Администраторы кластера и пользователи баз на сервере 1С 8.3

Чтобы добавить пользователя на сервер 1С, сначала решите, кого именно вы добавляете. Администратора сервера регистрируют в консоли кластера: ветка Центральные серверы 1С:Предприятия → <имя сервера> → Администраторы или Кластеры → <кластер> → Администраторы, контекстное меню → Создать → Администратор. Обычного сотрудника, который будет работать в программе, на сервере не регистрируют. Его заводят в самой информационной базе: Администрирование → Настройки пользователей и прав → Пользователи.

Путаница между этими двумя уровнями даёт половину вопросов вида «добавил пользователя на сервер, а он не может войти». Ниже разобраны оба пути для платформы 8.3 с клиент-серверной базой, плюс профили безопасности и разбор ошибок входа.

Кто считается пользователем на сервере 1С

У сервера 1С:Предприятия несколько уровней учётных записей. Они не связаны между собой: администратор кластера не получает доступа к данным баз, а пользователь базы не может управлять кластером.

💡 Пока в кластере нет ни одного администратора, им может управлять любой, кто дотянется до агента по сети. Поэтому первого администратора стоит завести сразу после установки сервера.

Как связаны агент, кластер и базы

Клиент и консоль сначала обращаются к агенту сервера (по умолчанию порт 1540). Агент передаёт работу менеджеру кластера (1541), а тот — рабочим процессам. Диапазон портов рабочих процессов задаётся в свойствах рабочего сервера, по умолчанию это 1560–1591.

Консоль администрирования ходит через агент. Отсюда и порядок проверки прав: сначала агент спрашивает администратора центрального сервера, затем менеджер кластера — администратора кластера.

Подготовка: консоль, права и доступ к серверу

Консоль кластера — это оснастка MMC, которая ставится вместе с платформой (компонент «Администрирование сервера 1С:Предприятия»). Для управления по командной строке есть утилита rac, ей нужен запущенный сервис ras.

Перед началом проверьте:

• 🖥 платформа на компьютере администратора той же версии, что и сервер (номер сборки совпадает до последней цифры);
• 🔌 с этого компьютера открыт порт 1540 до сервера, для rac — порт 1545 до ras;
• 🔑 вы знаете логин и пароль текущего администратора кластера, если он уже заведён.

Если консоль не открывается

Самый частый случай — оснастка не зарегистрирована после установки или обновления платформы. Консоль пустая или ругается на класс. Помогает регистрация библиотеки той версии, что стоит на сервере. Командную строку запускайте от имени администратора:

regsvr32 "C:\Program Files\1cv8\8.3.24.1548\bin\radmin.dll"

Номер в пути подставьте свой: он совпадает с папкой установленной платформы. Если стоит несколько версий, регистрируйте ту, что совпадает с версией сервера, — иначе консоль подключится к агенту с ошибкой несовпадения версий.

Подключение к серверу

1. Откройте Консоль администрирования серверов 1С Предприятия.
2. Правой кнопкой по узлу Central 1C:Enterprise 8.3 servers → Создать → Центральный сервер 1С:Предприятия.
3. Укажите имя компьютера сервера, протокол tcp, порт 1540.
4. Раскройте узел: появятся Администраторы, Кластеры, внутри кластера — Информационные базы, Рабочие серверы, Профили безопасности и другие ветки.

Как добавить администратора на сервер 1С через консоль

Начинайте с администратора центрального сервера, затем добавьте администраторов кластера. Порядок не обязателен технически, но так вы не окажетесь в ситуации, когда кластер закрыт, а агент открыт для всех.

Администратор центрального сервера

1. Раскройте узел центрального сервера, щёлкните правой кнопкой по ветке Администраторы.
2. Выберите Создать → Администратор.
3. Заполните имя (латиница без пробелов удобнее для скриптов) и описание.
4. Выберите способ проверки:
   • ✅ Аутентификация паролем — задайте пароль и подтверждение;
   • ✅ Аутентификация операционной системы — укажите пользователя Windows в формате \\DOMAIN\ivanov.
5. Нажмите ОК. После первого администратора консоль при следующем подключении запросит логин и пароль.

Можно включить оба способа сразу. Тогда администратор с компьютера в домене войдёт без пароля, а с чужого — по паролю.

Администратор кластера

1. Раскройте Кластеры → <имя кластера> → Администраторы.
2. Создать → Администратор, те же поля: имя, пароль, пользователь ОС.
3. Сохраните. Консоль сразу попросит авторизоваться как администратор кластера.

Запишите пароль первого администратора кластера в менеджер паролей до нажатия «ОК». Сбросить его штатной кнопкой нельзя.

То же самое через rac

Командная строка удобна, когда консоли под рукой нет, например на Linux-сервере. Сначала запустите ras, затем узнайте идентификатор кластера:

rac localhost:1545 cluster list

Регистрация администратора кластера выглядит так:

rac localhost:1545 cluster admin register --cluster=<uuid-кластера> --name=admin1c --pwd=СложныйПароль --auth=pwd

Если в кластере уже есть администратор, добавьте его учётные данные параметрами --cluster-user и --cluster-pwd. Список текущих администраторов показывает rac localhost:1545 cluster admin list --cluster=<uuid-кластера>. Полный перечень параметров для вашей версии — в rac help cluster.

💡 Пароль в командной строке остаётся в истории оболочки. После настройки очистите историю или вводите команды из скрипта с ограниченным доступом.

Профили безопасности: что разрешить коду на сервере

Профиль безопасности ограничивает не людей, а программный код базы. Он решает, может ли конфигурация, расширение или внешняя обработка обращаться к файлам сервера, запускать программы, создавать COM-объекты, подключать внешние компоненты и ходить в интернет.

Зачем это нужно: на одном сервере часто крутятся базы разных юрлиц или подрядчиков. Без профиля внешняя обработка из одной базы теоретически может прочитать файлы другой, раз все процессы работают под одной учётной записью Windows.

Как создать и назначить профиль

1. В консоли раскройте Кластеры → <кластер> → Профили безопасности.
2. Создать → Профиль безопасности, задайте имя, например buh_ooo_romashka.
3. На вкладках профиля отметьте, что разрешено: каталоги файловой системы, COM-классы, внешние компоненты, модули, приложения, интернет-ресурсы.
4. Откройте свойства нужной информационной базы и выберите профиль в поле Профиль безопасности.
5. Отдельное поле Профиль безопасности безопасного режима задаёт правила для кода, который исполняется в безопасном режиме, — например, для внешних отчётов и обработок.

Типовые конфигурации на БСП умеют сами запрашивать разрешения: при включении профилей в базе появляется окно со списком нужных ресурсов. Администратор кластера подтверждает его своим логином и паролем.

Как добавить пользователя в базу на сервере 1С

Сотрудника, который будет работать в программе, создают внутри базы. Это одинаково и для файловой, и для серверной базы — разница только в том, что серверную базу можно открыть с любого компьютера сети.

В режиме «Предприятие» (основной путь)

В БП 3.0, ЗУП 3.1, УТ 11 и других конфигурациях на БСП:

1. Администрирование → Настройки пользователей и прав → Пользователи.
2. Кнопка Создать, заполните полное имя — так оно попадёт в документы и журнал.
3. Включите Вход в программу разрешен, задайте имя для входа и пароль.
4. Для входа без пароля отметьте аутентификацию операционной системы и выберите доменного пользователя.
5. Нажмите Записать, затем откройте Права доступа и включите нужные группы доступа или профили.

В Конфигураторе

Путь нужен для конфигураций без БСП или если в «Предприятии» нет ни одного администратора. Администрирование → Пользователи, кнопка добавления, на вкладке Основные — имя и способ входа, на вкладке Прочие — роли и основной интерфейс.

💡 В базах на БСП не создавайте сотрудников через Конфигуратор: справочник «Пользователи» в программе не узнает о новой учётной записи, и группы доступа не применятся. Конфигуратор — только для первого администратора, затем всё делается в «Предприятии».

Вход через Windows без пароля

Для аутентификации ОС пользователю базы указывают доменную учётку в виде \\DOMAIN\ivanov. В клиент-серверном варианте проверку делает сервер, поэтому служба сервера 1С должна работать под доменной учётной записью, а для неё в домене настраивают проверку Kerberos. Если служба работает под локальной учётной записью, доменный вход часто не проходит, и пользователю снова показывают окно с паролем.

Проверка входа и журнал регистрации

После добавления пользователя проверьте две вещи: что он входит и что получает ровно те права, которые вы выдали.

1. Откройте базу на рабочем месте сотрудника или под его именем на своём компьютере.
2. В консоли кластера раскройте Информационные базы → <база> → Сеансы: новый сеанс должен появиться с нужным именем пользователя и компьютером.
3. Пройдитесь по разделам, к которым у сотрудника не должно быть доступа.

Журнал регистрации показывает, кто и когда пытался войти. В типовых конфигурациях он открывается через Администрирование → Обслуживание, в Конфигураторе — Администрирование → Журнал регистрации.

• 🔍 событие Сеанс. Ошибка аутентификации — неверный пароль или учётка ОС не сопоставлена;
• 🔍 события группы Пользователи — кто создал или изменил учётную запись;
• 🔍 отбор по компьютеру помогает найти, откуда шли неудачные попытки.

Неудачные входы в консоль кластера в журнал базы не попадают. Их ищите в технологическом журнале сервера, если он включён.

Частые ошибки при добавлении пользователя

Ещё две ошибки встречаются у тех, кто впервые настраивает сервер:

• ❌ заводят сотрудников бухгалтерии администраторами кластера «чтобы точно зашли». Это не даёт входа в базу, зато даёт право удалить её из кластера;
• ❌ задают администратора кластера, но забывают про центральный сервер — и любой в сети может создать новый кластер на этом агенте.

Частые вопросы