Как настроить группы и профили доступа для большого числа пользователей в 1С:Бухгалтерия 3.0?

← На главную

При администрировании информационных баз 1С:Бухгалтерия предприятия 3.0 (включая версию КОРП) с большим штатом сотрудников (от нескольких десятков до сотен человек) администраторы часто сталкиваются с неочевидным поведением системы: привычный по другим конфигурациям справочник ГруппыДоступа отсутствует или скрыт в пользовательском интерфейсе, а привязать права сразу группе сотрудников не удается. Приходится открывать карточку каждого пользователя и вручную проставлять нужные флажки профилей.

Разберем детально, почему так устроена система прав в типовой бухгалтерии, как работают типовые механизмы и какими способами можно организовать быстрое и удобное управление правами большого количества пользователей.

Почему в 1С:Бухгалтерии 3.0 скрыты группы доступа

В конфигурациях линейки «Бухгалтерия предприятия» подсистема «Управление доступом» библиотеки стандартных подсистем (БСП) по умолчанию работает в режиме упрощенного интерфейса управления правами доступа. Рассмотрим особенности этого режима:

Справочник ГруппыДоступа скрыт от пользователя, чтобы не перегружать интерфейс небольших организаций сложными многоуровневыми связями.
Профили групп доступа назначаются непосредственно в карточке конкретного пользователя на вкладке «Права доступа».
Система автоматически создает невидимую персональную группу доступа для каждого пользователя с жесткой связью «один пользователь — одна группа доступа».
Справочник ГруппыПользователей в данном режиме играет исключительно организационную роль и не передает права входящим в него сотрудникам.

Способ 1. Управление правами через централизованные профили доступа

Если конфигурация остается на типовой поддержке без доработок, самым простым и безопасным подходом является централизованное изменение состава ролей внутри профилей доступа. Разберем по шагам, как это реализовать:

Откроем раздел Администрирование → Настройки пользователей и прав → Профили групп доступа.
Создадим собственный базовый профиль, например «Базовые права сотрудников», включив в него минимальные системные роли: запуск тонкого/веб-клиента, просмотр общих классификаторов, базовые права БСП, печать и сохранение табличных документов.
Для каждого подразделения или функциональной роли создадим отдельные профили путем копирования типовых (например, «Бухгалтер по ОС», «Менеджер по закупкам», «Экономист ПЭО») и настроим в них только профильные роли.
При необходимости изменить права целого отдела не нужно заходить в карточки всех 200 пользователей: достаточно изменить состав ролей в соответствующем профиле групп доступа. Изменения вступят в силу для всех пользователей этого профиля сразу после сохранения настроек или повторного входа в систему.

Способ 2. Включение расширенного режима и использование групп доступа

Если на предприятии требуется полноценная матрица прав с назначением доступа на элементы справочника ГруппыПользователей, упрощенный режим можно переключить в расширенный. Проанализируем два варианта переключения:

Через интерфейс (включение RLS): В разделе Администрирование → Настройки пользователей и прав установим флаг «Ограничивать доступ на уровне записей». В некоторых версиях конфигурации это автоматически открывает стандартный справочник ГруппыДоступа, где участниками группы могут выступать не только отдельные пользователи, но и группы пользователей. Обратите внимание: включение RLS увеличивает нагрузку на СУБД, так как ко всем запросам платформы добавляются проверки ограничений.
Через расширение конфигурации (без RLS): Переопределим логику работы интерфейса БСП, создав расширение. В модуле УправлениеДоступомПереопределяемый найдем процедуру ПриОпределенииНастроек и переопределим параметр:


Процедура ПриОпределенииНастроек(Настройки)
    Настройки.УпрощенныйИнтерфейсУправленияПравамиДоступа = Ложь;
КонецПроцедуры

После отключения упрощенного интерфейса в меню появится полноценный список групп доступа. Теперь достаточно создать группу доступа, привязать к ней профиль и указать в качестве участников группу пользователей (например, «Отдел снабжения»). При добавлении нового сотрудника в группу пользователей все права назнаblockятся ему автоматически.

Способ 3. Программная групповая обработка назначения профилей

Если требуется разово или периодически обновлять права у сотен пользователей без изменения типового режима интерфейса, воспользуемся штатным программным API подсистемы управления доступом. Напишем простую внешнюю обработку со следующим кодом:


// Пример массового включения профиля списку пользователей
Для Каждого ПользовательСсылка Из МассивВыбранныхПользователей Цикл
    УправлениеДоступом.ВключитьПрофильПользователю(ПользовательСсылка, ПрофильГруппДоступаСсылка);
КонецЦикла;

// Пример массового отключения профиля
Для Каждого ПользовательСсылка Из МассивВыбранныхПользователей Цикл
    УправлениеДоступом.ВыключитьПрофильПользователю(ПользовательСсылка, ПрофильГруппДоступаСсылка);
КонецЦикла;

Вызов процедур УправлениеДоступом.ВключитьПрофильПользователю и УправлениеДоступом.ВыключитьПрофильПользователю корректно обновляет системные регистры прав доступа БСП, не нарушая целостность информационной базы и экономя рабочее время администратора.

Важные нюансы при работе с собственными ролями и профилями

Обновление метаданных: Если новые роли создаются непосредственно в конфигураторе, перед добавлением их в профили в режиме «1С:Предприятие» обязательно выполним обновление метаданных БСП, запустив базу с параметром /C ЗапуститьОбновлениеИнформационнойБазы или вызвав регламентные процедуры обновления параметров работы программы.
Минимальный набор прав: Создавая профиль «с нуля», нельзя оставлять его без базовых прав БСП, иначе пользователь не сможет пройти авторизацию и открыть главное окно программы. Всегда надежнее создавать профили копированием типовых.