← На главную

При работе в облачном сервисе 1С:Фреш у администраторов часто возникает вопрос: почему при добавлении нового пользователя доступны только два права — «Запуск» и «Запуск и администрирование», и можно ли ограничить права сотрудника до работы с конкретными документами (например, только приходными и расходными накладными)?

Рассмотрим подробно архитектуру разграничения прав в 1С:Фреш, разберем причины ограничений в типовой конфигурации 1С:Бухгалтерия предприятия 3.0 и проанализируем доступные способы решения задачи.

Разделение прав: Менеджер сервиса и информационная база

Главная причина путаницы заключается в разграничении зон ответственности внутри сервиса. Проанализируем, где именно задаются настройки:

1. Менеджер сервиса (личный кабинет 1cfresh.com): здесь назначаются системные права уровня доступа к самому облаку. Права Запуск и Запуск и администрирование определяли технический доступ пользователя к запускным ссылкам базы. Обратите внимание: право Запуск не ограничивает работу через Тонкий клиент 1С (при совпадении версий платформы пользователь сможет работать и через браузер, и через Тонкий клиент).
2. Сама информационная база (режим 1С:Предприятие): детальная настройка прав на чтение, проведение и редактирование документов осуществляется строго внутри конфигурации в разделе администрирования.

Для настройки конкретных прав пользователя необходимо зайти непосредственно в приложение 1С:Бухгалтерия под учетной записью администратора.

Настройка профилей групп доступа в 1С:Бухгалтерии 3.0

Выясним, как настроить права прямо в информационной базе. Разберем по шагам порядок действий:

1. Перейдем в раздел Администрирование — Настройки пользователей и прав.
2. Откроем справочник Профили групп доступа.
3. Создадим новый профиль или скопируем существующий типовой профиль (например, Менеджер по продажам).
4. Отметим галочками нужные роли, определяющие состав доступных документов и справочников.
5. Сохраним созданный профиль и назначим его пользователю через Группы доступа или карточку пользователя.

Архитектурные ограничения БП 3.0 и механизм RLS

При попытке оставить пользователю доступ только к документам Поступление (акты, накладные, УПД) и Реализация (акты, накладные, УПД) мы столкнемся со спецификой конфигурации 1С:Бухгалтерия предприятия 3.0:

Отсутствие атомарных ролей: В БП 3.0 нет изолированных ролей на чтение или изменение строго двух выбранных видов документов. Права в конфигурации объединены в крупноблочные профили. Назначение роли для работы с накладными автоматически дает доступ к сопутствующим регистрам и объектам учета.

Ограничения встроенного RLS: Механизм ограничения прав на уровне записей (RLS) в типовой БП 3.0 позволяет разграничивать доступ только по Организациям. Запретить просмотр или редактирование отдельных складов, контрагентов или видов первичных документов штатным механизмом RLS невозможно.

Например, предопределенный профиль Менеджер по продажам дает доступ к расходным накладным, но не включает права на приходные документы (раздел «Закупки»). Полноценно объединить только эти два документа без лишних прав средствами стандартного конструктора профилей не удастся.

Альтернативные способы решения

Если для бизнес-процесса критически важно жестко ограничить доступ пользователя, рассмотрим два пути:

1. Разработка расширения конфигурации (.cfe): Для 1С:Фреш можно написать расширение, содержащее программные проверки прав на открытие и редактирование конкретных форм. Обратите внимание: любое расширение для 1С:Фреш перед загрузкой в облако должно пройти обязательный аудит безопасности сервиса.
2. Переход на другую конфигурацию: Если требуется гибкая настройка прав и RLS по менеджерам, складам или подразделениям out-of-the-box, целесообразно рассмотреть конфигурации 1С:Управление торговлей, 1С:Управление нашей фирмой или 1С:Комплексная автоматизация. В них механизмы разграничения прав изначально приспособлены для гибкой настройки доступа линейного персонала.