Администрирование · 10 мин
Как ограничить доступ пользователю в 1С
Как ограничить доступ пользователю в 1С: роли, профили групп доступа, RLS, запрет изменения данных. Пошаговая настройка прав в типовых конфигурациях.
Ограничение доступа пользователя в 1С — типовая задача администратора: бухгалтеру не нужны зарплатные документы, менеджеру — закрытие месяца, а кладовщику — банковские выписки. В типовых конфигурациях на управляемых формах (Бухгалтерия 3.0, ЗУП 3.1, Управление торговлей 11, ERP) права настраиваются через профили групп доступа, а в старых и самописных конфигурациях — через роли в конфигураторе.
Механизм прав в 1С устроен иерархически: роль определяет, какие объекты (документы, справочники, отчёты) и действия (чтение, добавление, изменение, проведение) доступны пользователю. Профили групп доступа — это «обёртка» над ролями, позволяющая управлять правами из пользовательского режима без входа в конфигуратор. Дополнительно работает механизм RLS (ограничение доступа на уровне записей), который фильтрует данные: пользователь видит не все контрагенты, а только «своих».
Перед любыми изменениями прав сделайте резервную копию информационной базы и проверяйте результат под тестовой учётной записью. Ошибка в настройке может либо заблокировать сотруднику работу, либо, что хуже, открыть доступ к конфиденциальным данным — зарплате, расчётным счетам, персональным данным.
Как устроены права доступа в 1С
Платформа 1С использует ролевую модель. Каждая роль — это набор разрешений на объекты конфигурации: чтение, добавление, изменение, удаление, проведение документов, использование отчётов и обработок. У одного пользователя может быть несколько ролей, и права при этом суммируются: если хотя бы одна роль разрешает действие, оно доступно.
Из этого следует важное правило: убрать доступ, просто сняв одну роль, не всегда получается — то же право может давать другая назначенная роль. Поэтому ограничение доступа начинают с анализа того, какие роли уже выданы пользователю, а не с добавления новых «запрещающих» настроек.
Кроме ролей и RLS существуют функциональные опции и настройки интерфейса, которые скрывают разделы меню. Это не защита: скрытый раздел не означает запрещённый, при наличии прав объект доступен через поиск или прямую команду. Реальное ограничение задаётся только правами.
Ограничение доступа через профили групп доступа
В типовых конфигурациях на БСП (Библиотека стандартных подсистем) основной инструмент — профили групп доступа. Откройте раздел «Администрирование» → «Настройки пользователей и прав» → «Профили групп доступа». Здесь собраны готовые профили: «Бухгалтер», «Менеджер по продажам», «Кадровик» и другие, каждый из которых включает набор ролей.
Чтобы ограничить пользователя, создайте новый профиль копированием типового и снимите лишние разрешения. Например, скопируйте профиль «Менеджер по продажам» и снимите отметки с ролей, дающих доступ к ценам закупки или отчётам по валовой прибыли. Затем перейдите в «Группы доступа», создайте группу с этим профилем и добавьте в неё пользователя.
- 1Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа
- 2Скопируйте ближайший типовой профиль и снимите лишние роли и разрешения
- 3Создайте группу доступа и укажите в ней новый профиль
- 4Добавьте пользователя в группу доступа, исключите его из лишних групп
- 5Войдите в базу под этим пользователем и проверьте доступность разделов
Обратите внимание: пользователь получает объединение прав всех групп доступа, в которые он включён. Если сотрудник состоит в группе «Администраторы» и в ограниченной группе, ограничения не сработают — административные права перекроют всё. Сначала исключите пользователя из широких групп.
Тонкая настройка разрешений внутри профиля
В карточке профиля есть закладка «Разрешения (роли)» и дополнительные настройки: разрешённые виды доступа, значения доступа. Через них задаётся, например, что менеджер работает только с определёнными организациями или складами. Это тот самый уровень RLS: платформа будет фильтрует записи автоматически, без доработки конфигурации.
Ограничение прав через конфигуратор
Если конфигурация не использует БСП или требуется нестандартное ограничение, права настраивают в конфигураторе. Откройте «Администрирование» → «Пользователи», выберите пользователя и на закладке «Прочие» укажите доступные роли. Сами роли редактируются в дереве конфигурации: Общие → Роли.
В редакторе роли для каждого объекта выставляются права: чтение, добавление, изменение, удаление, интерактивные команды. Чтобы пользователь мог смотреть документы, но не менять их, оставьте «Чтение» и «Просмотр», снимите «Добавление», «Изменение», «Интерактивное добавление» и права на проведение.
Для самописных ограничений в роли можно задать шаблон RLS на закладке «Шаблоны ограничений». Это уже задача разработчика: ошибка в шаблоне приводит либо к пустым спискам у пользователей, либо к заметному замедлению запросов, потому что условие добавляется к каждому обращению к таблице.
Ограничение видимости данных по организациям и подразделениям
Частая задача — не запретить документы целиком, а ограничить их круг: филиал видит только свою организацию, менеджер — только своих контрагентов. В типовых решениях это делается через виды доступа. В карточке профиля на закладке «Виды доступа» включите нужный вид («Организации», «Склады», «Группы контрагентов»), а в карточке пользователя или группы задайте конкретные разрешённые значения.
После включения вида доступа система начнёт фильтровать списки и подборы. Учтите обратную сторону: RLS замедляет выполнение запросов, особенно на больших базах и при сложных условиях. Если после включения ограничений списки стали открываться заметно дольше, проверьте количество включённых видов доступа — включайте только реально необходимые.
Способы ограничения доступа
Подходит для типовых конфигураций; настраивается пользователем-администратором без конфигуратора; покрывает большинство сценариев
Подходит для самописных и старых конфигураций; требует навыков разработчика и осторожности при обновлениях
Подходит, когда нужно ограничить не объекты, а данные: организации, склады, контрагенты; цена — нагрузка на запросы
Только упрощает меню, не является защитой; как единственная мера не подходит
Запрет изменения данных закрытых периодов
Отдельный вид ограничения — защита прошлых периодов. Даже если пользователю нужно право проведения документов, ему обычно нельзя позволять менять документы прошлого квартала после сдачи отчётности. Для этого служит дата запрета редактирования: «Администрирование» → «Настройки пользователей и прав» → «Даты запрета изменения данных».
Дату можно задать общую, по организациям, по разделам учёта и индивидуально для пользователей или групп. Например, общая дата — конец прошлого квартала, а для главного бухгалтера установлено исключение. После установки даты попытка провести или изменить документ раньше неё завершится отказом с сообщением о запрете.
Проверка результата и типичные ошибки
Единственный надёжный способ проверить ограничение — войти в базу под учётной записью самого пользователя. Пройдитесь по разделам, которые должны быть закрыты, попробуйте создать и провести запрещённый документ, открыть закрытый отчёт. Проверяйте и обратную сторону: всё ли нужное для работы осталось доступным.
Как проверить результат
Открываются только разрешённые разделы
Видны разделы, которые должны быть закрыты
Команда недоступна или выдаётся отказ права доступа
Документ создаётся и проводится
Видны записи только разрешённых организаций/складов
Список пуст либо содержит чужие данные
Документы до даты не редактируются, после — работают
Заблокированы и текущие документы
Особые случаи: внешние отчёты, обмены, веб-доступ
Ограничивая права, не забудьте про обходные пути. Право «Интерактивное открытие внешних отчётов и обработок» позволяет пользователю запустить любой файл .epf/.erf и потенциально обойти ограничения интерфейса. В безопасном режиме и при жёстких требованиях это право обычно отключают всем, кроме администраторов.
Если база опубликована на веб-сервере или доступна через тонкий клиент извне, усильте требования к паролям и при возможности включите двухфакторную аутентификацию на уровне инфраструктуры. Ограничение прав внутри 1С не защищает от скомпрометированного пароля учётной записи с широкими правами.
Что важно запомнить
Ограничение доступа в 1С строится на ролях и профилях групп доступа, а фильтрация данных — на RLS. Права суммируются, поэтому сначала исключайте пользователя из широких групп. Типовые роли не редактируйте напрямую. Результат всегда проверяйте входом под учётной записью пользователя.
Частые вопросы
Как полностью заблокировать пользователя, не удаляя его?
В карточке пользователя (в режиме предприятия — «Администрирование» → «Пользователи», в конфигураторе — список пользователей) снимите флаг «Вход в программу разрешён» или установите признак недействительности. Данные и документы пользователя сохранятся, а вход станет невозможен.
Почему пользователь всё равно видит закрытый раздел после настройки профиля?
Чаще всего он состоит в нескольких группах доступа, и одна из них даёт нужное право — права суммируются. Проверьте все группы пользователя и наличие у него роли «Полные права» или членства в группе «Администраторы».
Можно ли дать право смотреть документы, но запретить их изменение?
Да. В роли или профиле оставьте права «Чтение» и «Просмотр», снимите «Добавление», «Изменение» и права на проведение. Для прошлых периодов дополнительно используйте дату запрета редактирования.
Что делать, если после включения RLS база стала работать медленно?
Сократите число включённых видов доступа до минимально необходимых, проверьте, что ограничения заданы на уровне групп, а не индивидуально сотням пользователей. На больших базах сложные шаблоны RLS стоит анализировать с разработчиком через замеры производительности.
Нужно ли настраивать права заново после обновления конфигурации?
Профили групп доступа и настройки в режиме предприятия при обновлении сохраняются. Рискуют только роли, изменённые напрямую в конфигураторе: типовые роли могут быть перезаписаны поставщиком, поэтому доработки оформляют копиями ролей или расширениями.
Как ограничить доступ к зарплате для бухгалтеров в ЗУП или БП?
В ЗУП используйте отдельные профили «Кадровик», «Расчётчик зарплаты», «Бухгалтер» и не включайте бухгалтера в группы с ролями расчёта и просмотра начислений. Дополнительно проверьте права на отчёты по зарплате — доступ к ним часто остаётся открытым, даже когда документы закрыты.