Администрирование · 11 мин
Профиль группы доступа в 1С 8: что это и как настроить
Что такое профиль группы доступа в 1С 8, чем отличается от ролей и групп доступа, как создать и настроить профиль, типичные ошибки и проверка прав пользователей.
Профиль группы доступа — центральный элемент механизма разграничения прав в конфигурациях 1С, построенных на Библиотеке стандартных подсистем (Управление торговлей, ERP, Комплексная автоматизация, Зарплата и управление персоналом и другие). По сути это шаблон полномочий: администратор один раз описывает, какие роли и разрешения нужны типовому сотруднику, а затем применяет этот шаблон к любому числу пользователей.
Без профилей права пришлось бы назначать каждому пользователю вручную через конфигуратор, что при десятках сотрудников превращается в неуправляемый процесс. Профили решают три задачи: ускоряют выдачу прав новому сотруднику, обеспечивают единообразие полномочий у людей на одинаковых должностях и упрощают аудит — всегда видно, какие права положены конкретной позиции.
Важно понимать: профили работают только в режиме предприятия и только в конфигурациях, где встроена подсистема «Управление доступом». В простых самописных конфигурациях этого механизма может не быть — там права задаются напрямую ролями в конфигураторе.
Как устроена связка «роль — профиль — группа доступа — пользователь»
Механизм прав в типовых конфигурациях состоит из четырёх уровней. Роли — это объекты метаданных, описанные разработчиком в конфигураторе: они определяют, какие объекты (документы, справочники, регистры) доступны на чтение, добавление, изменение и удаление. Роли жёстко зашиты в конфигурацию и меняются только при доработке.
Профиль — это пользовательская упаковка ролей. Администратор в режиме предприятия отмечает галочками, какие роли и дополнительные права входят в профиль «Кассир» или «Менеджер по продажам». Один профиль обычно включает несколько ролей, потому что реальная работа сотрудника затрагивает разные объекты.
Группа доступа связывает профиль с конкретными людьми. В группу «Кассиры» включают пользователей Иванова и Петрова, группе назначают профиль «Кассир» — и оба получают одинаковый набор прав. Когда кассир увольняется, его просто исключают из группы, не трогая настройки.
Где находятся профили и как создать новый
В типовых конфигурациях список профилей расположен в разделе администрирования: «Настройки прав и пользователей» → «Профили групп доступа» (в некоторых конфигурациях путь — «Администрирование» → «Настройки пользователей и прав»). Там же находятся сами группы доступа и пользователи.
Чтобы создать профиль, откройте список и нажмите «Создать». Дайте профилю понятное имя, отражающее должность или функцию, — «Старший кассир», «Бухгалтер по расчётам с поставщиками». В форме профиля отметьте нужные роли: они сгруппированы по подсистемам, поэтому удобно ориентироваться по разделам программы, к которым сотрудник должен иметь доступ.
Практичный приём — копировать поставляемый типовой профиль и сокращать его, а не собирать с нуля. Типовые профили уже содержат согласованный набор ролей, включая служебные (базовые права, работа с интерфейсом), которые легко забыть при ручной сборке. Без базовых ролей пользователь просто не сможет запустить сеанс или увидит пустой рабочий стол.
- 1Откройте «Настройки прав и пользователей» → «Профили групп доступа»
- 2Создайте новый профиль или скопируйте типовой через «Скопировать»
- 3Отметьте роли и разрешённые действия, уберите лишние
- 4Сохраните профиль и откройте список «Группы доступа»
- 5Создайте группу, укажите в ней профиль и добавьте пользователей
- 6Проверьте права, войдя в базу под учётной записью пользователя
Чем профиль отличается от роли и от группы доступа
Эти три понятия постоянно путают, хотя у них разные уровни ответственности. Роль — технический примитив, созданный разработчиком; роль нельзя изменить из режима предприятия. Профиль — административная настройка, которую ведёт администратор базы без доработки конфигурации. Группа доступа — инструмент кадрового управления правами: кто именно пользуется профилем.
Ещё одно отличие: профили могут включать не только роли, но и ограничения доступа на уровне записей (RLS) — например, разрешить менеджеру видеть документы только своей организации или своего склада. Роли сами по себе такой гибкости не дают: они отвечают на вопрос «можно ли работать с объектом вообще», а не «с какими именно записями».
| Критерий | Роль | Профиль | Группа доступа |
|---|---|---|---|
| Где настраивается | Конфигуратор | Режим предприятия | Режим предприятия |
| Кто ведёт | Разработчик | Администратор базы | Администратор базы |
| Что содержит | Права на объекты метаданных | Набор ролей и ограничений | Список пользователей и ссылку на профиль |
| Меняется при обновлении | Да, с конфигурацией | Типовые могут обновляться | Нет |
Настройка ограничений доступа на уровне записей
Когда базовых ролей недостаточно, в профиле настраивают ограничения по значениям доступа. Классический сценарий: в базе несколько организаций, и каждый бухгалтер должен видеть только свою. В профиле на закладке ограничений указывают вид доступа «Организации» и задают список разрешённых значений — конкретно или через настройку «Все разрешены, без исключений» / «Все запрещены, с исключениями».
Аналогично ограничивают доступ по складам, подразделениям, контрагентам, кассам и другим измерениям — набор видов доступа зависит от конфигурации. Ограничения применяются ко всем документам и отчётам, где задействован соответствующий объект, поэтому один настроенный профиль закрывает всю подсистему.
Учтите: RLS заметно усложняет запросы к базе. Если ограничений много и они многоуровневые, отчёты и списки могут открываться медленнее. Поэтому не добавляйте ограничения «про запас» — включайте только те виды доступа, которые реально требуются по регламенту компании.
Типовые ошибки при работе с профилями
Самая частая ошибка — назначение пользователю профиля «Администратор» или полных прав «на всякий случай», потому что «иначе что-то не работает». Это обесценивает всю систему разграничения: такой пользователь может изменить любые данные, включая закрытые периоды, а при инциденте невозможно установить, кто именно внёс изменения.
Вторая ошибка — редактирование типовых поставляемых профилей вместо создания копий. При обновлении конфигурации типовые профили могут быть перезаписаны, и все ручные доработки исчезнут. Правильный подход: скопировать типовой профиль, переименовать копию и работать с ней.
Третья группа проблем — забытые служебные роли. Если собрать профиль только из «прикладных» ролей, пользователь не сможет войти в базу, увидит пустой интерфейс или получит ошибки при открытии форм. Минимально необходимы базовые роли подсистем и роли запуска нужного клиентского приложения — проще всего взять их из типового профиля.
Как проверить, что права настроены правильно
Единственный надёжный способ проверки — войти в базу под учётной записью пользователя и пройти его типовой рабочий сценарий: создать документ, провести его, открыть отчёт, попробовать изменить чужие данные. Просмотр состава профиля глазами не заменяет реального теста, потому что итоговые права складываются из нескольких групп и служебных ролей.
Для анализа используйте отчёт «Права доступа» (в типовых конфигурациях доступен в разделе администрирования): он показывает, к каким объектам у пользователя есть доступ и через какие профили он получен. Это быстрый способ найти, откуда у сотрудника взялось лишнее право.
Как проверить результат
База открывается, видны нужные разделы интерфейса
Ошибка прав при входе или пустой рабочий стол — не хватает базовых ролей
Создание и проведение своих документов проходит без ошибок
Сообщение «Нарушение прав доступа» — в профиле не хватает роли
В списках и отчётах видны только разрешённые данные
Видны чужие организации — RLS не настроен или пользователь в лишней группе
Действие блокируется с сообщением о правах
Изменение проходит — профиль избыточен
Когда профилей недостаточно и что делать дальше
Профили покрывают большинство задач разграничения прав, но у механизма есть границы. Если нужные права невозможно собрать из существующих ролей — например, требуется запрет на изменение конкретного реквизита документа при разрешённом проведении — потребуется доработка конфигурации: создание новой роли в конфигураторе и включение её в профиль.
Для тонких проверок «по условию» (запрет проведения документа сверх суммы, согласование перед записью) используются не права доступа, а подписки на события, бизнес-процессы и расширения. Пытаться решить такие задачи профилями — распространённая ошибка проектирования.
Как выбрать действие
Частые вопросы о профилях групп доступа
Пользователь состоит в двух группах доступа с разными профилями — какие права у него будут?
Права суммируются: пользователь получает объединение всех ролей из всех своих профилей. Запретить через второй профиль то, что разрешено первым, нельзя — механизм работает только на добавление. Поэтому исключить лишнее право можно только убрав пользователя из группы или отредактировав профиль.
Почему после изменения профиля у пользователя ничего не изменилось?
Чаще всего пользователь продолжает работать в старом сеансе — попросите его полностью выйти из базы и зайти заново. Также проверьте, что изменён именно тот профиль, который назначен группе доступа пользователя, и что пользователь включён в эту группу как действующий участник.
Можно ли назначить профиль напрямую пользователю, без группы доступа?
В типовом механизме профиль назначается именно через группу доступа. При этом допустимо создать индивидуальную группу доступа для одного пользователя — так поступают, когда нужен уникальный набор прав, не подходящий ни под одну должность.
Что будет с настроенными профилями при обновлении конфигурации?
Профили, созданные вами вручную, при обновлении сохраняются. А вот типовые поставляемые профили могут обновляться вместе с конфигурацией — в них добавляются роли новых объектов. Если вы правили типовой профиль вручную, ваши изменения могут быть перезаписаны, поэтому дорабатывайте только копии.
Как быстро найти, почему у пользователя есть лишнее право?
Откройте отчёт «Права доступа» в разделе администрирования, укажите пользователя и интересующий объект. Отчёт покажет, через какие роли и профили получено право. Далее остаётся убрать пользователя из лишней группы доступа или исключить роль из профиля.
Отличается ли механизм профилей в файловой и клиент-серверной базе?
Логика профилей одинакова, различия касаются применения изменений: в клиент-серверном варианте активным сеансам чаще требуется перезаход, а кэш прав обновляется на сервере. Сами настройки профилей, групп и ограничений выполняются идентично.
Что важно запомнить
Профиль группы доступа — шаблон прав на основе ролей, назначаемый пользователям через группы доступа. Работайте с копиями типовых профилей, не забывайте базовые роли, применяйте RLS-ограничения только там, где они реально нужны, и всегда проверяйте результат входом под учётной записью пользователя.