Администрирование · 11 мин
Как в 1С настроить права доступа пользователей к определённым документам
Как настроить в 1С права доступа пользователей к определённым документам: роли, группы доступа, RLS, профили. Пошаговая инструкция с проверкой результата.
Настройка прав доступа к документам в 1С — типовая задача администратора: менеджер должен видеть и редактировать только свои счета и заказы, кассир — работать с кассовыми документами, а руководитель — просматривать всё без права изменения. В типовых конфигурациях на платформе 1С:Предприятие 8.3 это решается через роли, профили групп доступа и механизм ограничения доступа на уровне записей (RLS).
Подход зависит от того, чего нужно добиться: полностью скрыть вид документов, разрешить просмотр без редактирования или ограничить доступ документами конкретной организации, склада или подразделения. Каждая из этих задач решается своим инструментом, и смешивать их без понимания логики не стоит — иначе получите либо лишние запреты, либо «дыры» в доступе.
Ниже разобраны практические сценарии для типовых конфигураций (Управление торговлей, ERP, Комплексная автоматизация, Бухгалтерия предприятия) с точными действиями, признаками корректной настройки и типичными ошибками.
Как устроены права в 1С: роли, профили и RLS
В основе механизма лежат роли — наборы прав на объекты конфигурации (чтение, добавление, изменение, удаление). Роли описаны в конфигураторе, и типовые конфигурации поставляются с большим набором готовых ролей: например, «Добавление изменение документов продажи», «Чтение документов закупки» и так далее.
Пользователю роли назначаются не напрямую, а через профили групп доступа. Профиль — это набор ролей, оформленный как объект базы данных: его можно создать, скопировать, изменить без конфигуратора. Пользователь включается в группу доступа, группа связана с профилем — так права доходят до конкретной учётной записи.
Третий уровень — ограничение доступа на уровне записей (RLS). Оно работает внутри уже разрешённого вида документов: пользователь видит документы «Реализация товаров и услуг», но только по тем организациям или складам, которые ему разрешены. RLS задаётся в шаблонах ограничений ролей и управляется через группы доступа и настройки разрешённых значений.
Подготовка: что проверить перед настройкой
Перед изменением прав убедитесь, что в конфигурации включён функциональный механизм групп доступа. Откройте «Администрирование» → «Настройки прав и пользователей» и проверьте, что установлен флаг «Группы доступа» (в ряде конфигураций — «Ограничивать доступ на уровне записей»). Без этого флага разделы профилей и групп будут недоступны.
Второй шаг — определить, есть ли у пользователя роль «Полные права» (или профиль «Администратор»). Полные права игнорируют любые ограничения, включая RLS: если пользователь администратор, никакие запреты на документы на него не подействуют. Частая ситуация: настройки вроде бы сделаны, а пользователь всё равно видит всё — причина именно в этом.
Третий момент — работайте в копии базы или в тестовом контуре, если изменения массовые. Ошибка в профиле, привязанном к десяткам пользователей, мгновенно блокирует работу целого отдела.
Настройка профиля: разрешить или запретить виды документов
Откройте «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». Проще всего не создавать профиль с нуля, а скопировать типовой, близкий по задаче: например, «Менеджер по продажам» или «Бухгалтер». Копия сохранит базовый набор ролей, а вы скорректируете её под свою задачу.
В форме профиля на закладке «Роли» отметьте нужные роли. Логика именования типовых ролей такова: роли вида «Добавление изменение…» дают право создавать и редактировать документы, «Чтение…» — только просмотр. Чтобы пользователь мог смотреть, но не менять документы, оставьте только роль чтения и снимите роль добавления/изменения.
Чтобы полностью скрыть вид документов, снимите обе роли — чтения и изменения. Важный нюанс: если документ участвует в интерфейсе (подсистемах) и у пользователя нет роли чтения, команда документа пропадёт из меню, а при попытке открыть его по ссылке появится сообщение о нарушении прав доступа.
- 1Откройте «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа»
- 2Скопируйте типовой профиль, близкий к задаче, и дайте копии понятное имя
- 3На закладке «Роли» оставьте только нужные роли: чтение — для просмотра, добавление/изменение — для редактирования
- 4Сохраните профиль и свяжите его с группой доступа, в которую входит пользователь
- 5Войдите под учётной записью пользователя и проверьте доступность документов
Ограничение по организациям, складам и подразделениям
Если задача — чтобы менеджер видел документы только своей организации или склада, одних ролей недостаточно: нужен RLS. В типовых конфигурациях он уже настроен в шаблонах ролей, вам остаётся задать разрешённые значения.
Порядок такой. В карточке группы доступа (или в карточке пользователя, если работает без групп) заполните закладку «Разрешенные значения»: укажите конкретные организации, склады, подразделения или кассы. После этого RLS-условия в ролях начнут отсекать документы с «чужими» значениями этих реквизитов.
Обратите внимание на поведение пустого списка значений. В типовых конфигурациях, если по виду доступа у пользователя не задано ни одного значения, это обычно трактуется как «все значения запрещены» либо «ограничение не применяется» — поведение зависит от настройки вида доступа в профиле. Поэтому всегда проверяйте результат фактически: откройте список документов под пользователем и убедитесь, что лишнего нет.
Отдельные сценарии: только просмотр, запрет проведения, индивидуальные пользователи
Дать право только просматривать документы
Назначьте профиль, в котором есть роль «Чтение…» нужного вида документов и нет роли «Добавление изменение…». Пользователь увидит списки и формы документов, но кнопки записи и проведения будут недоступны. Это стандартный вариант для руководителей и аудиторов.
Разрешить ввод, но запретить проведение
Такая задача встречается, когда документы вводит оператор, а проводит ответственный сотрудник. В типовых ролях проведение обычно входит в право «Изменение», поэтому штатными ролями разделить ввод и проведение не всегда удаётся. Варианты решения: использовать «Интерактивное удаление помеченных» и настройки дат запрета изменения данных, либо доработать роли в расширении конфигурации, отделив право проведения.
Настроить права одному пользователю вне групп
Если исключение нужно для одного человека, не плодите отдельные профили под каждого. В типовых конфигурациях можно включить пользователя в существующую группу доступа и дополнительно задать индивидуальные разрешённые значения в его карточке. Это прозрачнее для последующего аудита прав.
Сравнение вариантов
Подходят для запрета или разрешения целых видов документов. Не ограничивают отдельные записи внутри вида.
Подходят для разграничения по организациям, складам, подразделениям внутри разрешённого вида. Требуют аккуратного заполнения разрешённых значений.
Нужно, когда штатных ролей не хватает (например, отделить проведение от изменения). Требует навыков разработки и тестирования при обновлениях.
Проверка результата и типичные ошибки
Единственный надёжный способ проверки — войти в базу под учётной записью пользователя. Откройте список документов нужного вида, попробуйте создать новый документ, провести и изменить существующий. Проверьте также смежные объекты: отчёты по документам, печатные формы, связанные регистры — иногда документ скрыт, но его данные «светятся» через отчёт, на который права не ограничены.
Для диагностики в файловом режиме и клиент-серверном можно использовать технологический журнал с событием нарушения прав доступа (включается через logcfg.xml): в нём видно, какой именно роли не хватило при ошибке. Это быстрее, чем перебирать роли методом тыка.
Как проверить результат
Видны только разрешённые виды и записи по своим организациям/складам
Видны чужие документы или список пуст при наличии документов
Разрешённые действия выполняются, запрещённые дают сообщение о нарушении прав
Документ не проводится по ошибке прав, хотя должен
Отчёт показывает только разрешённые данные
Через отчёт видны данные скрытых документов
Границы штатных средств и когда нужна доработка
Штатные профили и RLS закрывают большинство задач: скрыть вид документов, дать только просмотр, разграничить записи по аналитикам. Но есть сценарии, где типовых средств не хватает: запрет проведения при разрешённом изменении, доступ по произвольному условию (например, только документы с суммой до лимита), динамические правила по статусу документа.
Такие требования реализуются через расширение конфигурации: свои роли с шаблонами RLS или подписки на события с проверками. Это уже задача разработчика — самостоятельно без опыта работы с конфигуратором лезть в роли не стоит: ошибка в шаблоне ограничения может замедлить запросы по всей базе или открыть лишнее.
Что важно запомнить
Виды документов открываются и закрываются ролями в профилях групп доступа, конкретные записи ограничиваются RLS через разрешённые значения. Полные права отменяют любые запреты. Работайте с копиями типовых профилей и всегда проверяйте результат под учётной записью пользователя, включая отчёты.
Частые вопросы
Пользователь всё равно видит все документы после настройки прав. Почему?
Чаще всего у него есть профиль «Администратор» или роль «Полные права» — они игнорируют любые ограничения, включая RLS. Проверьте состав групп доступа пользователя и уберите административный профиль, оставив только рабочие.
Можно ли скрыть документы прошлых периодов, оставив текущие?
Да, для этого служит механизм дат запрета изменения данных («Администрирование» → «Даты запрета изменения данных»). Он запрещает редактирование документов раньше заданной даты, при этом просмотр остаётся. Полностью скрыть старые документы от просмотра штатно нельзя.
Сохранятся ли мои профили после обновления конфигурации?
Новые профили и копии типовых сохраняются. А вот изменённые типовые профили при обновлении могут быть перезаписаны поставщиком, поэтому правильная практика — копировать типовой профиль и менять копию.
Как дать доступ к документу только одной организации в многофирменной базе?
Включите группы доступа, в карточке группы или пользователя на закладке «Разрешённые значения» укажите нужную организацию. RLS-шаблоны типовых ролей автоматически отфильтруют документы по этому значению.
Документ скрыт из меню, но открывается по ссылке из другого документа. Это нормально?
Нет. Если роль чтения снята, при открытии должно появляться сообщение о нарушении прав. Если документ открывается — у пользователя есть другая роль, дающая чтение этого объекта. Найдите её через анализ состава профилей или технологический журнал.
Можно ли настроить права в файловой базе без программиста?
Да, все описанные настройки — профили, группы доступа, разрешённые значения — выполняются в пользовательском режиме через раздел «Администрирование» и не требуют конфигуратора. Конфигуратор нужен только для доработки ролей и шаблонов RLS.