Авторизация в 1С:Предприятие: как закрыть базу паролем и логином

Чтобы база перестала открываться любому, кто запустит ярлык, нужен хотя бы один пользователь с паролем. Пока список пользователей пуст, 1С входит под условным «администратором» без запроса логина — это и есть незащищённая база. Как только вы заведёте первого пользователя с аутентификацией 1С:Предприятия, программа начнёт спрашивать имя и пароль при каждом старте.

Пользователи и способы входа создаются в одном месте — в списке пользователей. В файловом и клиент-серверном варианте список один и тот же, различается только администрирование подключений. Ниже — как включить вход по логину и паролю, как привязать вход к учётной записи Windows и что делать, если авторизация сломала обмены или вы забыли пароль.

Два способа входа: пароль 1С и учётная запись ОС

Платформа поддерживает несколько видов аутентификации, и у одного пользователя их можно включить сразу два.

• 🔑 Аутентификация 1С:Предприятия — вход по имени и паролю, которые хранятся внутри базы. Базовый и самый частый способ.
• 🪟 Аутентификация операционной системы — вход по учётной записи Windows или домена. Пользователь не вводит пароль 1С: платформа узнаёт его по текущему сеансу ОС.
• 🌐 Аутентификация OpenID / по токену доступа — вход через внешний провайдер; применяется в основном для веб-публикации и связанных сервисов.

Для защиты обычной локальной или сетевой базы хватает первых двух. Пароль 1С работает везде и ни от чего не зависит. Аутентификация ОС удобнее в домене: сотрудник уже вошёл в Windows — повторно логиниться в 1С не нужно, а администратор управляет доступом через учётные записи.

Важно понимать разницу между аутентификацией и правами. Аутентификация решает, пустить ли человека в базу. Права (роли) решают, что он увидит и сможет сделать внутри. Включить авторизацию без продуманных ролей — это запереть дверь, но оставить все ящики открытыми.

Включаем вход по паролю в файловой базе

Файловая база — это папка с файлом 1Cv8.1CD. Пользователи заводятся либо в Конфигураторе, либо в самой программе (в типовых конфигурациях на БСП — «Бухгалтерия», «ЗУП», «УТ»).

Через Конфигуратор (работает в любой конфигурации):

1. Откройте базу в режиме Конфигуратор.
2. Меню Администрирование → Пользователи.
3. Нажмите «Добавить». Заполните поля:
   • Имя — логин для входа (например, Бухгалтер).
   • Полное имя — как подписывать в журнале и документах.
   • На вкладке «Основные» поставьте флаг Аутентификация 1С:Предприятия и задайте пароль.
4. Перейдите на вкладку «Прочие» и назначьте роли. Себе — роль с полными правами (в типовых она называется Администратор или Полные права).
5. Запишите пользователя (кнопка с дискетой).

Как только появился первый пользователь, при следующем запуске база спросит логин и пароль. Создайте администратора первым и не закрывайте Конфигуратор, пока не убедитесь, что помните пароль — иначе можно заблокировать себе вход.

Через режим 1С:Предприятие (типовые конфигурации):

1. Войдите с правами администратора.
2. Администрирование → Настройки пользователей и прав → Пользователи.
3. «Создать», заполните имя, установите флаг «Вход в программу разрешён» и задайте пароль.
4. Через гиперссылку «Права доступа » назначьте профиль (набор ролей).

Этот путь удобнее: роли собраны в понятные профили, а не в длинный список технических ролей.

Привязываем вход к учётной записи Windows

Аутентификация ОС избавляет от ввода пароля и упрощает управление доступом в домене.

1. Откройте карточку пользователя (в Конфигураторе — Администрирование → Пользователи).
2. Поставьте флаг Аутентификация операционной системы.
3. В поле учётной записи укажите пользователя в формате ДОМЕН\Имя (для локального компьютера — ИмяКомпьютера\Пользователь).
4. Запишите.

Теперь при запуске из-под этой учётной записи Windows платформа пустит в базу без запроса пароля. Если нужно войти под другим пользователем 1С, запускайте с ключом — в ярлыке 1cv8.exe добавьте параметр /N с именем или снимите галку «Защищённое соединение» в диалоге, а проще выбрать пользователя в окне запуска вручную.

Чтобы окно выбора пользователя не появлялось при аутентификации ОС, в настройках списка пользователей (или в параметрах базы) включите соответствующий режим показа. Если точное название пункта в вашей версии отличается, ориентируйтесь на флаг про «показывать в списке выбора».

Авторизация в клиент-серверной базе

В клиент-серверном варианте список пользователей ведётся так же — в Конфигураторе или в режиме предприятия. Способы входа (пароль, ОС) настраиваются идентично файловому. Разница в том, что над базой появляется ещё один уровень — кластер серверов 1С:Предприятия, и у него своя защита.

Кластер и опубликованные в нём базы администрируют отдельно:

• Консоль администрирования серверов (оснастка MMC) или утилита rac — командная строка сервера.
• У кластера есть свои администраторы кластера, у каждой информационной базы — свои администраторы ИБ. Это не то же самое, что пользователи внутри базы: они управляют подключениями, сеансами и блокировками, а не документами.

Минимальная защита клиент-серверной базы складывается из трёх слоёв:

1. Пользователи ИБ с паролями — вход в саму конфигурацию (как в файловом варианте).
2. Администратор кластера с паролем — чтобы посторонний не управлял сервером и не отключал других.
3. Администратор информационной базы — чтобы нельзя было подменить строку соединения или заблокировать вход .

Посмотреть список кластеров и баз через rac можно командами rac cluster list и rac infobase summary list. Полный синтаксис и параметры смотрите в справке rac help — не выполняйте наугад команды, меняющие состав администраторов или блокировки, на рабочем сервере.

Пока у кластера и базы нет администраторов, вход в консоль открыт любому, кто получит доступ к серверу. Это частая дыра: пользователи в базе под паролями, а сам кластер «голый».

Сертификаты, защищённое соединение и шифрование

Пароль решает «кого пустить», но не защищает сам канал. Если база работает по сети или публикуется в вебе, трафик между клиентом и сервером стоит шифровать.

• Защищённое соединение (TLS) с сервером. В клиент-серверном варианте соединение клиента с кластером можно перевести на защищённый режим. Это закрывает перехват логинов и данных в локальной сети.
• HTTPS для веб-публикации. Если база опубликована на веб-сервере (IIS или Apache), включайте HTTPS с сертификатом на уровне веб-сервера. Без этого пароль 1С уходит по сети в открытом виде.
• Аутентификация по сертификату. Для опубликованных баз вход по клиентскому сертификату настраивается средствами веб-сервера (запрос клиентского сертификата), а сам сертификат сопоставляется с пользователем. Это способ для веб-доступа, а не замена паролю в толстом клиенте.

Отдельно стоит вход через OpenID: один провайдер хранит учётные записи, а несколько баз и сервисов пускают пользователя по единому входу. Это удобно, когда баз много и хочется единую точку управления доступом, но настройка сложнее и требует отдельного сервера аутентификации — для одной офисной базы она избыточна.

Отдельная история — криптография внутри учёта: подписание отчётности и ЭДО квалифицированной подписью. К авторизации при входе в базу это прямого отношения не имеет: там сертификат подтверждает документ, а не пускает в программу. Не путайте эти два сценария, когда ищете, «как настроить сертификат в 1С».

Частые ошибки при настройке входа

Авторизация ломается предсказуемо. Вот что встречается чаще всего.

Ещё одна типичная ситуация — список пользователей показывается в окне выбора, и злоумышленнику остаётся подобрать только пароль. Для чувствительных баз список выбора лучше скрыть, чтобы логин тоже был неизвестен.

Как поддерживать защиту базы дальше

Включить авторизацию — половина дела. Чтобы она реально защищала, настройте политику и порядок.

• Политика паролей. В типовых конфигурациях (Администрирование → Настройки пользователей и прав) включите минимальную длину пароля, требование сложности и периодическую смену. Это дисциплинирует сотрудников.
• Отдельная учётка каждому. Один общий логин «на всех» убивает смысл журнала: непонятно, кто провёл документ. Заводите пользователя на человека.
• Роли по минимуму. Выдавайте профиль под задачу: бухгалтеру — бухгалтерский, кадровику — кадровый. Полные права — только администратору.
• Журнал регистрации. Периодически просматривайте, кто и когда входил, что менял. Это помогает и при инциденте, и при разборе ошибок.
• Резервные копии. Перед любыми изменениями прав и паролей делайте резервную копию базы — откатиться всегда проще, чем восстанавливать доступ вручную.
• Второй администратор. Всегда держите минимум двух пользователей с полными правами и известными паролями. Один уволился или забыл пароль — второй спасает базу.

Если в базе есть персональные данные сотрудников или клиентов, парольная защита и разграничение доступа — это ещё и требование закона о персональных данных. Незапароленная база с ФИО, адресами и зарплатами — прямое нарушение.

Частые вопросы