Как в 1С настроить права доступа

Права доступа в 1С определяют, какие объекты видит пользователь, какие документы может создавать и проводить, а какие — только читать. Неправильно настроенные права приводят к двум крайностям: либо сотрудники не могут выполнять работу, либо получают доступ к зарплате, себестоимости и другим конфиденциальным данным. Разобраться в механизме нужно один раз — дальше настройка сводится к типовым действиям.

В конфигурациях на базе Библиотеки стандартных подсистем (УТ 11, ERP, Бухгалтерия 3.0, ЗУП 3.1) действует двухуровневая модель: роли задаются в конфигураторе, а прикладные администраторы работают с профилями и группами доступа в режиме предприятия. В простых или самописных конфигурациях права могут назначаться напрямую через роли в конфигураторе.

Ниже разобраны оба подхода: где находятся настройки, как создать профиль, ограничить доступ на уровне записей и проверить, что всё работает как задумано.

Как устроена модель прав в 1С

Базовый элемент системы прав — роль. Роль определяет набор разрешений на объекты конфигурации: чтение, добавление, изменение, удаление, проведение документов, использование отчётов и обработок. Роли создаёт разработчик в конфигураторе, они «зашиты» в конфигурацию и при обновлении на поддерживаемой конфигурации не меняются.

Пользователю нельзя выдать отдельное право напрямую — только через роль. В режиме предприятия роли объединяются в профили групп доступа: например, профиль «Менеджер по продажам» включает роли на работу с заказами, счетами и отчётами по продажам, но не включает доступ к регламентированной отчётности и настройкам системы.

Группа доступа связывает профиль с конкретными пользователями и позволяет задать ограничения по значениям: только своя организация, только определённые склады, только своя группа контрагентов. Именно на этом уровне реализуется разграничение «все видят только своё».

Подготовка: что сделать до настройки прав

Перед раздачей прав включите функциональность групп доступа, если она ещё не активна. В типовых конфигурациях путь: «Администрирование» → «Настройки прав и пользователей» → установить флажок «Группы доступа». Без этого флажка разделы профилей и групп доступа будут скрыты.

Составьте матрицу доступа на бумаге или в таблице: список должностей, объекты, с которыми работает каждая должность, и тип доступа (просмотр, создание, проведение, удаление). Это избавит от хаотичной выдачи прав «по запросу», которая со временем превращается в неуправляемый набор исключений.

Проверьте, что у вас есть пользователь с полными правами (роль «Полные права» / «Администратор системы») и отдельная учётная запись для тестирования. Никогда не проверяйте настройки прав на учётной записи администратора — она видит всё, и вы не заметите ошибок.

Настройка прав через профили групп доступа

Это основной сценарий для типовых конфигураций. Откройте «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». В списке уже есть поставляемые профили: «Бухгалтер», «Кассир», «Менеджер по продажам» и другие. Их можно использовать как есть или скопировать и доработать.

Чтобы создать собственный профиль, нажмите «Создать», укажите наименование и отметьте флажками разрешённые роли. Состав ролей зависит от конфигурации; ориентируйтесь на названия ролей и встроенные описания. Не включайте роли «Администратор системы», «Полные права» и «Выполнение обмена данными» рядовым пользователям — они снимают все ограничения.

1. 1
   Включите использование групп доступа в настройках прав и пользователей
2. 2
   Создайте или скопируйте профиль и отметьте нужные роли
3. 3
   Создайте группу доступа, укажите в ней профиль и ограничения по значениям (организация, склад)
4. 4
   Добавьте пользователей в группу доступа
5. 5
   Войдите под тестовой учётной записью и проверьте доступ к ключевым объектам

После создания профиля перейдите в «Группы доступа», создайте новую группу, выберите профиль и добавьте пользователей. Один пользователь может входить в несколько групп — тогда его права складываются (объединение разрешений).

Учтите: изменения профиля применяются ко всем группам, где он используется. Если нужен вариант «как у менеджера, но без права удаления», создавайте отдельный профиль, а не редактируйте общий.

Ограничение доступа на уровне записей (RLS)

Когда сотрудники должны видеть только «свои» данные, настраиваются ограничения на уровне записей. В карточке группы доступа есть закладка или поле «Разрешённые значения» (в зависимости от конфигурации): там указываются конкретные организации, склады, подразделения, кассы или группы контрагентов.

Типовой сценарий: компания с двумя юрлицами в одной базе. Создаются две группы доступа с одним профилем «Бухгалтер», но в первой разрешена организация «А», во второй — организация «Б». Пользователь первой группы не увидит документы и остатки второй организации ни в списках, ни в отчётах.

Ограничение «только изменение своих данных» работает иначе: в профиле в разделе «Ограничения доступа» для вида доступа (например, «Пользователи» или «Подразделения») выбирается режим «Все запрещены» или «Разрешённые», после чего доступность конкретных объектов задаётся в группе доступа. Точный набор видов доступа зависит от конфигурации.

Настройка прав через конфигуратор

Если конфигурация не использует профили групп доступа (простые или самописные решения), права назначаются напрямую. В конфигураторе откройте «Администрирование» → «Пользователи», выберите пользователя и на закладке «Прочие» отметьте доступные роли. Состав ролей смотрите в ветке «Общие» → «Роли» дерева конфигурации.

В дереве роли видны все объекты конфигурации и права на них: «Чтение», «Добавление», «Изменение», «Удаление», «Просмотр», «Интерактивное удаление» и другие. Право «Чтение» без «Просмотра» даст доступ программно, но не покажет объект в интерфейсе — это частая причина вопроса «почему роль есть, а пункта меню нет».

Для тонкой настройки RLS в конфигураторе в свойствах права роли есть поле «Ограничение доступа», где на встроенном языке описывается условие: например, отбор по полю «Организация» из параметров сеанса. Такие шаблоны требуют понимания встроенного языка и тестирования, ошибка в шаблоне может закрыть доступ к данным вообще для всех.

// Пример шаблона RLS: документы только доступных организаций
#ТекущаяТаблица.Организация В (&ДоступныеОрганизации)

Проверка результата и контроль

После настройки обязательно проверьте права от имени обычного пользователя. Создайте тестовую учётную запись, включите её в целевую группу доступа и войдите в базу под ней: откройте ключевые документы, попробуйте создать и провести документ, откройте отчёты, попробуйте открыть запрещённый раздел.

Для диагностики в типовых конфигурациях есть отчёт «Права доступа» или «Анализ прав доступа» (в разделе администрирования): он показывает, какие роли и ограничения действуют на конкретного пользователя. В конфигураторе помогает отчёт по правам из меню «Администрирование» или команда «Показать права» в карточке пользователя.

Типичные ошибки и их последствия

Самая распространённая ошибка — выдача полных прав «временно», которое становится постоянным. Пользователь с полными правами обходит все ограничения, включая RLS, и может менять настройки, удалять данные и видеть всё. Полные права должны быть только у администраторов, и их список нужно периодически пересматривать.

Вторая частая проблема — накопление прав через множество групп доступа. Права в 1С складываются: если пользователь состоит в пяти группах, он получает объединение всех разрешений. Отозвать конкретное право «вычитанием» нельзя — нужно исключать пользователя из лишних групп.

Третья ошибка — редактирование типовых профилей вместо создания копий. При обновлении конфигурации изменения могут конфликтовать с поставляемыми настройками, а при расследовании инцидента будет непонятно, что именно менялось. Всегда копируйте профиль и давайте ему говорящее имя.

Частые вопросы