Пароли и права в 1С 8.3: закрываем базу от чужого входа
Содержание
Пароль в 1С:Предприятии 8.3 ставят не на базу целиком, а на каждого пользователя. В типовой конфигурации это делается в режиме «Предприятие»: Администрирование → Настройки пользователей и прав → Пользователи, карточка сотрудника, кнопка Установить пароль
. Если пользователей в базе ещё нет, их сначала создают в Конфигураторе: Администрирование → Пользователи. Пока список пуст, база открывается любому без вопросов.
Способов три, и выбирают их по ситуации. Карточка пользователя в режиме «Предприятие» — для повседневной работы в БП 3.0, ЗУП 3.1, УТ 11. Конфигуратор — когда базу защищают впервые или программа не открывается. Вход через учётную запись Windows — когда в компании есть домен и пароли хочется не плодить.
Какие пароли бывают в 1С и что каждый защищает
Слово «пароль» в 1С обозначает несколько разных вещей. Путаница между ними — главная причина, почему база «вроде закрыта», а данные всё равно доступны посторонним.
| Уровень | Где задаётся | От чего защищает |
|---|---|---|
| 🔑 Пароль пользователя базы | Карточка пользователя или Конфигуратор | От входа в программу под чужим именем |
| 🛡️ Пароль администратора базы | Пользователь с ролью «Полные права» | От изменения прав, пользователей и конфигурации |
| 🖥️ Администратор кластера 1С | Консоль администрирования серверов | От управления сеансами, базами и кластером |
| 🗄️ Пользователь сервера СУБД | Свойства базы в кластере, сам SQL-сервер | От прямого доступа к таблицам в обход 1С |
| 📁 Права на папку файловой базы | Windows (NTFS) | От копирования файла 1Cv8.1CD целиком |
Пароль пользователя не спасает, если файл базы можно просто скопировать на флешку. А пароль администратора кластера не мешает бухгалтеру зайти под коллегой. Надёжная защита — это несколько уровней сразу.
Первый администратор: с чего начинается защита базы
В новой базе список пользователей пустой. В таком состоянии 1С не спрашивает ни имени, ни пароля и пускает всех с полными правами. Поэтому первым всегда создают администратора.
Создание администратора в Конфигураторе
- Запустите базу в режиме Конфигуратор.
- Откройте
Администрирование → Пользователии нажмите Добавить. - На вкладке Основные заполните Имя (короткое, например
Админ) и Полное имя. - Отметьте Аутентификация 1С:Предприятия, введите пароль в поля Пароль и Подтверждение пароля.
- На вкладке Прочие отметьте роли Полные права и Администратор системы. Без них первый пользователь не сможет управлять остальными.
- Нажмите ОК и перезапустите программу. Теперь при входе появится окно выбора пользователя и запрос пароля.
Запишите пароль администратора и храните его отдельно от компьютера с базой. Кнопки «восстановить пароль» в платформе нет. Если единственный администратор его забыл, сбросить пароль сможет только другой пользователь с полными правами.
Почему в типовой конфигурации лучше через «Предприятие»
В БП 3.0, ЗУП 3.1 и УТ 11 у каждого пользователя есть элемент справочника «Пользователи» в самой программе. Он связан с учётной записью платформы. Если создавать людей только в Конфигураторе, справочник заполнится при первом входе, но права по группам доступа придётся раздавать вручную.
Порядок такой: администратора создают в Конфигураторе, а всех остальных — уже из режима «Предприятие». Тогда программа сама ведёт связь между справочником и учётной записью и назначает роли через профили.
Как поставить пароль пользователю в режиме «Предприятие»
Это основной способ для бухгалтерии и кадров. Нужны права администратора.
- Откройте
Администрирование → Настройки пользователей и прав. - Нажмите ссылку Пользователи и откройте карточку сотрудника или создайте новую кнопкой Создать.
- Убедитесь, что включён флажок Вход в программу разрешён.
- Нажмите Установить пароль, введите новый пароль дважды и сохраните.
- Нажмите Записать и закрыть.
В той же карточке можно потребовать, чтобы пользователь сменил пароль при первом входе. Тогда администратор задаёт временный пароль, а постоянный знает только сам сотрудник. Это честнее и удобнее: никто не скажет, что под его именем работал администратор.
Сотрудник может сменить свой пароль сам. Если окно смены пароля не находится в меню, его открывают из панели функций по слову «пароль» через поиск по меню программы.
Пароль через Конфигуратор
Если пользователь уже есть, но в «Предприятие» не попасть, пароль меняют в Конфигураторе: Администрирование → Пользователи, двойной щелчок по строке, поля Пароль и Подтверждение пароля на вкладке Основные. Там же есть флажки:
- 🔒 Пользователю запрещено изменять пароль — для общих учётных записей, например кассы;
- 👁️ Показывать в списке выбора — если снять, имя придётся вводить вручную, а посторонний не увидит список логинов;
- ⚠️ Защита от опасных действий — программа предупреждает перед запуском внешних обработок и подобных операций.
Вход через учётную запись Windows
На вкладке Основные отметьте Аутентификация операционной системы и укажите пользователя в формате \\ДОМЕН\имя. После этого сотрудник входит в 1С без пароля, если вошёл в Windows под нужной учётной записью. Второй пароль не нужен, а уволенного достаточно заблокировать в домене.
Требования к паролю: длина, сложность, срок
Поставить пароль мало: «1» или «123» защищают только от случайного клика. Требования к паролям задают в двух местах.
В Конфигураторе — Администрирование → Параметры информационной базы. Там есть Минимальная длина паролей пользователей и флажок Проверка сложности паролей пользователей. Сложный пароль должен содержать символы разных групп и не совпадать с именем.
В режиме «Предприятие» — Администрирование → Настройки пользователей и прав → Настройки входа. Здесь кроме длины и сложности настраивают:
- ⏳ срок действия пароля в днях, после которого программа потребует новый;
- 🔁 запрет повторять несколько последних паролей;
- 🚫 автоматическое отключение входа, если пользователь долго не работал в программе.
Разумный минимум для бухгалтерской базы — 8 символов, проверка сложности и смена раз в 90 дней. Слишком жёсткая политика оборачивается стикерами с паролями на мониторе.
Роли и группы доступа: что открыть каждому
Пароль отвечает на вопрос «кто вошёл». Права — на вопрос «что ему можно». Без настройки прав любой с паролем видит всю базу, включая зарплату директора.
Как устроены права в типовых конфигурациях
В программах на БСП права выдают не ролями напрямую, а через профили и группы доступа:
- Профиль группы доступа — готовый набор ролей. В поставке есть профили вроде «Бухгалтер», «Кадровик», «Кладовщик».
- Группа доступа — профиль плюс список участников. Например, группа «Бухгалтерия» на основе профиля «Бухгалтер».
- Пользователь попадает в одну или несколько групп и получает сумму их прав.
В БП 3.0 права проще всего выдать из карточки пользователя: команда Права доступа
показывает список групп с флажками. Расширенная настройка открывается в Администрирование → Настройки пользователей и прав → Группы доступа.
Ограничение по организациям
Если в одной базе несколько юрлиц, включите в настройках пользователей и прав флажок Ограничивать доступ на уровне записей. После этого в группе доступа можно указать, какие организации видит её участник. Бухгалтер ООО «Альфа» не увидит документы ИП Иванова, хотя работает в той же базе.
Ограничение на уровне записей замедляет работу на больших базах. Включайте его, когда разграничение действительно нужно, и проверяйте скорость отчётов после включения.
Правило минимальных прав
- ✅ роль Полные права — только у одного-двух администраторов;
- ✅ рабочие учётные записи администраторов — без полных прав, для повседневной работы;
- ✅ общие логины вроде «Бухгалтер» не используются: в журнале не понять, кто что изменил;
- ✅ подрядчик-программист получает отдельную учётную запись, которую отключают после работ.
Защита в клиент-серверном варианте: кластер и SQL
В серверной базе пароля пользователя 1С недостаточно. Данные лежат в MS SQL или PostgreSQL, а управляет ими кластер 1С. У каждого из этих слоёв свои пароли.
Администратор кластера
По умолчанию консоль администрирования серверов пускает в кластер кого угодно, кто до неё дотянулся. Исправить это можно так:
- Откройте консоль, разверните центральный сервер и кластер.
- В ветке Администраторы кластера добавьте пользователя с паролем или с аутентификацией Windows.
- То же сделайте в ветке Администраторы центрального сервера.
После этого консоль и утилита rac будут требовать имя и пароль. Без них нельзя завершать сеансы, удалять базы и менять свойства кластера.
Если пароль администратора кластера потерян, не пересоздавайте кластер. Остановите службу агента сервера 1С в нерабочее время, предупредив пользователей (все сеансы оборвутся), и восстановите файлы настроек кластера из резервной копии. Если копии нет, обратитесь к администратору сервера.
Пользователь СУБД
При создании базы в кластере указывают Пользователь сервера БД и его пароль. Частая ошибка — использовать для этого sa в MS SQL или postgres в PostgreSQL. Любой, кто узнает этот пароль, получит доступ ко всем базам на сервере в обход ролей 1С.
Правильнее завести отдельный логин SQL с правами только на свою базу. Пароль от него знают администратор и кластер 1С, бухгалтерам он не нужен.
Права на базу в кластере
В свойствах информационной базы в консоли есть поля для имени и пароля администратора базы. Они нужны, чтобы консоль могла изменить свойства базы, например включить блокировку сеансов. Сюда вводят учётную запись 1С с полными правами, а не пароль SQL.
Файловая база
У файловой базы кластера нет, а все данные хранятся в одном файле 1Cv8.1CD. Скопировав его, посторонний унесёт и базу, и список пользователей. Поэтому для файлового варианта обязательны права Windows на папку: доступ на чтение и запись только у тех, кто работает в базе, и у учётной записи резервного копирования.
Обслуживание: регулярная проверка доступа
Защита со временем «расползается»: приходят и уходят сотрудники, подрядчикам выдают временный доступ и забывают отключить. Раз в квартал стоит пройти по короткому списку.
Уволенный сотрудник: отключить, а не удалить
Пользователя не удаляют, а снимают флажок Вход в программу разрешён в карточке. Его имя остаётся в документах и журнале регистрации, история изменений не теряется. Если удалить учётную запись, в старых записях журнала вместо фамилии останется непонятный идентификатор.
Журнал регистрации
Открывается в Администрирование → Обслуживание → Журнал регистрации. Установите отбор по событиям группы «Сеанс» — там видны входы, выходы и ошибки аутентификации. Серия неудачных попыток под одним именем подряд — повод сменить пароль
этому пользователю и разобраться, кто пытался войти.
Пароль в ярлыке запуска
Иногда для удобства пароль прописывают в ярлык:
"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /F"D:\Bases\Buh" /N"Касса" /P"12345"
Так делать можно только для учётной записи с минимальными правами. Пароль в ярлыке хранится открытым текстом и виден любому, кто откроет свойства ярлыка. Для администратора такой запуск недопустим.