Администрирование · 11 мин
Как ограничить доступ к контрагентам в 1С
Практическая инструкция по ограничению доступа к справочнику контрагентов в 1С: роли, группы доступа, RLS, профили пользователей и проверка результата.
Справочник контрагентов содержит коммерчески чувствительную информацию: цены поставщиков, условия договоров, реквизиты клиентов. Если все пользователи видят и редактируют его целиком, возрастает риск утечки базы клиентов, случайной порчи данных и конфликтов между менеджерами. В типовых конфигурациях 1С (Управление торговлей, ERP, Комплексная автоматизация, Бухгалтерия) ограничение доступа реализуется штатными средствами — без доработки конфигурации.
Механизм разграничения строится на трёх уровнях: роли и профили групп доступа определяют, какие объекты вообще доступны пользователю; группы доступа контрагентов делят сам справочник на участки; механизм RLS (ограничение доступа на уровне записей) фильтрует данные при выполнении запросов. Ниже разобрана настройка каждого уровня, проверка результата и типичные ошибки.
Как устроено разграничение прав в типовых конфигурациях
Прежде чем настраивать, важно понимать логику механизма. В типовых решениях на Библиотеке стандартных подсистем (БСП) права задаются не отдельным пользователям напрямую, а через профили групп доступа. Профиль — это набор ролей и разрешённых значений объектов (организаций, складов, контрагентов). Пользователь включается в группу доступа, группа связана с профилем.
Ограничение на уровне записей (RLS) работает так: при обращении к справочнику «Контрагенты» система автоматически добавляет в запрос условие отбора по разрешённым группам доступа. Пользователь физически не получает записи вне своего списка — они не отображаются ни в списках, ни в отчётах, ни в подборе в документы.
Важное следствие: если контрагент не входит ни в одну группу доступа или входит в группу, недоступную пользователю, тот его просто не увидит. Это одновременно и инструмент защиты, и источник типовой проблемы «пропавших» контрагентов после включения настройки.
Подготовка: включение механизма групп доступа
По умолчанию во многих конфигурациях ограничение на уровне записей для контрагентов не задействовано, чтобы не замедлять работу. Первый шаг — активировать механизм. Путь зависит от конфигурации, но общая логика одинакова: раздел администрирования, настройки прав и пользователей.
В УТ 11, ERP и КА откройте «НСИ и администрирование» → «Настройка НСИ и разделов» → «Администрирование» → «Пользователи и права». Установите флажок «Группы доступа контрагентов» (или «Ограничивать доступ на уровне записей» с отметкой по контрагентам). В Бухгалтерии предприятия 3.0 механизм групп доступа контрагентов в типовой поставке отсутствует — там ограничение реализуется иначе, об этом ниже.
После включения флажка в карточке контрагента появится поле «Группа доступа», а в разделе настроек — одноимённый справочник. Если поле не появилось, проверьте, что сеанс перезапущен и у вас есть права администратора.
Создание групп доступа контрагентов
Группы доступа — это логические участки справочника, например: «Клиенты отдела розницы», «Поставщики», «VIP-клиенты», «Контрагенты филиала». Создаются они в справочнике «Группы доступа контрагентов» (раздел «НСИ» или «Настройки и справочники», в зависимости от конфигурации).
Структуру групп проектируйте до распределения контрагентов, исходя из реальной оргструктуры: кто должен видеть чью базу. Оптимально — не более нескольких десятков групп: чем сложнее схема, тем труднее её сопровождать и тем выше риск ошибочных назначений.
- 1Создайте группы доступа контрагентов по структуре отделов или направлений
- 2Распределите существующих контрагентов по группам (вручную или групповой обработкой)
- 3Создайте или доработайте профили групп доступа пользователей
- 4Укажите в профилях разрешённые значения групп доступа контрагентов
- 5Проверьте результат под учётной записью рядового пользователя
Для массового распределения существующих контрагентов по группам используйте штатную обработку «Групповое изменение реквизитов» (в УТ/ERP: «НСИ и администрирование» → «Обслуживание»). Отберите контрагентов по нужному условию (ответственный менеджер, папка, регион) и установите значение реквизита «Группа доступа».
Настройка профилей и назначение прав пользователям
Профили групп доступа находятся в разделе «Настройки пользователей и прав». Типовые поставки содержат готовые профили («Менеджер по продажам», «Закупщик» и т.п.), которые можно скопировать и адаптировать. Внутри профиля на закладке с разрешёнными значениями укажите, какие группы доступа контрагентов видит этот профиль.
Два режима задания значений: «Все разрешены» (ограничение не действует) и «Только указанные» с явным списком групп. Для разграничения нужен второй режим. Пользователь, включённый в группу доступа с таким профилем, увидит только контрагентов из перечисленных групп.
Если менеджер должен видеть клиентов нескольких групп, просто перечислите их все в его профиле. Если сотруднику нужны разные наборы прав по разным направлениям, можно включить его в несколько групп доступа — права суммируются по принципу «разрешено, если разрешено хотя бы в одной группе».
Автоматическое заполнение группы для новых контрагентов
Чтобы новые контрагенты не оказывались «ничьими», настройте значение группы доступа по умолчанию. В ряде конфигураций группа может наследоваться от ответственного менеджера или заполняться по правилам. Как минимум договоритесь о регламенте: менеджер при создании карточки обязан указать группу доступа, а контроль выполняется регламентным отчётом по контрагентам с пустой группой.
Ограничения в 1С:Бухгалтерии и базовых версиях
В 1С:Бухгалтерии 3.0 штатных групп доступа контрагентов нет. Доступные рычаги: разграничение по организациям (если ведётся несколько фирм), ограничение прав на изменение справочника (роль «Чтение контрагентов» без права добавления и редактирования) и запрет доступа к отдельным разделам через профили.
Если требуется именно разделение клиентской базы между менеджерами в Бухгалтерии, типовыми средствами это не решается — потребуется доработка конфигурации (добавление RLS-условий в роли) или переход на конфигурацию с полноценным механизмом групп доступа. Доработка должна выполняться с сохранением возможности обновления, иначе каждое обновление будет конфликтовать с изменёнными ролями.
Способы ограничения доступа
Типовой механизм УТ, ERP, КА. Гибко делит справочник между пользователями. Ограничение: снижает производительность на больших объёмах, отсутствует в Бухгалтерии.
Подходит, когда нужно запретить изменение справочника целиком (только чтение). Не разделяет записи между пользователями.
Для нестандартных требований и Бухгалтерии. Требует разработчика и усложняет обновления.
Проверка результата и контрольные точки
Настройку нельзя считать завершённой без проверки под реальным пользователем. Зайдите в базу под учётной записью менеджера и пройдите по ключевым сценариям: список контрагентов, подбор в документ продажи, отчёт по взаиморасчётам, поиск по наименованию и ИНН.
Как проверить результат
Видны только контрагенты разрешённых групп
Видны все записи или, наоборот, список пуст
В подборе и быстром поиске только разрешённые контрагенты
Документ можно провести с чужим контрагентом
Обороты только по доступным контрагентам
В отчёте видна чужая база
Создаются с корректной группой доступа
Группа пустая, контрагент «пропадает» у коллег
Отдельно проверьте обратную ситуацию: пользователь не должен потерять контрагентов, с которыми уже работает. Если после включения RLS у менеджера «исчезли» документы или отчёты показывают неполные данные, наиболее вероятная причина — контрагенты без заполненной группы доступа либо не включённые в его профиль группы.
Типичные ошибки и риски
Отдельный риск — внешние обработки и отчёты, подключаемые из файлов. Они могут выполняться с привилегированным режимом и получать данные в обход ограничений. Контролируйте, какие обработки разрешены к использованию, и не давайте рядовым пользователям право открытия произвольных внешних файлов.
Помните и о том, что RLS — защита от штатного доступа через интерфейс, а не от администратора СУБД или пользователя с доступом к консоли запросов в привилегированном режиме. Полноценная защита от утечек включает также ограничение выгрузок, контроль копий базы и регламент работы с резервными копиями.
Что важно запомнить
В типовых УТ, ERP и КА доступ к контрагентам разграничивается группами доступа и RLS: включите механизм, распределите контрагентов по группам, настройте профили и проверьте работу под ограниченным пользователем. В Бухгалтерии штатного деления справочника нет — только ограничение прав на изменение или доработка.
Частые вопросы
Пользователь не видит контрагента, хотя тот есть в базе. Что проверить?
Сначала посмотрите, какая группа доступа указана в карточке контрагента, и входит ли эта группа в профиль пользователя. Затем убедитесь, что у пользователя нет устаревшего кэша настроек — перезапустите сеанс. Если группа в карточке пустая, заполните её: контрагент без группы при включённом RLS виден не всем.
Можно ли дать менеджеру доступ только к «своим» контрагентам по ответственному?
Штатно группы доступа не привязаны к реквизиту «Ответственный» автоматически. Практическое решение — создать персональную группу доступа для менеджера и заполнять её обработкой по условию «ответственный = данный менеджер», либо доработать подписку на событие записи контрагента.
Замедлится ли работа базы после включения RLS?
Да, запросы к контрагентам станут тяжелее, поскольку к ним добавляются условия проверки доступа. На базах небольшого и среднего объёма разница обычно незаметна. При сотнях тысяч контрагентов и десятках групп доступа протестируйте типовые операции на копии базы до включения настройки в рабочей среде.
Как ограничить доступ к контрагентам в базовой версии 1С?
Базовые версии поддерживают только одного пользователя и упрощённую модель прав, поэтому разграничение между пользователями там неприменимо. Если требуется делить доступ между сотрудниками, нужна версия ПРОФ или КОРП соответствующей конфигурации.
Можно ли скрыть только банковские реквизиты и договоры, оставив контрагентов видимыми?
Частично. Доступ к банковским счетам и договорам регулируется отдельными ролями: можно оставить чтение справочника контрагентов, но убрать права на связанные объекты. Полностью скрыть отдельные поля карточки штатными средствами нельзя — для этого потребуется доработка интерфейса или прав.
Что будет с документами, если контрагент стал недоступен пользователю?
Документы останутся в базе, но в списках и отчётах пользователь увидит их только при условии, что ограничение не распространяется на сами документы. В типовых конфигурациях доступ к документам часто проверяется по организации и контрагенту, поэтому чужие документы также скроются. Проведение старых документов с недоступным контрагентом может завершаться ошибкой проверки прав.