Администрирование · 12 мин
Как настроить ограниченный доступ в 1С
Пошаговая настройка ограничения доступа на уровне записей (RLS) в 1С: профили групп доступа, шаблоны ограничений, проверка прав и типичные ошибки.
Ограниченный доступ в 1С — это механизм, при котором пользователь видит и изменяет не всю базу, а только разрешённую часть данных: свои документы, свою организацию, свой склад или контрагентов из закреплённой группы. В типовых конфигурациях на платформе 1С:Предприятие 8.3 это реализуется через RLS (Record Level Security) — ограничение доступа на уровне записей. Механизм работает прозрачно: пользователь открывает список документов и видит только те строки, которые проходят условие ограничения.
Настройка строится на трёх сущностях: профили групп доступа (что разрешено делать), группы доступа пользователей (кому разрешено) и значения доступа (какие именно организации, склады, контрагенты). Для большинства задач не требуется программирования — достаточно типовых средств раздела «Администрирование». Однако неправильная настройка приводит либо к избыточным правам, либо к ситуации, когда сотрудник не может работать вообще.
Материал ориентирован на конфигурации с подсистемой управления доступом из Библиотеки стандартных подсистем: «Управление торговлей 11», «Комплексная автоматизация 2», «ERP», «Бухгалтерия предприятия 3.0» (в части профилей), «Зарплата и управление персоналом 3.1». Названия команд могут немного отличаться между версиями, но логика одинакова.
Как работает ограничение доступа на уровне записей
RLS подставляет к каждому запросу к таблице дополнительное условие отбора. Например, если менеджеру разрешена работа только с организацией «ООО Ромашка», то при открытии журнала реализаций платформа неявно добавляет условие «Организация В (&ООО Ромашка)». Пользователь не видит чужих документов ни в списках, ни в отчётах, ни при подборе в документы.
Важно понимать разницу между ролями и RLS. Роли определяют, какие объекты доступны: право читать документы «Реализация товаров», право проводить их, право изменять справочник «Номенклатура». RLS определяет, какие строки внутри этих объектов видны. Работают механизмы вместе: сначала роль решает «можно ли вообще читать реализации», затем RLS отсекает конкретные записи.
Ограничение применяется по «видам доступа» — это аналитические разрезы: Организация, Склад, Подразделение, Группа контрагентов, Касса и другие. Набор видов доступа зависит от конфигурации. Ограничение срабатывает только для тех видов, которые включены и у профиля, и заполнены в группе доступа.
Подготовка: включение механизма и проверка прав администратора
Перед настройкой убедитесь, что у вас есть роль «Администратор системы» и «Полные права» (или «Настройка прав пользователей» в некоторых конфигурациях). Без полных прав разделы настройки доступа будут скрыты или доступны только на чтение.
В типовых конфигурациях группа настроек находится по пути: Администрирование → Настройки пользователей и прав → Пользователи, а профили — Администрирование → Настройки пользователей и прав → Профили групп доступа. В некоторых решениях есть отдельный флажок «Ограничивать доступ на уровне записей» — он должен быть включён, иначе значения доступа игнорируются.
Также проверьте, что обновление данных ограничения доступа выполняется успешно: после изменения профилей платформа пересчитывает служебные таблицы RLS. В крупных базах это занимает заметное время и выполняется регламентным заданием «Обновление доступа на уровне записей» — убедитесь, что оно включено и завершается без ошибок.
Создание профиля групп доступа
Профиль — это набор ролей и видов доступа, который потом назначается пользователям через группы. Откройте Профили групп доступа и создайте новый элемент, например «Менеджер по продажам (организация Ромашка)». В профиле отметьте роли: типовые конфигурации предлагают готовые наборы вроде «Добавление и изменение документов продажи», «Чтение нормативно-справочной информации». Не давайте роль «Полные права» в профиле ограниченного пользователя — она отключает RLS.
На вкладке «Виды доступа» (или «Ограничение доступа») укажите, по каким разрезам действует ограничение. Для каждого вида доступа выберите режим: «Все разрешены (без исключений)», «Все запрещены (с исключениями)» или «Разрешённые значения задаются в группах доступа». Чаще всего используется последний вариант: профиль объявляет, что доступ ограничивается по организациям, а конкретная организация задаётся уже в группе доступа.
- 1Откройте Администрирование → Профили групп доступа и создайте новый профиль
- 2Отметьте необходимые роли, избегая Полных прав
- 3На вкладке видов доступа включите нужные разрезы (Организация, Склад и т.д.) в режиме задания значений в группах
- 4Сохраните профиль и дождитесь завершения обновления доступа
- 5Создайте группу доступа, привяжите профиль, добавьте пользователя и укажите разрешённые значения
Один пользователь может входить в несколько групп доступа — тогда его права складываются по принципу объединения: разрешено то, что разрешено хотя бы в одной группе. Это удобно для сотрудников, работающих с двумя организациями или несколькими складами.
Назначение пользователей в группы доступа
Группа доступа связывает профиль, пользователей и конкретные значения доступа. Откройте Настройки пользователей и прав → Группы доступа, создайте группу, выберите профиль и добавьте пользователей. Затем в табличной части «Значения доступа» (или «Разрешённые значения») перечислите конкретные организации, склады, кассы или группы контрагентов.
Есть и обратный путь: открыть карточку пользователя в справочнике «Пользователи» и на закладке «Права доступа» (или «Группы доступа») включить его в нужные группы. Результат идентичен — выбирайте удобный интерфейс.
Обратите внимание на специальный пользователь «Внешние пользователи» в конфигурациях с порталом или самообслуживанием: для контрагентов, подключающихся через веб-доступ, настраиваются отдельные профили с жёстким ограничением по контрагенту, иначе клиент увидит чужие заказы.
Тонкая настройка: шаблоны ограничений и отдельные сценарии
Ограничение по группам контрагентов или номенклатуры
Когда нужно разграничить клиентов между менеджерами, используйте вид доступа «Группы контрагентов»: в справочнике «Контрагенты» создайте папки по ответственным менеджерам, а в группе доступа разрешите конкретную папку. Новый контрагент, попавший в чужую папку, автоматически станет невидимым для других менеджеров. Аналогично работает ограничение по группам номенклатуры для разделения товарных направлений.
Сценарий «всё запрещено, кроме»
Если сотруднику нужен доступ к одному-двум объектам из множества, удобнее режим «Все запрещены, с исключениями»: профиль по умолчанию запрещает все значения вида доступа, а группа открывает перечисленные. Это безопаснее режима «все разрешены» — при добавлении в базу новой организации она не станет автоматически доступной всем.
Шаблоны RLS в конфигураторе
Если типовых видов доступа не хватает (например, нужно ограничить документы по автору или по произвольному признаку), потребуется доработка: в конфигураторе у роли на закладке «Шаблоны ограничений» пишется текст условия RLS на языке запросов. Пример идеи: #ТекущаяТаблица.Ответственный = &ТекущийПользователь. Такие доработки делает разработчик 1С — ошибка в шаблоне ломает все запросы к таблице, включая отчёты.
Каждое активное ограничение RLS добавляет условия во все запросы к ограничиваемой таблице. Чем больше видов доступа включено одновременно, тем тяжелее запросы и медленнее открываются списки. Включайте только те разрезы, которые реально нужны, — это вопрос не только безопасности, но и производительности.
Проверка результата и аудит настроек
После настройки войдите в базу под ограниченным пользователем и пройдите типовой рабочий цикл: откройте список документов, создайте новый документ, сформируйте ключевой отчёт. Документы чужих организаций не должны отображаться ни в списках, ни в отчётах, ни в подборе. Попытка открыть чужой документ по прямой ссылке должна завершаться сообщением о недостаточности прав или отсутствии данных.
Полезный инструмент проверки — отчёт «Права доступа» (в разделе администрирования или через «Все функции → Отчёты» в ряде конфигураций): он показывает, какие роли и значения доступа фактически действуют у пользователя. В журнале регистрации фильтр по событию «Доступ. Отказ в доступе» покажет случаи, когда пользователь упёрся в ограничение.
Как проверить результат
Видны только документы разрешённых организаций/складов
Видны чужие документы или список полностью пуст
В поле организации доступны только разрешённые значения
Доступны все организации или ни одной
Итоги совпадают с разрешённым периметром
В отчёт попадают чужие данные
Выполняется без ошибок
Ошибки в журнале регистрации, устаревшие данные доступа
Типичные ошибки и их последствия
Самая частая ошибка — назначить пользователю профиль, но забыть добавить его в группу доступа с конкретными значениями. Итог зависит от режима: при «все запрещены, кроме» пользователь не увидит ничего, при «все разрешены» — получит полный доступ, что гораздо опаснее. Вторая распространённая проблема — выдача роли «Полные права» ради решения локальной проблемы с доступом: это молча отключает все ограничения RLS.
Ещё одна ловушка — копирование пользователя «по образцу» без анализа его групп: новый сотрудник получает права уволенного предшественника, включая доступ к чужим организациям. Заводите доступ осознанно, через понятно названные группы, а не копированием.
Что важно запомнить
Ограниченный доступ настраивается цепочкой: профиль (роли и виды доступа) → группа доступа (пользователи и разрешённые значения) → перезапуск сеанса и обновление RLS. Избегайте Полных прав, включайте только нужные виды доступа и всегда проверяйте результат под учётной записью ограниченного пользователя.
Частые вопросы
Почему пользователь не видит ни одного документа после настройки ограничений?
Чаще всего профиль использует режим «все запрещены, с исключениями», а в группе доступа не заполнены разрешённые значения. Проверьте, что пользователь включён в группу, в группе указаны конкретные организации или склады, а сеанс пользователя перезапущен после изменений.
Можно ли ограничить доступ к документам по автору?
Типовыми настройками — нет, стандартные виды доступа не включают автора. Такое ограничение делается доработкой: шаблоном RLS в конфигураторе с условием по реквизиту «Ответственный» или «Автор». Учитывайте, что это снимает конфигурацию с полной типовой поддержки.
Работает ли RLS в отчётах и при обмене данными?
В отчётах на СКД и встроенных механизмах — да, ограничение применяется автоматически. При обмене через планы обмена ограничения на уровне записей не фильтруют выгрузку: для разграничения данных между базами используются отборы в правилах регистрации.
Что делать, если после включения RLS база стала заметно медленнее?
Проверьте количество включённых видов доступа и отключите неиспользуемые. Убедитесь, что регламентное обновление доступа выполняется штатно, а не накапливает очередь. В больших базах имеет смысл проанализировать запросы в технологическом журнале и при необходимости пересмотреть состав профилей.
Как временно дать сотруднику доступ к чужой организации?
Добавьте его во вторую группу доступа с нужной организацией — права объединятся. После завершения работы удалите его из этой группы. Не выдавайте для временных задач Полные права: это открывает всю базу и обычно забывается отозваться.
Нужно ли настраивать RLS в файловой базе на несколько пользователей?
Механизм работает и в файловом режиме, настройка идентична. Учитывайте только, что обновление данных ограничения в файловой базе выполняется при интерактивных действиях и может занимать время — планируйте массовые изменения прав на периоды минимальной нагрузки.