Администрирование · 11 мин
Что такое группа доступа в 1С и как её настроить
Разбираем, что такое группы доступа в 1С, как работают профили, роли и ограничение на уровне записей. Пошаговая настройка, ошибки и FAQ.
Группа доступа в 1С — это механизм платформы «1С:Предприятие 8.3» (и прикладных решений на базе БСП — «Управление торговлей», «ERP», «Бухгалтерия предприятия» и других), который определяет, какие объекты информационной базы пользователь может видеть и изменять. В отличие от ролей, которые отвечают на вопрос «что пользователь может делать» (читать, проводить, удалять документы), группы доступа отвечают на вопрос «с какими именно объектами он может это делать» — например, только со складами своего филиала или только с контрагентами своей группы.
Механизм работает на уровне ограничения доступа к данным (RLS — Row Level Security). Когда пользователь открывает список документов или справочник, платформа автоматически добавляет к запросу условия, отсекающие записи, не входящие в его группы доступа. Пользователь даже не догадывается, что в базе существуют другие данные: они просто не отображаются ни в списках, ни в отчётах, ни в подборах.
Понимание групп доступа критично для администраторов, которые внедряют разграничение прав между подразделениями, менеджерами и руководством. Неправильная настройка приводит либо к утечке коммерческой информации, либо к обратной проблеме — сотрудники не видят нужные документы и не могут работать.
Как устроен механизм: роли, профили и группы доступа
В типовых конфигурациях на базе Библиотеки стандартных подсистем права делятся на три уровня. Первый уровень — роли конфигурации: они задаются в конфигураторе и определяют набор разрешённых операций с типами объектов. Роль отвечает на вопрос «можно ли читать и проводить реализацию товаров», но не уточняет, по какой организации.
Второй уровень — профили групп доступа. Это справочник в пользовательском режиме, в котором администратор собирает набор ролей и дополнительных разрешений под конкретную должность: «Менеджер по продажам», «Кладовщик», «Главный бухгалтер». Профиль назначается пользователю напрямую или через группу пользователей.
Третий уровень — собственно группы доступа и значения доступа. Если в профиле включено разрешение, ограничиваемое по видам доступа (например, «Организации» или «Склады»), то для пользователя создаётся запись в группе доступа, где перечислены конкретные значения: организация «Ромашка», склады «Основной» и «Розничный». Только эти объекты и будут ему доступны.
Какие виды доступа существуют
Состав видов доступа зависит от конфигурации, но в большинстве типовых решений присутствуют типовые измерения: организации, склады (магазины), кассы, подразделения, контрагенты и группы партнёров, физические лица, виды номенклатуры. Каждый вид доступа включается отдельно в настройках профиля.
Важный принцип: ограничение работает только для тех видов доступа, которые явно включены. Если в профиле менеджера включено ограничение по складам, но не включено по организациям, то менеджер увидит документы всех организаций, но только по своим складам. Это частая причина «дыр» в правах — администратор настроил один вид доступа и забыл про остальные.
Отдельно стоит упомянуть специальное значение «Все разрешены» и «Все запрещены». Если у пользователя для вида доступа не задано ни одного значения, поведение зависит от настройки: либо доступ разрешён ко всем объектам этого вида, либо полностью заблокирован. В типовых конфигурациях по умолчанию действует принцип «не указано — значит разрешено без ограничений» для видов доступа, не включённых в профиль, но для включённых видов пустой список значений обычно означает запрет.
Как настроить группу доступа пошагово
Настройка выполняется в пользовательском режиме под учётной записью с правами администратора. Точные названия разделов могут отличаться между конфигурациями, но общая логика одинакова.
- 1Откройте раздел «Администрирование» → «Настройки прав и пользователей» и включите опцию «Группы доступа», если она отключена.
- 2Перейдите в справочник «Профили групп доступа» и создайте новый профиль, например «Менеджер филиала».
- 3В профиле отметьте нужные роли (разрешённые действия) и включите виды доступа, по которым нужно ограничение — например, «Организации» и «Склады».
- 4Создайте группу доступа на основе профиля и добавьте в неё пользователей.
- 5На вкладке «Разрешённые значения» укажите конкретные организации и склады, доступные этой группе.
- 6Зайдите под учётной записью пользователя и проверьте, что он видит только разрешённые данные.
После включения механизма платформа начнёт применять RLS-условия к запросам. На больших базах это может заметно сказаться на скорости формирования списков и отчётов — запросы усложняются. Если после включения групп доступа пользователи жалуются на «тормоза», проверьте индексацию и состав ограничений: чем больше видов доступа включено, тем тяжелее запросы.
Для проверки результата используйте отчёт «Права доступа» (в типовых конфигурациях он доступен администратору) — он показывает, какие роли и значения доступа реально действуют для конкретного пользователя с учётом всех групп, в которые он входит.
Группы доступа пользователей и группы доступа объектов
В механизме участвуют две стороны. Группы доступа пользователей объединяют сотрудников с одинаковыми правами: все менеджеры московского офиса входят в одну группу. Группы доступа объектов (например, группы контрагентов или папки номенклатуры) объединяют данные, к которым применяется ограничение.
Связь между ними задаётся через разрешённые значения. Когда вы указываете в группе доступа значение «Группа контрагентов: VIP-клиенты», все контрагенты, входящие в эту группу справочника, становятся доступны пользователям. При добавлении нового контрагента в папку он автоматически попадает под действие правила — перенастраивать права не нужно.
Это удобно для динамичных структур: вместо перечисления сотен контрагентов по одному администратор настраивает доступ к папке, а менеджеры сами распределяют карточки по папкам в рамках своих полномочий.
Удобно строить иерархию папок справочников сразу с учётом будущего разграничения доступа: «Контрагенты/Москва», «Контрагенты/Регионы». Тогда доступ выдаётся одной строкой на папку, а не сотней записей на отдельные карточки.
Типичные ошибки при настройке
Самая распространённая ошибка — смешение ролей и групп доступа. Администратор пытается «запретить удаление документов» через группу доступа, хотя это задача роли. Обратная ситуация: попытка ограничить видимость организации через роль, что невозможно без доработки конфигурации — роли работают с типами объектов, а не с конкретными записями.
Ещё одна проблема — производительность. Включение всех подряд видов доступа «на всякий случай» приводит к тяжёлым RLS-условиям в каждом запросе. Включайте только те виды, которые реально нужны бизнес-процессу.
Как проверить, что ограничения работают правильно
Проверка обязательна выполняется под учётной записью самого пользователя, а не администратора — у администратора ограничения обычно не действуют, и картина будет ложной. Заведите тестового пользователя, включите его в настроенную группу и пройдите основные сценарии: открытие списков документов, проведение, формирование отчётов, подбор контрагентов.
Как проверить результат
Видны только документы по разрешённым организациям и складам
Отображаются чужие организации или список вообще пуст
Цифры совпадают с данными, доступными пользователю
Отчёт показывает обороты по всем подразделениям
В подборе только разрешённые группы контрагентов
Доступен весь справочник контрагентов
Появляется сообщение о нарушении прав доступа
Документ открывается и редактируется
Особое внимание уделите сценарию открытия объекта по прямой ссылке. Некоторые настройки скрывают записи в списках, но не блокируют открытие по навигационной ссылке — это признак неполной настройки RLS или доработок, обходящих стандартный механизм.
Когда групп доступа недостаточно
Стандартный механизм покрывает большинство сценариев разграничения по структуре предприятия, но у него есть границы. Он не умеет ограничивать доступ по произвольным условиям («менеджер видит только свои сделки» — где «свои» определяется ответственным в документе) без доработки, хотя в ряде конфигураций есть вид доступа «Пользователи» или «Настройки прав», частично закрывающий эту задачу.
Как выбрать действие
Для нестандартных условий в конфигураторе дорабатываются шаблоны ограничений доступа (тексты RLS-условий на языке запросов). Это работа для разработчика: ошибка в шаблоне применяется ко всем запросам и может как открыть лишнее, так и положить производительность базы.
Что важно запомнить
Группа доступа ограничивает видимость конкретных записей (организаций, складов, контрагентов), а роли — разрешённые операции. Настройка ведётся через профили и разрешённые значения, обязательно проверяется под учётной записью пользователя, а изменения в рабочей базе выполняются только после теста на копии.
Частые вопросы о группах доступа в 1С
Чем группа доступа отличается от профиля групп доступа?
Профиль — это шаблон набора ролей и видов ограничений (например, «Кладовщик»). Группа доступа — конкретная реализация профиля с перечнем пользователей и разрешённых значений. Один профиль может порождать несколько групп: «Кладовщики Москвы» и «Кладовщики Казани» с разными складами.
Почему пользователь не видит документы после добавления в группу доступа?
Чаще всего в профиле включён вид доступа, но в группе не заполнены разрешённые значения — система трактует пустой список как запрет. Проверьте вкладку разрешённых значений и убедитесь, что пользователь перезашёл в базу: кэш прав иногда обновляется только при новом сеансе.
Работают ли группы доступа в файловой версии 1С?
Да, механизм RLS работает и в файловом, и в клиент-серверном варианте. Разница только в производительности: на файловой базе сложные ограничения ощутимее замедляют работу, поэтому число включённых видов доступа стоит держать минимальным.
Можно ли ограничить доступ к отдельным полям документа, а не к документу целиком?
Штатный механизм групп доступа работает на уровне записей целиком. Ограничение на уровне реквизитов (например, скрыть суммы, но показать номенклатуру) требует доработки: отдельных ролей на реквизиты, настройки интерфейса или программной проверки в формах.
Что будет, если пользователь входит сразу в несколько групп доступа?
Разрешения суммируются: пользователь получает доступ ко всем значениям из всех своих групп, а роли объединяются по принципу «разрешено хотя бы в одной». Это удобно для совместителей, но требует контроля — итоговые права проверяйте отчётом «Права доступа», чтобы случайно не выдать лишнего.
Нужно ли настраивать группы доступа, если в базе работает один пользователь?
Нет, для единственного администратора механизм избыточен и только добавит накладных расходов. Группы доступа оправданы, когда в базе работают несколько сотрудников с разными зонами ответственности и требуется скрыть часть данных.