Профиль группы доступа в 1С: что это и как настроить

Профиль группы доступа — это набор разрешений (ролей, прав на объекты и ограничений на уровне записей), который администратор назначает пользователям не поодиночке, а пакетом. Вместо того чтобы каждому менеджеру вручную выдавать десятки ролей, вы один раз создаёте профиль «Менеджер по продажам», включаете в него нужные права и привязываете к группе доступа, куда входят все менеджеры. Механизм реализован в библиотеке стандартных подсистем (БСП) и используется в большинстве типовых конфигураций: «Управление торговлей», «ERP», «Зарплата и управление персоналом», «Бухгалтерия предприятия» и других.

Практическая ценность профилей — управляемость. Когда в базе 50 пользователей, раздать права индивидуально ещё возможно, но при увольнении сотрудника или смене должности придётся вручную перебирать настройки каждого. С профилями достаточно изменить один объект — и права обновятся у всех участников группы доступа, к которой он привязан. Это снижает риск «забытых» прав, из-за которых бывший сотрудник продолжает видеть зарплату директора.

Профили работают поверх стандартных ролей конфигурации, но не заменяют их полностью. Роль — это свойство метаданных, которое разработчик задал в конфигураторе. Профиль — это прикладной справочник, который собирает роли в осмысленные наборы и добавляет ограничения доступа к данным (RLS): например, разрешить менеджеру видеть только свои заказы или документы только своей организации.

Чем профиль отличается от группы доступа и роли

В механизме прав 1С три уровня, которые часто путают. Роль — техническая единица прав, зашитая в конфигурацию: «Добавление изменение заказов клиентов», «Чтение нормативно-справочной информации». Профиль — набор таких ролей плюс настройки ограничений доступа. Группа доступа — это список конкретных пользователей, которым назначен один или несколько профилей.

Проще говоря: профиль отвечает на вопрос «что можно делать», группа доступа — «кому это разрешено». Один профиль может быть привязан к нескольким группам доступа (например, «Менеджеры Москва» и «Менеджеры Казань» с одинаковым профилем, но разными ограничениями по складам), и один пользователь может входить в несколько групп с разными профилями — тогда его итоговые права складываются.

Как включить механизм групп доступа

В типовых конфигурациях механизм уже встроен, но часть настроек нужно активировать. Откройте раздел «Администрирование» → «Настройки прав и пользователей». Убедитесь, что включён флажок «Группы доступа» (в некоторых конфигурациях он называется «Ограничивать доступ на уровне записей» — это смежная, но отдельная настройка).

Флажок «Ограничивать доступ на уровне записей» включает RLS — фильтрацию данных по организациям, складам, контрагентам и другим измерениям. Без него пользователь с ролью «Чтение заказов» увидит все заказы всех организаций. С RLS — только те, что разрешены его видом доступа. Учтите: включение RLS увеличивает нагрузку на СУБД, потому что к каждому запросу добавляются условия отбора.

Как создать и настроить профиль

Перейдите: «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». Нажмите «Создать». Задайте понятное наименование — лучше по должности или функции: «Кассир», «Главный бухгалтер», «Менеджер по закупкам». Через полгода вы скажете себе спасибо, когда не придётся вспоминать, что означает «Профиль_07».

На вкладке «Разрешения (роли)» отметьте нужные роли. Список ролей конфигурации большой, пользуйтесь поиском. Принцип — минимально достаточные права: давайте ровно столько, сколько нужно для работы, и не больше. Роль «Полные права» в рабочих профилях обычных пользователей — признак плохой настройки.

На вкладке «Виды доступа» укажите ограничения, если они нужны: например, вид доступа «Организации» со значением «Все разрешены, без исключений» или конкретный список. Сами значения (какие именно организации доступны) задаются уже в группе доступа или у пользователя — профиль лишь определяет, что ограничение по этому виду применяется.

1. 1
   Откройте «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа»
2. 2
   Создайте профиль с понятным наименованием по должности или функции
3. 3
   На вкладке «Разрешения (роли)» отметьте минимально необходимые роли
4. 4
   На вкладке «Виды доступа» укажите применяемые ограничения (организации, склады, подразделения)
5. 5
   Запишите профиль и привяжите его к группе доступа, добавив туда пользователей
6. 6
   Войдите под тестовым пользователем и проверьте доступ к ключевым документам и запретным разделам

Как назначить профиль пользователям через группу доступа

Откройте справочник «Группы доступа» (там же, в настройках прав). Создайте группу, например «Менеджеры отдела продаж». В табличной части укажите профиль и участников группы — конкретных пользователей. Если в профиле заданы виды доступа, здесь же заполните их значения: какие организации, склады или кассы разрешены именно этой группе.

Во многих конфигурациях назначить профиль можно и прямо из карточки пользователя: откройте «Пользователи», выберите сотрудника, перейдите по ссылке «Права доступа» и включите его в нужные группы. Результат тот же — пользователь получает все роли всех профилей всех групп, в которые входит.

Помните про суммирование прав: если один профиль разрешает редактирование документов, а второй — только чтение, пользователь получит редактирование. Запретов в механизме нет, есть только разрешения. Поэтому «временно добавить полные права» — опасная практика: если потом забыть убрать лишнюю группу, избыточные права останутся незамеченными.

Как проверить, что права настроены правильно

Самый надёжный способ — зайти в базу под учётной записью реального пользователя или тестовой копии с теми же группами доступа. Проверьте три зоны: нужные документы открываются и проводятся, запрещённые разделы недоступны (например, менеджер не открывает «Зарплату»), ограничения RLS работают — видны только разрешённые организации или склады.

Для диагностики используйте отчёт «Права доступа» (в типовых конфигурациях доступен из карточки пользователя или профиля). Он показывает, какие роли в итоге получил пользователь и откуда — из какого профиля и группы. Это незаменимо, когда прав много и непонятно, откуда взялось лишнее разрешение.

Контрольные точки

Как проверить результат

Вход под пользователем

Норма

Открываются только нужные разделы, документы проводятся без ошибок прав

Тревожный признак

Ошибка «Нарушение прав доступа» при штатных операциях или, наоборот, доступны чужие данные

Отчёт «Права доступа»

Норма

Все роли пользователя объясняются его профилями

Тревожный признак

Есть роли из непонятных или устаревших групп доступа

Ограничение RLS

Норма

В списках видны только разрешённые организации и склады

Тревожный признак

Видны все данные — RLS не включён или вид доступа не заполнен

Типичные ошибки и ограничения механизма

Первая ошибка — назначение ролей напрямую пользователю в конфигураторе параллельно с профилями. Такие права не видны в отчётах по группам доступа, ими сложно управлять, и при аудите они создают «дыры». Держите единый принцип: все права — только через профили, кроме технических учётных записей администраторов.

Вторая ошибка — копирование типовых поставляемых профилей без необходимости. Типовые профили (например, «Менеджер по продажам») обновляются при обновлении конфигурации: если в новой версии появились новые роли, они добавятся в типовой профиль автоматически. Ваша копия — нет, и после обновления пользователи начнут получать ошибки доступа к новым объектам. Если типовой профиль почти подходит, лучше создать дополнительный профиль с недостающими ролями и назначить оба.

Третья частая проблема — ожидание, что профиль ограничит права, заданные ролью «Полные права» или административными ролями. Ограничения RLS не действуют на пользователей с полными правами: они видят всё. Если нужно ограничить человека по организациям, полные права ему противопоказаны.

Частые вопросы

Чем профиль группы доступа отличается от роли в конфигураторе?

Роль — это элемент метаданных, который задаёт разработчик и который нельзя изменить без доработки конфигурации. Профиль — прикладной объект в режиме «Предприятие», который администратор собирает из ролей и дополняет ограничениями доступа к данным. Профили меняются без конфигуратора и без снятия конфигурации с поддержки.

Почему пользователь всё равно видит данные других организаций, хотя вид доступа настроен?

Чаще всего причины три: не включён флажок «Ограничивать доступ на уровне записей» в настройках прав; у пользователя есть роль полных прав, на которую RLS не действует; или в группе доступа не заполнены значения вида доступа — ограничение объявлено в профиле, но конкретные разрешённые организации нигде не указаны.

Можно ли назначить пользователю несколько профилей?

Да, и это нормальная практика. Пользователь включается в несколько групп доступа с разными профилями, и его итоговые права — объединение всех ролей. Удобно держать базовый профиль для всех сотрудников и добавлять специализированные профили по должностям. Помните, что запретов в механизме нет: любое разрешение из любого профиля попадает в итоговый набор.

Что делать со стандартными профилями, которые поставляются с конфигурацией?

Использовать их как есть, если они подходят: типовые профили обновляются вместе с конфигурацией и получают новые роли автоматически. Если не хватает отдельных прав, создайте дополнительный профиль с недостающими ролями и назначьте оба, а не редактируйте и не копируйте поставляемый профиль без крайней необходимости.

Изменил профиль, но у пользователя ничего не поменялось. Почему?

Права применяются при начале сеанса, поэтому пользователю нужно выйти из программы и войти снова. Если после перезахода изменений нет, проверьте отчёт «Права доступа»: возможно, пользователь состоит в другой группе с более широкими правами, или ему назначены роли напрямую в конфигураторе.

Работает ли механизм профилей в файловой базе?

Да, профили и группы доступа работают и в файловом, и в клиент-серверном варианте. Различие в производительности: ограничения на уровне записей добавляют условия в запросы, и на больших файловых базах с включённым RLS списки могут открываться заметно медленнее.