Администрирование · 10 мин
Как в 1С ограничить права пользователя
Как в 1С ограничить права пользователя: роли и профили групп доступа, настройка в файловом и клиент-серверном режиме, RLS, проверка результата и типичные ошибки.
Ограничение прав пользователей в 1С решает две задачи: защита данных от случайных изменений и разграничение доступа к конфиденциальной информации — зарплате, взаиморасчётам, себестоимости. Правильно настроенная схема прав не мешает работе: сотрудник видит только те документы и справочники, которые нужны ему по должности.
Механизм зависит от режима работы. В типовых конфигурациях на базе Библиотеки стандартных подсистем (БСП) — «1С:Бухгалтерия», «1С:ЗУП», «1С:Управление торговлей» — права настраиваются через профили групп доступа в пользовательском интерфейсе, без конфигуратора. В простых или самописных конфигурациях роли назначаются напрямую в конфигураторе. Ниже разобраны оба подхода.
Перед любыми изменениям прав сделайте резервную копию базы или хотя бы выгрузку в dt. Ошибочное снятие прав у учётной записи администратора может полностью заблокировать управление системой.
Как устроены права в 1С: роли, профили и группы доступа
Базовый элемент системы прав — роль. Роль определяет, какие действия (чтение, добавление, изменение, удаление, проведение) разрешены с конкретными объектами метаданных: документами, справочниками, регистрами, отчётами. Роли задаются разработчиком в конфигураторе и не меняются в пользовательском режиме.
В типовых конфигурациях над ролями надстроены два уровня. Профиль группы доступа — это именованный набор ролей, например «Менеджер по продажам» или «Кассир». Группа доступа объединяет пользователей, которым назначен один и тот же профиль. Администратор работает с профилями и группами, не касаясь конфигуратора.
Дополнительно действует механизм RLS (Record Level Security) — ограничение доступа на уровне записей. Он позволяет скрывать не весь справочник, а отдельные элементы: например, менеджер видит только своих контрагентов или документы только своей организации. RLS настраивается через значения доступа и шаблоны ограничений и требует аккуратности, так как влияет на скорость выполнения запросов.
Подготовка: что проверить перед настройкой
Убедитесь, что у вашей учётной записи есть права администратора (роль «Полные права» / «Администратор системы»). Без них разделы настройки прав будут недоступны или откроются только на просмотр.
Определите, в каком режиме работает база и какая конфигурация используется. Откройте «Сервис» или меню «≡» → «О программе»: там указаны конфигурация и её версия. Если конфигурация типовая и на управляемых формах — ищите настройки прав в интерфейсе. Если конфигурация старая (обычные формы) или самописная — настраивайте роли в конфигураторе.
Составьте матрицу доступа: список сотрудников и перечень разделов, которые каждому нужны. Это избавит от хаотичной выдачи прав «на глаз» и упростит проверку. Заодно решите, нужны ли ограничения по организациям, складам или подразделениям — от этого зависит, понадобится ли RLS.
Ограничение прав в типовой конфигурации через профили
Откройте раздел «Администрирование» → «Настройки пользователей и прав». Убедитесь, что включён флажок «Группы доступа» (в некоторых конфигурациях он находится в подразделе «Настройки прав»). После включения станут доступны справочники «Профили групп доступа» и «Группы доступа».
Откройте «Профили групп доступа» и скопируйте типовой профиль, ближайший к нужной должности, или создайте новый. В форме профиля отметьте роли, которые должны входить в набор: например, для кладовщика — доступ к складским документам и справочнику номенклатуры без права изменения цен и работы с денежными документами. Сохраните профиль.
Перейдите в «Группы доступа», создайте группу, укажите в ней созданный профиль и добавьте пользователей. Пользователь получает объединение прав всех профилей групп, в которые он включён: если нужно выдать дополнительный доступ, проще создать отдельный узкий профиль и добавить пользователя во вторую группу, чем расширять основной профиль для всех.
- 1Включите «Группы доступа» в разделе «Администрирование → Настройки пользователей и прав»
- 2Создайте или скопируйте профиль и отметьте в нём нужные роли
- 3Создайте группу доступа, привяжите профиль, добавьте пользователей
- 4Завершите сеанс пользователя и войдите под его учётной записью для проверки
Назначение ролей в конфигураторе
Если интерфейсных настроек прав нет, откройте конфигуратор и перейдите в «Администрирование» → «Пользователи». Выберите пользователя и откройте вкладку «Прочие» (или «Роли» — зависит от версии платформы). Снимите лишние роли и оставьте только необходимые. Учтите: роль «Полные права» игнорирует остальные ограничения, её наличие фактически означает административный доступ.
Чтобы понять, какую роль назначить, откройте в дереве конфигурации ветку «Общие» → «Роли» и посмотрите права каждой роли: двойной щелчок открывает матрицу объектов и действий. Не редактируйте типовые роли без необходимости — при обновлении конфигурации изменения могут быть затёрты. Если типовой роли не хватает, создайте собственную роль-копию.
После сохранения конфигурации выполните обновление конфигурации базы данных, если меняли состав ролей. Изменения в списке ролей пользователя применяются к новым сеансам: попросите пользователя перезайти в программу.
Ограничение доступа к отдельным записям (RLS)
Когда нужно скрывать не целые разделы, а часть данных — чужие организации, склады, контрагентов, — включите в настройках прав ограничение доступа на уровне записей. В типовых конфигурациях это делается в том же разделе «Настройки пользователей и прав», где задаются виды доступа: «Организации», «Склады», «Подразделения» и другие.
В профиле или группе доступа укажите разрешённые значения: например, для группы «Менеджеры филиала» — только одна организация. Пользователь увидит в списках документов и отчётах только записи по разрешённым значениям, остальные будут скрыты уже на уровне запроса к базе.
Учитывайте цену вопроса: RLS добавляет условия во все запросы к ограничиваемым таблицам, и на больших базах с десятками пользователей это может заметно замедлить отчёты и проведение документов. Включайте ограничения только по тем видам доступа, которые действительно нужны, и тестируйте скорость на реальном объёме данных.
Как выбрать способ ограничения
Проверка результата и типичные ошибки
Единственный надёжный способ проверки — войти в базу под учётной записью пользователя и пройти его типовой сценарий: открыть нужные документы, провести, сформировать отчёт. Убедитесь и в обратном: закрытые разделы действительно недоступны, попытка открыть запрещённый документ даёт сообщение о нарушении прав, а не ошибку программы.
Если пользователь жалуется, что «всё пропало», чаще всего причина в одном из трёх: профиль создан, но пользователь не добавлен в группу доступа; роль назначена, но сеанс не перезапущен; включён RLS без указания разрешённых значений — тогда программа скрывает все записи, а не только чужие.
Как проверить результат
Открываются только нужные разделы, документы проводятся без ошибок прав
Появляются сообщения «Нарушение прав доступа» при штатных операциях
Видны записи только по разрешённым организациям/складам
Список пустой или, наоборот, видны чужие данные
Только актуальные группы по текущей должности
Накоплены устаревшие группы от прошлых ролей
Часто задаваемые вопросы
Как быстро скопировать права одного пользователя другому?
В типовой конфигурации достаточно включить нового сотрудника в те же группы доступа, что и образцовый пользователь. В конфигураторе откройте список ролей образцовой учётной записи и отметьте у нового пользователя тот же набор. Копирование самой учётной записи не требуется и нежелательно.
Почему пользователь видит документ, но не может его провести?
Права на чтение и на проведение задаются отдельно. В роли могут быть открыты просмотр и изменение, но закрыто интерактивное проведение либо нет доступа к регистрам, по которым документ делает движения. Проверьте в профиле роли, связанные с соответствующими регистрами накопления и сведений.
Можно ли ограничить права только на время, например на период отпуска замещающего?
Да. Создайте отдельный профиль с расширенными правами и включите замещающего в соответствующую группу доступа. По окончании периода просто исключите его из группы — основной профиль при этом не меняется, и история изменений остаётся прозрачной.
Что делать, если после настройки прав пропал доступ у самого администратора?
Если в базе есть вторая учётная запись с полными правами — войдите под ней и восстановите права. Если администратор был один, в файловом режиме можно удалить или отредактировать список пользователей через специализированные средства либо восстановить базу из резервной копии. Именно поэтому копию делают до изменения прав.
Влияет ли ограничение прав на обмены и фоновые задания?
Регламентные задания в типовых конфигурациях выполняются от имени служебного пользователя или без учёта прав конкретного сеанса, поэтому ограничение прав обычного пользователя обмены не ломает. Но если обмен запускается интерактивно от имени пользователя, у него должны быть права на все задействованные объекты — иначе синхронизация завершится ошибкой.
Что важно запомнить
В типовых конфигурациях права ограничивают через профили и группы доступа, в простых — через роли в конфигураторе. Никому без необходимости не давайте полные права, RLS включайте только с заполненными разрешёнными значениями, а результат всегда проверяйте входом под учётной записью пользователя. Перед изменениями делайте резервную копию базы.