Администрирование · 11 мин
Как открыть права доступа в 1С: практическое руководство
Как настроить и открыть права доступа в 1С: роли, профили групп доступа, права на документы и справочники. Пошаговая инструкция для администратора.
Права доступа в 1С определяют, какие объекты пользователь может видеть, создавать, изменять и удалять. Если сотрудник не может открыть документ, провести отчёт или запустить обработку, почти всегда причина в настройке ролей или профилей групп доступа. Разобраться в механизме прав можно самостоятельно, не привлекая программиста, если действовать последовательно и понимать логику системы.
В типовых конфигурациях (Бухгалтерия предприятия, Управление торговлей, Зарплата и управление персоналом) используется двухуровневая модель: базовые роли из конфигурации плюс профили групп доступа, которые администратор собирает под конкретные должности. В старых или самописных конфигурациях права назначаются напрямую через список пользователей. Ниже разобраны оба подхода.
Все действия по выдаче прав выполняются под учётной записью с полными правами (роль «Полные права» / «Администратор системы»). Если такой учётной записи нет или пароль от неё утерян, сначала потребуется восстановить доступ администратора — это отдельная задача.
Как устроены права доступа в 1С
В основе механизма лежат роли — наборы разрешений на объекты конфигурации: справочники, документы, отчёты, регистры. Роль определяет для каждого объекта четыре базовых действия: чтение, добавление, изменение и удаление. Роли жёстко зашиты в конфигурацию и меняются только в конфигураторе.
Поверх ролей в типовых решениях работают профили групп доступа. Профиль — это готовый набор ролей под типовую должность: «Кассир», «Менеджер по продажам», «Бухгалтер». Пользователь включается в группу доступа с нужным профилем и автоматически получает все входящие в него роли. Это избавляет от ручного подбора десятков ролей для каждого сотрудника.
Дополнительно действует механизм ограничения доступа на уровне записей (RLS): пользователь может видеть документы только своей организации или склада, даже если роль формально разрешает чтение всех документов. Если пользователь «видит не всё», хотя роль выдана, проверяйте именно настройки групп доступа по организациям и складам.
Назначение прав через профили групп доступа
Это основной способ в конфигурациях на Библиотеке стандартных подсистем (БСП): БП 3.0, УТ 11, ERP, ЗУП 3.1. Откройте раздел «Администрирование → Настройка пользователей и прав → Пользователи». Выберите нужного сотрудника и перейдите по ссылке «Права доступа» или в справочник «Профили групп доступа».
В карточке пользователя отметьте флажками профили, которые соответствуют его обязанностям. Один пользователь может входить сразу в несколько профилей — права суммируются. Например, сотруднику, который ведёт и продажи, и склад, назначают профили «Менеджер по продажам» и «Кладовщик» одновременно.
Если типовых профилей не хватает, создайте собственный: откройте «Профили групп доступа», скопируйте ближайший по составу типовой профиль и скорректируйте список ролей на вкладке «Роли». Копирование безопаснее, чем создание с нуля: вы не забудете служебные роли, без которых программа может работать некорректно.
- 1Войдите в 1С под учётной записью с полными правами
- 2Откройте «Администрирование → Настройка пользователей и прав → Пользователи»
- 3Выберите пользователя и откройте «Права доступа»
- 4Отметьте нужные профили групп доступа или создайте новый профиль
- 5Сохраните изменения и попросите пользователя перезайти в программу
- 6Проверьте доступ под учётной записью пользователя
Выдача прав напрямую через список пользователей
В простых и старых конфигурациях (например, Управление нашей фирмой в ранних редакциях, самописные решения) профили могут отсутствовать. Тогда роли назначаются напрямую. Откройте «Администрирование → Пользователи», выберите сотрудника и перейдите на вкладку «Права» или «Роли» — интерфейс зависит от конфигурации.
Отметьте флажками нужные роли. Названия ролей обычно говорящие: «ЧтениеДокументов», «ДобавлениеИзменениеСправочников» и т.п. Роли с правом только на чтение выдавайте тем, кто должен смотреть данные, но не менять их. Роль «Полные права» назначайте только администраторам — она отключает почти все проверки, включая RLS.
В файловой базе список пользователей также доступен через конфигуратор: «Администрирование → Пользователи». Там же можно сбросить пароль и включить аутентификацию. Помните, что изменение ролей в конфигураторе требует монопольного доступа к базе в некоторых случаях.
Тонкая настройка: ограничения по организациям, складам и видам объектов
Когда роль выдана, но нужно ограничить круг видимых данных, используются группы доступа с настройкой разрешённых значений. В карточке группы доступа на вкладке «Ограничение доступа» укажите конкретные организации, склады, подразделения или контрагентов, с которыми работает сотрудник.
Типовой сценарий: в базе ведётся учёт по трём организациям, а бухгалтер обслуживает только одну. Создаётся группа доступа с профилем «Бухгалтер», в разрешённых значениях указывается одна организация, и пользователь видит только её документы. Остальные данные для него просто не существуют в списках и отчётах.
Для отдельных операций есть специальные права: интерактивное удаление помеченных объектов, изменение данных в закрытых периодах (дата запрета изменения данных), работа с внешними обработками. Эти права выдаются точечно и должны быть у минимального круга лиц — они напрямую влияют на целостность учёта.
Диагностика: почему прав не хватает и что именно открыть
Когда пользователь сообщает «нет доступа», сначала зафиксируйте точный текст ошибки и объект, к которому он обращается. Сообщение вида «Нарушение прав доступа» при открытии документа указывает на отсутствие роли чтения; ошибка при проведении — на отсутствие роли изменения или записи в регистры.
Быстрый способ найти недостающую роль — сравнить права с эталонным пользователем, у которого всё работает. Откройте профили обоих сотрудников и сопоставьте списки. В некоторых конфигурациях доступен отчёт «Права доступа» или обработка анализа прав, показывающая, какие роли действуют на конкретный объект.
Если роль выдана, а доступа нет, проверьте три вещи: не действует ли ограничение на уровне записей (организация/склад не входит в разрешённые), не установлена ли дата запрета изменения данных, и перезашёл ли пользователь в программу после изменения прав — сеанс кэширует права при входе.
Как проверить результат
Нужные документы и отчёты открываются и проводятся
Ошибка «Нарушение прав доступа» при открытии объекта
Пользователь видит документы своих организаций и складов
Списки пустые при выданной роли чтения — сработало RLS-ограничение
Пользователь не видит чужих данных и служебных разделов
Доступны закрытые периоды, настройки или чужие организации
Частые ошибки при настройке прав
Самая распространённая ошибка — выдача полных прав вместо поиска конкретной недостающей роли. Это решает проблему за минуту, но создаёт риск порчи данных и нарушает принцип минимальных привилегий, который требуется при аудите и проверках защиты персональных данных.
Вторая типичная ситуация — редактирование типового профиля вместо создания копии. При обновлении конфигурации изменённый типовой профиль может быть перезаписан, и настройки пропадут. Всегда копируйте профиль и работайте с копией.
Третья ошибка — забыть, что права применяются при входе в сеанс. Пользователь продолжает видеть ошибку, хотя права уже выданы, просто потому что не перезапустил программу. В клиент-серверном режиме иногда требуется завершить сеанс принудительно через консоль кластера.
Проверка и документирование выданных прав
После назначения прав обязательно проверьте результат под учётной записью самого пользователя: откройте ключевые документы, проведите тестовый документ в копии базы или на тестовых данных, убедитесь, что лишние разделы недоступны. Проверка «от администратора» бессмысленна — у полных прав нет ограничений.
Ведите простой реестр: какой сотрудник, какие профили, когда и по какому основанию выданы. Это ускоряет разбор инцидентов и упрощает отзыв прав при увольнении или переводе. При увольнении пользователя не удаляйте, а отключайте (снимайте флажок «Вход в программу разрешён») — так сохраняется история авторства документов.
Что важно запомнить
Права в типовых 1С выдаются через профили групп доступа, в простых конфигурациях — напрямую ролями. Назначайте минимально необходимый набор, копируйте типовые профили вместо их изменения, учитывайте RLS-ограничения и всегда проверяйте результат под учётной записью пользователя после его перезахода.
Часто задаваемые вопросы
Пользователь видит документ, но не может его провести. Какой роли не хватает?
Проведение требует права на изменение документа и на запись в регистры, по которым он делает движения. Обычно недостаёт роли вида «ДобавлениеИзменение…» для соответствующего раздела. Проще всего сравнить профиль пользователя с профилем сотрудника, у которого проведение работает.
Можно ли выдать права только на просмотр без возможности изменения?
Да. Назначьте профиль или роли только с правом чтения — в типовых конфигурациях для многих разделов есть профили «только просмотр». Пользователь сможет открывать документы и формировать отчёты, но кнопки записи и проведения будут недоступны.
Права выданы, но пользователь по-прежнему получает ошибку доступа. Что делать?
Сначала попросите пользователя полностью выйти из программы и зайти снова — права применяются при старте сеанса. Если не помогло, проверьте ограничения на уровне записей (разрешённые организации, склады) и дату запрета изменения данных. В клиент-серверном варианте завершите сеанс через консоль кластера.
Чем отличается роль от профиля группы доступа?
Роль — это технический набор разрешений на объекты конфигурации, зашитый разработчиком. Профиль группы доступа — это административная обёртка: готовая подборка ролей под должность, которую администратор назначает пользователю одним действием и может корректировать без конфигуратора.
Как вернуть доступ, если единственный администратор уволился и пароль утерян?
В файловой базе задача решается снятием или сбросом списка пользователей штатными средствами конфигуратора либо специализированными утилитами — эту операцию лучше поручить специалисту по 1С, так как ошибки могут повредить базу. В клиент-серверном варианте доступ восстанавливается через администратора СУБД. Чтобы не попадать в такую ситуацию, держите минимум две учётные записи с полными правами.
Нужно ли обновлять права после обновления конфигурации?
Да, стоит проверить. В новых релизах появляются новые объекты и роли, и типовые профили обновляются автоматически, а вот самодельные профили новых ролей не получат — их нужно дополнять вручную. После обновления пройдитесь по ключевым пользователям и убедитесь, что все функции работают.