Администрирование · 11 мин
Как ограничить доступ пользователя в 1С
Как ограничить доступ пользователя в 1С: роли, профили групп доступа, запрет на конфигуратор и удаление данных. Пошаговая настройка прав в типовых конфигурациях.
Ограничение доступа пользователя в 1С решается на трёх уровнях: аутентификация (вход в базу), права на объекты (документы, справочники, отчёты) и запрет опасных действий (изменение и удаление данных, запуск конфигуратора). В типовых конфигурациях — «Управление торговлей», «Бухгалтерия предприятия», «Зарплата и управление персоналом» — основной инструмент это профили групп доступа, а не ручная расстановка ролей.
Подход зависит от того, что именно требуется: полностью закрыть пользователю вход в базу, скрыть отдельные разделы, запретить редактирование проведённых документов или ограничить видимость данных по организациям и складам. Каждая из этих задач настраивается своим механизмом, и смешивать их не нужно.
Перед любыми изменениями прав сделайте резервную копию базы или хотя бы убедитесь, что у вас есть второй пользователь с полными правами. Самая частая аварийная ситуация — администратор ограничил сам себя и потерял доступ к настройкам.
Определите, что именно нужно ограничить
Прежде чем лезть в настройки, сформулируйте задачу точно. «Ограничить доступ» может означать пять разных сценариев, и у каждого свой инструмент.
Полная блокировка входа — сотрудник уволен или переведён, база ему больше не нужна. Ограничение по разделам — менеджер не должен видеть зарплату и банковские выписки. Только просмотр — руководитель смотрит отчёты, но не может править документы. Ограничение по данным — менеджер видит только свою организацию или свой склад. Запрет опасных действий — нельзя удалять документы, открывать конфигуратор, выгружать данные.
Как выбрать действие
Полностью закрыть пользователю вход в базу
Это самый простой и самый безопасный способ ограничения — пользователь остаётся в справочнике, его документы и история не трогаются, но войти он не может. Откройте раздел «НСИ и администрирование» (в некоторых конфигурациях — «Администрирование») → «Настройка прав и пользователей» → «Пользователи».
Найдите нужного сотрудника, откройте его карточку и снимите флажок «Вход в программу разрешён». Запишите изменения. С этого момента при попытке входа пользователь получит отказ в авторизации. Если база файловая и используется список пользователей информационной базы (Администрирование → Пользователи в конфигураторе), дополнительно проверьте, что учётная запись не дублируется там.
Удалять пользователя из справочника не рекомендуется: в проведённых документах останутся ссылки на него, и удаление может нарушить отчётность и аналитику по авторам документов. Блокировка входа решает задачу без этих побочных эффектов.
Ограничить доступ к разделам через профили групп доступа
Профили групп доступа — это готовые наборы ролей, которые назначаются пользователю целиком. Механизм включён по умолчанию в большинстве типовых конфигураций на базе БСП (Библиотека стандартных подсистем). Проверьте: НСИ и администрирование → Настройка прав и пользователей → флажок «Группы доступа» должен быть установлен.
Откройте «Профили групп доступа». Здесь уже есть типовые профили: «Менеджер по продажам», «Бухгалтер», «Кладовщик» и другие. Не редактируйте типовые профили напрямую — при обновлении конфигурации изменения могут затереться. Скопируйте подходящий профиль и доработайте копию.
В карточке профиля на закладке «Роли» снимите флажки с ролей, открывающих доступ к ненужным разделам. Например, чтобы менеджер не видел зарплату, уберите роли, связанные с расчётом зарплаты и кадровыми документами. Затем откройте карточку пользователя, перейдите по ссылке «Права доступа» и включите его в нужную группу доступа с этим профилем.
- 1Включите механизм: НСИ и администрирование → Настройка прав и пользователей → флажок «Группы доступа»
- 2Скопируйте типовой профиль, близкий к задаче, и переименуйте копию
- 3В копии снимите флажки с лишних ролей на закладке «Роли»
- 4Создайте или откройте группу доступа, привяжите к ней профиль
- 5В карточке пользователя через «Права доступа» добавьте его в эту группу
- 6Попросите пользователя перезайти в базу и проверьте результат под его учётной записью
Настроить режим «только просмотр»
Задача «смотреть можно, менять нельзя» решается составом ролей в профиле. В 1С права на объект делятся на чтение, добавление, изменение и удаление. Для режима просмотра профиль должен содержать роли, дающие чтение нужных объектов, и не содержать ролей на их добавление и изменение.
Практический приём: скопируйте профиль нужного специалиста и в копии уберите роли с «добавлением» и «изменением» ключевых документов, оставив базовые роли чтения и роли подсистем (без них разделы просто не отобразятся в интерфейсе). Проверяйте результат под учётной записью самого пользователя — у администратора с полными правами ограничения визуально не видны.
Дополнительно включите в профиле запрет изменения данных прошлых периодов, если конфигурация поддерживает даты запрета изменения данных. Это отдельный механизм: НСИ и администрирование → Поддержка и обслуживание → Даты запрета изменения данных. Он защищает закрытые периоды даже от пользователей с правами на редактирование.
Ограничить видимость данных по организациям и складам
Когда пользователь должен работать в тех же документах, но видеть только «свои» данные, используется ограничение доступа на уровне записей (RLS). В карточке группы доступа есть закладка «Ограничение доступа», где для видов доступа «Организации», «Склады», «Кассы», «Подразделения» задаются разрешённые значения.
Например, чтобы менеджер московского склада не видел документы других складов, создайте отдельную группу доступа, в ограничениях укажите конкретный склад и включите в группу только этого менеджера. Список разрешённых значений задаётся либо явным перечнем, либо через группы доступа значений.
Запретить опасные действия: конфигуратор, удаление, выгрузка
Доступ к конфигуратору определяется правами «Администрирование» и «Обновление конфигурации базы данных», которые назначаются в списке пользователей информационной базы (Конфигуратор → Администрирование → Пользователи). У обычных пользователей эти флажки должны быть сняты. В клиент-серверном варианте дополнительно защитите базу паролем администратора кластера и не выдавайте его пользователям.
Удаление объектов контролируется ролями: уберите из профиля роли на удаление и интерактивное удаление помеченных объектов. Даже при наличии прав пользователю можно закрыть возможность непосредственного удаления, оставив только установку пометки — это стандартная практика, позволяющая восстановить ошибочно удалённое.
Выгрузка данных (отчётность, обмены, сохранение табличных документов) ограничивается соответствующими ролями вывода и ролями подсистем обмена. Полностью запретить копирование информации технически невозможно — пользователь с правом чтения всегда может сфотографировать экран, поэтому критичные данные лучше вообще не показывать лишним сотрудникам.
Проверка результата и типичные проблемы
Единственный надёжный способ проверки — войти в базу под учётной записью ограниченного пользователя. Проверьте три вещи: ненужные разделы исчезли из меню, запрещённые документы не открываются на редактирование, разрешённые операции работают без ошибок «Нарушение прав доступа».
Если после настройки у пользователя пропал нужный раздел — скорее всего, вы убрали роль подсистемы, отвечающую за отображение раздела, а не только роль на данные. Верните роль подсистемы, оставив ограничения на объекты. Если ошибка «Нарушение прав доступа» возникает при проведении документа — документ при проведении пишет данные в регистры, на которые у пользователя нет прав; добавьте роли на соответствующие регистры.
Как проверить результат
Пользователь входит и видит только разрешённые разделы
Вход запрещён у всех или видны лишние разделы
Объект недоступен или открывается только на просмотр
Документ можно редактировать и проводить
Документ проводится без сообщений о нарушении прав
Ошибка «Нарушение прав доступа» при записи в регистры
В файловых базах помните про автономный список пользователей в конфигураторе: изменения в справочнике «Пользователи» и в списке пользователей ИБ должны быть согласованы. В клиент-серверных базах после изменения прав пользователю иногда нужно перезайти в сеанс, чтобы права применились.
Что важно запомнить
Доступ в 1С ограничивают через профили групп доступа, а не ручной раздачей ролей. Вход блокируют флажком «Вход в программу разрешён», данные разграничивают через RLS, а результат всегда проверяют под учётной записью самого пользователя, сохраняя резервный аккаунт администратора.
Частые вопросы
Можно ли ограничить доступ без включения групп доступа?
Технически да — роли можно назначать напрямую в списке пользователей информационной базы через конфигуратор. Но в типовых конфигурациях это приводит к конфликтам с механизмом групп доступа и усложняет сопровождение. Рекомендуемый путь — включить группы доступа и работать через профили.
Почему пользователь всё равно видит запрещённый раздел?
Чаще всего у него осталась роль подсистемы, отвечающая за отображение раздела, либо он входит в несколько групп доступа, и одна из них даёт лишние права. Права в 1С суммируются: достаточно одной разрешающей роли. Проверьте все группы, в которые включён пользователь.
Как временно отключить пользователя, не меняя права?
Снимите флажок «Вход в программу разрешён» в карточке пользователя. Все настройки прав сохранятся, и при возвращении сотрудника достаточно вернуть флажок. Дополнительно можно завершить его активные сеансы через консоль кластера или обработку «Активные пользователи».
Что делать, если администратор потерял доступ после настройки прав?
В файловой базе можно сбросить список пользователей, удалив или переименовав файл users.usr в каталоге базы (предварительно сделайте копию) — после этого вход выполняется без пароля и можно пересоздать администратора. В клиент-серверной базе потребуется доступ администратора кластера или СУБД. Чтобы не попадать в такую ситуацию, всегда держите второй аккаунт с полными правами.
Можно ли ограничить доступ к конкретному документу, а не к виду документов?
Штатными ролями — нет, роли действуют на вид объекта целиком. Точечное ограничение реализуется через RLS по значениям доступа (организация, склад, контрагент из группы) или доработкой конфигурации. Если нужно закрыть один конкретный документ, проще организационно: запретить его изменение датой запрета или регламентом.
Влияет ли ограничение прав на работу обменов и фоновых заданий?
Да. Регламентные задания и обмены выполняются от имени указанного пользователя, и если у него убрать нужные роли, обмен начнёт падать с ошибками прав. Для интеграций заводите отдельного служебного пользователя с минимально необходимым набором прав и не трогайте его при пересмотре прав сотрудников.