Администрирование · 9 мин
Как ограничить права пользователя в 1С: Управление торговлей
Как ограничить права пользователя в 1С Управление торговлей: группы доступа, профили, роли, ограничение на уровне записей. Пошаговая настройка и проверка результата.
Ограничение прав в 1С: Управление торговлей (УТ 11) строится на связке «профиль групп доступа — группа доступа — пользователь». Администратор не назначает роли напрямую каждому сотруднику, а включает его в группу доступа, которая связана с профилем — набором ролей и разрешённых действий. Такой подход позволяет быстро менять полномочия целых отделов, не редактируя каждую учётную запись по отдельности.
Прежде чем настраивать ограничения, определите, что именно нужно закрыть: отдельные документы и справочники, кнопки проведения и удаления, данные конкретных складов и организаций или возможность менять цены и скидки. От этого зависит выбор инструмента — типового профиля, копии профиля с доработкой или ограничения доступа на уровне записей (RLS).
Все настройки выполняются в разделе «НСИ и администрирование» → «Настройка пользователей и прав». Для работы потребуется учётная запись с правами администратора. Перед изменениями в рабочей базе рекомендуется проверить схему на тестовой копии: ошибка в правах может остановить работу отдела продаж или склада.
Как устроена модель прав в 1С: УТ
В основе лежат роли — элементы конфигурации, которые определяют, какие объекты (документы, справочники, отчёты) доступны пользователю и какие операции он может выполнять: чтение, добавление, изменение, удаление. Роли назначаются не напрямую, а через профили групп доступа — например, типовые профили «Менеджер по продажам», «Кладовщик», «Бухгалтер» уже содержат подобранный набор ролей.
Группа доступа связывает профиль с конкретными пользователями. Один пользователь может входить в несколько групп — тогда его права суммируются. Это важно: 1С объединяет разрешения, а не пересекает их. Если в одной группе сотруднику разрешено редактировать цены, запрет в другой группе не сработает, потому что запретов как таковых в этой модели нет — есть только наличие или отсутствие разрешения.
Настройка базовых ограничений через профили
Откройте «НСИ и администрирование» → «Настройка пользователей и прав» → «Профили групп доступа». Найдите типовой профиль, ближайший к обязанностям сотрудника. Если типовой профиль даёт лишние права, не редактируйте его — создайте копию через «Ещё» → «Скопировать» и уберите лишние роли в копии. Типовые профили могут обновляться при обновлении конфигурации, и ваши правки в них потеряются.
В копии профиля на закладке «Разрешённые действия (роли)» снимите флажки с ролей, которые нужно закрыть: например, «Изменение цен продажи», «Установка скидок и наценок», «Проведение документов задним числом». Сохраните профиль и проверьте результат под тестовым пользователем, прежде чем назначать его реальному сотруднику.
- 1Откройте «НСИ и администрирование» → «Настройка пользователей и прав» → «Профили групп доступа»
- 2Скопируйте подходящий типовой профиль и снимите лишние роли в копии
- 3Откройте «Группы доступа», создайте новую группу и укажите в ней созданный профиль
- 4Добавьте пользователя в группу доступа через вкладку «Участники»
- 5Войдите в базу под этим пользователем и проверьте, что закрытые функции недоступны
- 6Убедитесь, что нужные для работы операции при этом открываются без ошибок
Ограничение доступа к организациям, складам и подразделениям
Когда нужно, чтобы менеджер видел документы только своего склада или своей организации, одних ролей недостаточно — требуется ограничение доступа на уровне записей (RLS). Включите его в «Настройке пользователей и прав», установив флажок «Ограничивать доступ на уровне записей». После включения в группах доступа появится возможность указать разрешённые значения: конкретные организации, склады, подразделения, контрагентов или группы партнёров.
Учтите, что RLS заметно влияет на производительность: к каждому запросу добавляются условия проверки доступа, и в больших базах отчёты могут формироваться медленнее. Поэтому включайте ограничение на уровне записей только там, где оно действительно необходимо, и проверяйте скорость работы после настройки.
Как закрыть опасные операции: цены, скидки, удаление
Наиболее частые запросы — запретить менеджерам менять цены, давать скидки сверх лимита и удалять документы. Изменение цен закрывается снятием ролей, связанных с установкой цен номенклатуры, и отключением права на документ «Установка цен номенклатуры». Скидки ограничиваются ролями на ручные скидки в документах продажи и настройкой максимального процента скидки в соглашениях с клиентами.
Удаление и пометку на удаление объектов ограничивают через роли «Интерактивное удаление» и права на пометку удаления конкретных объектов в профиле. Дополнительно полезно включить запрет изменения данных в закрытых периодах через «Даты запрета изменения данных» — это закроет редактирование документов прошлых периодов для всех, кроме уполномоченных пользователей.
Проверка результата и поиск недостающих прав
Надёжный способ проверки — войти в базу под учётной записью настраиваемого пользователя и пройти его типовой рабочий сценарий: создать заказ, провести реализацию, сформировать отчёт. Все закрытые функции должны быть либо скрыты из интерфейса, либо выдавать сообщение о нарушении прав доступа. Убедитесь, что при этом не сломались нужные операции — чаще всего «отваливаются» печатные формы и связанные отчёты, требующие дополнительных ролей на чтение.
Если пользователь получает ошибку «Нарушение прав доступа», а понять, какой роли не хватает, сложно, используйте технологический журнал с событием доступа или отчёт «Анализ прав доступа» (входящий в состав инструментов разработчика на ИТС). Он показывает, какие роли дают доступ к конкретному объекту, и помогает добавить минимально необходимое разрешение вместо выдачи лишних прав.
Как проверить результат настройки
Интерфейс показывает только разрешённые разделы, рабочие операции выполняются
Ошибки доступа при стандартных действиях или видны лишние разделы
Объект отсутствует в меню или выдаётся отказ в доступе
Документ открывается и доступен для изменения
В списках видны документы только разрешённых значений
Видны чужие документы или список пуст при наличии данных
Время отклика сопоставимо с периодом до настройки
Списки и отчёты заметно замедлились после включения RLS
Типовые сценарии и альтернативные подходы
Быстрый запрет без настройки профилей
Если нужно срочно ограничить сотрудника, проще всего исключить его из лишних групп доступа, оставив одну минимальную. Это обратимая операция: вернуть прежние права можно повторным включением в группу, без восстановления настроек.
Внешние пользователи и доступ клиентов
Для доступа контрагентов к своим заказам и счетам используется механизм внешних пользователей с отдельными профилями. Их права настраиваются аналогично, но круг объектов уже ограничен самой конфигурацией — внешний пользователь физически не может получить доступ к внутренним документам, если ему не выдать соответствующие роли.
Заведите внутренний документ-матрицу: какие должности в какие группы доступа входят. При приёме нового сотрудника или увольнении это избавляет от выдачи прав «по памяти» и упрощает аудит доступа.
Частые вопросы
Можно ли ограничить права без включения RLS?
Да. Если нужно закрыть целые разделы, документы или операции (цены, скидки, удаление), достаточно профилей и ролей. RLS требуется только тогда, когда доступ разграничивается внутри одного вида объектов — по складам, организациям, контрагентам.
Почему пользователь всё равно видит запрещённый документ?
Чаще всего он входит в несколько групп доступа, и в одной из них действие разрешено — права суммируются. Проверьте состав всех его групп и профилей. Также убедитесь, что у пользователя нет роли администратора или полных прав, которые перекрывают любые ограничения.
Как дать право смотреть документы, но запретить их менять?
В профиле оставьте роли на чтение нужных объектов и снимите роли на добавление и изменение. Для отчётов и просмотра списков этого достаточно. Проверьте, что у пользователя не осталось ролей проведения и интерактивного удаления по этим документам.
Что делать, если после настройки у пользователя пропали печатные формы?
Печатные формы требуют права чтения объектов, из которых берут данные, а иногда — доступа к дополнительным отчётам и обработкам. Добавьте в профиль недостающие роли на чтение связанных объектов или подключите нужную внешнюю печатную форму в настройках дополнительных отчётов и обработок.
Нужно ли перезапускать сеанс пользователя после изменения прав?
Новые настройки применяются при следующем входе пользователя в базу. Если сеанс уже открыт, попросите сотрудника перезайти — в активном сеансе старый набор прав может сохраняться до завершения работы.
Что важно запомнить
Ограничение прав в 1С: УТ делается через копии типовых профилей и группы доступа, а не прямым назначением ролей. Права суммируются, RLS включайте только при необходимости, а результат всегда проверяйте под учётной записью реального пользователя до запуска в работу.