Администрирование · 11 мин
Как дать права в 1С ЗУП: полное руководство по настройке доступа
Пошаговая инструкция, как дать права в 1С ЗУП: создание профилей групп доступа, назначение ролей, настройка ограничений по организациям и проверка результата.
Разграничение прав в 1С:ЗУП — обязательный этап внедрения программы: расчётчикам нужен доступ к начислениям, кадровикам — к приказам и личным данным, руководителям — только к отчётам по своему подразделению. Если выдать всем полные права, возрастает риск утечки персональных данных и случайного повреждения расчётов, а это уже вопрос не только порядка, но и штрафов по законодательству о персональных данных.
Механизм прав в ЗУП построен на трёх уровнях: роли (зашиты в конфигурацию), профили групп доступа (наборы ролей, которые собирает администратор) и группы доступа пользователей (кто именно и к каким данным получает доступ). Понимание этой связки позволяет выдать права точечно, не прибегая к опасному варианту «дать всё».
Настройка выполняется в разделе «Администрирование» и не требует доработки конфигурации. Ниже разобраны подготовка, создание профилей, назначение пользователям, ограничение доступа на уровне записей и типичные ошибки.
Подготовка: включение механизма групп доступа
Прежде чем выдавать права, проверьте, что в программе включён сам механизм разграничения. Откройте раздел «Администрирование» → «Настройки пользователей и прав». Установите флажок «Группы доступа» — без него профили работать не будут. Если планируете ограничивать видимость по организациям или подразделениям, дополнительно включите «Ограничивать доступ на уровне записей».
Учтите: включение ограничения на уровне записей (RLS) может замедлить работу в больших базах, так как каждый запрос к данным дополнительно проверяется. На базах с сотнями пользователей стоит заранее оценить производительность и при необходимости проконсультироваться со специалистом по администрированию.
Также проверьте список пользователей: «Администрирование» → «Пользователи». Каждый сотрудник должен быть заведён отдельной учётной записью — работа нескольких человек под одним логином делает бессмысленным любое разграничение прав и журнал регистрации.
Как устроены роли и профили в ЗУП
Роль — это минимальная единица прав, зашитая в конфигурацию: например, «Добавление изменение начислений удержаний», «Чтение данных сотрудников», «Настройка налогов и взносов». Роли нельзя редактировать без изменения конфигурации, и назначать их пользователю по одной неудобно — поэтому используются профили.
Профиль группы доступа — это именованный набор ролей, например «Расчётчик зарплаты» или «Кадровик». В ЗУП уже есть типовые предопределённые профили, которые покрывают большинство должностей. В большинстве случаев достаточно использовать их, не создавая собственные.
Важное следствие: права в ЗУП складываются. Если пользователь входит в две группы с разными профилями, он получает объединение прав. Поэтому нельзя «отнять» право, добавив ограничительную группу — нужно исключить пользователя из лишней группы.
Создание и настройка профиля групп доступа
Откройте «Администрирование» → «Настройки пользователей и прав» → «Профили групп доступа». Нажмите «Создать», задайте понятное наименование, например «Расчётчик (филиал Север)». В табличной части отметьте флажками роли, которые должны входить в профиль.
- 1Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа
- 2Нажмите Создать и укажите наименование профиля
- 3Отметьте флажками необходимые роли (удобно использовать поиск по имени роли)
- 4При необходимости настройте виды доступа на вкладке ограничений (организации, подразделения)
- 5Запишите профиль и проверьте, что он активен
При выборе ролей ориентируйтесь на принцип минимально необходимых прав: если сотруднику нужно только смотреть расчётные листки, давайте роли чтения, а не изменения. Роли с префиксом «Чтение…» безопасны — они не позволяют менять данные.
Если типовой профиль почти подходит, но не хватает пары ролей, есть два пути: скопировать типовой профиль и дополнить его, либо создать отдельный маленький профиль и включить пользователя в две группы. Второй вариант прозрачнее при аудите — сразу видно, какие дополнительные права и зачем выданы.
Назначение прав конкретному пользователю
Есть два симметричных пути. Первый — через карточку пользователя: откройте «Администрирование» → «Пользователи», выберите сотрудника и перейдите по ссылке «Права доступа» (или на вкладку групп доступа). Добавьте его в нужную группу доступа, выбрав профиль.
Второй путь — через справочник «Группы доступа» («Администрирование» → «Настройки пользователей и прав» → «Группы доступа»). Откройте группу с нужным профилем и добавьте пользователей в список участников. Этот способ удобнее, когда одинаковые права выдаются сразу нескольким сотрудникам.
После назначения проверьте результат: в карточке пользователя по команде «Отчёт о правах доступа» (в типовых конфигурациях доступна через «Ещё» или панель навигации) видно итоговый состав ролей и групп. Это удобный способ убедиться, что пользователь получил именно то, что планировалось, и ничего лишнего.
Как проверить результат
Открываются только нужные разделы и документы
Видны чужие начисления или разделы недоступны
Состав ролей соответствует должности
Присутствуют роли администрирования или настройки
Программа выдаёт сообщение о нарушении прав
Документ сохраняется без предупреждений
Ограничение доступа по организациям и подразделениям
Если в базе ведётся несколько организаций, расчётчик одной из них не должен видеть зарплату другой. Для этого в профиле настраиваются виды доступа: на вкладке ограничений укажите вид доступа «Организации» и задайте разрешённые значения — конкретные организации. Аналогично работает ограничение по подразделениям и группам сотрудников.
Ограничение на уровне записей действует на документы, справочники и отчёты: пользователь просто не увидит чужие данные ни в списках, ни в расчётных листках. Однако учтите, что настройка RLS требует аккуратности: если не заполнить разрешённые значения, пользователь может потерять доступ вообще или, наоборот, получить доступ ко всему — поведение зависит от настройки «Все разрешены/запрещены» в виде доступа.
Типовые профили ЗУП и когда их достаточно
В поставку конфигурации входят готовые профили, покрывающие стандартные роли на предприятии. Их состав периодически обновляется вместе с релизами, поэтому точный перечень смотрите в своей версии программы.
| Профиль | Кому подходит | Ограничение |
|---|---|---|
| Расчётчик зарплаты | Специалисты по начислению и выплате | Не включает кадровые приказы |
| Кадровик | Приём, перевод, увольнение, личные данные | Без доступа к начислениям |
| Расчётчик-кадровик | Малые компании, где функции совмещены | Широкий доступ к персональным данным |
| Руководитель | Просмотр отчётов по своему подразделению | Требует настройки ограничений по подразделениям |
| Аудитор / читающий | Контроль без права изменения | Только просмотр данных |
Если штатная структура совпадает с типовыми профилями — используйте их как есть. Это упрощает обновления: при выходе нового релиза типовые профили могут дополняться ролями на новые объекты, и вам не придётся догонять изменения вручную в собственных профилях.
Типовой или собственный профиль
Подходит для стандартных должностей; проще сопровождается при обновлениях, но нельзя тонко подстроить состав ролей
Подходит, когда нужно добавить или убрать несколько ролей; требует ручной ревизии после обновлений конфигурации
Подходит для нестандартных ролей (например, только табельщик); требует хорошего знания состава ролей и регулярного аудита
Типичные ошибки при выдаче прав
Отдельная ошибка — путать права на уровне конфигурации с правами на уровне СУБД или операционной системы. Профили ЗУП управляют доступом внутри программы; доступ к самой базе, резервным копиям и серверу настраивается отдельно администратором инфраструктуры.
Проверка, аудит и отзыв прав
Раз в квартал или при изменении штата проводите ревизию: кто состоит в каких группах доступа. Увольняемых сотрудников исключайте из всех групп и помечайте их учётные записи как недействительные в день увольнения, а не «когда-нибудь потом».
Для расследования инцидентов используйте журнал регистрации («Администрирование» → «Журнал регистрации»): по нему видно, какой пользователь и когда изменял документ. Журнал полезен только если у каждого сотрудника своя учётная запись — ещё один аргумент против общих логинов.
Что важно запомнить
Права в ЗУП выдаются цепочкой: роли → профиль → группа доступа → пользователь. Используйте типовые профили, давайте минимально необходимые права, ограничения по организациям тестируйте на копии базы, а уволенных сотрудников отключайте сразу.
Частые вопросы
Можно ли дать права только на просмотр, без изменения?
Да. Для этого в профиль включаются только роли с названием «Чтение…» и роли вывода отчётов. Проще всего взять типовой профиль аудитора или создать собственный, отметив в поиске ролей слово «Чтение» и выбрав нужные области: начисления, кадровые данные, отчёты.
Пользователь входит, но не видит нужный документ. Что проверить?
Сначала откройте отчёт о правах доступа по этому пользователю и проверьте, есть ли роль на чтение/изменение нужного объекта. Затем проверьте ограничения на уровне записей: возможно, документ относится к организации или подразделению, не входящему в разрешённые значения профиля. Наконец, убедитесь, что пользователь перезашёл в программу после изменения прав.
Чем отличаются полные права от прав администратора?
Полные права дают доступ ко всем данным и документам, но не ко всем сервисным функциям. Администратор системы дополнительно может управлять пользователями, настройками прав, выполнять обновление и обслуживание базы. Расчётчикам и кадровикам ни тот ни другой вариант не нужен.
Как быстро выдать одинаковые права десяти новым сотрудникам?
Создайте одну группу доступа с нужным профилем и добавьте в неё всех пользователей списком. При увольнении или переводе достаточно исключить человека из группы — права отзовутся автоматически, без правки его карточки.
Нужно ли дорабатывать конфигурацию для тонкой настройки прав?
В большинстве случаев нет: связка ролей, профилей и ограничений на уровне записей закрывает типовые потребности. Доработка требуется только для нестандартных сценариев — например, запрета на конкретную команду внутри разрешённого документа. Такие решения стоит поручать разработчику, поскольку изменение ролей в конфигураторе усложняет последующие обновления.
Что делать, если после обновления ЗУП у пользователя пропал доступ?
В новых релизах иногда появляются новые роли на новые объекты. Проверьте, используется ли типовой профиль — он обычно обновляется автоматически. Если профиль собственный, сравните его состав с типовым аналогом и добавьте недостающие роли вручную.