Администрирование · 13 мин
Профиль групп доступа в 1С: как редактировать
Как редактировать профиль групп доступа в 1С: пошаговая инструкция, настройка ролей и ограничений, проверка прав пользователя, типичные ошибки и FAQ.
Профиль групп доступа в 1С — это набор ролей и ограничений, который определяет, какие объекты базы (документы, справочники, отчёты) пользователь может видеть, создавать и изменять. Редактирование профиля позволяет тонко настроить права без создания отдельных ролей в конфигураторе: достаточно открыть нужный профиль, изменить состав разрешённых ролей и при необходимости задать ограничения доступа на уровне записей.
Механизм профилей работает в конфигурациях на базе Библиотеки стандартных подсистем (БСП): «Управление торговлей», «ERP», «Зарплата и управление персоналом», «Бухгалтерия предприятия» и других. Если в вашей базе права назначаются только через конфигуратор, значит, подсистема управления доступом не включена, и раздел «Профили групп доступа» в интерфейсе отсутствует.
Перед любыми изменениями убедитесь, что у вас есть права администратора, и зафиксируйте текущее состояние настроек — хотя бы снимками экрана. Ошибочное сужение прав может заблокировать работу целого отдела, а чрезмерное расширение — открыть доступ к зарплате, банковским реквизитам или управленческой отчётности тем, кому она не предназначена.
Где находятся профили групп доступа и что нужно для редактирования
В типовых конфигурациях путь к профилям выглядит так: «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». В некоторых конфигурациях раздел называется «Настройка прав доступа» или находится внутри «Пользователи и права». Если пункта нет в интерфейсе, проверьте, включена ли функциональная опция «Группы доступа» (ограничение доступа на уровне записей).
Для редактирования профилей у учётной записи должна быть роль «Администратор системы» или «Настройка прав доступа» (в разных конфигурациях названия отличаются). Обычный пользователь с правами на ведение документов профили изменить не сможет — форма откроется только на просмотр или будет недоступна вовсе.
Перед началом работы полезно понимать связку «профиль → группа доступа → пользователь». Профиль — это шаблон прав. Группа доступа объединяет пользователей и ссылается на профиль. Пользователь получает права через участие в одной или нескольких группах. Изменяя профиль, вы меняете права сразу всех участников связанных групп.
Как открыть и изменить состав ролей профиля
Откройте список профилей и найдите нужный по названию — например, «Менеджер по продажам», «Кладовщик», «Бухгалтер». Если профилей много, используйте поиск по строке. Двойным щелчком откройте форму профиля. В ней обычно видны: наименование, описание, список разрешённых ролей (флажками) и закладка с ограничениями доступа.
Чтобы добавить пользователю возможность, найдите соответствующую роль в списке и установите флажок. Например, чтобы менеджер мог изменять цены продажи, включите роль, отвечающую за редактирование цен номенклатуры. Чтобы убрать возможность — снимите флажок. Названия ролей в списке представлены в «человеческом» виде (синонимы), поэтому ориентироваться проще, чем в конфигураторе.
После изменения состава ролей нажмите «Записать и закрыть». Изменения вступают в силу для пользователей после повторного входа в базу либо после обновления настроек — в зависимости от версии платформы и режима работы. Попросите пользователя перезапустить сеанс, чтобы гарантированно применить новые права.
- 1Откройте «Администрирование → Настройки прав и пользователей → Профили групп доступа»
- 2Найдите и откройте нужный профиль двойным щелчком
- 3Отметьте или снимите флажки напротив ролей в списке разрешённых
- 4При необходимости настройте ограничения доступа на закладке «Ограничения доступа»
- 5Нажмите «Записать и закрыть»
- 6Проверьте результат под учётной записью пользователя из соответствующей группы
Настройка ограничений доступа на уровне записей
Помимо ролей, профиль позволяет ограничить доступ к конкретным данным: складам, организациям, подразделениям, контрагентам. Это механизм RLS (ограничение доступа на уровне записей). Например, можно разрешить менеджеру видеть документы только по своей организации или кладовщику — только по своему складу.
На закладке ограничений выберите вид доступа (например, «Организации») и укажите значения: «Все разрешены», «Все запрещены» или конкретный список. Логика такая: если вид доступа в профиле не указан, ограничение не действует; если указан со значениями — пользователь видит только перечисленное. Значения доступа чаще всего задаются уже на уровне группы доступа или самого пользователя, а в профиле определяется сам факт ограничения.
Будьте осторожны: включение ограничений на уровне записей увеличивает нагрузку на систему, поскольку к каждому запросу добавляются проверки. На больших базах с массовым включением RLS возможно замедление отчётов и списков документов. Включайте ограничения только там, где это действительно требуется политикой безопасности.
Создание копии профиля вместо изменения типового
Правильная практика — не перекраивать предопределённые профили под частные задачи, а создавать собственные на их основе. В списке профилей выделите типовой профиль и используйте команду «Скопировать» (F9). Новый профиль получит тот же состав ролей, который вы затем скорректируете под свою задачу.
У этого подхода два преимущества. Во-первых, типовой профиль остаётся эталоном: при обновлении конфигурации поставщик может обновить предопределённые профили, и ваша кастомизация не будет потеряна или перезаписана. Во-вторых, всегда можно сравнить свой профиль с типовым и понять, что именно было изменено.
После создания копии дайте профилю понятное имя, отражающее назначение: «Менеджер по продажам (без изменения цен)», «Кладовщик оптового склада». Затем создайте или отредактируйте группу доступа, указав в ней новый профиль, и добавьте в группу нужных пользователей.
Сравнение вариантов
Быстро, но рискованно: изменения могут быть перезаписаны при обновлении, а эталон теряется. Подходит для незначительных точечных правок.
Рекомендуемый путь: типовой профиль сохраняется, изменения изолированы и легко отслеживаются. Требует создания отдельной группы доступа.
Полный контроль, но нужно вручную подобрать весь состав ролей — легко что-то упустить. Используется для нестандартных должностей.
Проверка результата после редактирования
Изменение профиля без проверки — частая причина инцидентов. Самый надёжный способ убедиться в корректности — войти в базу под учётной записью пользователя из изменённой группы доступа и выполнить типовые операции: открыть документ, провести его, сформировать отчёт, попытаться открыть запрещённый объект.
Если тестового пользователя нет, создайте его специально: добавьте в группу доступа с изменённым профилем, войдите под ним и проверьте сценарии. После проверки тестовую учётную запись можно отключить. Это безопаснее, чем экспериментировать на боевых пользователях в разгар рабочего дня.
Обратите внимание на косвенные признаки: если пользователь сообщает, что «пропала кнопка» или «документ не проводится с ошибкой доступа», но роль вроде бы включена, проверьте, не входит ли он в несколько групп с разными профилями и нет ли ограничений на уровне записей, которые скрывают конкретные объекты.
Как проверить результат
Пользователь входит, интерфейс отображается, нужные разделы доступны
Ошибки доступа при входе, пустой интерфейс, отсутствуют рабочие разделы
Документы открываются, проводятся, печатаются в рамках полномочий
Ошибка «Нарушение прав доступа» при проведении или записи
Скрытые разделы недоступны, попытка открытия даёт корректный отказ
Пользователь по-прежнему видит и изменяет то, что должно быть закрыто
Видны документы только по разрешённым организациям/складам
Видны чужие данные либо пропали собственные документы пользователя
Типичные ошибки и ограничения механизма
Одна из частых ошибок — редактирование профиля вместо группы доступа. Если нужно изменить права только одного отдела, а профиль общий для нескольких групп, правка профиля затронет всех. В такой ситуации создайте отдельный профиль и отдельную группу.
Вторая ошибка — ожидание мгновенного эффекта. Права кэшируются в сеансе: пользователь, который уже работает в базе, продолжит работать со старыми правами до перезахода. Если изменения критичны (например, нужно срочно закрыть доступ), завершите сеанс пользователя принудительно через консоль кластера или список активных пользователей.
Третья типичная ситуация — конфликт прав через несколько групп. В 1С действует принцип объединения разрешений: если пользователь входит в две группы, и хотя бы одна даёт право — оно у него есть. Поэтому «запретить» что-то через дополнительную группу нельзя; нужно убрать право из всех профилей пользователя.
Когда профилей недостаточно: конфигуратор и внешние инструменты
Профили групп доступа покрывают большинство задач, но у механизма есть границы. Если нужной роли нет в списке профиля (например, требуется доступ к новому объекту, добавленному доработкой), роль сначала создаётся или настраивается в конфигураторе, и только потом появляется в профиле. Самостоятельно создать новую роль из режима «Предприятие» нельзя.
Сложные ограничения на уровне записей с нестандартными условиями (например, доступ к документам только в пределах суммы) также реализуются через шаблоны RLS в конфигураторе. Это уже задача для разработчика: ошибка в тексте шаблона может привести к массовым ошибкам доступа или утечке данных.
Для аудита действующих прав используйте отчёт «Права доступа» (входит в состав БСП, доступен администратору): он показывает, какие роли и через какие группы получает конкретный пользователь. Это самый быстрый способ найти, откуда у сотрудника появилось лишнее право.
Как выбрать действие
Удобно вести простой документ-реестр: какие профили созданы, на базе каких типовых, для каких должностей и кто в какие группы входит. При увольнении сотрудника или смене должности такой реестр экономит массу времени и снижает риск забыть отозвать доступ.
Частые вопросы
Почему пользователь не видит изменений после правки профиля?
Права применяются к сеансу при входе. Попросите пользователя полностью выйти из базы и зайти заново. В клиент-серверном режиме можно завершить сеанс принудительно через консоль кластера. Если после перезахода прав нет — проверьте, что пользователь действительно входит в группу доступа с этим профилем.
Можно ли запретить действие, добавив пользователя в группу с ограниченным профилем?
Нет. Права в 1С суммируются: если хотя бы одна группа пользователя даёт право, оно действует. Чтобы убрать возможность, нужно исключить её из всех профилей всех групп, в которые входит пользователь, либо вывести его из «лишних» групп.
Что делать, если после обновления конфигурации настройки профиля изменились?
При обновлении поставщик может обновить предопределённые (поставляемые) профили. Если вы редактировали типовой профиль напрямую, изменения могут быть перезаписаны. Поэтому собственные настройки рекомендуется делать в копиях профилей — они при обновлении не затрагиваются.
Как узнать, откуда у пользователя конкретное право?
Используйте отчёт «Права доступа» (раздел администрирования, доступен пользователю с правами настройки доступа). Он показывает состав ролей пользователя и группы доступа, через которые эти роли получены. Альтернатива — открыть карточку пользователя и просмотреть список его групп доступа с профилями.
Можно ли редактировать профили во время работы пользователей?
Технически да, блокировок это не вызывает. Но активные сеансы продолжат работать со старыми правами до перезахода, поэтому эффект будет неоднородным. Для критичных изменений (срочное закрытие доступа) после правки профиля завершите сеансы соответствующих пользователей принудительно.
Чем профиль отличается от группы доступа?
Профиль — это шаблон: набор ролей и видов ограничений. Группа доступа — это конкретное объединение пользователей, которое ссылается на профиль и может задавать конкретные значения доступа (например, список разрешённых складов). Один профиль может использоваться несколькими группами с разными значениями ограничений.
Что важно запомнить
Профиль редактируется в разделе «Профили групп доступа»: меняйте состав ролей и ограничения, для нестандартных задач создавайте копию типового профиля, а не правьте поставляемый. Права пользователей суммируются по всем группам, применяются после перезахода в базу, а результат всегда проверяйте под обычной учётной записью, а не под администратором.