Администрирование · 11 мин
Права доступа в 1С: что это и как их настроить
Что такое права доступа в 1С, как работают роли, RLS и профили групп доступа, как настроить права пользователей и проверить результат без риска для данных.
Права доступа в 1С — это механизм, который определяет, какие объекты информационной базы (документы, справочники, отчёты, регистры) может видеть и изменять конкретный пользователь. Без правильно настроенных прав любой сотрудник получает доступ ко всей базе: к зарплате, взаиморасчётам, финансовым документам — что создаёт риски утечки данных, случайного удаления документов и нарушения учёта.
Система прав в 1С устроена многоуровнево: на уровне конфигурации действуют роли, на уровне прикладного решения — профили групп доступа, а для ограничения данных внутри одного объекта применяется механизм RLS (ограничение доступа на уровне записей). Понимание того, как эти уровни сочетаются, позволяет выдать сотруднику ровно те права, которые нужны для его работы, — и не больше.
Ошибки в настройке прав типичны: пользователю выдают роль «Полные права» «чтобы всё работало», либо наоборот — забывают включить нужную роль, и сотрудник не может провести документ. Обе ситуации разбираются ниже вместе с порядком проверки.
Что такое права доступа и какие операции они регулируют
Каждый объект конфигурации — справочник, документ, регистр, отчёт — имеет набор стандартных прав: чтение, добавление, изменение, удаление, просмотр, ввод по строке и другие. Совокупность этих разрешений для конкретного пользователя и есть его права доступа. Если права на чтение нет, объект не отображается в интерфейсе и недоступен в запросах; если нет права на изменение — документ открывается только на просмотр.
Права проверяются платформой автоматически при каждом обращении к данным: при открытии формы, проведении документа, построении отчёта, выполнении обработки. Это значит, что ограничение действует не только в интерфейсе, но и на уровне самой базы — обойти его через внешнюю обработку без соответствующих прав нельзя.
Важно понимать разницу между правами на объект и правами на данные внутри объекта. Право «чтение документа Реализация товаров» открывает доступ ко всем документам этого вида. Чтобы менеджер видел только свои документы или только свою организацию, дополнительно применяется RLS — ограничение на уровне записей.
Роли в конфигураторе: базовый уровень системы прав
Роли создаются и настраиваются в конфигураторе (дерево конфигурации → Общие → Роли). В типовых конфигурациях уже существует десятки готовых ролей: «Бухгалтер», «Менеджер по продажам», «Чтение базовой нормативно-справочной информации» и другие. Каждая роль содержит флажки прав по всем объектам конфигурации.
Назначение ролей пользователю выполняется в конфигураторе через список пользователей (Администрирование → Пользователи) либо в режиме 1С:Предприятие через карточку пользователя. Ключевое правило: права разных ролей складываются по принципу «ИЛИ». Если одна роль запрещает удаление, а вторая разрешает — пользователь сможет удалять. Поэтому «запрещающих» ролей в 1С не существует, есть только роли, которые не дают права.
Особая роль — «Полные права» (АдминистраторСистемы и ПолныеПрава в типовых). Она открывает доступ ко всем объектам, отключает проверку RLS и позволяет изменять любые данные, включая закрытые периоды. Выдавать её рядовым пользователям недопустимо: это самая частая причина случайной порчи данных.
Профили и группы доступа в режиме предприятия
В типовых конфигурациях (Бухгалтерия, Зарплата и управление персоналом, Управление торговлей, ERP) поверх ролей работает подсистема «Управление доступом» из библиотеки стандартных подсистем. Вместо назначения ролей напрямую администратор создаёт профили групп доступа — понятные бизнес-наборы вроде «Менеджер по закупкам» или «Кассир», — а пользователи включаются в группы доступа с этими профилями.
Настройка ведётся в разделе «Администрирование → Настройки пользователей и прав → Группы доступа» (в некоторых конфигурациях путь отличается). Профиль определяет, какие роли получит пользователь, а группа доступа может дополнительно ограничивать разрешённые значения: конкретные организации, склады, подразделения, контрагентов.
Преимущество подхода в том, что администратору не нужно лезть в конфигуратор: всё делается в пользовательском режиме, а состав ролей профиля обновляется автоматически при обновлении конфигурации. Изменение профиля применяется ко всем участникам групп с этим профилем одновременно.
- 1Создайте пользователя в разделе Администрирование → Пользователи, задайте имя и пароль
- 2Определите его должностные задачи и подберите подходящий профиль группы доступа из типовых
- 3Включите пользователя в группу доступа с выбранным профилем, при необходимости укажите разрешённые организации и склады
- 4Войдите в базу под учётной записью сотрудника и проверьте: нужные документы создаются и проводятся, лишние разделы недоступны
- 5Зафиксируйте выданные права во внутреннем реестре, чтобы при увольнении или переводе сотрудника права были пересмотрены
RLS: ограничение доступа на уровне записей
RLS (Record Level Security) позволяет разграничить данные внутри одного вида объектов. Классические сценарии: менеджер видит только документы своей организации, кладовщик — только свой склад, руководитель подразделения — только своих сотрудников. Технически RLS — это условие, которое платформа автоматически добавляет к каждому запросу к таблице.
В типовых конфигурациях RLS настраивается не программированием, а через группы доступа: в профиле или группе указываются разрешённые значения (организации, склады, физические лица), и механизм сам строит ограничения. Вид настройки зависит от конфигурации — где-то это «Виды доступа», где-то отдельные настройки в карточке группы.
Проверить, действует ли RLS, просто: зайдите под пользователем с ограничениями и откройте список документов. Если в списке видны документы чужих организаций — ограничение не настроено или пользователь входит в группу доступа без ограничений. Помните, что у пользователя с полными правами RLS не работает вообще.
Как проверить и отладить права пользователя
Главный приём проверки — войти в базу под учётной записью самого пользователя и пройти его типовой рабочий сценарий: создать документ, провести его, сформировать отчёт. Сообщения вида «Нарушение прав доступа» указывают, какого именно права не хватает — по тексту ошибки видно объект и действие.
В типовых конфигурациях есть встроенные средства диагностики: отчёт «Права доступа» (или аналог в разделе администрирования) показывает, какие роли и профили действуют у пользователя и откуда взялось конкретное право. В конфигураторе состав ролей виден в карточке пользователя.
Как проверить результат
Документ сохраняется и проводится без сообщений о нарушении прав
Ошибка «Нарушение прав доступа» или недоступная кнопка проведения
Пользователь видит только документы разрешённых организаций и складов
В списках отображаются документы всех подразделений
Разделы недоступны или скрыты у пользователей, которым они не нужны
Рядовой сотрудник открывает начисления зарплаты или может менять учётную политику
Если прав не хватает, не добавляйте роли наугад. Определите по тексту ошибки нужный объект и действие, найдите в типовом профиле роль, которая его даёт, и добавьте именно её. Так права остаются управляемыми и не разрастаются.
Типичные ошибки при настройке прав
Отдельная ошибка — хранение паролей и выдача общих учётных записей. Когда несколько человек работают под одним пользователем, права теряют смысл: невозможно ни ограничить доступ персонально, ни установить автора изменений в журнале регистрации. Каждому сотруднику — своя учётная запись со своим набором прав.
Кому какие права нужны: практический подход
Собирайте права от задач, а не от должностей. Выпишите операции, которые сотрудник выполняет ежедневно: какие документы создаёт, какие справочники редактирует, какие отчёты смотрит. Под этот список подберите типовой профиль или составьте собственный. Всё, что не входит в список, не выдаётся — при необходимости право добавляется позже по запросу.
Как выбрать действие
Периодически пересматривайте назначенные права: при смене должности, появлении новых разделов учёта, обновлении конфигурации. Ревизия раз в несколько месяцев занимает немного времени, но предотвращает накопление избыточных прав и связанные с этим инциденты.
Что важно запомнить
Права доступа в 1С строятся на ролях и профилях групп доступа, а ограничение данных внутри объектов обеспечивает RLS. Выдавайте минимально необходимые права, никогда не раздавайте полные права рядовым пользователям, проверяйте результат под учётной записью сотрудника и регулярно пересматривайте назначенные права.
Частые вопросы о правах доступа в 1С
Чем роль отличается от профиля группы доступа?
Роль — это технический набор прав на объекты конфигурации, создаваемый в конфигураторе. Профиль группы доступа — пользовательская обёртка над набором ролей, которой администратор управляет в режиме предприятия без изменения конфигурации. В типовых решениях работать рекомендуется именно через профили.
Почему пользователь видит документы, хотя доступ к организации не выдан?
Чаще всего причина в том, что пользователь входит в несколько групп доступа, и одна из них не ограничивает организации — права суммируются. Вторая частая причина — наличие полных прав, при которых RLS не применяется. Проверьте состав групп пользователя и отсутствие роли полных прав.
Можно ли запретить удаление документов, но оставить их изменение?
Да. Право на удаление (и интерактивное удаление) настраивается отдельно от права изменения. В типовых конфигурациях для этого обычно используется профиль, где роль на удаление конкретных объектов не включена, либо применяется запрет через даты запрета изменения данных для закрытых периодов.
Что делать, если после обновления конфигурации у пользователей пропали права?
При обновлении типовые профили обычно дополняются новыми ролями автоматически, но самодельные профили и роли, изменённые вручную, могут не получить новые объекты. Проверьте отчёт о правах пользователя, сравните самодельный профиль с типовым аналогом и добавьте недостающие роли. Перед обновлением всегда сохраняйте копию базы.
Как узнать, кто изменил или удалил документ?
Используйте журнал регистрации (Администрирование → Обслуживание → Журнал регистрации) с отбором по пользователю, объекту и событию изменения данных. Это работает только если у каждого сотрудника своя учётная запись — при общих логинах установить автора изменений невозможно.
Безопасно ли давать бухгалтеру права администратора базы?
Нет. Административные права позволяют менять пользователей, настройки и удалять любые данные. Бухгалтеру достаточно профиля с правами на учётные операции; администрирование выделяется отдельной учётной записи, которую используют только для регламентных задач.