Администрирование · 11 мин
Как поменять права в 1С: полная инструкция по настройке доступа
Пошаговая инструкция, как поменять права пользователя в 1С: настройка ролей, групп доступа, ограничений на уровне записей и проверка результата.
Права доступа в 1С определяют, какие объекты видит пользователь, какие документы он может проводить и какие операции ему запрещены. Неправильно выданные права — одна из самых частых причин ошибок «нарушение прав доступа», утечки данных и случайных изменений в учёте. Менять права может только пользователь с административными полномочиями.
Порядок действий зависит от платформы и конфигурации. В типовых конфигурациях на управляемых формах (УТ 11, ERP, Бухгалтерия 3.0, ЗУП 3.1) права настраиваются через группы доступа и профили, а в старых конфигурациях и в конфигураторе — напрямую через роли. Ниже разобраны оба подхода, а также ограничения на уровне записей (RLS) и проверка результата.
Где в 1С хранятся права и как устроена модель доступа
В платформе 1С:Предприятие права складываются из двух уровней. Первый — роли, которые определяют доступ к объектам метаданных: справочникам, документам, отчётам, регистрам. Роль «Кассир» разрешает работу с кассовыми документами, роль «Бухгалтер» — с проводками и отчётностью. Один пользователь может иметь несколько ролей, итоговые права складываются по принципу «разрешено хотя бы одной ролью».
Второй уровень — ограничение доступа на уровне записей (RLS). Оно работает внутри уже разрешённых объектов: например, менеджер видит документы только своей организации или своего склада. RLS настраивается в типовых конфигурациях через группы доступа и виды доступа.
В типовых конфигурациях поверх ролей надстроены «профили групп доступа» — готовые наборы ролей под типовые должности. Пользователю назначается не роль напрямую, а профиль, что упрощает администрирование и снижает риск ошибок.
Как поменять права в типовых конфигурациях через профили групп доступа
Это основной способ для УТ 11, ERP 2, КА 2, Бухгалтерии 3.0, ЗУП 3.1 и других конфигураций на БСП (библиотеке стандартных подсистем). Работать нужно под учётной записью с правами администратора.
- 1Откройте раздел «Администрирование» → «Настройки пользователей и прав».
- 2Перейдите в «Профили групп доступа» и найдите подходящий профиль (например, «Менеджер по продажам»).
- 3Если типовой профиль не подходит, скопируйте его и отредактируйте разрешённые роли и виды доступа.
- 4Откройте «Группы доступа», найдите группу с нужным профилем и добавьте в неё пользователя — или назначьте профиль прямо из карточки пользователя.
- 5Попросите пользователя перезайти в программу и проверьте доступ к нужным объектам.
Назначение профиля пользователю происходит через карточку пользователя: «Администрирование → Пользователи → выбрать пользователя → Права доступа». В открывшейся форме отметьте нужные профили и нажмите «Записать». Изменения применяются после перезапуска сеанса пользователя — в текущем сеансе старые права продолжают действовать.
Если ни один типовой профиль не подходит, создайте собственный: скопируйте ближайший по составу профиль, снимите или установите флажки на ролях в таблице «Роли» и при необходимости задайте ограничения по видам доступа (организации, склады, подразделения). Не редактируйте поставляемые профили напрямую — при обновлении конфигурации изменения могут быть перезаписаны.
Как поменять права через роли в конфигураторе и простых конфигурациях
В конфигурациях без механизма профилей (например, старые версии УПП, самописные решения) права назначаются ролями напрямую. В режиме предприятия откройте «Администрирование → Пользователи», выберите пользователя и на закладке «Прочие» или «Роли» отметьте нужные роли флажками. Состав доступных ролей зависит от конфигурации.
В конфигураторе список пользователей находится в меню «Администрирование → Пользователи». В карточке пользователя на закладке «Прочие» перечислены все роли конфигурации — установите флажки напротив нужных. Здесь же задаётся аутентификация, язык и доступные интерфейсы.
Роль «Полные права» (или «Администратор») даёт неограниченный доступ ко всем объектам. Выдавайте её только тем, кто действительно администрирует систему. Для интерактивного удаления помеченных объектов и некоторых сервисных операций дополнительно требуется право «Администрирование» или специальные роли вроде «Интерактивное удаление помеченных».
Ограничение доступа на уровне записей (RLS): организации, склады, контрагенты
RLS включается в типовых конфигурациях флажком «Ограничивать доступ на уровне записей» в разделе «Администрирование → Настройки пользователей и прав». После включения в профилях и группах доступа появляется возможность задавать значения доступа: конкретные организации, склады, кассы, подразделения, группы контрагентов и физических лиц.
Настройка выполняется в карточке группы доступа на закладке «Ограничения доступа»: выберите вид доступа (например, «Организации») и укажите разрешённые значения. Вариант «Все разрешены» отключает ограничение по этому виду, «Все запрещены» — полностью закрывает доступ к объектам с этим измерением.
Учтите, что RLS заметно влияет на производительность: запросы дополняются условиями проверки, и на больших базах отчёты могут выполняться медленнее. Включайте ограничения только по тем видам доступа, которые реально нужны, и проверяйте скорость работы типовых операций после настройки.
Как проверить, что права настроены правильно
Базовая проверка — зайти под учётной записью пользователя (или попросить его) и выполнить типовые операции: открыть нужный журнал документов, создать и провести документ, сформировать отчёт. Отсутствие сообщений «Нарушение прав доступа» и корректная работа операций означают, что минимально необходимые права выданы.
В типовых конфигурациях есть встроенный инструмент проверки: «Администрирование → Настройки пользователей и прав → Проверка прав доступа» (в некоторых версиях — «Настройка прав пользователей» с отчётом по правам). Отчёт показывает, какие роли и разрешения действуют для конкретного пользователя на конкретный объект метаданных.
Дополнительно проверьте обратную сторону: пользователь не должен видеть закрытые разделы. Откройте под его учётной записью зарплатные отчёты, настройки обменов, журналы других организаций — доступ к ним должен быть заблокирован, а лишние команды не должны отображаться в интерфейсе.
Как проверить результат
Документ проводится без сообщений о правах
Ошибка «Нарушение прав доступа» при записи или проведении
Зарплата, настройки, чужие организации недоступны
Пользователь видит и открывает закрытые данные
Набор ролей соответствует должности
В списке есть «Полные права» или лишние административные роли
Типичные ошибки при настройке прав
Самая распространённая ошибка — выдача полных прав вместо поиска недостающей роли. Это решает проблему «здесь и сейчас», но создаёт риск порчи данных и нарушения конфиденциальности. Правильный путь — определить, к какому объекту нет доступа (текст ошибки обычно содержит имя объекта), и добавить соответствующую роль или профиль.
Вторая ошибка — редактирование поставляемых типовых профилей. При обновлении конфигурации такие изменения могут быть затёрты, и права пользователей неожиданно изменятся. Всегда создавайте копию профиля для доработок.
Третья группа ошибок связана с копированием пользователей: новый сотрудник создаётся копированием старого и наследует все его доступы, включая уже неактуальные. Проверяйте состав профилей при приёме и увольнении сотрудников, а у уволенных блокируйте учётную запись, а не только меняйте пароль.
Когда права меняют программно или через расширения
В некоторых задачах стандартных профилей недостаточно: например, нужно дать право на конкретный документ только определённому сотруднику или автоматически назначать права при приёме на работу. В таких случаях доступ настраивают через группы доступа с индивидуальными значениями RLS или дорабатывают роли в расширении конфигурации.
Расширение позволяет добавить собственную роль и включить её в профиль, не меняя основную конфигурацию — это сохраняет возможность обновления. Добавлять роли непосредственно в типовую конфигурацию стоит только при снятии с поддержки, что усложняет обновления и требует участия разработчика.
Как выбрать способ настройки
Частые вопросы о настройке прав в 1С
Почему после назначения прав пользователь всё равно видит ошибку «Нарушение прав доступа»?
Чаще всего пользователь не перезапустил сеанс — права применяются при входе в программу. Если перезапуск не помог, посмотрите в тексте ошибки имя объекта, к которому нет доступа, и проверьте отчётом по правам, какая роль его покрывает. Иногда не хватает прав на связанные объекты: например, для проведения документа нужны права на регистры, которые он двигает.
Как дать пользователю доступ только к одной организации в базе?
Включите ограничение доступа на уровне записей в настройках пользователей и прав, затем в группе доступа пользователя на закладке ограничений выберите вид доступа «Организации» и укажите нужную организацию. После перезахода пользователь будет видеть документы и справочники только по ней.
Можно ли поменять права без прав администратора?
Нет. Назначение ролей, редактирование профилей и групп доступа требует административных прав (роли «Администратор системы», «Полные права» или права настройки прав в конкретной конфигурации). Рядовой пользователь может только просматривать свои текущие права через отчёт о правах доступа, если он доступен.
Что делать, если единственный администратор уволился и пароль утерян?
Если есть другой пользователь с полными правами — сбросьте пароль через него. Если нет, доступ восстанавливается на уровне платформы: для файловой базы через специальную обработку сброса списка пользователей, для клиент-серверной — через консоль кластера или временное отключение проверки аутентификации. Эти операции выполняет администратор или специалист по 1С, перед ними обязательно делается резервная копия.
Влияют ли права на работу обменов и фоновых заданий?
Да. Регламентные задания и обмены выполняются от имени указанного пользователя, и если у него не хватает прав, обмен завершится ошибкой. Для таких задач обычно создают отдельную служебную учётную запись с необходимым минимумом прав, а не используют запись реального сотрудника.
Как быстро выдать права новому сотруднику на типовую должность?
Создайте пользователя, откройте его карточку, перейдите в «Права доступа» и отметьте профиль, соответствующий должности (например, «Менеджер по продажам» или «Кадровик»). Если в компании уже настроены группы доступа по отделам, достаточно добавить сотрудника в нужную группу — профили и ограничения подтянутся автоматически.
Что важно запомнить
В типовых конфигурациях права меняются через профили и группы доступа, в простых — через роли в списке пользователей. Назначайте минимально необходимый набор прав, не правьте типовые профили, используйте RLS для разграничения по организациям и складам. После любых изменений пользователь должен перезайти в программу, а результат — проверяться отчётом по правам и тестовыми операциями.