Настройка прав пользователей в 1С 8.3 ЗУП

Права пользователей в 1С:ЗУП 8.3 определяют, кто видит персональные данные сотрудников, начисляет зарплату, утверждает документы и формирует отчётность. Ошибка в настройке приводит либо к утечке конфиденциальных сведений — окладов, больничных, персональных данных, — либо к параличу работы, когда расчётчик не может провести документ. Поэтому разграничение доступа нужно планировать до запуска системы в эксплуатацию, а не после первого инцидента.

В типовой конфигурации 1С:ЗУП права строятся на связке «профиль группы доступа → группа доступа → пользователь». Профиль определяет набор разрешённых действий (ролей), группа доступа привязывает пользователей к профилю и ограничивает область данных — организации, подразделения, физические лица. Понимание этой трёхуровневой модели избавляет от главной ошибки администраторов: попытки назначать права напрямую каждому пользователю.

Материал ориентирован на администраторов и внедренцев, работающих с типовой 1С:ЗУП 8.3 в файловом или клиент-серверном варианте. Все действия выполняются в пользовательском режиме и не требуют изменения конфигурации.

Как устроена модель прав в 1С:ЗУП 8.3

Базовый элемент системы — роль. Роль определяет доступ к конкретным объектам: документам начисления, справочнику сотрудников, отчётам. Роли назначаются не пользователям напрямую, а профилям групп доступа. Профиль — это именованный набор ролей, например «Расчётчик зарплаты» или «Кадровик».

Группа доступа связывает профиль с конкретными пользователями и позволяет задать ограничение на уровне записей (RLS): расчётчик может видеть только свою организацию, а кадровик — только своё подразделение. Один пользователь может входить в несколько групп доступа, тогда его права суммируются.

Дополнительно существуют права на уровне конфигуратора — роли «Администратор системы», «Полные права». Их следует выдавать минимальному кругу лиц, потому что обладатель полных прав обходит любые ограничения, включая RLS.

Подготовка: включение механизма и список пользователей

Перед настройкой убедитесь, что включены функциональные опции. Откройте «Администрирование» → «Настройки пользователей и прав». Установите флажки «Группы доступа» и, если планируете разграничивать данные, «Ограничивать доступ на уровне записей». После включения ограничений сеансы пользователей могут замедлиться — это нормальная плата за проверку RLS.

Проверьте список пользователей: «Администрирование» → «Пользователи». У каждой учётной записи должны быть заполнены имя, аутентификация и, при необходимости, связь с физическим лицом. Связь с физлицом важна для механизмов самообслуживания и подписания документов.

Создание профиля группы доступа

Откройте «Администрирование» → «Настройки пользователей и прав» → «Профили групп доступа». В типовой поставке уже есть готовые профили: «Кадровик», «Расчётчик», «Руководитель кадровой службы» и другие. Рекомендуется не изменять типовые профили, а копировать их и корректировать копию — тогда обновления конфигурации не затрут ваши настройки.

В форме профиля на закладке «Разрешённые действия (роли)» отметьте нужные роли. Названия ролей соответствуют функциям: «Добавление изменение начислений», «Чтение данных сотрудников» и т.п. Начинайте с минимального набора и добавляйте роли по мере необходимости — так проще найти избыточное разрешение.

1. 1
   Скопируйте типовой профиль, ближайший к нужной должности
2. 2
   Переименуйте копию, например «Расчётчик филиала Север»
3. 3
   На закладке ролей снимите лишние и добавьте недостающие разрешения
4. 4
   Запишите профиль и проверьте его на тестовом пользователе

Назначение пользователей в группы доступа

Перейдите в «Группы доступа» и создайте новую группу, указав профиль. В табличную часть добавьте пользователей. Один профиль может обслуживать несколько групп — это удобно, когда одинаковые права нужны разным подразделениям с разными ограничениями по данным.

В карточке пользователя («Администрирование» → «Пользователи») на закладке «Права доступа» видно, в какие группы он входит. Именно здесь удобно проверять итоговую картину по конкретному сотруднику, а не искать его по всем группам вручную.

Помните: права суммируются. Если пользователь состоит в группе «Кадровики» и в группе «Расчётчики», он получит оба набора ролей. Убрать часть прав нельзя — только исключить из лишней группы.

Ограничение доступа по организациям и физлицам

В группе доступа на закладке «Ограничение доступа» можно задать разрешённые значения: организации, подразделения, физические лица. Например, расчётчик филиала получает в группе значение «Организация: Филиал Север» — и документы головной организации перестают быть ему видны.

Режим задания значений — «Все разрешены» или «Все запрещены, кроме указанных». Для разграничения по организациям используйте второй вариант с явным перечнем. Оставленный режим «Все разрешены» сводит на нет всю настройку, при этом внешне группа выглядит заполненной.

Проверка результата и типичные ошибки

Проверку выполняйте под учётной записью настраиваемого пользователя, а не под администратором. Попросите пользователя перезапустить сеанс — изменения прав применяются при новом входе. Затем пройдите ключевые сценарии: открытие списка сотрудников, создание документа начисления, запуск отчёта.

Для диагностики используйте отчёт «Анализ прав доступа» (в разделе администрирования или через «Все функции»). Он показывает, какие роли и ограничения реально действуют на выбранного пользователя, и помогает найти «лишнюю» группу, дающую нежелательный доступ.

Контрольные точки

Как проверить результат

Список сотрудников у расчётчика

Норма

Видны только сотрудники разрешённой организации

Тревожный признак

Видны все сотрудники базы — RLS не включён или значения не заданы

Создание документа начисления

Норма

Документ создаётся и проводится без ошибок прав

Тревожный признак

Ошибка «Нарушение прав доступа» — не хватает роли в профиле

Отчёты по зарплате

Норма

Отчёты строятся только по разрешённым данным

Тревожный признак

Пустой отчёт или ошибка — чрезмерное ограничение или отсутствие роли чтения

Частые вопросы по настройке прав в 1С:ЗУП

Почему пользователь не видит изменений прав после настройки?

Права применяются при входе в сеанс. Попросите пользователя полностью выйти из программы и зайти снова. Если проблема сохраняется, проверьте, не включён ли он в другую группу доступа с более широким профилем — права суммируются.

Можно ли дать право просматривать зарплату, но запретить её изменение?

Да. В профиле включите роли чтения начислений и расчётных данных, но не включайте роли добавления и изменения соответствующих документов. Типовые роли в ЗУП разделены на чтение и изменение, что позволяет собрать режим «только просмотр».

Как разграничить доступ между несколькими организациями в одной базе?

Включите ограничение доступа на уровне записей, создайте отдельную группу доступа для каждой организации с одним профилем, и в каждой группе на закладке «Ограничение доступа» задайте разрешённую организацию в режиме «Все запрещены, кроме указанных».

Что делать, если после включения RLS программа стала работать медленнее?

Замедление ожидаемо: каждый запрос к данным дополняется проверкой ограничений. Сократите число избыточных ограничений (не ограничивайте то, что не требуется), проверьте актуальность индексов и при клиент-серверной работе оцените нагрузку на СУБД. В большинстве случаев корректно настроенные ограничения по организациям влияют на скорость умеренно.

Нужно ли настраивать права в конфигураторе?

Для типовых задач — нет: вся настройка выполняется в пользовательском режиме через профили и группы доступа. В конфигураторе назначаются только базовые роли вроде «Администратор системы» при создании учётной записи и права на уровне СУБД для клиент-серверного варианта.