Ключевая мысль: без правильно настроенных ролей и ограничений даже самые точные данные 1С могут принести ущерб бизнесу.
Цель статьи, показать пошаговый алгоритм, который поможет администратору создать прозрачную систему доступа: от Windows-аутентификации до тонкой фильтрации строк (RLS).

Основы модели безопасности 1С 8.3

Три уровня доступа

1. Метаданные и конфигурация. Кто может редактировать справочники, документы, отчёты.
2. Интерфейс. Какие команды и кнопки видны пользователю.
3. Данные (RLS). Какие конкретные записи пользователь может просматривать и изменять.

Что такое «роль» и «профиль»

Роль — это атомарный набор прав (пример: «Чтение справочника Контрагенты»).
Профиль — это готовый конструктор, собранный из нескольких ролей и назначаемый пользователю (пример: «Бухгалтер-расчётчик»).

Создание роли: чек-лист «с нуля»

1. Откройте конфигуратор → раздел Администрирование → Роли.
2. Нажмите «Создать», задайте короткое латинское имя, например: RoleReadCounterparties.
3. В закладке «Права» отметьте только нужные объекты:
   • Чтение справочника Контрагенты
   • Исключить «Запись» и «Просмотр» всех остальных справочников.
4. Сохраните и опубликуете конфигурацию (Ctrl + F7).

Профили пользователей и аутентификация Windows/AD

Создание профиля

1С → Администрирование → Пользователи → Профили → Создать
Имя: Бухгалтерия_оператор
Роли: RoleReadCounterparties + RolePostDocuments + ...

Подключение Windows-аутентификации

• На сервере 1С откройте ras.exe → вкладка «Аутентификация».
• Включите «Использовать проверку подлинности ОС Windows».
• В AD создайте группу 1C_Accountants и добавьте туда доменных пользователей.
• В 1С назначьте профиль Бухгалтерия_оператор группе 1C_Accountants.

RLS — ограничение доступа на уровне строк

Когда применять RLS

Нужно, когда разные сотрудники должны видеть разные записи внутри одного и того же справочника (например, менеджеры видят только своих клиентов).

Пошаговая настройка RLS для справочника «Контрагенты»

1. В конфигураторе откройте справочник «Контрагенты».
2. Закладка «Доступ к данным» → «Ограничение доступа на уровне записей» → «Добавить».
3. Укажите параметр:

   Если Контрагент.Ответственный = &ТекущийПользователь Тогда
    РазрешитьЧтениеИИзменение;
   Иначе
    ЗапретитьДоступ;
   КонецЕсли;

4. Заполните реквизит Ответственный для каждого контрагента.
5. Опубликуйте конфигурацию.

Реальные сценарии

Сценарий 1. Бухгалтер видит только свою организацию

Используйте параметр по организации в RLS:

Организация = &ОрганизацияПользователя

Сценарий 2. Складской кладовщик не видит закупочные цены

Создайте роль RoleStorekeeper_NoPrices и в правах снимите отметку «Чтение» у реквизита Цена в регистре ТоварыНаСкладах.

Контрольный список безопасности перед запуском в продакшен

1. Тестовая база. Все изменения пройдены на тестовой копии.
2. Два профиля минимум: «Администратор» и «Только чтение».
3. RLS-фильтры проверены двумя разными учётками.
4. USB-ограничения. На сервере 1С отключены порты через групповые политики AD.
5. Лог-файлы. Включён журнал регистрации событий «Попытка доступа» (1С → Сервис → Журнал регистрации).
6. Резервное копирование. Расписание ежедневных копий с проверкой контрольной суммы.

Грамотно настроенные роли и RLS превращают 1С из «чёрного ящика» в прозрачную и безопасную систему;
Следуйте чек-листу и тестируйте каждое изменение — тогда ваши данные останутся в безопасности.

• Официальная документация 1С: доступ к данным
• Как заблокировать USB через GPO (Windows Server)
• Инфостарт: RLS на реальных примерах

Дата актуальности: 08:07:31