Как настроить права доступа в 1С:Розница

Настройка прав доступа в 1С:Розница решает две задачи: каждый сотрудник видит только нужные ему документы и операции, а критичные действия — изменение цен, отмена чеков, доступ к отчётам по выручке — остаются у ограниченного круга лиц. Без продуманной схемы прав кассир может случайно или намеренно изменить данные, а владелец бизнеса обнаружит расхождения слишком поздно.

В типовой конфигурации «1С:Розница» используется стандартный механизм Библиотеки стандартных подсистем (БСП): пользователи объединяются в группы доступа, группам назначаются профили, а профиль определяет набор ролей и дополнительных прав. Дополнительно можно ограничить доступ на уровне записей — например, чтобы менеджер видел документы только своего магазина.

Материал ориентирован на администратора или владельца небольшой розничной сети, который настраивает программу самостоятельно. Интерфейс описан для типовой конфигурации; в сильно доработанных решениях названия пунктов могут отличаться, но логика механизма сохраняется.

Как устроен механизм прав в 1С:Розница

Система построена на трёх уровнях. Первый уровень — пользователи: учётные записи сотрудников, под которыми выполняется вход в базу. Второй уровень — группы доступа: объединения пользователей с одинаковыми обязанностями, например «Кассиры магазина №1» или «Бухгалтерия». Третий уровень — профили групп доступа: шаблоны, определяющие, какие роли и разрешённые действия получает группа.

Роль — это набор прав на конкретные объекты конфигурации: документы, справочники, регистры, отчёты. Роли определены разработчиком конфигурации и меняются только в конфигураторе, поэтому в режиме предприятия вы работаете именно с профилями, комбинируя готовые роли. Помимо ролей профиль содержит дополнительные права: например, разрешение на изменение печатных форм, сохранение данных в файл или работу с внешними обработками.

Отдельный механизм — ограничение доступа на уровне записей (RLS). Он позволяет разграничить данные по значениям ключевых измерений: магазин, организация, склад. Так менеджер одной торговой точки не увидит документы и остатки другой. Этот механизм включается отдельно и требует аккуратной настройки, о чём подробно сказано ниже.

Подготовка: заводим пользователей и включаем механизм

Перед настройкой убедитесь, что вы работаете под учётной записью с полными правами — обычно это пользователь с ролью «Администратор системы» и «Полные права». Откройте раздел «Администрирование» → «Настройка прав и пользователей». Здесь находятся все элементы механизма: список пользователей, группы доступа и профили групп доступа.

Проверьте, что в настройках включён пункт «Группы доступа» — без него разграничение через профили недоступно. Если планируете разграничивать данные по магазинам или организациям, сразу включите опцию «Ограничивать доступ на уровне записей». Учтите: включение RLS заметно увеличивает нагрузку на базу при выполнении запросов, поэтому на слабом сервере или большом объёме данных оцените производительность заранее.

Создайте пользователей для всех сотрудников в справочнике «Пользователи». Для каждого укажите имя, физическое лицо из соответствующего справочника, задайте пароль и проверьте, что флажок «Вход в программу разрешён» установлен. Не работайте под общими учётными записями вроде «Кассир» — при инциденте вы не сможете установить, кто конкретно выполнил операцию.

Создаём профили групп доступа под должности

Откройте «Администрирование» → «Настройка прав и пользователей» → «Профили групп доступа». В типовой поставке уже есть предопределённые профили, но для реальной работы удобнее создать собственные копии — при обновлении конфигурации ваши настройки не будут перезаписаны. Нажмите «Создать» и задайте понятное имя, например «Кассир (только РМК)».

В профиле отметьте роли, соответствующие обязанностям должности. Для кассира обычно достаточно базовых ролей: работа с рабочим местом кассира, чтение номенклатуры и цен, добавление чеков ККМ. Роли на изменение цен, доступ к отчётам по продажам всей сети, проведение инвентаризаций и закрытие кассовой смены с изъятием давайте только старшим кассирам и администраторам магазина.

На вкладке дополнительных прав обратите внимание на потенциально опасные разрешения: «Сохранение данных в файл», «Вывод в принтер, файл, буфер обмена», «Интерактивное удаление помеченных объектов». Кассирам эти права обычно не нужны — лишняя возможность выгрузить базу клиентов или удалить документ создаёт риск утечки и потери данных.

Пример матрицы ролей для типовых должностей

Таблица — ориентир, а не готовое решение: состав ролей зависит от того, как у вас организован учёт и какие доработки внесены в конфигурацию. Опирайтесь на принцип минимальных необходимых прав: сотруднику даётся только то, без чего он не может выполнять свою работу.

Назначаем группы доступа пользователям

Создайте группы доступа в разделе «Группы доступа» и свяжите каждую с нужным профилем. Удобная практика — называть группы по связке «должность + место работы»: «Кассиры ТЦ Восток», «Администраторы центрального офиса». Тогда при переводе сотрудника достаточно перенести его из одной группы в другую, не трогая профили.

Добавьте пользователей в группы на вкладке «Участники». Один пользователь может состоять в нескольких группах — в этом случае его права складываются: действует объединение разрешений. Это удобно для временного расширения полномочий, но помните об обратной стороне: снять отдельное право у пользователя нельзя, если оно даётся хотя бы одной из его групп. Для исключений создавайте отдельные более узкие группы.

После назначения прав попросите сотрудника перезайти в программу: изменения применяются при новом сеансе. Если пользователь работает через тонкий клиент или веб-клиент, достаточно завершить сеанс и войти снова.

1. 1
   Сделайте резервную копию базы и проверьте наличие пользователя с полными правами
2. 2
   Включите «Группы доступа» в настройках прав и пользователей
3. 3
   Создайте профили под должности и включите в них нужные роли
4. 4
   Создайте группы доступа и привяжите их к профилям
5. 5
   Добавьте пользователей в соответствующие группы
6. 6
   Войдите под тестовым пользователем и проверьте доступные операции

Ограничиваем доступ по магазинам и организациям

Если в базе ведётся учёт по нескольким магазинам или юридическим лицам, включите ограничение доступа на уровне записей. В настройках прав установите флажок «Ограничивать доступ на уровне записей» и выберите используемые виды доступа — например, «Магазины» и «Организации». После этого в карточке группы доступа появится вкладка «Виды доступа», где задаются разрешённые значения.

Для группы «Кассиры магазина №2» укажите вид доступа «Магазины» со значением конкретной торговой точки. Документы, остатки и отчёты по другим магазинам станут недоступны участникам группы. Проверьте поведение на типичных операциях: открытие списка чеков, формирование товарного отчёта, подбор номенклатуры в документе.

Учтите важное ограничение: RLS работает на уровне запросов к базе и замедляет выполнение тяжёлых отчётов, особенно при большом числе групп и значений доступа. Если после включения ограничений отчёты стали формироваться заметно дольше, пересмотрите состав видов доступа — оставьте только реально необходимые.

Частая ситуация: после включения RLS пользователь «теряет» часть документов, которые раньше видел. Причина почти всегда в том, что в документах не заполнено поле магазина или организации, по которому настроено ограничение. Проверьте заполненность ключевых реквизитов в исторических данных до включения ограничений.

Дополнительные механизмы защиты

Помимо ролей и RLS, в 1С:Розница есть вспомогательные средства разграничения. Для операций в рабочем месте кассира — отмена чека, возврат без чека, скидка сверх порога — используются разрешительные коды и карты допуска: кассир инициирует операцию, а старший подтверждает её своей картой или паролем. Это снижает риск злоупотреблений, не расширяя права кассира в системе.

Включите журнал регистрации и периодически просматривайте события: входы пользователей, изменение документов, отказы в доступе. Журнал не предотвращает нарушение, но позволяет восстановить картину инцидента и найти виновного. Для базы на сервере 1С:Предприятия или в файловом варианте журнал ведётся по умолчанию; полезно лишь настроить удобные отборы при просмотре.

Если сотрудники работают удалённо через веб-клиент или публикацию на веб-сервере, дополнительно позаботьтесь о сложных паролях и, по возможности, о разграничении на уровне сети (VPN, ограничение по IP). Права внутри программы не защищают от перехвата учётных данных.

Проверка результата и типичные ошибки

Главный способ проверки — войти под учётной записью обычного пользователя и пройти его типовой рабочий день: открыть РМК, пробить чек, попробовать открыть запрещённый отчёт, изменить цену. Всё, что должно быть закрыто, должно выдавать сообщение о нарушении прав доступа, а всё необходимое — работать без ошибок.

Проверяйте не только интерактивные действия, но и отчёты: права на кнопку могут быть закрыты, а отчёт с теми же данными — доступен. Пройдитесь по списку отчётов, обработок и разделов меню, видимых пользователю, и сопоставьте с матрицей полномочий.

Контрольные точки

Как проверить результат

Вход под кассиром и открытие РМК

Норма

РМК открывается, чек пробивается, лишние разделы меню скрыты

Тревожный признак

Ошибка прав при открытии РМК или доступны настройки и отчёты

Попытка открыть документ другого магазина

Норма

Документ не отображается в списке

Тревожный признак

Документ виден и открывается — RLS не настроен или не заполнены реквизиты

Формирование отчёта по продажам

Норма

Кассир видит только разрешённые данные или получает отказ

Тревожный признак

Отчёт показывает данные всей сети

Отдельная ошибка — отсутствие регулярного пересмотра прав. При увольнении сотрудника блокируйте его учётную запись в тот же день, при переводе на другую должность — переносите в новую группу, а не добавляйте права поверх старых. Раз в несколько месяцев полезно выгружать состав групп и сверять с фактическим штатом.

Часто задаваемые вопросы

Можно ли дать право на конкретную кнопку или документ, не включая целую роль?

В типовом механизме профилей минимальная единица настройки — роль, а не отдельная команда. Если нужна более тонкая настройка, создают собственную роль в конфигураторе, копируя типовую и снимая лишние разрешения. Это работа для специалиста по конфигурированию, так как изменённые роли нужно сопровождать при обновлениях.

Почему пользователь видит документы, хотя группа настроена с ограничением по магазину?

Наиболее частые причины: пользователь состоит ещё в одной группе без ограничений (права суммируются), вид доступа «Магазины» не включён в настройках RLS, либо в самих документах не заполнено поле магазина. Проверьте состав всех групп пользователя и заполненность реквизитов в проблемных документах.

Как быстро заблокировать доступ уволенному сотруднику?

Откройте карточку пользователя и снимите флажок «Вход в программу разрешён» — этого достаточно, учётную запись удалять не нужно, чтобы сохранить историю действий в журнале регистрации и ссылки автора в документах. При работе через сервер дополнительно завершите активные сеансы этого пользователя в консоли кластера.

Что делать, если случайно снял права у всех, включая администратора?

Если в базе не осталось ни одного пользователя с полными правами, потребуется восстановление: войти в конфигуратор и через режим «Администрирование → Пользователи» назначить роли нужной учётной записи, либо восстановить базу из резервной копии. Именно поэтому перед изменениями прав копия обязательна.

Влияет ли настройка прав на скорость работы программы?

Сами по себе группы и профили влияют незаметно, но ограничение доступа на уровне записей добавляет условия в каждый запрос к базе. На больших объёмах данных и слабом оборудовании отчёты могут формироваться медленнее. Если наблюдается просадка производительности, сократите число видов доступа и проверьте индексацию по используемым измерениям совместно со специалистом.

Нужно ли настраивать права отдельно для веб-клиента и мобильного приложения?

Нет, права действуют на уровне базы данных и одинаковы для любого способа подключения: толстый клиент, тонкий, веб-клиент. Достаточно один раз настроить группы и профили — ограничения будут работать везде. Отдельно проверяется лишь публикация базы на веб-сервере и защита канала связи.