Администрирование · 12 мин
Как ограничить доступ к документам в 1С: настройка прав и запретов
Как ограничить доступ к документам в 1С: роли, профили групп доступа, RLS, запрет изменения данных. Пошаговые инструкции, проверка результата и типичные ошибки.
Ограничение доступа к документам в 1С решает сразу несколько задач: сотрудник видит только те документы, которые нужны ему для работы, случайное изменение чужих данных исключено, а конфиденциальная информация (зарплата, взаиморасчёты, управленческие проводки) остаётся закрытой. В типовых конфигурациях на платформе 1С:Предприятие 8.3 для этого есть несколько уровней: права на объекты (роли), профили групп доступа, ограничение на уровне записей (RLS) и механизм дат запрета изменения данных.
Выбор инструмента зависит от того, что именно нужно закрыть. Если задача — убрать целый вид документов из интерфейса и запретить работу с ним, достаточно ролей и профилей. Если пользователи должны видеть документы только своей организации или склада — потребуется RLS. Если нужно запретить редактирование документов прошлых периодов — настраивается дата запрета изменения данных.
Важно понимать: все перечисленные механизмы работают только в связке с корректно заведёнными пользователями и отключёнными административными правами. Если у сотрудника роль «Полные права» или «Администратор системы», любые ограничения обходятся, и настройка теряет смысл.
Как устроена система прав в 1С
В типовых конфигурациях (1С:Бухгалтерия, Управление торговлей, ЗУП, ERP) права назначаются не напрямую пользователю, а через профили групп доступа. Профиль — это набор ролей. Роль определяет, какие действия разрешены с объектом: чтение, добавление, изменение, проведение, интерактивное удаление. Пользователь включается в группу доступа, группа связана с профилем — и сотрудник получает сумму прав всех ролей профиля.
Поверх ролей работает механизм RLS (Record Level Security) — ограничение доступа на уровне записей. Он фильтрует данные по значениям реквизитов: например, менеджер видит документы только по своей организации или только по разрешённым складам. RLS настраивается через группы доступа пользователей и разрешённые значения в профиле.
Отдельный слой — функциональные опции и интерфейс. Скрытие раздела из меню не является защитой: документы остаются доступны через «Все функции» или прямые ссылки. Настоящее ограничение достигается только правами на объект, поэтому прятать пункты меню недостаточно.
Ограничение доступа через профили групп доступа
Это основной способ закрыть целые виды документов. Порядок действий в типовой конфигурации: откройте раздел «Администрирование» → «Настройки пользователей и прав» → «Профили групп доступа». Убедитесь, что в настройках включён флажок «Группы доступа» (в некоторых конфигурациях он называется «Ограничивать доступ на уровне записей»).
Создайте новый профиль или скопируйте типовой — например, «Менеджер по продажам». Внутри профиля на закладке «Роли» оставьте только те роли, которые дают доступ к нужным документам. Если в профиле есть роль «Добавление изменение документов продажи», а менеджеру по закупкам она не нужна — снимите её. Не создавайте профиль с нуля без необходимости: проще скопировать близкий типовой и убрать лишнее.
Далее откройте «Группы доступа», включите туда пользователя и привяжите созданный профиль. После перезахода пользователя в программу лишние документы исчезнут из интерфейса, а при попытке открыть их прямой ссылкой появится сообщение о нарушении прав доступа.
- 1Администрирование → Настройки пользователей и прав: включите группы доступа
- 2Создайте профиль копированием типового и уберите лишние роли
- 3Создайте группу доступа, добавьте пользователя, привяжите профиль
- 4Попросите пользователя перезайти в программу
- 5Проверьте доступ под его учётной записью
Разграничение по организациям, складам и подразделениям (RLS)
Когда в одной базе работают несколько организаций или складов, ролей недостаточно — нужно ограничение на уровне записей. В карточке профиля на закладке «Ограничения доступа» (или «Разрешённые значения») укажите, по каким измерениям действует ограничение: организация, склад, подразделение, контрагенты из определённых групп.
Конкретные разрешённые значения задаются либо в группе доступа пользователей (закладка «Разрешённые значения»), либо в карточке самого пользователя. Например, менеджеру склада «Северный» в группе доступа добавляют склад «Северный» — и все документы отгрузки, перемещения и инвентаризации по другим складам перестают ему отображаться.
Учтите особенность: RLS замедляет выполнение запросов, потому что платформа добавляет условия отбора ко всем обращениям к ограниченным таблицам. На больших базах с десятками видов ограничений это может ощутимо сказаться на скорости формирования списков и отчётов. Включайте RLS только по тем измерениям, где он действительно нужен.
Запрет редактирования документов прошлых периодов
Частая задача — не закрывать документы полностью, а запретить их изменение после закрытия периода. Для этого служит механизм «Даты запрета изменения данных»: «Администрирование» → «Поддержка и обслуживание» → «Регламентные операции» → «Даты запрета изменения данных» (в разных конфигурациях путь может немного отличаться).
Установите общую дату запрета — например, конец прошлого квартала. Все документы раньше этой даты станут доступны только на просмотр: провести, изменить или пометить на удаление их нельзя. Дату можно задать индивидуально по пользователям или группам: главному бухгалтеру оставить право корректировки, остальным — закрыть.
Дополнительно в ряде конфигураций есть функциональность «Запрет редактирования» по отдельным объектам и премодерация. Но базовый и самый надёжный инструмент — именно дата запрета: она работает на уровне записи данных, и обойти её через внешние обработки или консоль без полных прав невозможно.
Сравнение способов ограничения
Закрывают целые виды документов. Подходят для разграничения по должностям. Не различают документы внутри вида.
Фильтруют документы по организациям, складам, подразделениям. Гибко, но снижает производительность и сложнее в настройке.
Защищает закрытые периоды от правок. Не скрывает документы, только блокирует изменение.
Убирает пункты меню, но не защищает данные. Используется только как дополнение к правам.
Проверка результата настройки
После любой настройки прав обязательно проверьте результат под учётной записью самого пользователя, а не под администратором. Зайдите в базу под его логином: убедитесь, что запрещённые документы не отображаются в списках, не находятся поиском и не открываются по прямой ссылке из истории или избранного.
Проверьте и обратную сторону: нужные для работы документы должны создаваться и проводиться без ошибок. Типичная ситуация — доступ к документу закрыли, но забыли о связанных объектах: пользователь не может провести реализацию, потому что у него нет права чтения справочника договоров или регистра остатков. Сообщение об ошибке при проведении укажет, какого именно права не хватает.
В файловых базах дополнительно проверьте, что пользователь не входит в список с административными правами напрямую (Администрирование → Пользователи → карточка пользователя): приоритет прав в 1С суммируется, и одна лишняя роль снимает все ограничения.
Как проверить результат
Запрещённые виды и чужие организации не отображаются
Документы видны или открываются по ссылке
Документ проводится без ошибок прав
Ошибка «Нарушение прав доступа» на связанный объект
Документ открывается только на просмотр
Документ сохраняется и перепроводится
Типичные ошибки и ограничения
Самая частая ошибка — оставленные полные права. Администратор настраивает аккуратный профиль, но пользователь остаётся в группе с полными правами, и ограничения не действуют. Права в 1С суммируются по принципу «разрешено хотя бы одной ролью», поэтому лишняя группа сводит настройку к нулю.
Вторая ошибка — попытка ограничить доступ только скрытием элементов интерфейса или настройкой панелей. Пользователь с базовыми правами откроет документ через «Все функции», универсальный отчёт или подбор. Третья — чрезмерный RLS: когда ограничивают всё подряд, база начинает заметно тормозить, а поддержка настройки становится невозможной.
Отдельно стоит помнить про внешние отчёты и обработки: если пользователю разрешён их запуск, обработка с обращением к данным может обойти часть ограничений интерфейса. В конфигурациях с режимом безопасного запуска включайте профили безопасности и ограничивайте право «Интерактивное открытие внешних отчётов и обработок».
Нетиповые конфигурации и тонкие сценарии
В самописных и сильно доработанных конфигурациях типовых профилей может не быть. Тогда права настраиваются через роли в конфигураторе: для роли на документ снимаются флажки «Чтение», «Добавление», «Изменение», а пользователю назначается собственный набор ролей. Такую работу лучше поручить разработчику, поскольку ошибка в ролях требует обновления конфигурации и может затронуть всех пользователей.
Для точечных сценариев — например, «менеджер видит только своих клиентов» или «документ нельзя удалять после подписания» — в типовых решениях применяют RLS по ответственному, версионирование объектов и бизнес-процессы согласования. Это уже настройка среднего уровня сложности, и её стоит согласовывать с методологией учёта, а не внедрять «на глаз».
Перед массовой настройкой прав составьте простую матрицу: в строках — должности, в столбцах — виды документов, на пересечении — уровень доступа (полный, просмотр, запрет). Такая таблица экономит часы при создании профилей и служит документом для согласования с руководителями подразделений.
Частые вопросы
Пользователь видит чужие документы даже после настройки профиля. Что не так?
Чаще всего он остался в группе доступа с полными правами или у него в карточке напрямую назначены дополнительные роли. Проверьте все группы, в которые входит пользователь: права суммируются, и одна «широкая» группа отменяет ограничения остальных. Также убедитесь, что ограничение на уровне записей включено в настройках пользователей и прав.
Можно ли запретить удаление документов, но оставить их изменение?
Да. В ролях за удаление отвечают отдельные права: «Интерактивное удаление», «Интерактивная пометка удаления» и «Интерактивное снятие пометки удаления». Снимите эти флажки в профиле, оставив «Изменение», — пользователь сможет править и проводить документы, но не сможет их пометить на удаление.
Как закрыть доступ к документам по зарплате обычным бухгалтерам?
В конфигурациях, где зарплата и бухгалтерия в одной базе, документы начислений защищаются отдельными ролями и специальными группами доступа. Назначьте роли работы с зарплатой только расчётчикам, а бухгалтерам оставьте профиль без этих ролей. Дополнительно проверьте отчёты: многие из них показывают зарплатные данные и тоже должны быть закрыты правами.
Влияет ли дата запрета изменения на обмены данными?
Да, по умолчанию дата запрета действует и на загрузку данных при обмене: документы старше даты запрета могут не загрузиться или вызвать ошибки синхронизации. В настройках дат запрета можно указать исключения для обменов данными, но делайте это осознанно — такое исключение открывает канал для изменения закрытых периодов.
Можно ли ограничить доступ к документам в файловой базе без сервера?
Можно. Профили групп доступа, RLS и даты запрета работают одинаково в файловом и клиент-серверном режимах. Отличие только в том, что в файловой базе нет отдельной защиты на уровне СУБД, поэтому важно ограничить и доступ к самому файлу базы средствами операционной системы.
Что делать, если после настройки прав пользователь не может работать вообще?
Значит, в профиле не хватает базовых ролей: чтения справочников, ролей подсистем или базовых прав подсистемы БСП. Вернитесь к типовому профилю, сравните состав ролей и добавьте недостающие. Ошибка при открытии объекта обычно содержит имя объекта, на который не хватило прав, — начинайте диагностику с него.
Что важно запомнить
Доступ к документам в 1С ограничивается тремя инструментами: профилями групп доступа (закрывают виды документов), RLS (разграничивает по организациям и складам) и датой запрета изменения (защищает закрытые периоды). Обязательные условия: у пользователя не должно быть полных прав, а результат всегда проверяется под его учётной записью.