Как дать права доступа в 1С: полная инструкция

Права доступа в 1С определяют, какие объекты информационной базы пользователь может видеть, добавлять, изменять и удалять. Некорректная настройка — одна из самых частых причин двух противоположных проблем: сотрудник не может выполнить свою работу из-за ошибки «Нарушение прав доступа», либо, наоборот, получает доступ к зарплате, банковским операциям и другим конфиденциальным данным, которые видеть не должен.

Механизм разграничения прав в 1С двухуровневый. На уровне конфигурации существуют роли — наборы прав на конкретные объекты метаданных (документы, справочники, регистры, отчёты). На прикладном уровне в типовых конфигурациях (1С:ERP, 1С:Управление торговлей, 1С:Бухгалтерия, 1С:ЗУП) работают профили групп доступа — понятные бизнес-пользователю наборы ролей, объединённые по должностям: «Кассир», «Менеджер по продажам», «Главный бухгалтер».

В этой статье разобраны оба подхода: как выдать права через интерфейс предприятия без изменения конфигурации, как создать собственную роль в конфигураторе, как ограничить доступ на уровне записей (RLS) и как проверить, что настройка сработала корректно.

Как устроена система прав в 1С: роли, профили и группы доступа

Роль — это минимальная единица разграничения прав, зашитая в конфигурацию. Каждая роль содержит набор разрешений: чтение, добавление, изменение, удаление, просмотр, интерактивное удаление и другие — отдельно для каждого объекта метаданных. Роли назначаются пользователю напрямую в конфигураторе или через механизм профилей в режиме предприятия.

Профиль группы доступа — это прикладная надстройка над ролями. Один профиль объединяет несколько ролей, например профиль «Менеджер по продажам» включает роли на работу с заказами, счетами, реализациями и отчётами по продажам, но не включает роли на кассовые операции и регламентированную отчётность. Администратор работает именно с профилями, не вникая в состав ролей.

Группа доступа связывает профиль с конкретными пользователями. Один пользователь может входить в несколько групп — тогда его итоговые права складываются из всех профилей. Это удобно: сотруднику, совмещающему функции кассира и менеджера, достаточно включить его в обе группы, не создавая отдельный профиль.

Как выдать права через профили групп доступа в режиме предприятия

Это основной способ для типовых конфигураций. Работа выполняется в режиме «1С:Предприятие» под учётной записью с полными правами, изменения конфигурации не требуются.

1. 1
   Откройте раздел Администрирование → Настройки пользователей и прав
2. 2
   Перейдите в Профили групп доступа и найдите подходящий профиль или создайте новый копированием типового
3. 3
   Откройте профиль и проверьте состав разрешённых ролей и разрешённых действий
4. 4
   Перейдите в раздел Группы доступа, откройте нужную группу и добавьте в неё пользователя
5. 5
   Попросите пользователя перезайти в базу — права применяются при новом сеансе
6. 6
   Войдите под учётной записью пользователя и проверьте доступ к нужным документам и отчётам

Если типового профиля нет, создайте свой: в списке профилей нажмите «Создать», укажите наименование и отметьте галочками разрешённые роли. Состав ролей в списке отображается с пояснениями, поэтому подобрать нужный набор можно без конфигуратора. Для точной настройки полезно сначала скопировать ближайший типовой профиль и убрать из него лишние роли — так меньше риск что-то пропустить.

Обратите внимание: в некоторых конфигурациях включение пользователя в группу доступа выполняется прямо из карточки пользователя (раздел «Права доступа» или «Группы доступа»). Состав элементов интерфейса зависит от версии конфигурации, но общий принцип один: пользователь → группа доступа → профиль → роли.

Как настроить ограничение доступа на уровне записей (RLS)

Когда нужно, чтобы сотрудники видели не все документы, а только «свои» — по организации, складу, подразделению или контрагенту, — используется механизм ограничения на уровне записей. В типовых конфигурациях он включается в настройках: Администрирование → Настройки пользователей и прав → флажок «Ограничивать доступ на уровне записей».

После включения RLS в группах доступа появляются «разрешённые значения»: для каждой группы указывается, с какими организациями, складами или подразделениями она работает. Пользователь из группы увидит в списках документов только записи с разрешёнными значениями. Если значение не задано, поведение зависит от настройки «по умолчанию»: либо доступ ко всем записям, либо запрет — проверяйте это на тестовом пользователе.

Типичный сценарий: холдинг из трёх организаций в одной базе. Бухгалтеру каждой организации выдаётся профиль «Бухгалтер», а в его группе доступа в разрешённых значениях указывается только его организация. В результате документы, отчёты и справочники фильтруются автоматически, и дорабатывать конфигурацию не нужно.

Как создать и назначить роль в конфигураторе

Когда типовых профилей не хватает — например, нужно дать внешнему аудитору доступ «только чтение» к конкретным регистрам или разрешить запуск обработки определённому сотруднику — роль создаётся в конфигураторе. Для этого потребуется режим изменения конфигурации и, как правило, снятие объектов с полной поддержки, поэтому работу лучше поручить специалисту с опытом обновления типовых конфигураций.

Порядок действий: откройте конфигуратор, в дереве конфигурации найдите ветку «Общие → Роли», создайте новую роль и в редакторе прав отметьте нужные объекты и виды доступа (Чтение, Просмотр, Добавление, Изменение). Затем либо назначьте роль пользователю напрямую (Администрирование → Пользователи → вкладка «Прочие» или список ролей в карточке пользователя), либо добавьте её в профиль группы доступа в режиме предприятия — второй способ предпочтительнее, так как настройка остаётся видимой администратору без конфигуратора.

Права назначаются и напрямую в списке пользователей конфигуратора: Администрирование → Пользователи, выбор пользователя, вкладка с ролями. Этот способ работает и в простых самописных конфигурациях, где механизма профилей нет. Недостаток — настройка не видна в режиме предприятия, и при большом числе пользователей ею сложно управлять.

Особые права: администратор, внешние обработки и фоновые задания

Роль «Полные права» открывает доступ ко всем объектам, но не ко всем функциям: административные действия (управление пользователями, настройка прав, работа с конфигуратором) требуют роли «Администратор системы» и, в клиент-серверном варианте, прав администратора кластера. Выдавать полные права «на всякий случай» — распространённая ошибка: такой пользователь может случайно удалить данные помеченными объектами или изменить настройки учёта.

Запуск внешних отчётов и обработок регулируется отдельным правом «Интерактивное открытие внешних отчётов и обработок» и настройкой «Дополнительные отчёты и обработки» в разделе администрирования. Внешняя обработка выполняется с правами запустившего её пользователя, поэтому сотрудник без прав на изменение документов не сможет навредить данным через обработку — но сможет прочитать всё, что ему доступно.

Способы выдачи прав

Профили групп доступа

Стандартный способ для типовых конфигураций. Наглядно, управляется администратором без конфигуратора. Ограничение: только те роли, что предусмотрела конфигурация.

Роль в конфигураторе

Для нестандартных задач и самописных конфигураций. Требует изменения конфигурации и аккуратности при обновлениях.

Прямое назначение ролей пользователю

Быстро для разовых случаев, но плохо масштабируется и не видно в режиме предприятия.

Как проверить, что права настроены правильно

Единственный надёжный способ проверки — войти в базу под учётной записью пользователя и пройти его типовой рабочий сценарий: создать документ, провести его, сформировать отчёт, открыть справочники. Ошибка «Нарушение прав доступа» при этом покажет, какого именно права не хватает: в тексте ошибки указывается объект и вид доступа.

Для диагностики используйте журнал регистрации (Администрирование → Обслуживание → Журнал регистрации): события отказа в доступе фиксируются там с указанием пользователя, объекта и вида права. Это быстрее, чем перебирать роли вслепую. В крупных конфигурациях также есть отчёт по правам пользователя, показывающий итоговый состав разрешений.

Контрольные точки

Как проверить результат

Вход под учётной записью пользователя

Норма

Пользователь видит свои разделы, документы создаются и проводятся

Тревожный признак

Ошибка «Нарушение прав доступа» или пустой интерфейс

Доступ к конфиденциальным данным

Норма

Зарплата, банк и касса недоступны сотрудникам, которым они не нужны

Тревожный признак

Пользователь видит чужие начисления или выписки

Ограничение по организациям/складам (RLS)

Норма

В списках видны только разрешённые записи

Тревожный признак

Видны все записи или, наоборот, списки пусты

Частые вопросы

Пользователь получил профиль, но ошибка «Нарушение прав доступа» осталась. Что делать?

Сначала завершите сеанс пользователя и запустите его заново — права применяются при входе. Если ошибка повторяется, посмотрите её текст: там указан объект и вид доступа. Проверьте, входит ли нужная роль в профиль, не действует ли ограничение RLS и не работает ли пользователь в копии базы с устаревшими настройками.

Можно ли дать доступ только на просмотр без права изменения?

Да. В роли для этого снимаются права «Добавление», «Изменение» и «Удаление» и оставляются «Чтение» и «Просмотр». В типовых конфигурациях есть профили вида «Только просмотр» либо можно создать собственный профиль с соответствующими ролями.

Чем отличаются права в файловой и клиент-серверной 1С?

Механизм ролей и профилей одинаков. Различия на уровне инфраструктуры: в клиент-серверном варианте добавляются администраторы кластера и сервера СУБД, а пользователь базы должен быть сопоставлен пользователю кластера. Сами права на объекты настраиваются так же.

Как быстро узнать, какие права есть у конкретного пользователя?

Откройте карточку пользователя и посмотрите список его групп доступа и профилей — итоговые права являются суммой всех профилей. Для детального анализа по объектам используйте журнал регистрации (события отказа в доступе) или специализированные отчёты по правам, если они есть в вашей конфигурации.

Нужно ли выдавать отдельные права для работы через веб-клиент или тонкий клиент?

Нет, состав ролей не зависит от типа клиента. Но для веб-клиента должна быть корректно настроена публикация базы на веб-сервере, а у пользователя — разрешённый тип клиента в настройках, если администратор его ограничивал.

Безопасно ли давать права внешнему аудитору или консультанту?

Да, если создать отдельную учётную запись с профилем «только чтение» и ограничить доступ к персональным данным и зарплате через RLS или состав ролей. После завершения работ учётную запись следует отключить. Не передавайте посторонним учётные данные действующих сотрудников.