Как настроить права доступа пользователя в 1С

Права доступа в 1С определяют, какие объекты базы — документы, справочники, отчёты, регистры — пользователь может видеть, добавлять, изменять или удалять. Корректная настройка защищает данные от случайного удаления, утечки конфиденциальной информации и ошибок при совместной работе нескольких сотрудников.

Механизм разграничения прав в 1С устроен по-разному в файловых и клиент-серверных базах, в типовых конфигурациях (Бухгалтерия, Управление торговлей, Зарплата и управление персоналом) и в конфигураторах без библиотеки стандартных подсистем. В типовых решениях права задаются через профили групп доступа в режиме предприятия, а в самописных — через роли в конфигураторе.

Ниже разобраны оба подхода: как назначить права через интерфейс типовой программы, как работать с ролями в конфигураторе, как ограничить доступ на уровне записей и как проверить, что настройка сработала именно так, как задумано.

Как устроены права доступа в 1С

В основе механизма лежат роли — наборы прав на объекты метаданных. Каждая роль определяет, разрешено ли чтение, добавление, изменение, удаление конкретного справочника, документа или регистра, а также доступ к командам интерфейса. Пользователю может быть назначено несколько ролей, и тогда итоговые права складываются: если хотя бы одна роль разрешает действие, оно доступно.

В типовых конфигурациях поверх ролей работает надстройка — профили групп доступа. Профиль — это готовый набор ролей, собранный под типовую должность: «Кассир», «Менеджер по продажам», «Главный бухгалтер». Администратор объединяет пользователей в группы доступа и привязывает к ним профили, не заходя в конфигуратор.

Отдельный уровень — ограничение доступа на уровне записей (RLS). Оно позволяет в рамках одной роли показывать пользователю не все документы, а только по своей организации или складу. Это важно для холдингов и баз, где в одной информационной базе работают несколько юридических лиц.

Настройка прав в типовой конфигурации через интерфейс

В типовых решениях на базе Библиотеки стандартных подсистем вся настройка выполняется в режиме «1С:Предприятие», без конфигуратора. Понадобятся права администратора.

Откройте раздел «Администрирование → Настройки пользователей и прав → Пользователи». Если нужного пользователя нет в списке, создайте его: укажите имя для входа, полное имя, при необходимости пароль и признак аутентификации операционной системы.

Далее перейдите по ссылке «Группы доступа» или откройте карточку пользователя и найдите вкладку с правами. Включите пользователя в существующую группу (например, «Бухгалтеры») либо создайте новую группу и привяжите к ней профиль.

1. 1
   Откройте «Администрирование → Настройки пользователей и прав → Пользователи»
2. 2
   Создайте пользователя или откройте существующего
3. 3
   Перейдите в «Группы доступа» и включите пользователя в подходящую группу
4. 4
   Проверьте профиль группы: «Администрирование → Профили групп доступа»
5. 5
   Войдите под этим пользователем и убедитесь, что доступны только нужные разделы

Если типовые профили не подходят — например, кассиру нужно видеть отчёты, но не изменять документы, — создайте копию профиля. Откройте «Профили групп доступа», скопируйте близкий по смыслу профиль и отредактируйте состав ролей и разрешённых действий. Прямое редактирование поставляемых профилей нежелательно: при обновлении конфигурации они могут быть перезаписаны.

Настройка ролей через конфигуратор

Если конфигурация не содержит подсистемы управления доступом или нужны нестандартные права, работа ведётся в конфигураторе. Откройте базу в режиме «Конфигуратор» и перейдите в дереве метаданных: «Общие → Роли».

Создайте новую роль или откройте существующую. В правой части окна отображаются объекты конфигурации, в левой — доступные права: чтение, добавление, изменение, удаление, просмотр, интерактивное добавление и другие. Отметьте флажками нужные сочетания. Например, для роли «Только просмотр складских документов» достаточно прав «Чтение» и «Просмотр» на соответствующие документы и регистры.

После настройки роли назначьте её пользователю: «Администрирование → Пользователи», откройте карточку пользователя, на вкладке «Прочие» отметьте нужные роли. Сохраните конфигурацию и обновите конфигурацию базы данных, если структура менялась.

Ограничение доступа на уровне записей (RLS)

RLS применяется, когда одной роли недостаточно: два менеджера с одинаковыми правами должны видеть разные данные. В типовых конфигурациях механизм включается в настройках групп доступа: в карточке группы на вкладке «Ограничения доступа» задаются разрешённые значения — конкретные организации, склады, подразделения, контрагенты.

Например, чтобы сотрудник работал только с одной организацией, создайте для него отдельную группу доступа, в ограничениях укажите нужную организацию и включите в группу только этого пользователя. Все документы, отчёты и списки будут автоматически фильтроваться.

В конфигураторе RLS настраивается сложнее: в свойствах роли для каждого права на чтение или изменение прописывается шаблон ограничения на встроенном языке запросов. Это работа для разработчика — ошибка в шаблоне приводит либо к пустым спискам у пользователей, либо к заметному замедлению запросов.

Проверка корректности настройки

После назначения прав обязательно проверьте результат от имени пользователя. Выйдите из сеанса администратора и войдите под тестовой учётной записью. Убедитесь, что доступны только нужные разделы меню, документы открываются в ожидаемом режиме, а запрещённые действия выдают сообщение о нарушении прав доступа.

В типовых конфигурациях есть удобный инструмент: в карточке пользователя или группы доступа доступен отчёт «Права доступа» (или «Анализ прав доступа»), который показывает сводную таблицу разрешённых объектов. Используйте его, чтобы убедиться, что у пользователя нет лишних ролей — например, случайно назначенных «Полных прав».

Контрольные точки

Как проверить результат

Вход под пользователем

Норма

Открываются только разрешённые разделы, запрещённые действия блокируются с сообщением о правах

Тревожный признак

Доступны лишние документы или, наоборот, пустые списки там, где данные должны быть

Отчёт «Права доступа»

Норма

В сводной таблице только запланированные роли и объекты

Тревожный признак

Присутствуют «Полные права» или роли, которые не назначались

Работа с документами

Норма

Создание и проведение разрешённых документов проходит без ошибок

Тревожный признак

Ошибка «Нарушение прав доступа» при штатной операции

Типичные ошибки при настройке прав

Самая частая ошибка — назначение пользователю роли «Полные права» «на всякий случай», чтобы избежать жалоб на блокировки. Это обесценивает всю систему разграничения: такой пользователь может удалить любые данные и изменить закрытые периоды. Полные права должны быть только у администратора базы.

Вторая ошибка — редактирование типовых профилей вместо создания копий. После обновления конфигурации поставляемые профили перезаписываются, и ваша настройка теряется. Третья — одновременное включение пользователя в несколько групп с противоречащими ограничениями RLS: ограничения объединяются, и результат становится непредсказуемым.

Особые ситуации и ограничения

В файловых базах список пользователей хранится внутри базы, аутентификация выполняется средствами 1С. В клиент-серверном варианте дополнительно действуют права на уровне СУБД: учётная запись, под которой сервер 1С подключается к базе, должна иметь достаточные права в PostgreSQL или MS SQL, иначе пользователи не смогут войти независимо от настроек ролей.

Если пользователь работает через веб-клиент или тонкий клиент по интернету, учитывайте, что часть ограничений интерфейса (скрытие команд) не является защитой: реальную безопасность обеспечивают только роли и RLS, проверяемые на сервере. Скрытие кнопки в меню не мешает выполнить операцию напрямую, если роль её разрешает.

Для внешних пользователей — контрагентов, подключающихся через портал или расширенный интерфейс, — в типовых конфигурациях предусмотрен отдельный механизм «Внешние пользователи» с собственными профилями. Не выдавайте им обычные учётные записи сотрудников.

Удобный приём — завести в базе тестового пользователя с минимальными правами и использовать его как «полигон»: сначала назначать роли ему, проверять работу, и только потом переносить настройку на реальных сотрудников. Так вы не заблокируете работу отдела в середине дня.

Частые вопросы

Пользователь не видит нужный документ, хотя роль назначена. Что проверить?

Сначала убедитесь, что пользователь действительно включён в группу доступа с нужным профилем, а не просто создан в справочнике. Затем проверьте ограничения RLS в группе: возможно, документ отфильтровывается по организации или складу. Также попросите пользователя полностью перезайти в программу — права применяются при входе в сеанс.

Как дать право только на просмотр без возможности изменения?

В конфигураторе в роли оставьте только права «Чтение» и «Просмотр» на нужные объекты, сняв «Добавление», «Изменение» и «Интерактивное добавление». В типовой конфигурации создайте копию профиля и уберите из неё роли, отвечающие за редактирование, оставив роли просмотра.

Чем отличаются «Полные права» от роли «Администратор системы»?

«Полные права» дают доступ ко всем данным и операциям внутри информационной базы. «Администратор системы» дополнительно разрешает административные действия: управление пользователями, настройку кластера, блокировку сеансов. Обычному сотруднику не нужна ни та, ни другая роль.

Можно ли настроить права без конфигуратора?

Да, если конфигурация построена на Библиотеке стандартных подсистем — это все современные типовые решения (Бухгалтерия, Зарплата, Управление торговлей, ERP). Там вся работа ведётся через профили и группы доступа в режиме предприятия. Конфигуратор нужен только для нетиповых ролей и шаблонов RLS.

После обновления конфигурации у пользователей пропали права. Что делать?

Проверьте, не редактировались ли поставляемые профили напрямую — при обновлении они могут быть заменены эталонными. Восстановите настройки, создав собственные копии профилей. Также убедитесь, что при обновлении не добавились новые обязательные роли: их состав описан в сопроводительной документации к релизу.