Администрирование · 10 мин
Профили групп доступа в 1С: что это и как их настраивать
Что такое профили групп доступа в 1С, чем они отличаются от ролей, как создать и настроить профиль, назначить права пользователям и проверить результат.
Профиль группы доступа — это именованный набор прав, который администратор назначает пользователям через группы доступа, не редактируя конфигурацию. Механизм появился в библиотеке стандартных подсистем (БСП) и работает поверх ролей конфигурации: роли задают технические права на объекты метаданных, а профили объединяют роли в понятные бизнес-наборы вроде «Кассир», «Менеджер по продажам» или «Бухгалтер».
Главная практическая ценность профилей в том, что права настраиваются в режиме предприятия без изменения конфигуратора. Администратор создаёт профиль, включает в него роли и разрез доступа, привязывает профиль к группе доступа и добавляет туда пользователей. Изменения применяются без снятия конфигурации с поддержки и без обновления базы.
Профили применяются в типовых конфигурациях: «Управление торговлей», «ERP», «Бухгалтерия предприятия», «Зарплата и управление персоналом» и других решениях на БСП. Если конфигурация самописная и не использует БСП, механизма профилей в ней может не быть — там права раздаются только ролями в конфигураторе.
Чем профиль отличается от роли и группы доступа
В механизме прав 1С на БСП участвуют три связанных сущности, и их часто путают. Роль — это объект конфигурации, который определяет права на чтение, добавление, изменение и удаление конкретных объектов метаданных: документов, справочников, регистров. Роли создаёт разработчик в конфигураторе, и пользователю напрямую роли не назначаются в типовых решениях на БСП.
Профиль — это элемент справочника «Профили групп доступа», в котором перечислены роли и дополнительные разрешения. Группа доступа — это контейнер, связывающий профиль с конкретными пользователями: одной группе соответствует один профиль, а в группу входит сколько угодно сотрудников. Пользователь получает права всех групп доступа, в которые он включён.
Права пользователя в итоге складываются по принципу объединения: если в одной группе разрешено проведение документа, а в другой запрещено явно не настроено, разрешение побеждает. Исключение — ограничения доступа на уровне записей (RLS), которые работают как фильтр поверх ролей.
Где находятся профили и как их открыть
В типовых конфигурациях профили расположены в разделе администрирования. Типовой путь: «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». Рядом находятся связанные справочники: «Группы доступа», «Пользователи» и «Группы пользователей».
Чтобы раздел был доступен, у текущего пользователя должны быть административные права — роль «Администратор системы» или «Полные права». Если раздел не отображается, проверьте, включена ли в настройках функциональность работы с пользователями и не скрыт ли раздел настройками интерфейса.
- 1Откройте раздел «Администрирование»
- 2Перейдите в «Настройки прав и пользователей»
- 3Откройте справочник «Профили групп доступа»
- 4Убедитесь, что видите типовые профили конфигурации
Как создать и настроить новый профиль
Создание профиля начинается с кнопки «Создать» в списке профилей. Задайте понятное наименование — оно будет видно при назначении групп доступа, поэтому лучше использовать название должности или функции: «Менеджер по закупкам», «Оператор склада». В форме профиля отметьте флажками нужные роли из списка ролей конфигурации.
Список ролей может быть длинным, поэтому используйте поиск и группировку по подсистемам. Практичный подход — начать с минимального набора и добавлять роли по мере проверки: сначала роли на чтение нужных справочников и документов, затем на изменение и проведение. Роль «Базовые права» или аналогичная обязательна, иначе пользователь не сможет запустить сеанс и работать с интерфейсом.
После выбора ролей настройте разрезы доступа, если они используются в конфигурации: например, ограничение по организациям, складам, подразделениям или контрагентам. Разрезы работают через механизм RLS и позволяют дать менеджеру доступ только к документам своей организации без создания отдельных ролей.
Как назначить профиль пользователям через группы доступа
Сам по себе профиль никому ничего не даёт — он начинает работать после привязки к группе доступа. Откройте справочник «Группы доступа», создайте новую группу, укажите в ней профиль и добавьте в табличную часть участников — конкретных пользователей или группы пользователей.
Один пользователь может входить в несколько групп доступа с разными профилями, и его итоговые права будут суммой всех профилей. Это удобно для совместителей: сотруднику, который ведёт и кассу, и склад, назначают две группы вместо создания комбинированного профиля.
В некоторых конфигурациях группа доступа создаётся автоматически при создании профиля — с тем же именем. Проверьте, существует ли уже связанная группа, прежде чем создавать дубликат: две группы с одним профилем легально работают, но усложняют администрирование.
Как выбрать действие
Как проверить, что права настроены правильно
После настройки профиля и группы доступа проверку выполняют под учётной записью целевого пользователя, а не под администратором — у администратора полные права маскируют любые ошибки. Войдите под пользователем и пройдите типовой рабочий сценарий: откройте нужные документы, создайте новый, проведите, сформируйте отчёт.
Проверяйте не только наличие нужных прав, но и отсутствие лишних. Попробуйте открыть разделы, к которым у пользователя доступа быть не должно: регламентированную отчётность, настройки, чужие организации. Лишние права — это риск случайного изменения данных и утечки информации.
Как проверить результат
Пользователь входит и видит свой рабочий интерфейс
Ошибка «Нарушение прав доступа» сразу при входе — не хватает базовых ролей
Документы открываются, создаются и проводятся
Кнопки недоступны или появляется ошибка при записи
Видны документы только разрешённых организаций
Видны все организации — разрез доступа не настроен или не включён
Типичные ошибки при работе с профилями
Самая частая ошибка — редактирование типовых профилей вместо создания копии. При обновлении конфигурации изменённые типовые профили могут быть перезаписаны, и настройки потеряются. Правильный путь: скопировать типовой профиль, переименовать копию и доработать её.
Вторая ошибка — назначение пользователю профиля «Администратор» «на время» без возврата. Такие временные назначения забывают отозвать, и в базе накапливаются сотрудники с полными правами. Периодически выполняйте ревизию: выгрузите состав групп доступа и сверьте со штатным расписанием.
Ограничения механизма и альтернативы
Профили работают только в конфигурациях на БСП. В старых или самописных решениях без библиотеки стандартных подсистем права раздаются ролями напрямую в конфигураторе, и для изменения состава прав потребуется разработчик. Это главное ограничение механизма.
Вторая граница — тонкость настройки. Профили оперируют ролями целиком, и если нужно дать пользователю только часть прав из роли, придётся либо смириться с избыточными правами, либо просить разработчика создать отдельную роль. Для ограничения доступа к отдельным записям используйте разрезы доступа (RLS), а не дробление ролей.
Сравнение вариантов
Подходят для типовых конфигураций на БСП; настраиваются без конфигуратора; ограничение — только в рамках существующих ролей
Дают полный контроль над правами; требуют разработчика и обновления конфигурации; подходят для нестандартных задач
Ограничивают доступ к конкретным записям (организации, склады); работают поверх профилей; могут замедлять запросы при сложных настройках
Частые вопросы о профилях групп доступа
Почему пользователь не видит изменения прав после настройки профиля?
Чаще всего дело в открытом сеансе: права применяются при входе. Попросите пользователя завершить сеанс и войти заново. Если не помогло — проверьте, что пользователь действительно добавлен в группу доступа с нужным профилем, а не в другую группу с похожим названием.
Можно ли назначить профиль напрямую пользователю, без группы доступа?
Нет, в механизме БСП профиль связывается с пользователем только через группу доступа. Если нужно дать права одному человеку, создайте группу доступа с единственным участником.
Что будет, если пользователь входит в две группы с противоречащими профилями?
Права объединяются по принципу «разрешено, если разрешено хотя бы в одном профиле». Запретить действие через профиль нельзя — ограничение достигается только отсутствием права во всех профилях пользователя либо настройкой RLS.
Пропадут ли настройки профилей при обновлении конфигурации?
Самостоятельно созданные профили при типовом обновлении сохраняются. Риск есть у изменённых типовых профилей: если поставщик обновил их состав, ваши правки могут быть перезаписаны. Поэтому типовые профили рекомендуется копировать, а не редактировать.
Как быстро узнать, какие права есть у конкретного пользователя?
Откройте карточку пользователя и посмотрите список групп доступа, в которые он входит. В ряде конфигураций есть отчёт «Анализ прав доступа» или аналогичный инструмент, показывающий итоговый состав ролей пользователя по всем его группам.
Нужно ли снимать конфигурацию с поддержки для настройки профилей?
Нет. Профили — это данные информационной базы, а не объекты метаданных. Вся настройка выполняется в режиме предприятия и не влияет на поддержку конфигурации.
Что важно запомнить
Профиль группы доступа объединяет роли и разрезы доступа в набор прав, который назначается пользователям через группы доступа в режиме предприятия. Создавайте копии типовых профилей, проверяйте результат под учётной записью пользователя и регулярно ревизуйте состав групп, чтобы не копились избыточные права.