Как изменить права доступа в 1С: полное руководство

Права доступа в 1С определяют, какие объекты информационной базы видит пользователь и какие операции он может выполнять: читать, добавлять, изменять или удалять данные. Корректная настройка прав защищает учёт от случайных ошибок и преднамеренных действий, а также избавляет сотрудников от лишних функций в интерфейсе.

Порядок изменения прав зависит от того, где вы работаете: в типовой конфигурации на управляемых формах (например, «1С:Бухгалтерия 8», «1С:Управление торговлей», «1С:ERP») настройка ведётся через профили групп доступа в режиме предприятия, а в конфигураторе — через роли. Ниже разобраны оба подхода, а также права на уровне записей и типичные ошибки администраторов.

Перед любыми изменениями сделайте резервную копию информационной базы или хотя бы выгрузку в файл. Ошибка в настройке ролей может заблокировать работу пользователей или, наоборот, открыть доступ к конфиденциальным данным — зарплате, взаиморасчётам, управленческой отчётности.

Как устроены права доступа в 1С

Система прав в платформе 1С:Предприятие 8 строится на ролях. Роль — это набор разрешений на конкретные объекты метаданных: справочники, документы, регистры, отчёты. Для каждого объекта роль определяет права: чтение, добавление, изменение, удаление, проведение, использование и другие. Итоговые права пользователя складываются из всех назначенных ему ролей по принципу «разрешено, если разрешено хотя бы в одной роли».

В типовых конфигурациях поверх ролей работает механизм профилей групп доступа из библиотеки стандартных подсистем. Профиль — это понятное администратору описание набора ролей («Кассир», «Менеджер по продажам», «Главный бухгалтер»). Пользователь включается в группу доступа с определённым профилем, и система автоматически назначает ему соответствующие роли без входа в конфигуратор.

Дополнительно существует механизм ограничения доступа на уровне записей (RLS): он фильтрует не объекты целиком, а отдельные строки данных. Например, менеджер видит документы только по своей организации или своему складу, хотя право чтения документов у него есть.

Как изменить права через профили групп доступа в типовой конфигурации

Это основной и рекомендуемый способ для типовых решений. Он не требует изменения конфигурации и сохраняет её на поддержке. Работа ведётся в режиме предприятия под учётной записью с правами администратора.

Откройте раздел «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». Здесь перечислены все профили, поставляемые с конфигурацией, и созданные вами. Чтобы изменить состав прав, откройте профиль и на закладке «Разрешения (роли)» отметьте или снимите флажки напротив нужных ролей. Названия ролей в списке даются в понятном виде, например «Добавление и изменение банковских счетов».

Если типовой профиль почти подходит, но требует корректировки, не редактируйте поставляемый профиль, а создайте его копию командой «Скопировать» и измените копию. При обновлении конфигурации типовые профили могут перезаполняться, и ваши изменения в них потеряются, а пользовательские профили останутся нетронутыми.

1. 1
   Откройте «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа».
2. 2
   Создайте копию подходящего типового профиля или новый профиль и отметьте нужные роли на закладке «Разрешения (роли)».
3. 3
   Перейдите в «Группы доступа», откройте группу с нужным профилем или создайте новую группу.
4. 4
   Добавьте пользователя в состав группы доступа.
5. 5
   Попросите пользователя перезапустить сеанс и проверьте доступность нужных функций и отсутствие лишних.

После включения пользователя в группу доступа изменения применяются при следующем входе в программу или после обновления сеанса. Проверьте результат под учётной записью самого пользователя: убедитесь, что нужные документы открываются, кнопки «Создать» и «Провести» доступны там, где должны, а закрытые разделы не отображаются в меню.

Как настроить права на уровне записей

Когда нужно разграничить не функции, а сами данные — например, чтобы менеджер видел только свою организацию, — используется ограничение доступа на уровне записей. В типовых конфигурациях оно включается флажком «Ограничивать доступ на уровне записей» в разделе «Настройки прав и пользователей».

После включения настройки в профиле группы доступа появляется закладка «Ограничения доступа», где задаются разрешённые значения: конкретные организации, склады, подразделения, контрагенты, кассы. Пользователь увидит в списках и отчётах только те записи, которые соответствуют разрешённым значениям его группы доступа.

Учтите важное ограничение: RLS заметно увеличивает нагрузку на систему, потому что к каждому запросу добавляются условия отбора. На больших базах с сотнями пользователей включение ограничений на уровне записей может замедлить формирование списков и отчётов. Включайте его только там, где разграничение данных действительно необходимо, и тестируйте производительность на реальном объёме.

Как изменить роли в конфигураторе

Если возможностей профилей недостаточно — например, нужно запретить интерактивное удаление конкретного документа или открыть доступ к самописному отчёту, — права настраиваются напрямую в ролях через конфигуратор. Этот способ требует снятия объектов с полной поддержки либо создания собственной роли, поэтому подходит опытным администраторам и разработчикам.

Откройте конфигуратор, в дереве конфигурации перейдите в ветку «Общие» → «Роли». Откройте нужную роль: в правой части окна отображаются все объекты метаданных, а в матрице — права на них. Установите или снимите флажки в колонках «Чтение», «Добавление», «Изменение», «Удаление», «Проведение» и других. Для регистров сведений и накопления права задаются отдельно от документов, которые по ним движения делают.

Безопасная практика — не менять типовые роли, а создать новую роль с нужными дополнительными правами и добавить её пользователю. Тогда при обновлении конфигурации типовые роли обновятся штатно, а ваша роль сохранится. Назначение ролей конкретному пользователю выполняется в списке пользователей: «Администрирование» → «Пользователи» → открыть пользователя → закладка «Прочие» → «Права доступа» (в файловом варианте) или через конфигуратор.

Особые права: администратор, полные права, внешние пользователи

Роль «Полные права» открывает доступ ко всем объектам конфигурации, кроме административных функций, а роль «Администратор системы» добавляет управление пользователями, настройку и служебные операции. Назначать полные права рядовым пользователям «чтобы всё работало» — распространённая и опасная практика: сотрудник получает возможность удалить любые данные, изменить закрытые периоды и настройки учёта.

Отдельная категория — внешние пользователи: контрагенты и физические лица, работающие с базой через веб-доступ или тонкий клиент, например в сервисах самообслуживания. Для них права настраиваются через те же профили групп доступа, но список доступных объектов обычно жёстко ограничен конфигурацией.

Периодически проводите ревизию прав: выгрузите отчёт по правам пользователей (в типовых конфигурациях доступен анализ прав через группы доступа) и проверьте, не осталось ли у уволенных сотрудников активных учётных записей и не накопились ли у действующих избыточные профили после переводов между должностями.

Как проверить результат и откатить изменения

Единственный надёжный способ проверки — войти в базу под учётной записью пользователя, для которого менялись права. Пройдите по его типичному сценарию работы: создание и проведение документов, заполнение справочников, формирование отчётов. Проверьте и обратную сторону: попытка открыть закрытый раздел должна завершаться сообщением о нарушении прав доступа, а лишних пунктов в меню быть не должно.

Если после изменений пользователь сообщает об ошибке «Нарушение прав доступа», выясните, на каком объекте она возникает: текст сообщения обычно содержит имя объекта метаданных и требуемое право. Сопоставьте его с ролями в профиле и добавьте недостающее разрешение. Для диагностики удобен технологический журнал или отчёт по правам, если он предусмотрен в конфигурации.

Откат изменений в механизме профилей прост: исключите пользователя из новой группы доступа или верните прежний состав ролей профиля. Если изменения делались в конфигураторе, восстановите роль из резервной копии конфигурации или из файла поставки. Именно поэтому резервная копия до начала работ обязательна.

Контрольные точки

Как проверить результат

Вход под учётной записью пользователя

Норма

Нужные разделы открываются, документы создаются и проводятся

Тревожный признак

Ошибка «Нарушение прав доступа» при штатных операциях

Доступ к закрытым данным

Норма

Закрытые разделы не видны в меню и не открываются по ссылке

Тревожный признак

Пользователь видит зарплату, взаиморасчёты или чужие организации

Скорость работы после включения RLS

Норма

Списки и отчёты открываются с приемлемой скоростью

Тревожный признак

Заметные задержки при открытии списков у всех пользователей

Часто задаваемые вопросы

Почему пользователь не видит изменений прав сразу после настройки?

Права применяются при старте сеанса. Попросите пользователя полностью выйти из программы и войти снова. В клиент-серверном варианте иногда требуется завершить сеанс принудительно через консоль кластера, если пользователь забыл закрыть программу.

Можно ли дать право только на просмотр документов без изменения?

Да. В профиле группы доступа оставьте только роли чтения нужных объектов и снимите роли добавления и изменения. В конфигураторе аналогично: в роли отметьте право «Чтение» и снимите «Добавление», «Изменение» и «Удаление» для нужных объектов.

Чем профиль группы доступа отличается от роли?

Роль — технический набор прав на объекты конфигурации, который назначается в конфигураторе. Профиль группы доступа — удобная обёртка над набором ролей в типовых конфигурациях: администратор работает с понятными названиями разрешений в режиме предприятия, а система сама назначает соответствующие роли.

Как запретить пользователю удалять документы, но разрешить их проводить?

В типовом профиле оставьте роли на добавление и изменение документов, но снимите роли, связанные с удалением и установкой пометки удаления, если они выделены отдельно. Если разделения в профиле нет, задача решается в конфигураторе: в роли для нужных документов снимите право «Удаление» и «Интерактивное удаление», оставив «Проведение».

Что делать, если случайно заблокировал доступ самому себе?

Если есть второй пользователь с правами администратора, он восстановит ваши права через список пользователей. Если администратор один и доступ потерян, в файловой базе можно открыть конфигуратор и добавить пользователя с полными правами, а в клиент-серверном варианте потребуется администратор кластера или восстановление из резервной копии.

Нужно ли перезапускать сервер 1С после изменения ролей в конфигураторе?

Перезапуск сервера не требуется: достаточно обновить конфигурацию базы данных в конфигураторе. Однако активные сеансы продолжат работать со старыми правами, пока пользователи не перезайдут в программу, поэтому о завершении сеансов стоит предупредить заранее.