Как назначить права в 1С: роли, профили и группы доступа

Назначение прав в 1С — это определение того, какие объекты базы (документы, справочники, отчёты, регистры) может видеть и изменять конкретный пользователь. Система прав строится на ролях: роль — это набор разрешений на чтение, добавление, изменение и удаление объектов, а пользователю назначается одна или несколько ролей. В типовых конфигурациях на платформе 1С:Предприятие 8.3 поверх ролей работает механизм профилей и групп доступа, который позволяет управлять правами без конфигуратора.

Ошибки в настройке прав приводят к двум типичным проблемам: либо сотрудник не может выполнить свою работу (нет доступа к документам), либо получает лишние возможности — например, видит зарплату коллег или может удалить проведённый документ. Поэтому права назначают по принципу минимально необходимого доступа: даём ровно столько, сколько нужно для должностных задач, и проверяем результат под учётной записью самого пользователя.

Статья описывает работу в типовых конфигурациях (1С:Бухгалтерия 8, 1С:Управление торговлей 11, 1С:ERP, 1С:ЗУП) с библиотекой стандартных подсистем, а также базовый вариант через конфигуратор для самописных решений. Точные названия пунктов меню могут немного отличаться между версиями, но логика везде одинакова.

Как устроена система прав в 1С

Фундамент системы — роли, которые заданы в конфигурации. Каждая роль содержит разрешения на объекты метаданных: чтение, добавление, изменение, удаление, интерактивное добавление и другие действия. Роли определяются разработчиком конфигурации и изменяются только в конфигураторе; администратор в режиме «Предприятие» работает уже с готовыми ролями.

В типовых решениях поверх ролей работает подсистема «Управление доступом»: администратор создаёт профили групп доступа (наборы ролей, собранные по смыслу — «Бухгалтер», «Менеджер по продажам», «Кассир») и включает пользователей в группы доступа, которым присвоен профиль. Это удобно: чтобы дать права новому менеджеру, достаточно добавить его в существующую группу, а не перечислять роли вручную.

Дополнительно действует ограничение доступа на уровне записей (RLS): например, менеджер видит только документы своей организации или своего склада, хотя роль даёт доступ к документу в целом. RLS настраивается в профилях через значения доступа (организации, склады, контрагенты) и работает только если в конфигурации предусмотрены соответствующие шаблоны ограничений.

Подготовка: что сделать до назначения прав

Перед настройкой убедитесь, что у вас есть полные права (роль «Полные права» / «Администратор системы») и что создана резервная копия базы, если планируется менять типовые профили или роли. В файловой базе копия — это сохранённый каталог или выгрузка через конфигуратор, в клиент-серверной — штатный бэкап СУБД.

Затем составьте матрицу доступа: список сотрудников и их рабочих задач. Для каждой задачи определите, какие документы и справочники нужны. Это избавит от ситуации «дали всем полные права, потому что разбираться некогда» — самой частой и самой опасной практики в небольших компаниях.

Создание пользователя и назначение прав в режиме «Предприятие»

В типовой конфигурации откройте раздел «Администрирование» → «Настройки пользователей и прав» → «Пользователи». Создайте нового пользователя: укажите имя (логин), полное имя, при необходимости задайте пароль и признак аутентификации 1С:Предприятия. Если используется доменная авторизация, включите аутентификацию операционной системы и укажите учётную запись Windows.

После создания пользователя перейдите в «Администрирование» → «Настройки пользователей и прав» → «Группы доступа». Выберите подходящую группу (например, «Менеджеры по продажам») и добавьте пользователя в список участников. Права применятся автоматически — перезапуск программы обычно не требуется, но пользователю нужно перезайти в сеанс.

1. 1
   Откройте Администрирование → Настройки пользователей и прав → Пользователи и создайте пользователя с логином и паролем
2. 2
   Перейдите в Группы доступа и найдите группу с подходящим профилем
3. 3
   Добавьте пользователя в участники группы и запишите
4. 4
   Попросите пользователя перезайти в программу
5. 5
   Проверьте доступ: откройте под его учётной записью нужные документы и убедитесь, что лишние разделы недоступны

Если ни одна типовая группа не подходит, создайте свой профиль: «Администрирование» → «Настройки пользователей и прав» → «Профили групп доступа» → «Создать». В профиле отметьте разрешённые роли из списка — он показывает все роли конфигурации с описаниями. Затем создайте группу доступа с этим профилем и добавьте в неё пользователей.

Назначение ролей через конфигуратор

В самописных и сильно доработанных конфигурациях без подсистемы управления доступом роли назначаются напрямую. Откройте конфигуратор, меню «Администрирование» → «Пользователи», выберите пользователя и на вкладке «Прочие» (или «Роли» — зависит от версии платформы) отметьте нужные роли галочками. Сохраните и обновите конфигурацию базы данных, если меняли сами роли.

Для файловой базы список пользователей хранится в самой базе, для клиент-серверной — на сервере 1С, и изменения подхватываются при следующем входе пользователя. Учтите: в конфигураторе видно все роли, включая системные («Администратор», «Интерактивное открытие внешних отчетов и обработок»), и ошибочная отметка может дать пользователю возможность запускать произвольные обработки, что является риском безопасности.

Ограничение доступа на уровне записей (RLS)

Когда пользователи должны видеть только часть данных — свою организацию, склад или подразделение, — настраиваются значения доступа. В карточке группы доступа на вкладке «Ограничение доступа» (или в карточке пользователя, в зависимости от конфигурации) укажите разрешённые значения: конкретные организации, склады, кассы. Типовые профили уже содержат шаблоны RLS, поэтому достаточно заполнить список значений.

RLS заметно влияет на производительность: к каждому запросу добавляются условия отбора. В больших базах с сотнями пользователей включайте ограничения только там, где они реально нужны, и по возможности используйте группы значений доступа вместо длинных списков отдельных элементов.

Проверка результата и типичные ошибки

Обязательная практика — проверка под учётной записью пользователя. Войдите в базу под ним (или используйте функцию «Войти как» при её наличии) и пройдите типовой рабочий сценарий: создать документ, провести его, сформировать отчёт. Одновременно убедитесь, что закрытые разделы действительно недоступны — попытка открыть чужой документ должна завершаться сообщением о нарушении прав доступа.

Контрольные точки

Как проверить результат

Открытие рабочих документов

Норма

Документы открываются, проводятся, отчёты формируются

Тревожный признак

Сообщение «Нарушение прав доступа» при обычной операции

Доступ к закрытым разделам

Норма

Разделы скрыты или выдаётся отказ в доступе

Тревожный признак

Пользователь видит зарплату, кассу или настройки, не относящиеся к его задачам

Вход в программу

Норма

Пользователь входит под своим логином

Тревожный признак

Вход невозможен — проверьте пароль, аутентификацию и наличие хотя бы одной роли

Если пользователь жалуется на отсутствие доступа, сначала выясните, на какой объект и действие срабатывает отказ (текст ошибки это показывает), затем найдите роль, дающую это право, и добавьте её в профиль. Не решайте проблему выдачей полных прав — это временное упрощение с долгосрочными последствиями.

FAQ

Почему пользователь не видит документы, хотя добавлен в группу доступа?

Чаще всего он не перезашёл в программу после изменения прав — действующий сеанс хранит старый набор ролей. Если перезаход не помог, проверьте, действительно ли профиль группы содержит нужные роли, и не срабатывает ли ограничение на уровне записей: документы могут относиться к организации или складу, не входящему в разрешённые значения доступа.

Можно ли дать пользователю право только на просмотр без изменения?

Да. В типовых профилях для многих объектов есть отдельные роли чтения (просмотра) и редактирования. Создайте профиль, включите в него только роли чтения нужных объектов и базовые роли интерфейса, затем назначьте этот профиль группе доступа пользователя.

Чем отличаются «Полные права» от роли «Администратор системы»?

«Полные права» дают доступ ко всем данным и операциям прикладной конфигурации. «Администратор системы» дополнительно позволяет управлять списком пользователей, настройками сервера и выполнять административные действия на уровне платформы. Для обычной работы главного бухгалтера обычно достаточно полных прав без административных.

Как быстро скопировать права от одного сотрудника другому?

Если права назначены через группы доступа, просто добавьте нового пользователя в те же группы, где состоит образцовый сотрудник. Откройте карточку образца, посмотрите список его групп и повторите состав. Ручное копирование ролей в конфигураторе не требуется и нежелательно.

Что делать, если после изменения ролей никто не может войти в базу?

Войдите через конфигуратор с учётной записью, имеющей административные права на уровне кластера или ОС, и исправьте роли пользователей. Если административный доступ утерян полностью, восстановите базу из резервной копии. Именно поэтому любые изменения ролей сначала выполняют на копии и всегда оставляют минимум одну учётную запись с полными правами.

Влияет ли ограничение доступа на уровне записей на скорость работы?

Да, RLS добавляет условия в каждый запрос к ограниченным таблицам, и на больших объёмах данных отчёты и списки могут формироваться заметно медленнее. Чтобы снизить нагрузку, используйте группы значений доступа вместо длинных перечней отдельных элементов и включайте RLS только для тех объектов, где разграничение действительно требуется.