Администрирование · 11 мин
Как настроить права пользователей в 1С 8.2
Как настроить права пользователя в 1С 8.2: создание учётной записи, назначение ролей, ограничение доступа к данным, типовые профили и проверка результата.
Настройка прав в 1С 8.2 решает две задачи: сотрудник должен видеть только те данные, которые нужны ему для работы, и не должен иметь возможности случайно или намеренно изменить чужие документы, удалить справочники или запустить обработку, ломающую учёт. В платформе 8.2 используется ролевая модель: каждому пользователю назначается одна или несколько ролей, а роль определяет набор разрешений на объекты конфигурации — справочники, документы, отчёты, регистры.
Механика зависит от режима работы информационной базы. В обычном приложении (классический интерфейс 8.2) список пользователей ведётся через меню «Сервис → Пользователи», а роли назначаются напрямую. В управляемом приложении типовые конфигурации (Бухгалтерия 2.0, Управление торговлей 11 и другие) используют справочник «Пользователи» и профили групп доступа. Дальше разберём оба подхода и типовые ошибки администраторов.
Как устроена система прав в 1С 8.2
Фундамент разграничения доступа — роли, заданные разработчиком в конфигураторе. Роль определяет, какие действия разрешены с конкретным объектом: чтение, добавление, изменение, удаление, проведение документов, запуск отчётов и обработок. Пользователю можно назначить несколько ролей, итоговые права складываются как объединение: если хотя бы одна роль разрешает действие, оно доступно.
В типовых конфигурациях есть готовые роли: «Полные права», «Бухгалтер», «Кассир», «Менеджер по продажам» и тому подобные. Роль «Полные права» открывает практически всё, кроме административных функций платформы, поэтому выдавать её рядовым сотрудникам — плохая практика. Правильный подход — подобрать минимальный набор ролей, достаточный для должности.
Поверх ролей может работать механизм ограничения доступа на уровне записей (RLS). Он фильтрует данные: например, менеджер видит только документы своей организации или своего склада, хотя сама форма документа ему доступна. RLS настраивается в запросах ролей в конфигураторе и требует аккуратности — ошибка в шаблоне ограничения может полностью скрыть данные от пользователя.
Создание пользователя и назначение ролей в обычном приложении
В базе, запущенной в режиме обычного приложения, откройте меню «Сервис → Пользователи → Список пользователей» (в некоторых конфигурациях — «Администрирование → Пользователи»). Нажмите «Добавить» и заполните карточку: имя (логин для входа), полное имя, пароль и его подтверждение. Установите флажок «Аутентификация 1С:Предприятия», если вход будет по логину и паролю; для доменной сети можно включить аутентификацию операционной системы.
На вкладке «Прочие» или в отдельном списке ролей отметьте нужные роли галочками. Состав списка зависит от конфигурации: в Бухгалтерии 2.0 это будут «Бухгалтер», «Кадровик», «Расчетчик», в Управлении торговлей — роли менеджеров, кладовщиков, закупщиков. Сохраните карточку — пользователь сможет войти при следующем запуске базы.
- 1Откройте базу под учётной записью с полными правами
- 2Перейдите: Сервис → Пользователи → Список пользователей
- 3Нажмите «Добавить», задайте логин, имя и пароль
- 4Установите флажок «Аутентификация 1С:Предприятия»
- 5Отметьте нужные роли галочками, роль «Полные права» не включайте без необходимости
- 6Сохраните и проверьте вход под новым пользователем
Настройка прав в управляемом приложении и типовых конфигурациях
В конфигурациях на управляемых формах (Бухгалтерия 2.0 в режиме такси, УТ 11, ЗУП 2.5) пользователи ведутся в справочнике: раздел «Администрирование → Настройки пользователей и прав → Пользователи». Здесь карточка пользователя связана с физическим лицом, а доступ выдаётся через группы доступа или профили.
Профиль группы доступа — это типовой набор ролей, собранный под должность: «Бухгалтер», «Менеджер по продажам», «Кладовщик». Создайте группу доступа с нужным профилем и включите в неё пользователя. Преимущество подхода — при изменении состава профиля права обновятся у всех участников группы сразу, а не у каждого по отдельности.
Если в типовом профиле не хватает одной операции — например, кассиру нужен конкретный отчёт, — не расширяйте профиль ради одного человека. Создайте отдельную группу доступа с дополнительной ролью и включите в неё только этого сотрудника. Так права останутся прозрачными и легко проверяемыми.
Ограничение доступа на уровне записей (RLS)
Когда несколько организаций или складов ведутся в одной базе, ролей недостаточно: роль «Менеджер по продажам» даёт доступ ко всем реализациям, а нужно — только к документам своей организации. Для этого в типовых конфигурациях служит механизм ограничения доступа на уровне записей, включаемый в настройках параметров учёта или настроек прав.
Порядок включения в типовой конфигурации: «Администрирование → Настройка прав пользователей», установите флажок «Ограничивать доступ на уровне записей», затем в группах доступа укажите разрешённые значения — конкретные организации, склады, подразделения. После включения RLS сеансы пользователей нужно перезапустить, а первое обновление прав может занять заметное время на большой базе.
RLS накладывает дополнительные условия на каждый запрос к данным, поэтому на слабом сервере возможно замедление отчётов и списков. Если после включения ограничений пользователь жалуется, что «документы пропали», первым делом проверьте, заполнены ли разрешённые значения в его группе доступа: пустой список значений обычно означает «ничего не разрешено».
Проверка настроенных прав
Настройка не считается завершённой, пока вы не вошли в базу под учётной записью самого пользователя. Проверьте три вещи: открываются ли нужные для работы документы и отчёты, закрыты ли запрещённые разделы (попытка открыть должна давать сообщение о нарушении прав, а не пустую форму), и видит ли пользователь только свои данные, если включён RLS.
Для диагностики используйте отчёт «Анализ прав доступа» (в типовых конфигурациях — «Администрирование → Обслуживание» или через «Все функции»). Он показывает, какие роли назначены пользователю и какие объекты ему доступны. Это быстрее, чем вручную перебирать роли в конфигураторе.
Как проверить результат
База открывается, доступны только рабочие разделы
Ошибка входа или видны административные функции
Сообщение «Нарушение прав доступа»
Объект открывается и редактируется
В списках только документы своей организации или склада
Списки пустые либо видны чужие документы
Типовые ошибки и ограничения
Самая частая ошибка — выдача полных прав «чтобы всё работало». Это снимает с администратора проблему настройки, но создаёт риски: пользователь может удалить документы, изменить закрытый период, запустить произвольную обработку. Вторая ошибка — назначение ролей напрямую в обход групп доступа в конфигурациях, где принят профильный механизм: при обновлении конфигурации такие настройки могут конфликтовать с типовой логикой.
Отдельный случай — права на внешние отчёты и обработки. Даже пользователь с ограниченными ролями может открыть внешний файл, если у него есть право «Интерактивное открытие внешних отчётов и обработок». Проверьте эту настройку, если сотрудникам запрещено запускать сторонние файлы.
Когда нужны доработки в конфигураторе
Штатных средств хватает, если требования укладываются в типовые роли и RLS по стандартным измерениям (организация, склад, подразделение). Доработка нужна, когда доступ должен различаться по признакам, не предусмотренным конфигурацией: например, менеджер видит только своих контрагентов по ответственному, или кассир может проводить документы только в пределах лимита суммы.
В этом случае в конфигураторе создают новую роль, копируя права с типовой, добавляют шаблоны ограничений RLS и при необходимости подписки на события для проверки условий при записи. Такую работу выполняют на копии базы, тестируют под тестовым пользователем и только потом переносят в рабочую конфигурацию через сравнение и объединение.
Как выбрать действие
Частые вопросы
Пользователь не видит кнопку или документ, хотя роль назначена. Что проверить?
Сначала убедитесь, что пользователь перезапустил сеанс после назначения роли. Затем проверьте, не включён ли RLS: если в группе доступа пустой список разрешённых значений, данные будут скрыты. Также посмотрите отчёт «Анализ прав доступа» — он покажет фактический набор разрешений.
Можно ли дать права только на просмотр без изменения?
Да. В роли право «Чтение» не зависит от прав «Добавление» и «Изменение». В типовых конфигурациях есть профили вида «Только просмотр» либо можно создать группу доступа с ролью, где разрешено чтение нужных объектов, а изменение запрещено.
Чем отличается роль «Полные права» от прав администратора?
«Полные права» — роль конфигурации, открывающая все прикладные объекты. Административные функции платформы (управление пользователями, выгрузка базы, монопольный режим) определяются отдельными правами в свойствах пользователя. Пользователь с полными правами не обязательно администратор, и наоборот.
Как быстро скопировать права одного сотрудника другому?
В конфигурациях с группами доступа достаточно включить нового пользователя в те же группы. В обычном приложении без профилей роли копируются вручную: откройте карточки обоих пользователей и повторите состав галочек. Удобно держать таблицу соответствия должностей и ролей.
Почему после включения RLS база стала работать медленнее?
Ограничения на уровне записей добавляют условия в каждый запрос к защищённым таблицам, что увеличивает нагрузку на СУБД. Проверьте, что ограничения заданы только там, где они реально нужны, и что индексы по полям ограничений (организация, склад) существуют. На файловой базе эффект заметнее, чем на клиент-серверной.
Как запретить пользователю запуск внешних обработок?
Снимите у его ролей право «Интерактивное открытие внешних отчётов и обработок» в конфигураторе либо используйте типовую настройку профиля, где этот режим отключён. Учтите: полный запрет возможен только при отсутствии у пользователя полных прав.
Что важно запомнить
Права в 1С 8.2 назначаются через роли и группы доступа, а не напрямую. Давайте минимально необходимый набор ролей, используйте RLS для разграничения данных, не выдавайте полные права рядовым сотрудникам, перезапускайте сеанс после изменений и всегда проверяйте результат входом под учётной записью пользователя.