Администрирование · 10 мин
Как ограничить доступ в 1С УПП: пошаговая инструкция
Практическое руководство по ограничению доступа в 1С УПП: настройка ролей, групп пользователей, RLS на уровне записей, типовые ошибки и проверка результата.
Ограничение доступа в 1С:УПП (Управление производственным предприятием) строится на трёх уровнях: интерфейсные права и роли, группы доступа пользователей и ограничение на уровне записей (RLS). Без продуманной схемы сотрудник видит чужие документы, меняет закрытые периоды или получает доступ к зарплате, хотя работает со складом. Ниже — практический порядок настройки, который подходит для типовой УПП 1.3 без доработки конфигурации.
Перед началом работ определите, кто и к чему должен иметь доступ: составьте матрицу «подразделение — объекты — действия» (просмотр, ввод, изменение, проведение). Это избавит от типичной ситуации, когда права выдаются «по запросу» и через полгода никто не помнит, почему кладовщик может редактировать банковские выписки.
Все настройки выполняются под пользователем с полными правами. В клиент-серверном варианте желательно предупредить пользователей о сеансах тестирования, а перед изменением прав в рабочей базе сделать резервную копию или выгрузку — откат ошибочных настроек вручную занимает значительно больше времени.
Как устроена система прав в УПП
В УПП 1.3 используется концепция ролей: каждая роль описывает набор прав на объекты метаданных — справочники, документы, регистры, отчёты. Пользователю назначается одна или несколько ролей, и итоговые права складываются как объединение. Это важно: если одна роль разрешает действие, запретить его другой ролью нельзя — в платформе 1С нет «запрещающих» ролей, есть только разрешающие.
Поверх ролей работают группы доступа и настройки RLS. Они определяют не «что можно делать», а «с какими записями»: например, менеджер видит документы только своей организации или своего склада. Роль даёт право читать документ «Реализация товаров», а RLS фильтрует конкретные строки базы.
Настройка ролей и интерфейсов пользователя
Откройте раздел «Администрирование» — «Пользователи и права» — «Пользователи». Создайте нового пользователя или откройте существующего и перейдите на закладку ролей (в зависимости от релиза — «Права» или «Роли»). Типовая УПП поставляется с готовым набором ролей: «Менеджер по продажам», «Кладовщик», «Бухгалтер», «Кадровик» и другие.
Назначайте минимально необходимый набор. Частая ошибка — выдать «Полные права» «временно, чтобы работало», и забыть убрать. Полные права снимают все ограничения, включая RLS, и позволяют менять настройки учёта. Эту роль должны иметь только администраторы, причём их список стоит периодически пересматривать.
Для каждого пользователя также выберите основной интерфейс (например, «Полный», «Менеджер по продажам», «Бухгалтерский»). Интерфейс не ограничивает права — он только скрывает лишние пункты меню. Полагаться на интерфейс как на защиту нельзя: документ, скрытый из меню, всё равно доступен через «Операции» или поиск.
Группы пользователей и профили прав
Если сотрудников много, назначать роли каждому вручную неудобно. Используйте справочник «Группы пользователей»: создайте группу (например, «Менеджеры отдела продаж»), назначьте ей набор ролей и включайте в неё пользователей. При приёме нового сотрудника достаточно добавить его в группу — права применятся автоматически.
Дополнительно в УПП есть «Настройка прав доступа пользователей» (через «Сервис» — «Пользователи» — «Настройка дополнительных прав пользователей»). Там задаются значения по умолчанию: основная организация, склад, подразделение, ответственный. Это не ограничение доступа, но правильно заполненные значения по умолчанию снижают количество ошибок при вводе документов.
Включение и настройка RLS (ограничение на уровне записей)
RLS включается в настройках параметров учёта: «Сервис» — «Настройка учёта» — «Настройка параметров учёта», закладка «Права». Установите флажки по тем измерениям, по которым нужно ограничение: организации, контрагенты, склады, подразделения, кассы. После включения система начнёт применять отборы к запросам.
Далее создайте группы доступа в справочнике «Группы доступа к контрагентам» (и аналогичных по организациям/складам) и свяжите пользователей с разрешёнными значениями через настройку прав доступа. Логика такая: пользователю сопоставляется список разрешённых организаций или складов, и RLS показывает только документы с этими значениями.
Учтите ограничение механизма: RLS в УПП работает только по предопределённым измерениям, заложенным разработчиками конфигурации. Ограничить доступ «по номенклатурной группе» или «по региону контрагента» штатными средствами нельзя — для этого потребуется доработка конфигурации.
- 1Включите нужные виды ограничений в Настройке параметров учета на закладке Права
- 2Создайте группы доступа и заполните разрешённые организации, склады, контрагентов
- 3Привяжите пользователей к группам доступа через настройку прав доступа
- 4Зайдите под тестовым пользователем и откройте список документов
- 5Проверьте, что видны только разрешённые записи, а запрещённые не открываются по ссылке
Типовые сценарии ограничения доступа
Менеджер видит только своих контрагентов
Включите RLS по контрагентам, создайте для каждого менеджера группу доступа с его клиентами и назначьте её через настройку прав. Новому контрагенту группу доступа придётся проставлять вручную или через обработку — это известное неудобство, которое решают регламентным заданием или доработкой.
Кладовщик работает только со своим складом
Включите ограничение по складам, назначьте кладовщику разрешённые склады и убедитесь, что у него нет роли с правами на документы других подразделений. Проверьте отдельно отчёты: часть отчётов в УПП строится запросами, и если для отчёта RLS не учтён, данные могут «просвечивать» через обороты.
Запрет изменения закрытого периода
Используйте механизм дат запрета редактирования: «Сервис» — «Управление пользователями и доступом» — «Дата запрета редактирования документов». Дату можно задать общую или индивидуально по пользователям. Это защищает закрытый месяц от случайного перепроведения документов.
Как выбрать действие
Проверка результата и контроль
Никогда не оценивайте настройку «по описанию роли». Создайте тестового пользователя с тем же набором прав, войдите под ним и пройдите рабочие сценарии: открытие списков документов, создание документа, проведение, формирование ключевых отчётов, попытка открыть запрещённый объект по прямой ссылке.
Отдельно проверьте обмены и внешние обработки: если обмен данными выполняется под специальным пользователем, у него должны быть права на все передаваемые объекты, иначе обмен начнёт «молча» терять документы. Для таких служебных учётных записей права обычно шире, поэтому их пароли хранятся у администратора.
Как проверить результат
Видны только документы разрешённых организаций и складов
Видны чужие документы или список пуст при наличии документов
Сообщение о нарушении прав доступа
Документ открывается и редактируется
Суммы соответствуют разрешённым данным
Отчёт показывает обороты по всем организациям
Отказ с сообщением о дате запрета
Документ проводится без предупреждений
Типичные ошибки при настройке
Самая распространённая ошибка — выдача полных прав вместо разбора конкретной проблемы. Вторая по частоте — забытые роли у пользователя после перевода в другой отдел: права добавили, а старые не сняли. Третья — включение RLS без заполнения групп доступа, после чего пользователи вообще перестают видеть документы.
Также опасно изменять роли в конфигураторе без копии базы и без фиксации изменений: при обновлении конфигурации доработанные роли могут быть заменены типовыми. Все изменения прав документируйте — хотя бы в виде таблицы «пользователь — роли — группы доступа — дата изменения».
Что важно запомнить
Ограничение доступа в УПП строится слоями: роли определяют действия, RLS — видимые записи, дата запрета — защиту периода. Назначайте минимум прав, проверяйте результат под тестовым пользователем и ведите учёт выданных полномочий.
Частые вопросы
Можно ли запретить доступ к зарплате только для части бухгалтеров?
Да. Не назначайте таким бухгалтерам роли, связанные с расчётом зарплаты и кадровыми документами, и оставьте только бухгалтерские роли. Дополнительно проверьте отчёты: часть зарплатных данных может быть видна через сводные отчёты, если у пользователя есть роль с доступом к соответствующим регистрам.
Почему после включения RLS пользователи не видят свои документы?
RLS скрывает все записи, для которых не заданы разрешённые значения. Проверьте, что пользователь привязан к группе доступа, а в группе заполнены конкретные организации, склады или контрагенты. Также убедитесь, что в самих документах эти реквизиты заполнены — пустое значение может не попадать под отбор.
Можно ли скрыть документы, убрав их из интерфейса?
Нет. Интерфейс влияет только на отображение меню. Документ остаётся доступен через меню «Операции», поиск и прямые ссылки. Реальное ограничение даёт только снятие роли с правами на этот вид документов.
Как быстро узнать, какие роли есть у конкретного пользователя?
Откройте карточку пользователя в справочнике «Пользователи» и посмотрите назначенные роли и группы. Для массового анализа удобно выгрузить список пользователей обработкой или запросом по таблице прав, либо использовать отчёты по правам из состава конфигурации, если они присутствуют в вашем релизе.
Поможет ли запрет на уровне базы данных вместо настройки в 1С?
Нет, и вмешательство в СУБД опасно. Платформа 1С работает с базой от имени одной учётной записи, поэтому разграничение реализуется только средствами самой платформы и конфигурации. Прямые изменения в таблицах SQL нарушают целостность данных и лишают поддержки.
Что делать, если нужного ограничения нет в типовой УПП?
Сначала проверьте, не решается ли задача комбинацией ролей, RLS и даты запрета. Если критерий отбора не входит в штатные измерения RLS, потребуется доработка конфигурации: добавление ролей, изменение шаблонов ограничений или программные проверки при записи. Такие изменения выполняет программист 1С на копии базы с последующим тестированием.