Как настроить доступ в 1С: права, роли и профили

Разграничение доступа в 1С решает две задачи: сотрудники видят и меняют только те данные, которые нужны им для работы, а случайное или намеренное повреждение информации становится маловероятным. В типовых конфигурациях на платформе 1С:Предприятие 8.3 система прав строится на трёх уровнях: пользователи, роли и профили групп доступа. Понимание этой связки позволяет настроить доступ без программирования — штатными средствами.

Основной принцип прост: права назначаются не конкретному человеку напрямую, а через профиль (набор ролей), а сам пользователь включается в группу доступа с этим профилем. Такой подход упрощает администрирование: при приёме нового сотрудника достаточно добавить его в нужную группу, а не выставлять десятки галочек вручную.

Ниже разобран полный цикл настройки: от включения механизма ограничения доступа до проверки, что пользователь действительно видит только разрешённое. Инструкции ориентированы на типовые конфигурации (Бухгалтерия предприятия, Управление торговлей, Зарплата и управление персоналом, ERP), где работает библиотека стандартных подсистем.

Как устроена система прав в 1С

В конфигураторе права задаются через роли — наборы разрешений на чтение, добавление, изменение и удаление объектов (справочников, документов, регистров). Роли определяет разработчик конфигурации, и типовые решения содержат готовый набор: «Бухгалтер», «Кассир», «Менеджер по продажам», «Только просмотр» и другие.

В пользовательском режиме (1С:Предприятие) роли не назначаются напрямую — для этого служат профили групп доступа. Профиль объединяет одну или несколько ролей и дополнительные разрешения. Пользователь, включённый в группу доступа, получает все права её профиля. Один человек может состоять в нескольких группах, тогда его права суммируются.

Дополнительно работает механизм RLS (ограничение доступа на уровне записей): он фильтрует не объекты целиком, а отдельные строки — например, менеджер видит документы только по своей организации или своему складу. Это ключевой инструмент для компаний с несколькими юрлицами в одной базе.

Подготовка: включение ограничения доступа

Прежде чем настраивать профили, убедитесь, что механизм ограничения доступа активен. В типовых конфигурациях перейдите в раздел «Администрирование» → «Настройки прав и пользователей» (в некоторых конфигурациях — «Пользователи и права»). Установите флажок «Ограничивать доступ на уровне записей», если планируете разграничивать данные по организациям, складам или подразделениям.

Обратите внимание: включение RLS замедляет выполнение запросов к базе, поскольку к каждому обращению добавляются условия отбора. На небольших базах эффект незаметен, но в крупных системах с сотнями пользователей стоит тестировать производительность после изменения схемы прав.

Создание пользователей и аутентификация

Новый пользователь создаётся в разделе «Администрирование» → «Пользователи». Заполните имя (для входа), полное имя, укажите пароль и при необходимости привяжите физическое лицо из справочника. Для файловых баз пароль задаётся прямо в карточке пользователя; в клиент-серверном варианте доступна также аутентификация средствами операционной системы (доменная учётная запись).

При создании пользователя в типовой конфигурации ему автоматически назначается минимальный набор прав для входа. Полноценные права он получит только после включения в группу доступа. Это безопасное поведение по умолчанию: новая учётная запись не получает лишних разрешений.

1. 1
   Откройте Администрирование → Пользователи и нажмите «Создать»
2. 2
   Укажите имя для входа, полное имя и пароль
3. 3
   При необходимости свяжите пользователя с физическим лицом
4. 4
   Запишите карточку — права назначатся через группу доступа на следующем шаге

Настройка профилей и групп доступа

Профили находятся в разделе «Администрирование» → «Профили групп доступа». Типовая конфигурация уже содержит готовые профили под стандартные должности. Если готовый не подходит, создайте свой: скопируйте ближайший по смыслу профиль и скорректируйте состав ролей на вкладке «Роли», а на вкладке «Разрешения» — доступ к отчётам, обработкам и дополнительным действиям.

Далее перейдите в «Группы доступа» и создайте группу, указав профиль. Добавьте в неё пользователей. Если включён RLS, в карточке группы появятся настройки значений доступа — например, перечень разрешённых организаций или складов. Именно здесь задаётся, что менеджер Иванов работает только с организацией «А», а Петрова — с организацией «Б».

Разграничение по организациям и складам

Для разделения данных по юрлицам в настройках параметров учёта должен быть включён учёт по нескольким организациям. Затем в группе доступа на вкладке «Значения доступа» выберите вид доступа «Организации» и перечислите разрешённые. Пользователь увидит в списках документов только свои организации, а при создании документа поле организации будет заполняться доступным значением.

Проверка результата

Никогда не считайте настройку завершённой без проверки под реальной учётной записью. Выйдите из сеанса администратора и войдите под пользователем, для которого настраивали права. Пройдите по его типовым операциям: откройте журнал документов, создайте и проведите документ, сформируйте отчёт.

Признаки корректной настройки: пользователь видит только свои организации и склады, недоступные разделы скрыты из меню или выдают сообщение о нарушении прав при попытке открытия, проведение документов проходит без ошибок доступа к регистрам. Ошибка вида «Нарушение прав доступа» при проведении обычно означает, что в профиле не хватает роли на регистр, который затрагивает документ.

Контрольные точки

Как проверить результат

Список документов под пользователем

Норма

Видны документы только разрешённых организаций

Тревожный признак

Видны все документы базы или список пуст

Проведение типового документа

Норма

Документ проводится без сообщений об ошибках

Тревожный признак

Ошибка «Нарушение прав доступа» к регистру

Меню и разделы

Норма

Лишние разделы скрыты, нужные открываются

Тревожный признак

Разделы видны, но выдают ошибку при открытии

Типичные ошибки и особые случаи

Самая частая ошибка — назначение прав «в лоб» через конфигуратор отдельному пользователю в обход профилей. Такие права теряются при обновлении конфигурации или конфликтуют с групповыми. Вторая распространённая проблема — избыточные права «на всякий случай»: проще выдать профиль администратора, чем разбираться с ролями. Это создаёт риск утечки данных и случайного удаления документов.

Отдельный случай — внешние пользователи (контрагенты для доступа к личному кабинету, если он реализован). Для них используются отдельные профили с минимальными правами и обязательным RLS по контрагенту. Никогда не давайте внешним пользователям профили внутренних сотрудников.

Удобно завести тестовую учётную запись для каждого типового профиля («ТестКассир», «ТестМенеджер»). После любого изменения профиля входите под ней и прогоняете короткий сценарий — это занимает пять минут и избавляет от жалоб реальных пользователей.

Когда нужны доработки

Штатных профилей и RLS хватает для большинства сценариев: разделение по организациям, складам, подразделениям, контрагентам. Доработка требуется, если нужны нестандартные условия — например, запрет редактирования документов старше определённой даты для конкретной роли сверх типовой даты запрета изменения данных, или доступ к отдельным реквизитам документа.

Прежде чем заказывать доработку, проверьте типовые механизмы: «Даты запрета изменения данных» (Администрирование → Пользователи и права), настройки ЭТАПов согласования и расширения конфигурации, которые позволяют менять поведение без снятия с поддержки.

Частые вопросы

Пользователю не хватает прав на один отчёт. Что делать?

Откройте его профиль (или создайте отдельный) и на вкладке «Разрешения» добавьте нужный отчёт или обработку. Если отчёт внешний, проверьте, что пользователь включён в группу доступа с правом «Открытие внешних отчётов и обработок». Не выдавайте ради одного отчёта профиль с полными правами.

Почему пользователь видит чужие организации, хотя RLS настроен?

Наиболее вероятная причина — он состоит ещё в одной группе доступа с более широкими значениями, и права суммировались. Проверьте все группы пользователя. Также убедитесь, что флажок «Ограничивать доступ на уровне записей» включён, а в его основной группе вид доступа «Организации» заполнен явно.

Можно ли скопировать права одного сотрудника другому?

Да, и это правильный подход: достаточно включить нового сотрудника в те же группы доступа, что и его коллегу с аналогичными обязанностями. Откройте карточку образцового пользователя, посмотрите список его групп и добавьте нового пользователя в те же группы.

Ошибка «Нарушение прав доступа» при проведении документа — откуда она?

Документ при проведении записывает данные в регистры, и у пользователя нет роли на изменение одного из них. Включите технологический журнал или посмотрите текст ошибки — там указан объект. Затем добавьте в профиль соответствующую роль, обычно она называется по имени регистра или подсистемы.

Как временно заблокировать пользователя, не удаляя его?

Откройте карточку пользователя и снимите флажок «Вход в программу разрешён» (или установите признак «Недействителен» — зависит от конфигурации). Все его настройки и членство в группах сохранятся, и при возвращении сотрудника доступ восстанавливается одним действием.

Нужно ли настраивать права заново после обновления конфигурации?

Профили и группы доступа, созданные в пользовательском режиме, при обновлении сохраняются. Однако в новых версиях могут появиться новые роли и объекты — после обновления стоит проверить, что типовые операции по-прежнему работают под ключевыми профилями, и при необходимости добавить новые роли в профили.