Аудит входов в 1С 8.3: кто, когда и с какого компьютера открывал базу

Узнать, кто заходил в 1С, проще всего по журналу регистрации: откройте его в разделе Администрирование → Обслуживание (в БП 3.0, ЗУП 3.1, УТ 11) или в конфигураторе через Администрирование → Журнал регистрации и поставьте отбор по событиям «Сеанс. Начало» и «Сеанс. Аутентификация». В списке будут дата и время входа, имя пользователя 1С, компьютер и приложение, через которое открыли базу.

Типичная ситуация: в понедельник главбух видит перепроведённый декабрь и хочет знать, кто был в базе в выходные. Журнал отвечает на это за пару минут, если его не отключили. Кто работает прямо сейчас, покажут «Активные пользователи» и консоль кластера. Ниже разобраны все способы аудита подключений: от встроенных средств платформы 8.3 до логов СУБД и журнала Windows. Способы общие для платформы и не зависят от конфигурации.

Какой инструмент отвечает на ваш вопрос

Под «кто заходил в 1С» прячутся разные вопросы. От вопроса зависит, куда смотреть.

Журнал регистрации: история входов в 1С

Журнал регистрации пишет платформа, а не конфигурация. Поэтому он есть в любой базе 8.3, даже самописной.

Где открыть журнал

• 📂 БП 3.0, ЗУП 3.1, УТ 11 и другие конфигурации на БСП: Администрирование → Обслуживание, ссылка «Журнал регистрации».
• 🛠 Конфигуратор: Администрирование → Журнал регистрации. Форма платформенная, отборы гибче.
• 🧭 Любая конфигурация: Все функции → Стандартные → Журнал регистрации. Если меню «Все функции» нет, включите его в Сервис и настройки → Параметры, флажок «Отображать команду “Все функции”».

Для просмотра журнала нужны административные права. Обычный пользователь не увидит ни ссылку, ни данные.

Какие события отбирать

Входы и выходы записываются группой событий «Сеанс»:

• 🟢 Сеанс. Начало — пользователь открыл базу.
• 🔑 Сеанс. Аутентификация — успешная проверка логина и пароля или входа через Windows.
• ⛔ Сеанс. Ошибка аутентификации — неверный пароль или несуществующий пользователь.
• 🔴 Сеанс. Завершение — пользователь вышел или сеанс оборвался.

В отборе снимите все события и оставьте эти четыре. Задайте интервал дат. Если нужен один человек — укажите его в поле «Пользователь».

Что показывает строка журнала

Номер сеанса — главный ключ для расследования. Нашли изменение документа — посмотрите номер сеанса. Затем отберите журнал по этому номеру: увидите, когда сеанс начался, с какого компьютера и что ещё в нём делали.

Пример расследования

В понедельник выяснилось: в субботу перепроведена реализация за декабрь. Порядок действий такой:

1. Откройте журнал, отберите события изменения данных и сам документ за субботу.
2. Найдите строку проведения и запишите номер сеанса, например 37.
3. Снимите отбор по событиям и поставьте отбор по сеансу 37.
4. Первая строка — «Сеанс. Начало»: в ней пользователь, компьютер и время входа. Последняя — «Сеанс. Завершение».

За 5 минут видно, кто входил, с какой машины и что ещё успел сделать за этот сеанс. Если пользователь общий, сверяйте имя компьютера со списком рабочих мест.

Строки с приложением «Конфигуратор» заслуживают отдельного внимания. Вход в конфигуратор в рабочее время без заявки — повод спросить, кто и зачем.

Кто работает в базе прямо сейчас

Список текущих подключений показывает форма «Активные пользователи».

1. В конфигурациях на БСП: Администрирование → Обслуживание, ссылка «Активные пользователи».
2. В конфигураторе: Администрирование → Активные пользователи.
3. В любой конфигурации: Все функции → Стандартные → Активные пользователи.

В списке видны пользователь, приложение, время начала работы, компьютер и номер сеанса. Из формы БСП можно сразу открыть журнал регистрации с отбором по выбранному пользователю — удобно, когда нужно понять, чем человек занят.

В файловой базе это единственный штатный способ увидеть текущих пользователей. Консоли кластера у файлового варианта нет.

Сеансы и соединения в консоли кластера серверов

В клиент-серверной базе полную картину даёт «Администрирование серверов 1С Предприятия». Консоль ставится вместе с платформой.

Где смотреть в консоли

1. Разверните: центральный сервер → «Кластеры» → нужный кластер → «Информационные базы».
2. Откройте базу и выберите ветку «Сеансы».
3. В правой части видны пользователь, компьютер, приложение, время начала и последней активности, рабочий процесс.

Ветка «Сеансы» на уровне кластера показывает сеансы всех баз сразу. Это удобно, когда на сервере десяток баз и нужно найти конкретного человека. Ветка «Соединения» показывает физические подключения к рабочим процессам — пригодится при поиске зависших соединений.

Консоль показывает только текущее состояние. Истории в ней нет: закрытый сеанс исчезает из списка.

То же самое из командной строки

Утилита rac работает через службу сервера администрирования ras, по умолчанию на порту 1545. Служба должна быть запущена.

rem Получить идентификатор кластера
rac localhost:1545 cluster list

rem Сеансы всех баз кластера
rac localhost:1545 session list --cluster=<uuid-кластера>

rem Сеансы с выданными лицензиями
rac localhost:1545 session list --cluster=<uuid-кластера> --licenses

Если на кластере заданы администраторы, добавьте --cluster-user и --cluster-pwd. Остальные параметры смотрите в справке rac help session.

Вывод rac легко сохранять по расписанию в файл. Так из «снимка на сейчас» получается своя история подключений, если журнал регистрации по какой-то причине не подходит.

Подключения на уровне СУБД: SQL Server и PostgreSQL

Логи СУБД отвечают на другой вопрос. Сервер 1С подключается к базе данных от одной служебной учётной записи. Поэтому в SQL Server и PostgreSQL все пользователи 1С выглядят как один логин с адресом сервера 1С.

Зато СУБД покажет тех, кто зашёл в базу данных напрямую: через Management Studio, pgAdmin или скрипт. Такие подключения обходят права 1С и журнал регистрации.

SQL Server

Текущие подключения покажет запрос:

SELECT login_name, host_name, program_name, login_time
FROM sys.dm_exec_sessions
WHERE is_user_process = 1
ORDER BY login_time DESC;

Для истории включите аудит входов: в свойствах сервера на вкладке «Безопасность» выберите регистрацию успешных и неудачных входов. Записи попадут в журнал ошибок SQL Server. Для детального аудита используют штатный механизм Server Audit.

PostgreSQL

Текущие подключения:

SELECT usename, client_addr, application_name, backend_start
FROM pg_stat_activity
WHERE datname = 'имя_базы';

Для истории в postgresql.conf включите параметры log_connections = on и log_disconnections = on, затем перечитайте конфигурацию. Подключения начнут записываться в журнал сервера PostgreSQL.

Внешние источники и сторонние обработки

Журнал безопасности Windows

Если пользователи работают через терминальный сервер или RDP, вход в Windows виден в журнале безопасности. Событие 4624 — успешный вход в систему, тип входа 10 — удалённый интерактивный. Сопоставьте время входа в Windows со временем «Сеанс. Начало» в журнале 1С и именем компьютера.

Это помогает, когда несколько человек работают под одним пользователем 1С. Журнал 1С покажет один логин, а Windows — разные учётные записи.

Прямое чтение файла журнала

В платформе 8.3 журнал хранится в папке 1Cv8Log. У файловой базы она лежит в каталоге базы. У клиент-серверной — в каталоге кластера, обычно в srvinfo\reg_1541\<идентификатор базы>\1Cv8Log.

Новый формат журнала — файл 1Cv8.lgd, это база SQLite. Её можно открыть любым просмотрщиком SQLite и построить свой отчёт. Структура таблиц официально не описана и может меняться между версиями платформы, поэтому запрос ниже — пример, а не стандарт:

SELECT datetime(e.date / 10000 - 62135596800, 'unixepoch') AS dt,
       u.name AS user_name, c.name AS computer
FROM EventLog e
JOIN EventCodes ev ON ev.code = e.eventCode
LEFT JOIN UserCodes u ON u.code = e.userCode
LEFT JOIN ComputerCodes c ON c.code = e.computerCode
WHERE ev.name = '_$Session$_.Start'
ORDER BY e.date DESC;

Работайте только с копией файла. Открытый на запись рабочий журнал можно повредить, и тогда история пропадёт целиком.

Сторонние обработки

Внешние обработки для анализа журнала делают то же, что штатная форма, но удобнее: строят сводки по пользователям, рабочим часам, входам ночью. Перед запуском такой обработки в рабочей базе проверьте её код или источник. Обработке с правами администратора доступно всё.

Настройка аудита, чтобы история входов не пропала

Расследование часто упирается в пустой журнал. Настройте его заранее.

Уровень логирования

В конфигураторе откройте Администрирование → Настройка журнала регистрации. События сеансов относятся к информационным. Если выбран уровень «Регистрировать ошибки» или «Регистрировать ошибки и предупреждения», входы не попадут в журнал. Для аудита нужен как минимум уровень с информацией.

В той же форме задаётся разделение журнала по периодам. Разбивка по месяцам или неделям упрощает архивирование.

Срок хранения

• 🗓 Определите, сколько хранить историю: например, 12 месяцев.
• 🗄 Старые периоды переносите в архив кнопкой сокращения журнала с сохранением удаляемых записей в файл.
• 💾 Каталог 1Cv8Log включите в резервное копирование сервера.

Технологический журнал для сеансов

Технологический журнал пишет события платформы на диск в отдельную папку. Для аудита подключений достаточно событий SESN (сеансы) и CONN (соединения). Настройка — файл logcfg.xml в каталоге bin\conf установленной платформы на сервере 1С:

<config xmlns="http://v8.1c.ru/v8/tech-log">
  <log location="D:\techlog" history="168">
    <event><eq property="name" value="SESN"/></event>
    <event><eq property="name" value="CONN"/></event>
    <property name="all"/>
  </log>
</config>

Параметр history задаёт срок хранения в часах: 168 — неделя. Включайте технологический журнал только на нужные события: с широким набором он быстро забивает диск.

Порядок с пользователями

• 👤 У каждого сотрудника свой пользователь 1С. Общий логин делает журнал бесполезным.
• 🔐 Пароли или вход через Windows для всех, включая администратора.
• 🚪 Уволенным сотрудникам запрещайте вход в карточке пользователя сразу в день увольнения.
• 🧾 Права на журнал регистрации и «Активных пользователей» — только у администраторов.

Частые вопросы