Как создать права доступа в 1С

Права доступа в 1С определяют, какие объекты информационной базы видит пользователь и какие операции он может выполнять: просматривать документы, проводить их, изменять справочники, запускать отчёты. Корректная настройка прав защищает данные от случайного удаления, утечки и несанкционированных изменений, а также упрощает интерфейс — сотрудник видит только те разделы, которые нужны ему для работы.

Система прав в 1С строится на трёх уровнях: роли в конфигураторе описывают допустимые действия с объектами, профили групп доступа объединяют роли в готовые наборы для типовых должностей, а механизм ограничения доступа на уровне записей (RLS) разграничивает конкретные данные — например, менеджер видит документы только своей организации или склада. Понимание этой связки позволяет настроить доступ без программирования в типовых конфигурациях.

Работы по настройке прав выполняются под учётной записью с полными правами (администратора). Перед любыми изменениями в рабочей базе рекомендуется создать резервную копию: ошибочная роль или неверное ограничение может заблокировать работу пользователей или, наоборот, открыть доступ к конфиденциальным данным.

Как устроена система прав в 1С

Минимальной единицей разграничения является роль — набор разрешений на объекты конфигурации: чтение, добавление, изменение, удаление, проведение, использование команды. Роли описываются в конфигураторе и поставляются вместе с конфигурацией. Один пользователь обычно получает несколько ролей, и его итоговые права равны их объединению.

Профиль группы доступа — это прикладная надстройка над ролями, доступная в режиме 1С:Предприятие без открытия конфигуратора. Администратор собирает профиль из готовых ролей под конкретную должность: «Кассир», «Менеджер по продажам», «Бухгалтер». Пользователю назначается один или несколько профилей, что упрощает администрирование при росте штата.

Третий уровень — ограничение доступа на уровне записей (RLS). Он действует внутри уже разрешённых объектов: роль даёт право читать документы реализации, а RLS сужает выборку до документов конкретной организации, склада или подразделения. Это ключевой механизм для холдингов и баз с несколькими юридическими лицами.

Подготовка: включение группового управления доступом

В типовых конфигурациях на платформе 8.3 (Бухгалтерия предприятия, Управление торговлей, ERP и другие) перед созданием профилей нужно включить механизм групп доступа. Откройте раздел «Администрирование» → «Настройки прав и пользователей» и установите флаг «Группы доступа». Без этого флага права назначаются пользователям напрямую через роли, что менее гибко.

Проверьте, что текущий пользователь обладает правами администратора: без полных прав раздел настроек будет недоступен или откроется только на просмотр. Также убедитесь, что в базе заведены пользователи, которым будут назначаться права, — список находится в том же разделе, подраздел «Пользователи».

Создание профиля группы доступа

Основной сценарий настройки прав в типовой конфигурации выглядит так. В разделе «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа» нажмите «Создать». Укажите понятное наименование, например «Менеджер по закупкам — склад №2», чтобы через полгода было ясно, для кого создан профиль.

На вкладке «Разрешения (роли)» отметьте флажками роли, необходимые для этой должности. Состав ролей зависит от конфигурации: для менеджера по продажам обычно нужны роли на добавление и изменение документов продажи, чтение справочников контрагентов и номенклатуры, базовые роли подсистем. Не включайте роли «на вырост» — избыточные права противоречат принципу минимально необходимого доступа.

Сохраните профиль и перейдите к назначению: откройте карточку пользователя, на закладке «Права доступа» (или через «Группы доступа») добавьте созданный профиль. Пользователь увидит новые права после перезапуска сеанса — в клиент-серверном варианте изменения могут применяться с задержкой, поэтому попросите сотрудника выйти и войти заново.

1. 1
   Включите «Группы доступа» в разделе «Администрирование → Настройки прав и пользователей»
2. 2
   Создайте новый профиль группы доступа с понятным наименованием
3. 3
   Отметьте необходимые роли на вкладке «Разрешения»
4. 4
   Сохраните профиль и назначьте его пользователю в карточке пользователя
5. 5
   Попросите пользователя перезайти в базу и проверьте доступ к нужным документам и запрет на лишние разделы

Настройка ограничений на уровне записей (RLS)

Когда одной роли недостаточно и нужно разграничить данные внутри объекта, используется RLS. В профиле группы доступа на вкладке «Ограничения доступа» выберите вид доступа — например, «Организации», «Склады», «Подразделения» — и укажите разрешённые значения. Типовой сценарий: два юридических лица в одной базе, каждая бухгалтерия работает только со «своей» организацией.

Значения доступа задаются либо в самом профиле, либо в карточке пользователя — это удобно, когда профиль один, а состав разрешённых складов у сотрудников разный. Проверьте результат под учётной записью пользователя: в списках документов и в отчётах должны отображаться только разрешённые записи, при попытке открыть чужой документ по ссылке программа выдаст сообщение о нарушении прав.

Учтите ограничение механизма: RLS заметно усложняет запросы к базе и при большом количестве видов доступа может снижать производительность. Не включайте ограничения «про запас» — добавляйте только те виды доступа, которые реально требуются бизнес-процессом.

Создание и доработка ролей в конфигураторе

Если типовых ролей не хватает — например, нужна роль «только просмотр склада без цен» — потребуется работа в конфигураторе. Откройте конфигурацию (Конфигурация → Открыть конфигурацию), в ветке «Общие» → «Роли» создайте новую роль или скопируйте существующую через контекстное меню. Копирование безопаснее: вы сохраняете типовую роль нетронутой, что упрощает будущие обновления.

В окне редактирования роли слева отображается дерево объектов конфигурации, справа — матрица прав: чтение, добавление, изменение, удаление, интерактивные аналоги этих действий, проведение, использование. Отмечайте только нужные сочетания. Для роли просмотра достаточно «Чтение» и «Просмотр»; права «Интерактивное добавление» без «Добавление» бессмысленны — интерактивные права работают только вместе с базовыми.

После сохранения роли обновите конфигурацию базы данных (F7) и добавьте новую роль в нужный профиль группы доступа. Помните: любые изменения ролей в конфигураторе — это доработка, которая может потребовать внимания при обновлении конфигурации, поэтому документируйте состав и назначение нестандартных ролей.

Способы назначения прав

Профили групп доступа

Подходит для типовых конфигураций и массового администрирования без конфигуратора. Ограничение: набор ролей фиксирован поставкой.

Роли напрямую пользователю

Быстро для одного-двух пользователей, но сложно контролировать при росте штата и легко получить избыточные права.

Доработка ролей в конфигураторе

Даёт полную гибкость, включая нестандартные ограничения. Минус: усложняет обновления и требует квалификации разработчика.

Проверка результата и типичные ошибки

После настройки обязательно проверьте права от имени целевого пользователя, а не только под администратором. Зайдите в базу под его учётной записью, откройте ключевые документы, попробуйте создать и провести документ, откройте отчёт, попытайтесь зайти в раздел, который должен быть закрыт. В типовых конфигурациях также доступен отчёт по правам пользователя, показывающий итоговый набор ролей.

Наиболее частая проблема — «ничего не видно» после назначения профиля. Причины: пользователь не перезашёл в базу, профиль не включён в группу доступа пользователя, у роли нет права «Чтение» на нужный объект (добавление без чтения не даст открыть список). Обратная ситуация — лишний доступ — обычно возникает из-за назначения нескольких профилей, где один из них шире нужного: итоговые права суммируются.

Контрольные точки

Как проверить результат

Вход под учётной записью пользователя

Норма

Открываются только нужные разделы, документы создаются и проводятся

Тревожный признак

Пустые списки, сообщения о нарушении прав или, наоборот, видны лишние разделы

Ограничение по организации/складу

Норма

В списках и отчётах только разрешённые записи

Тревожный признак

Видны документы других организаций или пропали собственные документы

Отчёт по правам доступа

Норма

Состав ролей соответствует задуманному профилю

Тревожный признак

Присутствуют роли, которые не назначались, — ищите лишний профиль

FAQ: частые вопросы о правах доступа в 1С

Можно ли настроить права без конфигуратора?

Да, в типовых конфигурациях на управляемых формах большинство задач решается через профили групп доступа в режиме 1С:Предприятие. Конфигуратор нужен только для создания новых ролей или нестандартных ограничений, которых нет в поставке.

Почему пользователь не видит изменения прав сразу?

Изменения применяются к новым сеансам. Пользователю нужно выйти из программы и войти заново. В клиент-серверном варианте в редких случаях помогает перезапуск сеанса через консоль кластера.

Как дать пользователю доступ только на просмотр?

Создайте профиль, в котором для нужных объектов включены только роли чтения и просмотра без ролей на добавление, изменение и проведение. Если типовой читающей роли нет, создайте её копию в конфигураторе и снимите все права, кроме «Чтение» и «Просмотр».

Что делать, если после настройки RLS пропали документы у самого пользователя?

Проверьте, что в ограничении доступа указаны все значения, с которыми он работает, включая старые документы прошлых периодов. Частая причина — документы без заполненного поля организации или склада: они не попадают ни под одно разрешённое значение.

Как быстро выдать одинаковые права группе сотрудников?

Создайте один профиль и группу доступа, включите в неё всех нужных пользователей. При приёме нового сотрудника достаточно добавить его в эту группу — набор ролей и ограничений применится автоматически.

Опасно ли давать права «Администратор системы»?

Да. Такой пользователь может изменять права других, удалять данные и менять настройки базы. Оставьте административные права минимальному числу сотрудников и заведите отдельную учётную запись администратора, а не используйте её для ежедневной работы.