительные роли, поэтому действия администраторов контролируют через журнал регистрации.

Что делать, если потерян пароль единственного администратора файловой базы?

Штатного способа сброса пароля без входа в базу нет. Варианты: восстановить базу из резервной копии, где пароль известен, или обратиться к специалисту по сопровождению 1С. Чтобы не попасть в такую ситуацию, держите вторую административную учётную запись с надёжно сохранённым паролем.

Нужны ли права администратора для установки обновлений типовой конфигурации?

Да. Обновление конфигурации базы данных требует права «Обновление конфигурации базы данных» и монопольного доступа к базе, что доступно пользователю с административными правами. Обычный пользователь с прикладными ролями выполнить обновление не сможет.

Чем отличается администратор кластера от администратора информационной базы?

Администратор кластера управляет сервером 1С и списком баз через консоль администрирования, но не имеет автоматического доступа внутрь баз. Администратор информационной базы работает внутри конкретной базы: пользователи, права, журнал регистрации. Это независимые учётные записи.

Опасно ли давать пользователям право запуска внешних обработок?

Да. Внешняя обработка выполняет произвольный код и может читать или изменять любые данные в обход ролевых ограничений. Это право оставляют только доверенным специалистам, а в типовых конфигурациях дополнительно настраивают профили безопасности.

Почему после назначения роли пользователь не видит изменений?

Права применяются при создании нового сеанса. Пользователь должен полностью выйти из программы и войти снова. Если после перезахода доступ не появился, проверьте отчёт «Права доступа» — возможно, роль назначена не через тот механизм (конфигуратор вместо профилей групп доступа).