Группа доступа в 1С: что это и как настроить права пользователей

Группа доступа в 1С — это механизм разграничения прав пользователей, который определяет, какие данные конкретный сотрудник может видеть и изменять в информационной базе. Механизм встроен в типовые конфигурации на платформе «1С:Предприятие 8.3» (Управление торговлей, ERP, Комплексная автоматизация, ЗУП и другие) и работает поверх стандартных ролей, добавляя ограничения на уровне записей — RLS (Record Level Security).

Простыми словами: роль отвечает на вопрос «может ли пользователь работать с документами реализации вообще», а группа доступа — «с какими именно реализациями он может работать: только по своей организации, своему складу или своему подразделению». Благодаря этому менеджер одного филиала не увидит документы и отчёты другого филиала, даже если у них одинаковые роли.

Разобраться в группах доступа важно администраторам и внедренцам: неправильная настройка приводит либо к избыточным правам (сотрудник видит лишнее, что создаёт риски утечки данных), либо к блокировке работы (пользователь не может открыть нужный документ и обращается в поддержку). Ниже разберём устройство механизма, порядок настройки, типичные ошибки и способы проверки результата.

Из чего состоит механизм групп доступа

Механизм включает три связанных элемента. Профиль группы доступа — это шаблон прав: набор разрешённых ролей и значений доступа (например, «организация ООО Ромашка», «склад Основной»). Группа доступа пользователей — объединение конкретных пользователей, которым назначен профиль. Значения доступа — конкретные объекты базы (организации, склады, подразделения, физические лица), по которым действует ограничение.

Когда пользователь открывает список документов или формирует отчёт, система автоматически добавляет к запросу условия отбора по значениям доступа из его профилей. Это происходит на уровне платформы и запросов к базе, поэтому обойти ограничение через отчёт или подбор в документе нельзя — ограничение действует везде одинаково.

Важно понимать: если пользователь входит в несколько групп доступа, права суммируются. То есть доступ разрешается, если он есть хотя бы в одном из профилей пользователя. Это удобно для комбинирования прав, но требует аккуратности: одна «широкая» группа сведёт на нет ограничения остальных.

Где находятся настройки групп доступа

В типовых конфигурациях настройка ведётся в разделе «Администрирование» → «Настройки прав и пользователей». Сначала нужно включить сам механизм: установить флаг «Группы доступа» в настройках прав. Без этого флага профили и группы существуют, но ограничения на уровне записей не применяются.

После включения становятся доступны справочники «Профили групп доступа» и «Группы доступа». Профили обычно уже предопределены в конфигурации (например, «Менеджер по продажам», «Кладовщик», «Бухгалтер»), их можно использовать как есть или копировать и дорабатывать под свои задачи.

В некоторых конфигурациях дополнительно требуется включить ограничение по конкретным видам доступа: например, в настройках можно отдельно активировать ограничение по организациям, по складам, по кассам. Если вид доступа выключен, ограничения по нему в профилях игнорируются.

Как настроить профиль и назначить пользователю доступ

Настройка сводится к последовательности: создать или скопировать профиль, указать в нём разрешённые значения доступа, создать группу доступа с этим профилем и добавить в неё пользователей. Права начинают действовать после обновления настроек — пользователю иногда требуется перезайти в программу.

1. 1
   Включите флаг «Группы доступа» в разделе «Администрирование» → «Настройки прав и пользователей».
2. 2
   Откройте справочник «Профили групп доступа» и скопируйте подходящий типовой профиль либо создайте новый.
3. 3
   В профиле на закладке с видами доступа укажите разрешённые значения: организации, склады, подразделения.
4. 4
   Проверьте состав ролей профиля — они должны соответствовать обязанностям сотрудника.
5. 5
   Создайте группу доступа пользователей, привяжите к ней профиль и добавьте нужных пользователей.
6. 6
   Попросите пользователя перезайти в программу и проверьте результат под его учётной записью.

При указании значений доступа есть два режима: «Все разрешены» и «Все запрещены, кроме указанных». Первый фактически снимает ограничение по данному виду доступа, второй — жёстко ограничивает список разрешённых объектов. Для реального разграничения используется второй режим, иначе настройка не имеет смысла.

Пример: ограничение менеджера по складу

Типовая задача — менеджер должен видеть заказы и реализации только по своему складу. Для этого в профиле включается вид доступа «Склады» в режиме «Все запрещены, кроме указанных», в список разрешённых добавляется нужный склад, а пользователь включается в группу с этим профилем. После этого в списках документов он увидит только документы по своему складу, а в отчётах — соответствующие отборы.

Как проверить, что ограничения работают

Единственный надёжный способ проверки — войти в базу под учётной записью пользователя и открыть типовые сценарии его работы: список документов, отчёт, подбор контрагента в документе. Проверка «от имени администратора» ничего не покажет, потому что у администратора ограничения обычно отключены.

Контрольные точки

Как проверить результат настройки

Список документов под пользователем

Норма

Видны только документы по разрешённым значениям доступа

Тревожный признак

Пользователь видит документы других организаций или складов

Открытие чужого документа по ссылке

Норма

Появляется сообщение о нарушении прав доступа

Тревожный признак

Документ открывается и доступен для редактирования

Формирование отчёта

Норма

Данные отфильтрованы по разрешённым значениям

Тревожный признак

В отчёт попадают данные по всем организациям

Создание нового документа

Норма

Документ сохраняется и открывается повторно без ошибок

Тревожный признак

После записи документ «пропадает» из списка — значит, значение доступа не входит в разрешённые

Обратите внимание на последний пункт таблицы: если пользователь создаёт документ со значением, которое не входит в его разрешённые, система может записать документ, но сам пользователь его больше не увидит. Это частая причина обращений «документ пропал». Решение — либо расширить значения доступа, либо настроить подстановку разрешённых значений по умолчанию.

Типичные ошибки при настройке

Отдельная ошибка — попытка решить задачу разграничения только через роли, без групп доступа. Роли разграничивают права по видам объектов (документы, справочники, отчёты), но не по конкретным записям. Если требуется «видеть только свою организацию», без RLS и групп доступа не обойтись.

Когда групп доступа недостаточно и какие есть альтернативы

Группы доступа закрывают большинство задач разграничения в типовых конфигурациях, но у механизма есть границы. Он работает только по тем видам доступа, которые предусмотрены конфигурацией (организации, склады, подразделения, контрагенты, физические лица и т. п.). Если нужно ограничение по произвольному признаку — например, по проекту или по менеджеру документа — потребуется доработка: добавление своего вида доступа и шаблонов RLS в конфигураторе.

Способы разграничения прав в 1С

Роли

Подходят для разграничения по видам объектов и операций: кто может проводить документы, кто — только просматривать. Не ограничивают конкретные записи.

Группы доступа (RLS)

Подходят для разграничения по конкретным данным: организациям, складам, подразделениям. Требуют включения механизма и настройки профилей.

Доработка шаблонов RLS в конфигураторе

Подходит для нестандартных ограничений по произвольным реквизитам. Требует навыков разработки и усложняет обновление конфигурации.

Разделение по базам

Крайний вариант: каждая организация работает в отдельной базе. Изолирует данные полностью, но усложняет консолидированную отчётность и обмены.

Влияние на производительность

Ограничения на уровне записей добавляют условия к каждому запросу к базе данных, поэтому при большом количестве видов доступа и сложных шаблонах возможно замедление открытия списков и формирования отчётов. На небольших базах эффект обычно незаметен, но в крупных внедрениях шаблоны RLS оптимизируют: упрощают текст запросов ограничений, сокращают число используемых видов доступа.

Практическая рекомендация: не включайте виды доступа «про запас». Каждый активный вид доступа — это дополнительные проверки при каждом обращении к данным. Включайте только те измерения, по которым реально требуется разграничение.

Частые вопросы о группах доступа

Чем группа доступа отличается от роли?

Роль определяет, с какими видами объектов может работать пользователь (документы, справочники, отчёты) и какие операции ему доступны (просмотр, запись, проведение). Группа доступа определяет, с какими конкретными записями он может работать: какие организации, склады, подразделения ему видны. Механизмы дополняют друг друга: роль даёт право работать с реализациями, группа доступа — только с реализациями своего склада.

Почему пользователь не видит созданный им же документ?

Чаще всего причина в том, что значение доступа в документе (организация, склад, подразделение) не входит в список разрешённых значений его профиля. Система записала документ, но при отображении списка отфильтровала его. Проверьте значения доступа в профиле пользователя и настройте подстановку разрешённых значений по умолчанию в документах.

Можно ли ограничить доступ по контрагентам или номенклатуре?

Да, если конфигурация поддерживает соответствующий вид доступа. Во многих типовых решениях доступны ограничения по контрагентам, группам номенклатуры, кассам, банковским счетам. Перечень доступных видов смотрите в настройках прав и в профиле группы доступа. Если нужного вида нет — потребуется доработка конфигурации.

Права пользователя суммируются или пересекаются при нескольких группах?

Суммируются. Если пользователь входит в несколько групп доступа, доступ разрешается, когда он есть хотя бы в одной из них. Поэтому добавление пользователя в «широкую» группу фактически отменяет ограничения его «узкой» группы. Проверяйте полный список групп пользователя при расследовании проблем с избыточными правами.

Нужно ли перезапускать сервер после изменения групп доступа?

Нет, перезапуск сервера не требуется. Изменения применяются после записи настроек, но пользователю может понадобиться перезайти в сеанс, чтобы обновился кэш прав. В редких случаях помогает обновление данных через команду обновления версии программы или очистка кэша на клиенте.

Что делать, если после включения групп доступа всё «сломалось»?

Не паникуйте: снимите флаг «Группы доступа» в настройках прав — механизм отключится, и работа вернётся к прежнему режиму. Затем на тестовой копии базы спокойно настройте профили и группы, проверьте каждую роль под учётными записями реальных пользователей и только после этого включайте механизм в рабочей базе, желательно в нерабочее время.