Администрирование · 13 мин
Для чего нужны группы доступа в 1С и как их настроить
Для чего нужны группы доступа в 1С: разграничение прав пользователей, профили групп доступа, настройка RLS, типичные ошибки и проверка результата.
В любой информационной базе 1С работают люди с разными обязанностями: кладовщику не нужно видеть зарплату сотрудников, а менеджеру по продажам — закрывать месяц в бухгалтерии. Группы доступа — это механизм, который определяет, какие объекты и действия доступны конкретному пользователю или категории пользователей. Без них разграничение прав пришлось бы назначать каждому сотруднику вручную, что при десятках работников быстро превращается в неуправляемый набор индивидуальных настроек.
Механизм работает в типовых конфигурациях на платформе 1С:Предприятие 8.3 и строится вокруг двух сущностей: профилей групп доступа (набор разрешённых ролей и прав) и собственно групп доступа, в которые включаются пользователи. Один пользователь может входить сразу в несколько групп, и тогда его итоговые права складываются из разрешений всех этих групп.
Важно понимать: группы доступа не заменяют роли конфигурации, а надстраиваются над ними. Роль определяет, что вообще может делать пользователь на уровне платформы, а профиль группы доступа — какие именно роли и дополнительные ограничения применяются к членам группы. Такое двухуровневое устройство позволяет гибко управлять правами без изменения конфигурации.
Как устроен механизм групп доступа
Основа механизма — справочник «Профили групп доступа». В профиле администратор отмечает разрешённые роли: например, «Добавление и изменение документов продажи», «Просмотр отчётов по складу». Затем создаются группы доступа, каждая из которых ссылается на один или несколько профилей, и в группы включаются конкретные пользователи.
Когда пользователь входит в базу, система собирает все профили его групп и формирует итоговый набор прав. Если в одной группе действие разрешено, а в другой не упомянуто — разрешение действует. Запреты в этой модели, как правило, не применяются: право либо выдано через профиль, либо отсутствует.
Дополнительно механизм поддерживает ограничение доступа на уровне записей (RLS): можно разрешить менеджеру видеть только документы своей организации или своего склада. Такие ограничения настраиваются через значения доступа — группы контрагентов, складов, организаций, физических лиц.
Какие задачи решают группы доступа на практике
Первая задача — массовое назначение прав. Когда в отдел продаж принимают нового менеджера, администратору достаточно включить его учётную запись в группу «Менеджеры по продажам», и сотрудник сразу получает весь необходимый набор прав. Без групп пришлось бы вручную отмечать десятки ролей каждому новичку.
Вторая задача — разделение данных между подразделениями. В многофирменной базе бухгалтер по одной организации не должен изменять документы другой. Через группы доступа и значения ограничений это решается штатно, без доработки конфигурации.
Третья задача — безопасность и аудит. Когда права выданы через осмысленные группы («Кладовщики», «Кассиры», «Руководители отдела закупок»), легко ответить на вопросы: кто имеет доступ к кассовым операциям, кто может проводить инвентаризацию, кому доступны персональные данные. При индивидуальной раздаче прав такой анализ превращается в ручную проверку каждой учётной записи.
Сколько времени занимает настройка прав нового сотрудника
Видит ли бухгалтер одной фирмы документы другой
Как быстро блокируется доступ уволенного
Кто из пользователей видит эти данные сейчас
Где настраиваются группы доступа
В типовых конфигурациях на базе Библиотеки стандартных подсистем (Управление торговлей, ERP, Комплексная автоматизация, ЗУП, Бухгалтерия предприятия) настройка ведётся в разделе администрирования. Обычно путь выглядит так: «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа» и «Группы доступа».
Перед началом работы убедитесь, что у вашей учётной записи есть роль администратора с правом настройки прав доступа. Также проверьте, что в параметрах включено ограничение доступа на уровне записей, если планируете разграничивать данные по организациям или складам — в некоторых конфигурациях эта опция включается отдельно и требует обновления прав, что на больших базах может занять заметное время.
- 1Откройте «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа»
- 2Создайте новый профиль, дайте ему понятное имя, например «Менеджеры по продажам»
- 3Отметьте в профиле разрешённые роли — только необходимые для этой должности
- 4При необходимости задайте виды доступа: организации, склады, группы контрагентов
- 5Создайте группу доступа, укажите в ней созданный профиль
- 6Включите в группу пользователей через табличную часть «Участники»
- 7Войдите под тестовым пользователем и проверьте доступность нужных и недоступность запрещённых объектов
Ограничение доступа на уровне записей (RLS)
RLS — механизм, который фильтрует не функции, а сами данные. Пользователь с одинаковыми ролями может видеть разный состав документов в зависимости от значений доступа, указанных в его группе. Классический пример: менеджер видит только документы по своей организации или только своих контрагентов.
Настройка строится на разрешённых значениях: в группе доступа указывается, какие организации, склады, подразделения или группы физических лиц доступны участникам. Платформа автоматически добавляет отборы при выполнении запросов к базе данных.
У RLS есть цена: дополнительные условия в запросах увеличивают нагрузку на сервер. На больших базах с сотнями пользователей непродуманные ограничения могут заметно замедлить проведение документов и построение отчётов. Поэтому ограничения на уровне записей включают только там, где это действительно требуется, и после включения проверяют скорость типовых операций.
Типовые сценарии использования
Разграничение по должностям
Самый частый сценарий — профили по должностям: кассир, кладовщик, менеджер, бухгалтер, руководитель. Каждый профиль содержит минимально необходимый набор ролей. Принцип минимальных прав снижает риск случайной порчи данных: сотрудник физически не сможет удалить то, что ему не положено видеть.
Разграничение по организациям
В базе с несколькими юрлицами создаются группы вида «Бухгалтер ООО Альфа» и «Бухгалтер ООО Бета» с общим профилем, но разными разрешёнными организациями. Роли одинаковые, данные — разные. Это удобнее, чем плодить отдельные профили под каждую фирму.
Временный доступ
Когда сотрудник замещает коллегу на время отпуска, его включают в дополнительную группу, а по возвращении коллеги — исключают из неё. Права отзываются одним действием, без поиска индивидуальных настроек.
Способы раздачи прав
Подходят для большинства организаций: централизованно, быстро, легко аудировать. Требуют первичной настройки профилей.
Оправданы для уникальных ролей (директор, системный администратор). При массовом применении ведут к хаосу и трудному аудиту.
Нужна, когда типовых ролей не хватает. Минус — усложнение обновлений конфигурации, требуется разработчик.
Как проверить, что права настроены правильно
После настройки обязательна проверка от имени реального пользователя. Войдите в базу под учётной записью сотрудника или попросите его выполнить типовые операции: создать документ, провести его, построить отчёт. Затем проверьте обратную сторону — попытку открыть запрещённый раздел. Система должна либо скрыть объект из интерфейса, либо выдать сообщение о нарушении прав доступа.
Полезный инструмент — отчёт по правам доступа, который есть в типовых конфигурациях. Он показывает, какие права имеет пользователь и из каких групп они получены. Это первое место, куда стоит смотреть, когда сотрудник жалуется, что «что-то не открывается», или когда нужно выяснить, откуда у него лишние права.
Как проверить результат
Пользователь создаёт и проводит свои документы без ошибок
Сообщение «Нарушение прав доступа» при типовой операции
Раздел скрыт из меню или открывается с отказом в доступе
Пользователь видит и может изменять чужие данные
В списках видны документы только разрешённых организаций
Видны документы всех юрлиц базы
Проведение и отчёты работают с приемлемой скоростью
После включения RLS операции замедлились в разы
Типичные ошибки при работе с группами доступа
Самая распространённая ошибка — выдача профиля «Администратор» всем подряд «чтобы не мешало работать». Это сводит на нет всю систему разграничения: любой пользователь сможет изменить чужие права, удалить данные или выгрузить базу. Полные права должны быть у минимального числа учётных записей.
Вторая ошибка — изменение поставляемых (типовых) профилей. При обновлении конфигурации такие изменения могут быть перезаписаны или привести к конфликтам. Правильный подход — скопировать типовой профиль и доработать копию под свои нужды.
Третья ошибка — забыть исключить пользователя из групп при увольнении или переводе. Учётную запись блокируют, а членство в группах остаётся — и при разблокировке или передаче логина другому человеку права «воскресают». Заведите регламент: увольнение = блокировка учётной записи плюс очистка членства в группах.
Ограничения механизма и когда нужна доработка
Группы доступа оперируют ролями и предопределёнными видами ограничений. Если требуется нестандартная логика — например, запрет проведения документов задним числом для конкретной группы или доступ к отдельным реквизитам документа, — штатных средств может не хватить. Такие задачи решаются доработкой ролей в конфигураторе или подписками на события.
Также учтите: механизм групп доступа полноценно работает в конфигурациях на Библиотеке стандартных подсистем. В старых или самописных конфигурациях его может не быть вовсе — тогда разграничение прав выполняется только через роли в конфигураторе, и администрирование заметно сложнее.
Как выбрать действие
Часто задаваемые вопросы
Чем группа доступа отличается от роли в 1С?
Роль — это объект конфигурации, который определяет права на объекты метаданных (документы, справочники, отчёты) и назначается пользователю в конфигураторе или через профиль. Группа доступа — прикладной механизм режима предприятия: она объединяет пользователей и связывает их с профилями, в которых перечислены разрешённые роли. Группы позволяют управлять правами без входа в конфигуратор.
Может ли пользователь входить в несколько групп доступа одновременно?
Да, и это нормальная практика. Итоговые права складываются из разрешений всех групп, в которые включён пользователь. Например, сотрудник может быть одновременно в группах «Менеджеры по продажам» и «Доступ к отчётам руководства». Удобно строить узкие группы и комбинировать их, а не создавать отдельный профиль под каждую комбинацию обязанностей.
Почему после настройки прав пользователь всё равно видит лишние данные?
Чаще всего причина в том, что пользователь состоит в другой группе с более широкими правами, или ему назначен индивидуальный профиль напрямую. Проверьте отчёт по правам доступа — он покажет, откуда получено каждое право. Также убедитесь, что у учётной записи нет роли администратора или полных прав, которые отменяют любые ограничения.
Влияет ли ограничение доступа на уровне записей на скорость работы?
Да, RLS добавляет дополнительные условия в запросы к базе данных, поэтому на крупных базах возможно замедление проведения документов и построения отчётов. Влияние зависит от объёма данных и сложности ограничений. Рекомендуется включать RLS только для тех видов доступа, которые реально нужны, и после включения замерить скорость типовых операций.
Что делать с правами при увольнении сотрудника?
Минимальный порядок действий: установить признак «Недействителен» у пользователя или заблокировать его учётную запись, исключить его из всех групп доступа и завершить активные сеансы. Если логин планируется передать другому человеку, предварительно очистите все индивидуальные настройки прав, чтобы новый владелец не унаследовал лишние разрешения.
Можно ли настроить группы доступа без программиста?
Да, в типовых конфигурациях вся настройка выполняется в режиме предприятия через интерфейс администрирования и не требует программирования. Программист понадобится только в двух случаях: когда не хватает типовых ролей и нужно дорабатывать конфигурацию, либо когда требуется нестандартная логика проверки прав, не покрываемая ролями и RLS.
Что важно запомнить
Группы доступа — штатный способ централизованно управлять правами пользователей 1С через профили и членство в группах, без доработки конфигурации. Стройте права по принципу минимума, не изменяйте типовые профили, осторожно включайте RLS и всегда проверяйте результат под реальной учётной записью пользователя.