Администрирование · 10 мин
Как настроить права пользователей в 1С:Фреш
Практическая инструкция по настройке прав доступа в 1С:Фреш: роли пользователей, группы доступа, ограничения на уровне записей и проверка результата.
1С:Фреш — облачный сервис, в котором приложения 1С работают на серверах фирмы «1С», а администратор абонента управляет пользователями через веб-интерфейс менеджера сервиса. Настройка прав здесь делится на два уровня: права в самом сервисе (кто может входить в приложение и администрировать абонемент) и права внутри прикладного решения (какие документы, справочники и отчёты доступны конкретному сотруднику).
Ошибки в разграничении доступа — одна из самых частых причин утечек данных и случайных исправлений в учёте: бухгалтер получает доступ к зарплате всей компании, менеджер по продажам — к финансовым отчётам, а уволенный сотрудник продолжает заходить в базу. Правильная настройка занимает от получаса до нескольких часов, но требует понимания структуры ролей.
Материал ориентирован на типовые конфигурации в 1С:Фреш (Бухгалтерия предприятия, Управление нашей фирмой, Зарплата и управление персоналом). В нетиповых или доработанных решениях названия профилей могут отличаться, но общая логика сохраняется.
Как устроена система прав в 1С:Фреш
Менеджер сервиса — это веб-панель, где владелец абонемента заводит пользователей, привязывает их к приложениям и назначает роли сервиса: «Администратор абонента», «Пользователь» и другие. Эти роли определяют только то, кто может войти в приложение и управлять подпиской, но не то, что человек увидит внутри программы.
Внутри прикладного решения действуют профили групп доступа — наборы ролей конфигурации (например, «Бухгалтер», «Кассир», «Менеджер по продажам»). Пользователь включается в группу доступа, группа связана с профилем, и в сумме это определяет его полномочия. Дополнительно в ряде конфигураций работает ограничение доступа на уровне записей (RLS) — по организациям, складам, контрагентам.
Добавление пользователя и выдача доступа к приложению
Войдите в менеджер сервиса под учётной записью владельца или администратора абонента. Откройте раздел управления пользователями, создайте нового пользователя, укажите логин, имя и пароль (или отправьте приглашение на e-mail, если этот механизм включён). Затем в карточке пользователя отметьте приложения, к которым ему нужен доступ.
Роль сервиса выбирайте минимально необходимую: обычному сотруднику достаточно роли «Пользователь». Роль администратора абонента давайте только тем, кто реально управляет подпиской и учётными записями — такой человек сможет создавать и блокировать пользователей, менять настройки оплаты.
- 1Создайте пользователя в менеджере сервиса и задайте ему логин и пароль
- 2Привяжите пользователя к нужному приложению абонемента
- 3Войдите в приложение под административной учётной записью
- 4В разделе «Администрирование» — «Настройки пользователей и прав» включите учётную запись сотрудника
- 5Назначьте пользователю группу доступа с подходящим профилем
- 6Войдите под учётной записью сотрудника и проверьте доступные разделы
Настройка профилей и групп доступа внутри приложения
В типовых конфигурациях раздел настройки прав находится по пути «Администрирование» → «Настройки пользователей и прав» (в некоторых решениях — «Настройка прав и пользователей»). Здесь есть справочник «Профили групп доступа» с готовыми наборами: «Бухгалтер», «Главный бухгалтер», «Кадровик», «Менеджер по закупкам» и т.д. Состав ролей каждого профиля можно посмотреть, открыв его карточку.
Стандартная практика — не создавать пользователю индивидуальный набор ролей, а включить его в группу доступа, связанную с типовым профилем. Так проще поддерживать систему: при изменении требований вы правите профиль один раз, и изменения применяются ко всем участникам группы. Индивидуальные добавления ролей делайте только тогда, когда типовой профиль не покрывает задачу.
Если типовых профилей не хватает, скопируйте ближайший по составу профиль и откорректируйте роли в копии. Не редактируйте поставляемые профили напрямую — при обновлениях конфигурации с ними проще работать в исходном виде, а свои изменения безопаснее держать в отдельных профилях.
Ограничение доступа на уровне записей (по организациям и объектам)
Когда в одной информационной базе работают несколько организаций или подразделений, профилей ролей недостаточно: бухгалтер филиала не должен видеть документы головной компании. Для этого в типовых конфигурациях предусмотрено ограничение доступа на уровне записей. Включается оно в настройках прав (флажок «Ограничивать доступ на уровне записей»), после чего в группах доступа появляется возможность указать разрешённые значения — конкретные организации, склады, кассы.
Учтите, что включение RLS заметно усложняет проверку прав при каждом обращении к данным и в отдельных случаях влияет на скорость формирования отчётов. Включайте этот режим только при реальной необходимости. После включения обязательно заполните разрешённые значения во всех группах доступа — иначе пользователи могут потерять доступ к данным, которые видели раньше.
Типовые сценарии настройки
Бухгалтер без доступа к зарплате
Частая задача: бухгалтер ведёт учёт, но начисления и ведомости по зарплате должен видеть только расчётчик. Назначьте такому сотруднику профиль «Бухгалтер» без включения его в группы с профилями «Расчётчик зарплаты» или «Кадровик». Проверьте, что в составе выбранного профиля нет ролей, дающих доступ к документам начислений, — состав ролей виден в карточке профиля.
Менеджер по продажам только со своими документами
Для менеджеров используйте профиль «Менеджер по продажам» (в УНФ и аналогичных решениях) и при необходимости включите ограничение по ответственным или подразделениям на уровне записей. Дополнительно проверьте доступ к отчётам: часть аналитических отчётов показывает обороты по всей компании, и к ним может понадобиться отдельное ограничение.
Руководитель с доступом «только чтение»
Если руководителю нужны отчёты и просмотр документов без права изменения, создайте копию подходящего профиля и уберите в ней роли на добавление и изменение, оставив чтение и просмотр. Это надёжнее, чем выдавать полные права «на всякий случай»: случайное изменение проведённого документа искажает учётные данные.
Способы выдачи прав
Подходит большинству сотрудников; быстро назначается, легко поддерживается. Ограничение: не всегда точно совпадает с обязанностями конкретного человека.
Подходит при нестандартных задачах, например «только чтение» или расширенные права. Требует аккуратного контроля при обновлениях конфигурации.
Максимальная гибкость, но сложно поддерживать: при увольнении или смене должности легко забыть, что именно было выдано. Использовать как исключение.
Проверка результата и типичные ошибки
Единственный надёжный способ проверить настройку — войти в приложение под учётной записью самого сотрудника (в менеджере сервиса администратор может временно задать пароль) и пройтись по рабочим разделам. Проверьте три вещи: нужные документы открываются и создаются, лишние разделы не видны, отчёты формируются без ошибок «Нарушение прав доступа».
Частая ошибка — выдача полных прав «временно» без обратного отзыва. Вторая типичная ситуация: пользователь состоит в нескольких группах доступа, и права суммируются — ограничительная группа не отменяет разрешения из другой группы. Третья ошибка — забыть отключить доступ уволенного сотрудника в менеджере сервиса: блокировка учётной записи внутри приложения не запрещает вход в сам сервис.
Как проверить результат
Пользователь входит и видит только свои рабочие разделы
Появляется сообщение о недостаточности прав или видны чужие разделы (зарплата, казначейство)
Документ сохраняется и проводится без ошибок доступа
Ошибка «Нарушение прав доступа» при записи или проведении
Отчёт строится и показывает только разрешённые данные
Отчёт пустой, содержит данные всех организаций или не формируется
FAQ
Можно ли настроить права в 1С:Фреш без программиста?
Да, для типовых конфигураций. Профили групп доступа и группы доступа настраиваются в пользовательском режиме через раздел «Администрирование», без изменения конфигурации. Программист понадобится только для нестандартных ролей или доработки ограничений, которых нет в типовой поставке.
Почему пользователь видит больше данных, чем указано в его профиле?
Права в 1С суммируются по всем группам доступа, в которые входит пользователь. Откройте его карточку, проверьте список групп и исключите лишние. Также убедитесь, что ему не назначен профиль администратора — он открывает доступ ко всем объектам независимо от остальных настроек.
Как быстро заблокировать доступ уволенному сотруднику?
Действуйте в два шага: сначала в менеджере сервиса отключите пользователя от приложений или заблокируйте его учётную запись, затем внутри приложения снимите отметку активности с его пользователя в разделе настройки прав. Достаточно первого шага, чтобы человек не смог войти, но второй сохраняет порядок в списках.
Влияет ли ограничение на уровне записей на скорость работы?
Да, проверка прав при каждом обращении к данным добавляет нагрузку, особенно заметную в тяжёлых отчётах. В облачном сервисе это обычно менее критично, чем на слабом локальном сервере, но включать RLS стоит только при реальной потребности в разделении данных по организациям или объектам.
Можно ли выгрузить данные из 1С:Фреш перед изменением прав?
Да, в менеджере сервиса доступна выгрузка данных приложения в файл. Перед массовым изменением профилей или включением ограничений на уровне записей рекомендуется сделать такую выгрузку — это позволит восстановить данные, если настройка приведёт к непредвиденным последствиям.
Что важно запомнить
Права в 1С:Фреш настраиваются в два этапа: доступ к приложениям — в менеджере сервиса, полномочия внутри программы — через профили и группы доступа. Используйте типовые профили, включайте ограничения на уровне записей только при необходимости, всегда проверяйте результат входом под учётной записью сотрудника и своевременно блокируйте доступ уволенным.