Как запретить запись в 1С: права, роли и даты запрета изменений

Под «запретом записи в 1С» обычно понимают несколько разных задач: закрыть пользователю возможность создавать и изменять документы, заблокировать редактирование данных прошлых периодов, запретить проведение документов или ограничить доступ к конкретным справочникам. Инструменты для этого в платформе 1С:Предприятие разные, и выбирать их нужно под конкретную цель — иначе ограничение либо не сработает, либо заблокирует лишнее.

Основные механизмы — это роли и права доступа, дата запрета изменения данных, ограничение доступа на уровне записей (RLS) и настройки профилей групп доступа в типовых конфигурациях. Все они работают на уровне платформы, то есть действуют и при работе через тонкий клиент, и через веб-клиент, и при обмене данными.

Прежде чем что-либо запрещать, сделайте резервную копию информационной базы и проверяйте настройки на тестовом пользователе. Ошибка в правах может остановить работу целого отдела: например, излишне жёсткий запрет запись регистров сломает проведение документов даже у тех, кому оно разрешено.

Определите, что именно нужно запретить

Первый шаг — сформулировать задачу точно. «Запретить запись» может означать: пользователь видит документы, но не может их создавать и менять; пользователь не может изменять данные старше определённой даты; пользователь может создавать документы, но не может их проводить; пользователь не должен видеть и редактировать чужие подразделения или организации. Для каждого случая — свой инструмент.

Важно понимать разницу между интерактивным и программным доступом. Права «Добавление» и «Изменение» ограничивают и тот, и другой. Если нужно запретить только ручное редактирование, но оставить работу обменов и регламентных заданий, используются раздельные права «Интерактивное добавление» и «Интерактивное изменение» — они доступны для ряда объектов.

Запрет записи через роли и права доступа

Базовый механизм платформы — роли. Каждая роль содержит набор прав на объекты метаданных: справочники, документы, регистры, отчёты. Для запрета записи у нужного объекта снимаются права «Добавление» и «Изменение», а при необходимости — «Удаление» и «Проведение» (для документов). Право «Чтение» и «Просмотр» при этом остаётся, и пользователь видит данные в режиме «только чтение».

В файловой базе без доработок роли назначаются пользователю в конфигураторе: «Администрирование → Пользователи → вкладка "Прочие"». В клиент-серверном варианте с типовой конфигурацией (Бухгалтерия, ERP, Управление торговлей) роли обычно не трогают напрямую — вместо этого настраивают профили групп доступа, о которых ниже.

Учтите связность объектов: если у пользователя есть право на проведение документа, но нет права «Изменение» на регистр, в который документ пишет движения, проведение завершится ошибкой нарушения прав доступа. Поэтому запреты проверяют комплексно — по цепочке «документ → регистры → связанные справочники».

Профили групп доступа в типовых конфигурациях

В конфигурациях на Библиотеке стандартных подсистем (БСП) права задаются через «Администрирование → Настройки пользователей и прав → Группы доступа». Администратор создаёт профиль, отмечает в нём разрешённые роли, а затем включает пользователей в группу доступа с этим профилем. Для запрета записи создаётся профиль, в котором отсутствуют роли, дающие добавление и изменение нужных объектов.

Типовые роли устроены гранулярно: например, в 1С:Бухгалтерии есть отдельные роли «Добавление и изменение банковских документов», «Чтение банковских документов» и т. п. Чтобы пользователь мог только смотреть, включите в профиль роли с префиксом «Чтение…» и исключите роли «Добавление и изменение…».

Проверка результата обязательна: войдите под тестовым пользователем, откройте документ и убедитесь, что кнопки «Создать», «Записать» и «Провести» недоступны или при попытке записи выводится сообщение о нарушении прав доступа. Проверяйте именно под учётной записью пользователя, а не «на глаз» по настройкам профиля.

1. 1
   Откройте «Администрирование → Настройки пользователей и прав → Профили групп доступа»
2. 2
   Создайте новый профиль и включите в него только роли чтения нужных объектов
3. 3
   Создайте группу доступа с этим профилем и добавьте в неё пользователей
4. 4
   Войдите под тестовым пользователем и попробуйте создать и записать документ
5. 5
   Убедитесь, что запись запрещена, а просмотр работает

Дата запрета изменения данных (закрытие периода)

Дата запрета — штатный способ запретить запись и изменение данных прошлых периодов для всех или части пользователей. В типовых конфигурациях она настраивается в разделе «Администрирование → Поддержка и обслуживание → Регламентные операции» (в ряде конфигураций — «Настройки пользователей и прав → Даты запрета изменения данных»). Всё, что старше указанной даты, становится недоступным для записи и проведения.

Механизм гибкий: дату можно задать общую для всех, отдельную для конкретных пользователей или групп, а также по разделам учёта и организациям. Например, бухгалтерию закрыть по последний день квартала, а складу оставить возможность вводить первичку задним числом в течение нескольких дней.

При попытке записать или провести документ с датой раньше запретной пользователь получит сообщение о запрете изменения данных. Администратору и пользователям с правом «Изменение даты запрета» ограничение не мешает управлять самой настройкой, но сам запрет для них тоже действует, если не задано исключение.

Запрет проведения и интерактивного редактирования

Частая задача — разрешить ввод документов, но запретить их проведение, чтобы движения по регистрам делал только ответственный сотрудник. Для этого в роли у объекта «Документ» снимается право «Проведение», а права «Добавление» и «Изменение» остаются. Пользователь сможет записать документ как черновик, но кнопка «Провести» будет недоступна.

Обратный сценарий — запретить ручное изменение данных, которые должны формироваться только программно (например, загружаться из внешней системы). Здесь применяются права «Интерактивное добавление» и «Интерактивное изменение»: при их снятии пользователь не сможет редактировать объект через формы, но обмены и обработки смогут записывать данные от имени служебного пользователя с полными правами.

Для регистров, заполняемых обработками, дополнительно проверьте, что у пользователя нет доступа к самим обработкам, которые могут перезаписать данные. Право на объект без контроля инструментов изменения даёт лишь частичную защиту.

Ограничение доступа на уровне записей (RLS)

RLS нужен, когда запрет касается не всего объекта, а части записей: своя организация, свой склад, свои контрагенты. Ограничение задаётся шаблоном на встроенном языке в роли (параметр «Ограничение доступа») либо настраивается в типовых конфигурациях через группы доступа контрагентов, организаций, складов и физических лиц.

При включённом RLS пользователь физически не видит чужие записи в списках и не может их записать — запрос платформы дополняется условием отбора. Это надёжнее, чем скрытие элементов настройками интерфейса: данные недоступны и в отчётах, и при выгрузках.

Минус RLS — нагрузка на производительность и сложность отладки. На больших базах сложные шаблоны ограничений могут заметно замедлить запросы. Поэтому шаблоны держат простыми, а перед внедрением проверяют скорость типовых операций под пользователем с ограниченными правами.

Сравнение механизмов запрета

Роли и права

Подходит для запрета записи целых типов объектов. Простая настройка, но нельзя ограничить отдельные записи

Дата запрета изменения

Подходит для закрытия периодов. Не различает пользователей без дополнительной настройки исключений

Профили групп доступа

Стандарт для типовых конфигураций. Удобно управлять без конфигуратора, но зависит от состава типовых ролей

RLS

Подходит для ограничений по организациям, складам, контрагентам. Гибко, но влияет на производительность и сложнее в отладке

Типичные ошибки и проверка результата

Самая распространённая ошибка — снять право на документ, но забыть про регистры. Если у пользователя осталось право «Изменение» на регистр, а документ проводится под другим пользователем или фоновым заданием, данные всё равно могут меняться обходным путём. Вторая частая ошибка — назначить пользователю несколько профилей, один из которых содержит «лишнюю» роль: права в 1С суммируются по принципу «разрешено, если разрешено хотя бы в одной роли».

Ещё одна ловушка — полные права и право «Администрирование». Пользователь с полными правами обходит большинство ограничений, включая дату запрета (при наличии соответствующего права). Регулярно проверяйте список пользователей с полными правами и держите его минимальным.

Итоговая проверка: войдите под целевым пользователем, попробуйте создать документ, изменить существующий, провести и отменить проведение, записать элемент справочника, изменить документ закрытого периода. Все запрещённые операции должны завершаться сообщением о нарушении прав, разрешённые — выполняться без ошибок.

Частые вопросы

Можно ли запретить запись только одного конкретного документа, а не всего вида документов?

Штатными правами — нет: права задаются на вид объекта целиком. Для отдельных экземпляров применяют RLS (ограничение по условию), блокировку объекта через механизмы типовых конфигураций или дату запрета, если документ относится к закрытому периоду.

Почему пользователь с запретом всё равно может записывать документы?

Чаще всего причина в том, что у пользователя несколько ролей или профилей, и в одном из них право сохранилось — права в 1С суммируются. Также проверьте наличие полных прав и право «Администрирование». Полезен отчёт «Анализ прав доступа» в типовых конфигурациях: он показывает, откуда взялось каждое право.

Действует ли дата запрета на обмены данными между базами?

Да, если обмен выполняется под пользователем, на которого распространяется запрет. Запись объектов с датой раньше запретной будет отклонена с ошибкой. Для служебных пользователей обмена обычно задают исключение из даты запрета или отдельную дату.

Как запретить изменение справочника «Номенклатура» для менеджеров?

В типовой конфигурации создайте профиль без роли «Добавление и изменение номенклатуры», оставив роль чтения, и включите менеджеров в группу доступа с этим профилем. Проверьте, что у них нет других профилей, где эта роль присутствует.

Можно ли запретить запись только через формы, но оставить программную запись?

Да, для этого служат права «Интерактивное добавление» и «Интерактивное изменение». При их снятии пользователь не сможет редактировать объект вручную, а обработки и обмены, работающие под служебной учётной записью с нужными правами, продолжат записывать данные.

Что делать, если после настройки запрета перестали проводиться документы у других пользователей?

Скорее всего, запрет затронул регистры, в которые документы делают движения, или изменён общий профиль, в который входят и другие сотрудники. Откатите изменение, выделите отдельный профиль для ограничиваемой группы и проверьте права по цепочке «документ — регистры — связанные объекты».