Закрываем пользователям вход в Конфигуратор: права, тонкий клиент и политики Windows

Запретить запуск Конфигуратора в 1С: Предприятие можно одним действием: снять с пользователя право «Администрирование». Без этого права платформа 8.3 не пустит его в режим конфигурирования, даже если он знает свой пароль и нажмёт кнопку «Конфигуратор» в окне запуска.

Остальные способы дополняют права. Тонкий клиент на рабочих местах убирает саму программу Конфигуратора. AppLocker и права NTFS запрещают запуск 1cv8.exe. Ярлыки и ключи командной строки только прячут кнопку, но не защищают. Надёжная схема для офиса: пароли и роли в базе плюс тонкий клиент на рабочих местах. Для терминального сервера к ним добавляют правило AppLocker.

Кто может открыть Конфигуратор и почему

Платформа решает вопрос входа в Конфигуратор по двум условиям:

• 👥 Список пользователей базы пуст. Тогда в Конфигуратор войдёт любой, кто знает путь к базе. Пароль не спрашивается вовсе.
• 🔑 У пользователя есть право «Администрирование». Это право задаётся у корня конфигурации и входит в одну из ролей пользователя.

Право «Администрирование данных» в Конфигуратор не пускает. Оно нужно для обслуживания данных в режиме Предприятия, а не для изменения конфигурации.

Отсюда первый вывод. Если в базе нет ни одного пользователя, никакие другие меры не помогут. Начинать нужно с создания пользователей и назначения ролей.

Сравнение способов:

Запрет входа в Конфигуратор через права и роли

Это основной и обязательный способ. Он работает одинаково в файловой и клиент-серверной базе.

В типовой конфигурации на БСП

В Бухгалтерии 3.0, ЗУП 3.1, УТ 11 пользователями управляют из режима Предприятия:

1. Откройте Администрирование → Настройки пользователей и прав → Пользователи.
2. Убедитесь, что для каждого сотрудника заведена своя карточка. Общих учёток вроде «Бухгалтер» лучше не держать.
3. Перейдите в Группы доступа и откройте группу «Администраторы».
4. Оставьте в ней только тех, кому действительно нужен Конфигуратор: программиста и системного администратора.
5. Остальным назначьте группы доступа по должности: бухгалтер, кадровик, менеджер.

В типовых конфигурациях право «Администрирование» приходит через профиль «Администратор». Пока пользователь состоит в группе «Администраторы», он попадёт в Конфигуратор.

В самом Конфигураторе

Для нетиповых конфигураций и баз без БСП:

1. Откройте Администрирование → Пользователи.
2. Двойным щелчком откройте пользователя.
3. На вкладке «Прочие» снимите флажки с ролей, которые содержат право «Администрирование». В типовых решениях это роль «Администратор системы».
4. Нажмите «ОК».

Проверить, какие роли дают это право, можно в дереве конфигурации. Откройте роль, выделите корень конфигурации и посмотрите флажок «Администрирование» в списке прав справа.

Оставьте в базе хотя бы одного пользователя с правом «Администрирование» и известным паролем. Иначе вы закроете вход в Конфигуратор и себе.

Когда применяется запрет

Новые роли действуют со следующего сеанса. Если пользователь уже сидит в Конфигураторе, изменение его не выгонит. Попросите его закрыть программу или дождитесь конца рабочего дня.

Ключи командной строки и список баз: что они дают

Многие начинают с ярлыка вида:

"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /F"D:\Bases\Buh" /N"Иванова"

Ключ ENTERPRISE сразу открывает режим Предприятия, а окно выбора базы с кнопкой «Конфигуратор» пользователь не видит. Для удобства это хорошо. Для защиты нет.

Тот же сотрудник может:

• 🖱 запустить 1cestart.exe без параметров и нажать «Конфигуратор»;
• ⌨️ поменять в ярлыке ENTERPRISE на DESIGNER;
• 📂 открыть базу из своего списка, добавив её путь вручную.

Если у пользователя есть право «Администрирование», он войдёт. Если права нет, платформа откажет при любом ключе. Поэтому ключи командной строки — это косметика поверх прав.

Полезные ключи для рабочих мест:

Ключ /WA- полезен, если пользователь привязан к учётной записи Windows. Тогда без пароля 1С не войти даже с его компьютера.

Запрет на уровне Windows: файловая система, реестр, политики

Эти меры убирают с компьютера саму возможность запустить Конфигуратор. Их ставят, когда пользователи работают с базой без паролей или когда хочется второго рубежа.

Тонкий клиент вместо полной платформы

Самый чистый приём. Конфигуратор входит только в толстый клиент 1cv8.exe. Тонкий клиент 1cv8c.exe открывает базу лишь в режиме Предприятия.

1. При установке платформы на рабочее место выберите компонент «1С:Предприятие — тонкий клиент».
2. Компонент «1С:Предприятие» (толстый клиент с Конфигуратором) не ставьте.
3. В свойствах базы в окне запуска укажите основной режим «Тонкий клиент».

Тонкий клиент работает и с файловыми, и с клиент-серверными базами. Для типовых конфигураций на управляемых формах толстый клиент пользователям не нужен.

Права NTFS на исполняемый файл

Если толстый клиент всё же стоит, запретите группе пользователей выполнение 1cv8.exe:

1. Откройте папку C:\Program Files\1cv8\<версия>\bin.
2. В свойствах файла 1cv8.exe на вкладке «Безопасность» добавьте группу пользователей.
3. Установите запрет на «Чтение и выполнение».

После обновления платформы появится новая папка версии, и запрет придётся ставить заново. Поэтому на парке компьютеров удобнее политика.

AppLocker и политики ограничения программ

AppLocker настраивают через групповую политику: Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Политики управления приложениями → AppLocker.

• ✅ Создайте правило «Запретить» для исполняемых файлов по пути %PROGRAMFILES%\1cv8\*\bin\1cv8.exe.
• ✅ Примените его к группе рядовых пользователей, а администраторов исключите.
• ✅ Запустите службу «Удостоверение приложения» (AppIDSvc), без неё правила не действуют.

Правило по пути с маской переживёт обновление платформы . Полноценно AppLocker работает в редакциях Enterprise, Education и в серверных Windows.

Ключ реестра DisallowRun

Есть простая политика «Не запускать указанные приложения Windows». Она пишет имена файлов в ветку HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun.

Это слабая защита: запрет срабатывает только при запуске через Проводник. Из командной строки или другой программы файл запустится. Сама 1С права на Конфигуратор в реестре не хранит, так что править реестр вместо ролей бессмысленно.

Терминальный сервер

На RDP-ферме публикуйте как RemoteApp только 1cv8c.exe. Пользователь получает окно 1С без рабочего стола и без доступа к 1cv8.exe. Права NTFS на папку bin всё равно стоит выставить: из окна «Открыть файл» внутри 1С можно добраться до Проводника.

Файловая и клиент-серверная база: в чём разница защиты

Файловый вариант

База — это папка с файлом 1Cv8.1CD. Пользователям нужны права на чтение и запись в эту папку, иначе 1С не откроет базу. Отнять у них доступ к файлу нельзя.

Отсюда риски:

• 📋 Сотрудник может скопировать папку себе. Пользователи и пароли в копии сохранятся, но он сможет работать с копией без вашего контроля.
• 🗑 Он может случайно удалить или переместить файл базы.

Что делать: держите базу в отдельной сетевой папке с доступом только для группы «Пользователи 1С». Делайте резервные копии по расписанию. Если сотрудников больше 5–10 и в базе важные данные, это повод перейти на клиент-серверный вариант.

Клиент-серверный вариант

Здесь у пользователя нет доступа к файлам базы. Он обращается к серверу 1С по сети, а данные лежат в СУБД.

Что закрыть дополнительно:

1. Администраторы кластера. В консоли администрирования серверов задайте администратора центрального сервера и кластера. Без этого любой, у кого стоит консоль, увидит и изменит настройки кластера.
2. Учётные данные СУБД. Пароль пользователя СУБД, под которым кластер подключается к базе, знает только администратор. С ним можно читать таблицы напрямую в обход 1С.
3. Права в базе. Как и в файловом варианте, Конфигуратор открывается только пользователям с правом «Администрирование».

Как отследить попытки открыть Конфигуратор

Запрет без контроля быстро обрастает исключениями. Проверяйте вход в Конфигуратор хотя бы раз в месяц.

Журнал регистрации

1. В Конфигураторе откройте Администрирование → Настройка журнала регистрации и выберите «Регистрировать все события». Для типовой работы хватит и уровня ошибок, но для аудита нужны все события.
2. Смотрите журнал в режиме Предприятия: Администрирование → Обслуживание → Журнал регистрации в типовых конфигурациях на БСП.
3. Установите отбор по приложению «Конфигуратор» и по событиям начала сеанса.

Неудачные попытки входа видны в событиях аутентификации с ошибкой. Если в журнале часто встречается одно имя, поговорите с сотрудником: обычно он пробует открыть Конфигуратор по старой привычке.

Список активных пользователей и консоль кластера

Сейчас ли кто-то в Конфигураторе, видно в списке активных пользователей. В колонке приложения у такого сеанса стоит «Конфигуратор».

В клиент-серверном варианте то же покажет консоль кластера или команда:

rac session list --cluster=<id кластера>

У сеансов Конфигуратора в поле app-id указано Designer. Идентификатор кластера даст rac cluster list.

Частые ошибки при закрытии Конфигуратора

• ❌ Пароль не задан, но права сняты. Сотрудник войдёт под именем администратора, если у того нет пароля. Начинайте с паролей.
• ❌ Общая учётка «Админ» на троих. В журнале не понять, кто входил. Каждому — своя учётная запись.
• ❌ Запрет только через ярлык. Кнопка «Конфигуратор» спрятана, но доступ остался.
• ❌ Привязка к Windows-пользователю без /WA- на общих ПК. Кто сел за компьютер администратора, тот и вошёл под его правами.
• ❌ Запрет NTFS после обновления платформы забыли повторить. Новая папка версии открыта для всех.

Частые вопросы