Пароли пользователей 1С 8.3: установка, сброс и политика безопасности

Пароль в 1С задаёт администратор: Конфигуратор → Администрирование → Пользователи, карточка пользователя, флажок «Аутентификация 1С:Предприятия» и поля «Пароль» и «Подтверждение пароля». Требования к длине и сложности паролей включаются там же, в Администрирование → Параметры информационной базы, а в типовых конфигурациях на БСП — ещё и в режиме Предприятия.

Ниже описаны все места, где настраивается безопасность входа: от смены своего пароля бухгалтером до защиты кластера серверов. Отдельный раздел — что делать, если пароль администратора потерян и в базу не войти.

Как устроен вход в 1С: виды аутентификации и режимы запуска

Список пользователей хранится внутри самой информационной базы. Он общий для всех режимов запуска: один и тот же пользователь входит и в Конфигуратор, и в режим 1С:Предприятие. Что ему разрешено в каждом режиме, решают роли.

Пока список пользователей пуст, база открывается без вопросов, и любой, кто её запустил, получает полные права. Окно выбора пользователя появляется сразу после того, как в список добавлен первый пользователь.

Платформа 8.3 поддерживает несколько способов проверить, кто входит:

• 🔑 Аутентификация 1С:Предприятия — имя и пароль, которые хранятся в базе. Сам пароль не хранится, только его хеш.
• 🖥️ Аутентификация операционной системы — пользователь 1С привязывается к учётной записи Windows вида \\DOMAIN\ivanova. Пароль 1С не спрашивается: достаточно войти в Windows.
• 🌐 Аутентификация OpenID — для входа через веб-клиент с внешним провайдером. В офисной практике встречается редко.

Способы можно сочетать в одной карточке. Например, бухгалтер в офисе входит по доменной учётке, а из дома через веб-публикацию — по паролю 1С.

Смена пароля пользователя в режиме 1С:Предприятие

Обычный пользователь не открывает Конфигуратор, поэтому меняет пароль прямо в программе. Возможность есть, только если в его карточке не стоит флажок «Пользователю запрещено изменять пароль».

Свой пароль

В интерфейсе «Такси» откройте главное меню — кнопку с тремя полосками в левом верхнем углу окна. Команда смены пароля находится в группе сервисных команд; её название и место могут немного отличаться в зависимости от конфигурации.

Форма просит ввести старый пароль, новый и подтверждение. Если в базе включена проверка сложности, слабый пароль программа не примет и сообщит об этом.

Второй сценарий — принудительная смена. Когда истекает срок действия пароля, заданный в политике, программа при входе сама предлагает придумать новый и не пустит дальше без этого.

Пароль другого пользователя в типовой конфигурации

В 1С:Бухгалтерии 3.0, ЗУП 3.1, УТ 11 и других конфигурациях на БСП администратор управляет пользователями без Конфигуратора:

1. Откройте Администрирование → Настройки пользователей и прав → Пользователи.
2. Откройте карточку нужного сотрудника.
3. Проверьте флажок «Вход в программу разрешён». Если он снят, человек не войдёт даже с правильным паролем.
4. Нажмите кнопку установки пароля в карточке, введите новый пароль дважды.
5. Запишите карточку.

Этот путь предпочтительнее Конфигуратора: БСП заодно ведёт свои служебные данные о пользователе (группы доступа, профили, сведения о входе). Если завести пользователя только в Конфигураторе, программа при следующем входе администратора всё равно подтянет его в справочник, но группы доступа придётся назначать вручную.

Управление пользователями и паролями через Конфигуратор

Конфигуратор — универсальный путь. Он работает в любой конфигурации, в том числе в самописной, где нет справочника «Пользователи» из БСП.

Как задать пароль в Конфигураторе

1. Запустите базу в режиме «Конфигуратор».
2. Откройте Администрирование → Пользователи.
3. Дважды щёлкните по пользователю или создайте нового кнопкой «Добавить».
4. На вкладке «Основные» включите «Аутентификация 1С:Предприятия».
5. Введите пароль в поля «Пароль» и «Подтверждение пароля».
6. На вкладке «Прочие» отметьте роли и при необходимости основной интерфейс и язык.
7. Нажмите «ОК».

Новый пароль начинает действовать со следующего входа. Пользователь, который сейчас работает в базе, сеанс не теряет.

Полезные флажки в карточке

Первым в пустой список нужно добавить пользователя с административными правами. Платформа не даст записать список, в котором нет ни одного администратора: иначе из базы некому было бы управлять пользователями.

Требования к паролям: длина, сложность и срок действия

Одного пароля мало, если он «123». Политику паролей в 1С 8.3 задают на двух уровнях — в платформе и в конфигурации.

Политика на уровне платформы

В Конфигураторе откройте Администрирование → Параметры информационной базы. Там собраны настройки, которые проверяет сама платформа:

• 📏 Минимальная длина паролей пользователей — разумный минимум 8–10 символов.
• 🔣 Проверка сложности паролей пользователей — пароль должен состоять из символов разных групп (заглавные и строчные буквы, цифры, спецзнаки) и не совпадать с именем пользователя.
• ⏳ Срок действия пароля — максимальный и минимальный срок; по истечении максимального программа требует смены.
• 🔁 Ограничение повторения паролей — запрет возвращаться к последним N паролям.
• 🚫 Блокировка после неудачных попыток входа — число попыток и продолжительность блокировки. Защищает от перебора.

Набор полей зависит от версии платформы: блок политик паролей и блокировки по неудачным попыткам есть в актуальных релизах 8.3, а в старых сборках доступны только длина и сложность. Если нужного поля нет, обновите платформу.

Политика на уровне конфигурации (БСП)

В типовых конфигурациях откройте Администрирование → Настройки пользователей и прав и найдите настройки входа. Там отдельно для пользователей и внешних пользователей задаются:

• минимальная длина и требование сложного пароля;
• максимальный срок действия и запрет повторения;
• отключение входа для тех, кто не заходил в программу заданное число дней;
• предупреждение об окончании срока действия.

Последний пункт часто недооценивают. Учётки уволенных сотрудников годами остаются в базе с действующим паролем. Автоотключение неактивных закрывает эту дыру без ручной ревизии.

Какую политику выбрать

Пароли и доступ в клиент-серверном варианте

В клиент-серверной 1С пароль пользователя базы — только один из трёх уровней защиты. Два других находятся вне базы, и их нередко оставляют открытыми.

Администраторы кластера и центрального сервера

По умолчанию у кластера 1С нет администраторов, и любой, кто подключился консолью к серверу, может удалить базу из кластера или завершить чужие сеансы. Закройте это:

1. Откройте консоль администрирования серверов 1С:Предприятия.
2. В ветке кластера найдите узел «Администраторы» и добавьте пользователя с паролем или с привязкой к учётке Windows.
3. Сделайте то же для администраторов центрального сервера.

После этого консоль и утилита rac запросят имя и пароль. Синтаксис ключей авторизации для rac смотрите в справке rac help.

Пароль доступа к СУБД

В свойствах информационной базы в кластере указаны сервер СУБД, пользователь и пароль, под которыми 1С подключается к PostgreSQL или MS SQL. Этот пароль не имеет отношения к пользователям 1С. Однако тот, кто его знает, читает данные напрямую в обход ролей.

• 🔒 Не используйте sa или postgres для подключения 1С; заведите отдельную учётку СУБД.
• 🔒 Отдельная учётка на каждую базу ограничит ущерб при утечке.
• 🔒 Закройте порт СУБД от пользовательских ПК: к нему должен подключаться только рабочий сервер 1С.

Блокировка начала сеансов

Для регламентных работ доступ в базу закрывают целиком. В свойствах базы в консоли включите «Блокировка начала сеансов включена», задайте время и сообщение, а в поле «Код разрешения» — код. Новые сеансы будут отклоняться. Войти сможет только тот, кто запустит 1С с параметром /UC<код>.

Блокировка не завершает уже открытые сеансы. Если их нужно закрыть, предупредите сотрудников заранее: несохранённые документы будут потеряны.

Если пароль администратора 1С утерян

Порядок действий зависит от того, остался ли в базе ещё хоть один администратор.

Восстановление доступа через СУБД

Приём известен администраторам 1С и применяется к своей базе, когда иначе войти невозможно. Суть: на время скрыть от платформы список пользователей, войти в Конфигуратор без пароля и, не закрывая его, вернуть список на место.

Перед началом сделайте резервную копию базы средствами СУБД и закройте все сеансы пользователей. Работы проводите вне рабочего времени: базу на это время нужно заблокировать.

Порядок для MS SQL:

-- 1. Скрыть список пользователей
EXEC sp_rename 'v8users', 'v8users_old';
UPDATE Params SET FileName = 'users.usr_old' WHERE FileName = 'users.usr';

-- 2. Войти в Конфигуратор: окно выбора пользователя не появится

-- 3. Не закрывая Конфигуратор, вернуть список
EXEC sp_rename 'v8users_old', 'v8users';
UPDATE Params SET FileName = 'users.usr' WHERE FileName = 'users.usr_old';

После третьего шага откройте Администрирование → Пользователи в уже запущенном Конфигураторе, задайте новый пароль администратору и нажмите «ОК». Перезапустите 1С и проверьте вход.

Сначала отработайте процедуру на копии базы. Для PostgreSQL логика та же, меняется только синтаксис переименования таблицы.

Частые вопросы