Невозможно исключить пользователя из группы доступа: он включён косвенно — как исправить в 1С

При попытке убрать сотрудника из группы доступа в 1С (Бухгалтерия предприятия, ЗУП, Управление торговлей, ERP и другие конфигурации на библиотеке стандартных подсистем) администратор сталкивается с сообщением: «Невозможно исключить пользователя из группы доступа, так как он включен в нее косвенно». Это не сбой программы, а штатная защита механизма прав: пользователь попал в группу не прямым назначением, а через другой объект, и пока эта связь существует, удалить его напрямую нельзя.

Косвенное включение означает, что пользователь входит в состав группы доступа через промежуточный элемент — чаще всего через группу пользователей, должность, подразделение или роль, которая сама включена в группу доступа. Система видит его участие как производное и запрещает ручное исключение, чтобы не нарушить целостность настройки прав.

Разобраться в ситуации можно за несколько минут, если понимать, где искать источник косвенного включения. Ниже разобраны причины ошибки, порядок диагностики, способы исключения пользователя и меры, которые помогут избежать повторения проблемы.

Почему 1С запрещает исключить пользователя из группы доступа

Механизм групп доступа в типовых конфигурациях 1С построен на двухуровневой модели. Есть группы доступа, которым назначены профили (наборы ролей), и есть участники этих групп. Участником может быть не только конкретный пользователь, но и целая группа пользователей, должность или подразделение. В этом случае все люди, входящие в такой объект, автоматически получают права группы доступа.

Когда администратор пытается вручную удалить строку с пользователем, который включён косвенно, программа блокирует действие. Логика проста: если исключить его точечно, то при следующем обновлении состава (например, после записи группы пользователей) он снова окажется в группе доступа. Чтобы настройка прав оставалась предсказуемой, 1С требует устранить первопричину — саму косвенную связь.

Типичные источники косвенного включения:

• пользователь состоит в группе пользователей (справочник «Группы пользователей»), которая добавлена в состав группы доступа;
• в группу доступа включены должность или подразделение, к которым привязан сотрудник;
• пользователь включён через внешнюю группу доступа или иерархию групп;
• состав группы доступа настроен с автоматическим подбором участников по условию.

Как найти источник косвенного включения

Первый шаг — открыть карточку группы доступа и посмотреть закладку с составом участников. Пользователи, добавленные напрямую, отображаются обычными строками. Если пользователь включён косвенно, в составе вы увидите группу пользователей, должность или подразделение, через которое он попадает в группу.

Второй способ — открыть карточку самого пользователя (раздел «Администрирование» → «Пользователи и права» → «Пользователи») и проверить, в какие группы пользователей он входит. Затем сопоставить эти группы с составом проблемной группы доступа. Совпадение укажет на источник связи.

В некоторых конфигурациях доступен отчёт или команда «Права доступа», которая показывает, откуда пользователь получил конкретные права. Если такой инструмент есть в вашей конфигурации, он существенно ускоряет диагностику: отчёт прямо указывает цепочку «пользователь → группа пользователей → группа доступа → профиль».

Способ 1: исключить пользователя из группы пользователей

Самый частый сценарий — пользователь входит в группу пользователей, которая целиком добавлена в группу доступа. Решение: открыть справочник «Группы пользователей» (раздел «Администрирование» → «Пользователи и права»), найти нужную группу и убрать из её состава конкретного сотрудника.

После сохранения группы пользователей вернитесь в группу доступа и обновите состав. Пользователь исчезнет из участников автоматически либо станет доступен для удаления. Важный нюанс: если сотрудник состоит в нескольких группах пользователей, включённых в одну и ту же группу доступа, исключать его придётся из каждой.

Этот способ корректен, когда сотруднику действительно не нужны права всей группы. Если же группа пользователей используется и для других целей (например, для рассылок или отборов в отчётах), подумайте, не сломает ли исключение смежные процессы.

1. 1
   Откройте группу доступа и определите, через какой объект пользователь включён косвенно
2. 2
   Перейдите в справочник «Группы пользователей» и откройте найденную группу
3. 3
   Уберите сотрудника из состава группы и запишите изменения
4. 4
   Вернитесь в группу доступа и обновите состав участников
5. 5
   Проверьте, что пользователь больше не отображается среди участников
6. 6
   Попросите пользователя перезайти в программу и проверить, что лишние права исчезли

Способ 2: убрать промежуточный объект из группы доступа или добавить пользователя напрямую с отключением

Если права через промежуточный объект нужны большинству, а исключить требуется одного-двух человек, есть два варианта. Первый — убрать группу пользователей (или должность) из состава группы доступа и добавить нужных людей напрямую, поимённо. Это даёт полный контроль над составом, но увеличивает трудоёмкость сопровождения: каждого нового сотрудника придётся добавлять вручную.

Второй вариант зависит от конфигурации: в ряде типовых решений в составе группы доступа для отдельных участников доступен признак отключения участия (снятие флага использования). Если такая возможность есть, можно оставить косвенную связь, но отключить действие прав для конкретного пользователя, не разрушая общую структуру.

Выбор зависит от масштаба. Для небольшой компании с редкими изменениями состава удобнее прямое поимённое назначение. Для организации с текучкой кадров и типовыми ролями разумнее сохранить группы пользователей и управлять составом через них.

Сравнение вариантов

Исключение из группы пользователей

Подходит, когда сотруднику не нужны права всей группы. Ограничение: влияет на все группы доступа, куда входит эта группа пользователей

Поимённое добавление в группу доступа

Полный контроль над составом. Ограничение: ручное ведение, риск забыть добавить новых сотрудников

Отключение участия в составе группы

Точечное исключение без разрушения структуры. Ограничение: доступно не во всех конфигурациях

Способ 3: проверить должности, подразделения и автоподбор состава

В конфигурациях с кадровым контуром (ЗУП, ERP) группа доступа может включать должности или подразделения. Тогда пользователь получает права, пока занимает соответствующую должность. Исключить его вручную невозможно — нужно либо изменить кадровые данные, либо перестроить состав группы доступа, убрав должность и назначив участников иначе.

Отдельный случай — автоматический подбор участников по настроенному условию. Если состав группы доступа формируется правилом, ручное исключение будет перезаписано при очередном обновлении. Здесь единственный устойчивый путь — скорректировать само правило так, чтобы сотрудник под него не попадал.

Перед изменениями зафиксируйте текущее состояние: сделайте скриншоты состава группы доступа и групп пользователей или выгрузите настройки. Это позволит быстро откатиться, если результат окажется не тем, что ожидался.

Проверка результата и типичные ошибки

После исключения пользователя недостаточно увидеть, что строка исчезла из состава группы. Права в 1С применяются при входе в сеанс, поэтому пользователь должен завершить сеанс и войти заново. Только после повторного входа можно достоверно проверить, что доступ к объектам закрыт.

Проверку лучше выполнять предметно: попросить пользователя открыть документ или справочник, который раньше был доступен через эту группу. Если доступ остался — значит, права приходят из другого источника: второй группы доступа с тем же профилем, другой группы пользователей или индивидуального профиля.

Контрольные точки

Как проверить результат

Состав группы доступа

Норма

Пользователь отсутствует среди участников

Тревожный признак

Строка осталась или появилась снова после обновления

Сеанс пользователя

Норма

После повторного входа объекты недоступны

Тревожный признак

Доступ сохранился — права идут из другого источника

Другие пользователи группы

Норма

У остальных участников права работают как раньше

Тревожный признак

После изменений права пропали у всех — задета общая связь

Как организовать права, чтобы ошибка не повторялась

Устойчивая схема строится на простом правиле: в группы доступа включаются группы пользователей, а не отдельные люди, и каждый сотрудник состоит ровно в тех группах, которые соответствуют его роли. Тогда приём и увольнение сотрудника сводится к добавлению или удалению его из группы пользователей, без правки самих групп доступа.

Полезно периодически проводить ревизию: сверять состав групп пользователей со штатным расписанием и проверять, нет ли «висячих» прямых назначений в группах доступа. Чем меньше смешения прямых и косвенных включений, тем проще диагностика и тем реже возникает описанная ошибка.

Частые вопросы

Почему пользователь снова появляется в группе доступа после удаления?

Значит, действует автоматический подбор состава или пользователь остался в группе пользователей, включённой в группу доступа. При каждом обновлении состава связь восстанавливается. Нужно изменить правило подбора или исключить сотрудника из промежуточной группы.

Можно ли исключить пользователя, не трогая остальных участников?

Да, если исключить его только из конкретной группы пользователей — остальные участники не пострадают. В некоторых конфигурациях также доступно отключение участия отдельного пользователя прямо в составе группы доступа без изменения структуры.

Пользователя исключили, но доступ к документам остался. Что не так?

Сначала проверьте, перезашёл ли пользователь в программу — права применяются при старте сеанса. Если перезаход был, ищите другой источник прав: вторую группу доступа с тем же профилем, индивидуально назначенный профиль или административные права.

Где посмотреть, откуда у пользователя конкретное право?

Во многих типовых конфигурациях есть отчёт или команда анализа прав доступа в разделе администрирования. Она показывает цепочку: пользователь → группа пользователей → группа доступа → профиль → роль. Если такого инструмента нет, цепочку проверяют вручную, последовательно открывая карточки пользователя и групп.

Опасно ли менять состав групп доступа в рабочей базе?

Само изменение безопасно, но его эффект применяется сразу для всех затронутых пользователей. Риск в том, чтобы случайно не лишить прав тех, кому они нужны. Перед массовыми изменениями сделайте резервную копию и проверьте настройку на одном тестовом пользователе.