Как скрыть зарплаты руководства в 1С: настройка RLS прав доступа на уровне записей
- Рядовые расчетчики, кадровики или внешние программисты 1С видят оклады и премии генерального директора в отчетах.
- Требование службы безопасности и закона о защите персональных данных (152-ФЗ) по изоляции топ-менеджмента.
- Стандартные роли пользователей открывают доступ ко всей организации целиком.
Что такое механизм RLS простыми словами
RLS (Record Level Security) — это ограничение прав не просто на целые справочники или документы, а на конкретные строки внутри них. С включенным RLS расчетчик открывает общий отчет по зарплате и видит начисления всех сотрудников, кроме выделенной закрытой группы (руководства).
Шаг 1. Включение ограничений доступа в 1С:ЗУП / ERP
- Перейдите в меню Администрирование → Настройки пользователей и прав.
- Разверните блок Группы доступа и установите галочку Ограничивать доступ на уровне записей.
Шаг 2. Создание закрытой группы сотрудников
- Перейдите в Кадры → Группы сотрудников (или настройки подразделений).
- Создайте новую группу с названием «Руководство (Закрытая)».
- Добавьте в нее карточки генерального директора, топ-менеджеров и учредителей.
Шаг 3. Настройка профиля группы доступа
- В разделе Администрирование → Группы доступа откройте рабочую группу рядовых бухгалтеров.
- На вкладке Ограничения доступа для вида доступа «Группы сотрудников» установите значение: «Все разрешены, кроме исключений».
- В список исключений добавьте группу «Руководство (Закрытая)».
Шаг 4. Проверка видимости отчетов
Зайдите в базу под учетной записью бухгалтера и сформируйте расчетную ведомость (Т-51). Строки с окладами руководства пропадут из отчета и не будут видны в общих итогах.
Частые вопросы (FAQ)
Замедляет ли включение RLS скорость работы 1С?
Да, RLS добавляет в каждый SQL-запрос дополнительные условия фильтрации (WHERE ...), что может снизить быстродействие базы на 10-25% при больших объемах данных.
Сможет ли программист с полными правами увидеть закрытые зарплаты?
Пользователь с административной ролью 'Полные права' обходит ограничения RLS. Чтобы скрыть зарплаты от программиста, его учетная запись не должна содержать роль 'Полные права' в продакшн-базе.
Что такое 'Производительный режим RLS' в 1С?
Это специальный оптимизированный механизм платформы 8.3, использующий предварительно рассчитанные таблицы прав доступа вместо тяжелых динамических подзапросов.
Что будет, если бухгалтер попробует провести документ по закрытому сотруднику?
1С выдаст сообщение 'У вас недостаточно прав для работы с объектом' и заблокирует проведение.