Запрет входа в конфигуратор для пользователей 1С 8.3: права, тонкий клиент и защита базы
Содержание
Чтобы отключить конфигуратор 1С для пользователя, уберите у него право «Администрирование»: без этого права платформа 1С:Предприятие 8.3 не пускает в режим конфигуратора, а обычная работа в базе сохраняется. В типовых конфигурациях на БСП (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) это делается одним действием: пользователя выводят из группы доступа «Администраторы».
Второй надёжный способ — физически убрать конфигуратор с рабочего места: установить только тонкий клиент. В нём режима конфигуратора нет вообще. Остальные меры — ключи запуска, настройки сервера, права на папку — дополняют эти два способа, но сами по себе запуск конфигуратора не блокируют.
Что проверить перед тем, как запрещать конфигуратор
Если в базе нет ни одного пользователя, конфигуратор открывает любой, у кого есть доступ к базе. Поэтому всё начинается со списка пользователей.
Проверьте три вещи:
- 👤 Список пользователей не пуст. В конфигураторе:
Администрирование → Пользователи. Пустой список — значит, защиты нет никакой. - 🔑 У администратора есть пароль. Пользователь «Администратор» без пароля сводит на нет все остальные настройки.
- 🛟 Есть второй администратор или свежая копия. Если по ошибке лишить права «Администрирование» единственного админа, войти в конфигуратор станет некому.
Перед изменением ролей выгрузите информационную базу в файл .dt (Администрирование → Выгрузить информационную базу в конфигураторе) или сделайте резервную копию средствами СУБД. Это единственный штатный путь назад, если доступ администратора потерян.
Как отключить конфигуратор через права и роли пользователя
Вход в конфигуратор в 8.3 определяется правом «Администрирование» корневого объекта конфигурации. Это право входит в административные роли: в типовых решениях — роль «Администратор системы» и связанные с ней. Пока у пользователя нет ни одной роли с этим правом, кнопка «Конфигуратор» в окне запуска для него бесполезна: после ввода логина и пароля платформа откажет во входе из-за недостатка прав.
Типовые конфигурации на БСП
В Бухгалтерии 3.0, ЗУП 3.1, УТ 11 и других решениях на Библиотеке стандартных подсистем роли напрямую в конфигураторе не раздают. Ими управляют группы доступа в пользовательском режиме.
| Конфигурация | Где настраиваются пользователи и группы доступа |
|---|---|
| Бухгалтерия предприятия 3.0 | Администрирование → Настройки пользователей и прав |
| Зарплата и управление персоналом 3.1 | Администрирование → Настройки пользователей и прав |
| Управление торговлей 11 | НСИ и администрирование → Настройки пользователей и прав |
Порядок действий:
- Войдите в программу под администратором.
- Откройте
Настройки пользователей и прав → Пользователии карточку нужного сотрудника. - Перейдите к правам доступа (кнопка или закладка «Права доступа » в карточке).
- Снимите флажок у группы «Администраторы».
- Отметьте группы, которые нужны для работы: например, «Бухгалтер» или «Кадровик».
- Запишите изменения и попросите сотрудника перезапустить программу.
💡 Не правьте роли таких пользователей вручную в конфигураторе. БСП синхронизирует роли пользователя информационной базы с его группами доступа и при следующей записи пользователя или обновлении вернёт состав ролей из групп. Ручная галочка «Администратор системы» в конфигураторе — это «дыра», которая потом то появляется, то исчезает.
Нетиповые и самописные конфигурации
Здесь роли назначаются в конфигураторе:
- Откройте
Администрирование → Пользователи. - Двойным щелчком откройте пользователя, закладка «Прочие».
- Снимите флажки ролей, в которых есть право «Администрирование». Обычно это «Полные права» или «Администратор».
- Оставьте прикладные роли, нужные для работы.
Если не знаете, в какой роли сидит право, откройте роль в дереве конфигурации (ветка Общие → Роли) и посмотрите права на корневой объект — сам узел конфигурации вверху списка объектов. Там же видно и другие «опасные» права: «Администрирование данных», «Обновление конфигурации
базы данных», «Монопольный режим».
Обратная задача: запретить режим предприятия
Иногда нужно наоборот: техническая учётная запись (для обновлений, внешнего соединения, обмена) должна работать, но не открывать программу как обычный пользователь. Для этого в роли такого пользователя снимают права на виды клиентов: «Тонкий клиент», «Толстый клиент», «Веб-клиент». Право «Внешнее соединение» оставляют, если учётка нужна для COM-подключения.
Тонкий клиент вместо полной платформы на рабочих местах
Права закрывают вход, а установка только тонкого клиента
убирает сам исполняемый модуль конфигуратора с компьютера. Конфигуратор живёт в полном клиенте (1cv8.exe), а тонкий клиент (1cv8c.exe) умеет работать только в режиме 1С:Предприятия.
Как сделать:
- Удалите с рабочего места установленную платформу через «Программы и компоненты» Windows.
- Запустите установщик платформы нужной версии.
- В списке компонентов оставьте «1С:Предприятие — тонкий клиент». Компонент «1С:Предприятие» (полный, с конфигуратором) отключите.
- Подключите базы в окне запуска как обычно.
Тонкий клиент работает и с клиент-серверными базами, и с файловыми, и с опубликованными на веб-сервере. Основной режим запуска в свойствах базы при этом выставьте «Тонкий клиент».
Тонкий клиент не запускает обычное приложение. Если конфигурация старая и работает только в обычных формах (толстый клиент), этот способ не подходит — оставляйте полную платформу и ограничивайте вход правами.
Плюс подхода — защита от любопытства и от случайного «сейчас поправлю модуль». Минус — администратору на своём компьютере нужна полная установка, а версия тонкого клиента должна совпадать с версией сервера.
Ключи командной строки и окно запуска
Ключи запуска удобны, чтобы сотрудник вообще не видел окна выбора режима. Но запрета они не дают: кто знает путь к базе, запустит конфигуратор своим ярлыком.
Основные параметры:
| Параметр | Что делает |
|---|---|
ENTERPRISE | запуск в режиме 1С:Предприятия |
DESIGNER | запуск конфигуратора |
/F"путь" | файловая база |
/S"сервер\база" | клиент-серверная база |
/N"имя" и /P"пароль" | пользователь и пароль |
/UC"код" | код разрешения входа при установленной блокировке сеансов |
Пример ярлыка, который сразу открывает серверную базу в тонком клиенте:
"C:\Program Files\1cv8\8.3.24.1548\bin\1cv8c.exe" ENTERPRISE /S"srv1c\buh"
Номер версии в пути подставьте свой — это каталог установленной платформы.
Для окна запуска полезно другое: общий список баз. Файл 1cestart.cfg позволяет подключить единый список через параметр CommonInfoBases, и администратор раздаёт базы централизованно, а не диктует пути по телефону. Пароль в ярлык через /P не записывайте: любой, кто откроет свойства ярлыка, увидит его в открытом виде.
💡 Хотите проверить, закрыт ли вход? Запустите ярлык с DESIGNER под учётной записью сотрудника. Если откроется дерево конфигурации — право «Администрирование» у него осталось.
Серверные базы: что можно закрыть в кластере 1С
На сервере 1С отдельного выключателя «запретить конфигуратор» нет. Конфигуратор подключается к кластеру тем же путём, что и клиент: через агент сервера (порт 1540), менеджер кластера (1541) и рабочие процессы. Поэтому закрыть порты «только для конфигуратора» нельзя. Контроль остаётся за правами в самой базе.
Что сервер всё же даёт:
- 🔒 Блокировка начала сеансов. В консоли кластера, в свойствах информационной базы, включают блокировку и задают код разрешения. Новые сеансы без кода не устанавливаются. Это инструмент для регламентных работ, а не постоянный запрет.
- 🗄️ Учётные данные СУБД. Логин и пароль к базе SQL или PostgreSQL хранятся в свойствах информационной базы на сервере. Пользователям их не сообщают, иначе база доступна в обход 1С.
- 👮 Администраторы кластера и базы. Если задать администратора кластера, изменить свойства базы в консоли сможет только он. Без этого любой с консолью на компьютере может, например, снять блокировку сеансов .
- 🌐 Сетевой доступ к серверу. Брандмауэром ограничьте подключение к портам кластера только подсетью офиса и терминальным сервером.
Включённая блокировка начала сеансов не выкидывает тех, кто уже работает, но и новых не пускает. Если включить её днём без предупреждения, сотрудники после перезапуска программы не смогут войти. Включайте в согласованное окно и снимайте сразу после работ.
Если нужно посмотреть, кто прямо сейчас сидит в базе, используйте консоль кластера или утилиту rac (например, rac session list). Синтаксис остальных команд смотрите в справке rac help.
Файловая база: защита на уровне Windows
С файловой базой права NTFS не помогут закрыть именно конфигуратор. Каждому пользователю нужны права на чтение и запись в каталог с файлом 1Cv8.1CD, иначе программа не откроется вовсе. С таким доступом сотрудник может скопировать файл к себе и открыть его в своей платформе.
Список пользователей 1С при копировании переезжает вместе с базой, поэтому без пароля администратора в конфигуратор копии он не войдёт. Но сам файл не зашифрован, и данные из него читаются сторонними утилитами. Для чувствительных данных этого недостаточно.
Что реально повышает защиту файловой базы:
- Выдать доступ к папке только нужной группе Windows. Отдельная группа «1С_Бухгалтерия» с правом «Изменение» на каталог базы, остальные — без доступа.
- Скрыть сетевой путь. Не публиковать каталог базы как общую папку на всю сеть.
- Работать через терминальный сервер . Каталог базы лежит на сервере, у сотрудников на рабочих местах к нему доступа нет, они видят только опубликованное приложение.
- Опубликовать базу на веб-сервере. Пользователи подключаются по HTTP через тонкий или веб-клиент и не видят файлов. Права на каталог есть только у учётной записи веб-сервера.
- Перейти на клиент-серверный вариант, если пользователей больше пяти-семи и база растёт.
| Способ | Блокирует конфигуратор | Защищает файл базы | Сложность |
|---|---|---|---|
| Снять право «Администрирование» | да | нет | низкая |
| Тонкий клиент на рабочих местах | да, на этих ПК | нет | низкая |
| Терминальный сервер | вместе с правами | да | средняя |
| Публикация на веб-сервере | вместе с правами | да | средняя |
| Клиент-серверный вариант | вместе с правами | да | высокая |
Если доступ в конфигуратор потерян: диагностика и восстановление
Типичная ситуация: ограничили права, а потом выяснилось, что в конфигуратор не может войти и сам администратор. Или база «вдруг» перестала пускать всех.
Чего не делать при потере доступа:
- ❌ Не правьте файл
1Cv8.1CDи таблицы СУБД сторонними утилитами в рабочей базе. Работайте только с копией, если без этого никак. - ❌ Не создавайте новую базу «поверх» старой и не удаляйте её из кластера в надежде начать заново. Вместе с базой уйдут данные.
- ❌ Не ищите в сети программы «сброса пароля 1С» сомнительного происхождения: доступ к своей базе возвращают через копию или через другого администратора.
Если база клиент-серверная и потерян пароль администратора кластера, а не базы, — это отдельная задача. Её решают на сервере: останавливают службу агента, восстанавливают файл настроек кластера из резервной копии или передают вопрос администратору сервера. Перед остановкой службы предупредите пользователей: все сеансы оборвутся.