Как ограничить доступ в 1С 8.3 для менеджера

Менеджер по продажам — один из самых «рискованных» пользователей с точки зрения безопасности данных: он работает с клиентской базой, ценами, скидками и заказами, но при этом не должен видеть зарплату, себестоимость, финансовые отчёты и чужие сделки. В 1С 8.3 на платформе «1С:Предприятие» ограничение доступа реализуется на нескольких уровнях: роли, профили групп доступа, ограничение на уровне записей (RLS) и настройка интерфейса.

Конкретный набор инструментов зависит от конфигурации. В типовых решениях на базе Библиотеки стандартных подсистем (Управление торговлей 11, ERP, Комплексная автоматизация, УНФ) используется механизм «Группы доступа» и «Профили групп доступа» — это основной и рекомендуемый путь. Прямое назначение ролей через конфигуратор применяется в самописных или сильно доработанных конфигурациях.

Ниже разобран практический сценарий: нужно выдать менеджеру доступ к продажам и клиентам, скрыть финансовые разделы, ограничить видимость чужих документов и запретить изменение цен. Все действия выполняются под пользователем с правами администратора, желательно сначала на копии базы.

Определите, что именно нужно ограничить

До настройки составьте список разрешённых и запрещённых действий. Типовой набор для менеджера по продажам: чтение и создание заказов клиентов, счетов, коммерческих предложений, актов и реализаций; работа со справочником «Контрагенты» и «Номенклатура»; просмотр цен продажи. Запрещают обычно: финансовые отчёты, кассу и банк, зарплату, себестоимость, изменение цен и скидок сверх лимита, удаление и проведение чужих документов, доступ к настройкам.

Отдельно решите вопрос видимости «чужих» данных: должен ли менеджер видеть только своих клиентов и свои заказы или всю базу продаж. От этого зависит, понадобится ли ограничение на уровне записей (RLS) — самый тонкий и самый «дорогой» по производительности механизм.

Создайте профиль групп доступа для менеджеров

В типовых конфигурациях откройте раздел «Настройки» (или «Администрирование») → «Настройки прав и пользователей» → «Профили групп доступа». Убедитесь, что в настройках включён флажок «Группы доступа» — без него механизм не работает. Создайте новый профиль, например «Менеджер по продажам», или скопируйте типовой профиль «Менеджер по продажам», если он есть в поставке, и скорректируйте его.

Внутри профиля на закладке «Роли» отметьте только необходимые роли. Минимальный набор обычно включает базовые роли подсистем продаж, чтение нормативно-справочной информации, работу с задачами и печать. Не отмечайте роли «Администратор системы», «Полные права», «Добавление изменение банковских счетов» и подобные. На закладке «Действия» (если она есть в вашей версии) можно дополнительно запретить изменение отдельных объектов.

Включите пользователя в группу доступа

Профиль сам по себе ничего не делает — его нужно связать с пользователем. Откройте «Группы доступа», создайте группу «Менеджеры», укажите в ней созданный профиль и добавьте в состав участников нужных пользователей. Пользователь может входить в несколько групп — тогда его права суммируются.

Учётная запись самого пользователя создаётся в разделе «Пользователи»: задайте имя, пароль, аутентификацию и убедитесь, что не назначены индивидуальные роли вне групп доступа. В некоторых конфигурациях роли можно назначить и напрямую в карточке пользователя — это создаёт путаницу, поэтому лучше управлять правами только через группы.

1. 1
   Включите механизм групп доступа в настройках прав и пользователей
2. 2
   Создайте или скопируйте профиль «Менеджер по продажам» и отметьте нужные роли
3. 3
   Создайте группу доступа и привяжите к ней профиль
4. 4
   Добавьте пользователей-менеджеров в состав группы
5. 5
   Войдите под учётной записью менеджера и проверьте доступные разделы и документы

Настройте ограничение на уровне записей (RLS)

RLS скрывает отдельные строки данных: менеджер открывает журнал заказов и видит только свои документы, а не всю базу. В типовых конфигурациях это настраивается через «Значения доступа» в карточке пользователя или группы: например, разрешены только конкретные организации, склады, подразделения или контрагенты из определённой папки.

Типичный сценарий «каждый менеджер видит своих клиентов» реализуется через партнёров/контрагентов: в карточке партнёра указывается ответственный менеджер, а в настройках RLS доступ разрешается только к партнёрам текущего пользователя. В УТ 11 и ERP для этого есть шаблоны ограничений, которые уже встроены в роли — достаточно включить использование групп доступа контрагентов или партнёров.

Учтите: RLS добавляет условия к каждому запросу к базе, поэтому при больших объёмах данных и сложных шаблонах возможно замедление работы. Проверяйте скорость открытия журналов и отчётов после включения ограничений.

Ограничьте работу с ценами, скидками и отчётами

Частая задача — менеджер должен видеть цены продажи, но не менять их и не видеть закупочные цены и себестоимость. Это решается составом ролей: уберите роли добавления/изменения документов «Установка цен номенклатуры» и роли чтения регистров себестоимости. В УТ 11 дополнительно есть разделение по видам цен — можно разрешить только «розничную» или «оптовую» цену, скрыв «закупочную».

Отчёты ограничиваются теми же ролями: если у менеджера нет прав на чтение регистров финансов и себестоимости, соответствующие отчёты либо не откроются, либо покажут пустые данные. Дополнительно можно убрать лишние пункты из интерфейса через настройку командного интерфейса разделов — это не мера безопасности, а косметическое упрощение, но оно снижает количество ошибочных действий.

Запрет изменения чужих и закрытых документов

Чтобы менеджер не правил документы прошлых периодов, используйте «Даты запрета изменения данных» в разделе «Администрирование». Дату можно задать для всех пользователей или индивидуально для группы менеджеров. Запрет редактирования чужих документов настраивается через RLS по автору или ответственному — если конфигурация поддерживает такие шаблоны.

Проверьте результат и зафиксируйте настройки

Завершите настройку контрольной проверкой: войдите в базу под учётной записью менеджера (или используйте запуск от имени другого пользователя на тестовой копии) и пройдите по чек-листу: открываются ли нужные журналы, создаётся ли заказ, видны ли чужие документы, доступны ли финансовые отчёты, работает ли печать. Проверьте также запретные действия: попытку удалить документ, изменить цену, открыть закрытый период.

Задокументируйте состав профиля и групп — при добавлении нового менеджера достаточно будет включить его в группу. Перед обновлением конфигурации проверьте, не изменились ли типовые роли: иногда обновления добавляют новые объекты, к которым у существующих профилей нет доступа, и у пользователей «отваливаются» привычные функции.

Контрольные точки

Как проверить результат

Вход под учётной записью менеджера

Норма

Видны только разделы продаж и клиенты

Тревожный признак

Видны финансы, зарплата или настройки

Журнал заказов

Норма

Только документы своего менеджера или подразделения

Тревожный признак

Видны все заказы компании

Отчёт по себестоимости

Норма

Отчёт недоступен или пуст

Тревожный признак

Видны закупочные цены и маржа

Удаление документа

Норма

Кнопка недоступна или выдаётся отказ

Тревожный признак

Документ удаляется без ограничений

Частые вопросы

Можно ли ограничить доступ без конфигуратора?

Да, в типовых конфигурациях (УТ 11, ERP, УНФ, КА) вся настройка выполняется в режиме «Предприятие» через профили и группы доступа. Конфигуратор нужен только для самописных решений или создания собственных ролей.

Что делать, если после ограничения прав менеджеру не хватает какой-то функции?

Не выдавайте широкие роли «с запасом». Определите, к какому объекту относится недоступное действие (документ, регистр, справочник), найдите узкую роль именно для него и добавьте её в профиль. В типовых конфигурациях названия ролей обычно отражают их назначение.

Меняется ли доступ при обновлении конфигурации?

Созданные вами профили и группы сохраняются, но обновление может добавить новые объекты и роли. После обновления проверьте работу под учётной записью менеджера: иногда новые функции оказываются недоступны, пока соответствующие роли не добавлены в профиль.

Как быстро отозвать доступ у уволенного менеджера?

Откройте карточку пользователя в справочнике «Пользователи» и снимите флажок «Вход в программу разрешён» (или установите «Недействителен»). Дополнительно исключите его из групп доступа. Саму учётную запись удалять не обязательно — она остаётся в истории документов как автор.

Влияет ли ограничение RLS на скорость работы базы?

Да, каждое обращение к данным дополняется условиями отбора. На небольших базах эффект незаметен, но при больших объёмах и сложных шаблонах возможны задержки в журналах и отчётах. Тестируйте на копии и упрощайте шаблоны, где возможно.

Можно ли дать менеджеру доступ только к одному складу или организации?

Да, это стандартный сценарий RLS: в карточке пользователя или группы доступа укажите разрешённые значения — конкретную организацию, склад или подразделение. Документы и остатки по другим значениям будут скрыты.