Запрет входа в 1С:Предприятие для сотрудника: от карточки до консоли кластера
Содержание
Чтобы заблокировать пользователя
в 1С:Предприятии 8.3, откройте Администрирование → Настройки пользователей и прав → Пользователи, выберите сотрудника и снимите флажок «Вход в программу разрешен». Запись остаётся на месте: документы, ответственные и история изменений по-прежнему ссылаются на этого человека, но войти в базу он больше не сможет.
Снятый флажок не выкидывает того, кто уже работает. Открытый сеанс нужно завершить отдельно. А если надо закрыть базу для всех сразу (обновление, закрытие периода ), используют блокировку сеансов — из самой программы или из консоли кластера. Ниже все варианты по порядку: от самого мягкого к самому жёсткому.
Как заблокировать пользователя в режиме Предприятия
Этот способ подходит для всех типовых конфигураций на Библиотеке стандартных подсистем: Бухгалтерия 3.0, ЗУП 3.1, Управление торговлей 11, Комплексная автоматизация, ERP. Путь меню в них один и тот же.
- Откройте
Администрирование → Настройки пользователей и прав. - Перейдите по ссылке «Пользователи».
- Откройте карточку нужного сотрудника.
- Снимите флажок «Вход в программу разрешен».
- Нажмите «Записать и закрыть».
Для этого нужны полные права. Пользователь с ролью «Администратор системы» или профилем «Администратор» видит флажок и может его менять. У остальных поле недоступно.
Ограничение по сроку
Если сотрудник уходит в длительный отпуск или вы даёте доступ подрядчику на неделю, удобнее не снимать флажок вручную, а задать срок. Рядом с флажком входа в карточке есть ссылка для настройки ограничения: можно указать дату, после которой вход запрещается, или запретить вход, если пользователь не заходил дольше заданного числа дней.
Общие правила для всех — минимальная длина пароля, срок его действия, запрет входа неактивным пользователям — задаются в разделе Администрирование → Настройки пользователей и прав, в блоке настроек входа.
Флажок «Недействителен»
В карточке есть ещё флажок «Недействителен». Он сильнее: пользователь пропадает из списков выбора, а вход в программу запрещается автоматически. Его ставят уволенным, чтобы список не засорялся.
Не удаляйте пользователя, даже если он больше не работает. На него ссылаются документы, поле «Ответственный», журнал регистрации и задачи. Удаление сломает эти ссылки, а пометка «Недействителен» решает ту же задачу без потерь.
Завершение активного сеанса пользователя
Снятый флажок проверяется при входе. Если сотрудник сидит в базе прямо сейчас, он продолжит работать, пока сам не закроет программу. Поэтому после блокировки учётной записи завершите его сеанс.
Из программы. В типовых конфигурациях откройте Администрирование → Обслуживание и найдите обработку «Активные пользователи». В списке видно, кто работает, с какого компьютера и в каком приложении (тонкий клиент, Конфигуратор, фоновое задание). Выделите строку и завершите сеанс командой на панели формы.
Из консоли кластера (клиент-серверный вариант):
- Откройте «Администрирование серверов 1С Предприятия».
- Разверните
Кластеры → <ваш кластер> → Информационные базы → <база> → Сеансы. - Найдите сеанс по имени пользователя и компьютеру.
- В контекстном меню выберите удаление сеанса.
Принудительное завершение обрывает работу без сохранения. Если сотрудник в этот момент проводил документ или заполнял ведомость, несохранённые данные пропадут. Предупредите его или подождите паузы в работе.
Через rac — когда консоли под рукой нет или нужно сделать это скриптом:
rac cluster list
rac session list --cluster=<uuid_кластера> --infobase=<uuid_базы>
rac session terminate --cluster=<uuid_кластера> --session=<uuid_сеанса>
Если на кластере задан администратор, к командам добавляют --cluster-user и --cluster-pwd. Полный список параметров выводит rac help session.
Блокировка входа в базу для всех пользователей
Иногда нужно закрыть базу целиком: обновить конфигурацию
, выгрузить .dt, провести закрытие месяца
без помех. Для этого есть блокировка начала сеансов. Новые входы запрещаются, а администратор заходит по коду разрешения.
Из режима Предприятия
В типовых конфигурациях это обработка «Блокировка работы пользователей» в разделе Администрирование → Обслуживание. В ней задают:
- 🕐 время начала и окончания блокировки;
- 💬 сообщение, которое увидят пользователи при попытке войти;
- 🔑 код разрешения — с ним вход остаётся открытым.
После установки блокировки программа предупреждает работающих пользователей и через несколько минут завершает их сеансы. Сам администратор входит с параметром запуска /UC<код>, например /UC12345. Его можно дописать в поле «Дополнительные параметры запуска» в настройках базы в окне запуска 1С.
В консоли кластера
Откройте свойства информационной базы в консоли администрирования серверов. Там есть:
| Параметр | Что делает |
|---|---|
| Блокировка начала сеансов включена | Запрещает новые подключения |
| Начало / Конец | Интервал действия блокировки |
| Сообщение | Текст для пользователя при отказе |
| Код разрешения | Значение для входа через /UC |
| Блокировка регламентных заданий включена | Останавливает фоновые задания по расписанию |
Для свойств базы консоль спросит логин и пароль администратора информационной базы, а не только кластера.
Через rac то же делается командой rac infobase update с параметром --sessions-deny=on. Сообщение и код задаются параметрами --denied-message и --permission-code. Точный синтаксис уточните по rac help infobase: набор параметров зависит от версии платформы.
Блокировка сеансов не завершает тех, кто уже вошёл. Через консоль их выкидывают вручную (см. раздел выше). Обработка в режиме Предприятия делает это сама, но с задержкой на предупреждение.
В файловой базе
У файловой базы нет кластера и консоли администрирования. Блокировку ставят только обработкой «Блокировка работы пользователей» из режима Предприятия. Завершить чужой сеанс в файловом варианте тоже можно через «Активные пользователи», но надёжнее попросить людей выйти: сеанс, открытый по сети с другого компьютера, иногда закрывается с задержкой. Если база не открывается в монопольном режиме, хотя все вышли, проверьте в «Активных пользователях», не остались ли там фоновые задания или Конфигуратор.
Блокировка пользователя через Конфигуратор
В самописных и старых конфигурациях без БСП справочника «Пользователи» в режиме Предприятия может не быть. Тогда список ведут в Конфигураторе: Администрирование → Пользователи.
Чтобы пользователь не мог войти, откройте его свойства и снимите оба флажка:
- «Аутентификация 1С:Предприятия» — вход по логину и паролю;
- «Аутентификация операционной системы» — вход под учётной записью Windows.
Без обоих способов аутентификации войти невозможно. Дополнительно снимите «Показывать в списке выбора», чтобы имя не мелькало в окне входа.
В конфигурациях на БСП не меняйте пользователей через Конфигуратор. Программа хранит связь между пользователем информационной базы и элементом справочника «Пользователи». Правка в обход режима Предприятия эту связь рассинхронизирует: в карточке будет одно, в реальных правах другое.
Можно ли заблокировать пользователя 1С на уровне СУБД
Короткий ответ: отдельного пользователя 1С через SQL не заблокировать. Все сеансы 1С ходят в базу данных под одним логином СУБД, который указан в свойствах информационной базы на кластере. Список пользователей 1С хранится внутри базы в служебной таблице, и править её напрямую нельзя: можно потерять всех пользователей, включая администратора.
Что на уровне СУБД делать имеет смысл:
- 🔒 закрыть прямой доступ к базе аналитику, BI-системе или скрипту, у которых есть свой логин;
- 🚫 запретить подключения к базе вообще, если её выводят из эксплуатации.
MS SQL Server — отключить логин:
ALTER LOGIN [analyst_bi] DISABLE;
PostgreSQL — запретить вход роли и подключение к конкретной базе:
ALTER ROLE analyst_bi NOLOGIN;
REVOKE CONNECT ON DATABASE buh_base FROM analyst_bi;
Уже открытые подключения после этого не рвутся. В PostgreSQL их завершают функцией pg_terminate_backend() по идентификатору процесса из pg_stat_activity.
Не отключайте логин, под которым работает сам кластер 1С. Тогда база перестанет открываться у всех, а фоновые задания начнут падать с ошибками подключения.
Порядок действий при увольнении и смене должности
В типовых конфигурациях физическое лицо в кадровом учёте и пользователь программы — разные объекты. Кадровое увольнение в ЗУП само по себе доступ не отключает. Поэтому закрывать доступ нужно отдельным шагом, лучше в день увольнения.
Рабочий порядок:
- Найдите все учётные записи сотрудника. У одного человека бывают доступы в нескольких базах: Бухгалтерия, ЗУП, УТ, копия для тестов.
- Проверьте, не запускаются ли под ним регламентные задания или обмены. Если да — переназначьте их на служебного пользователя, иначе они начнут падать.
- Снимите флажок «Вход в программу разрешен» или поставьте «Недействителен».
- Завершите активные сеансы.
- Если сотрудник входил через Windows-аутентификацию, отключение доменной учётной записи тоже закроет вход. Но на это не полагайтесь: на компьютере с локальной учётной записью вход по паролю 1С может остаться.
- Удалите сотрудника из групп доступа, если в вашей базе включены ограничения на уровне записей. Иначе при случайном повторном включении у него вернутся все права.
Перевод на другую должность
При смене роли блокировать пользователя не нужно. Достаточно поменять группы доступа: Администрирование → Настройки пользователей и прав → Группы доступа (в Бухгалтерии 3.0 права задаются через профили групп доступа). Новые права подхватятся при следующем входе. Попросите сотрудника перезайти в программу.
Как проверить, что доступ закрыт: журнал регистрации
Журнал показывает и попытки входа, и кто менял пользователя. В режиме Предприятия он открывается через Администрирование → Обслуживание → Журнал регистрации, в Конфигураторе — Администрирование → Журнал регистрации.
Что смотреть:
- 👤 отбор по пользователю — были ли сеансы после даты блокировки;
- 🔐 события группы «Сеанс» — начало, завершение и отказы в аутентификации;
- ✏️ события группы «Пользователи» — кто и когда изменил учётную запись.
Если после блокировки в журнале видны успешные входы того же человека, ищите вторую учётную запись или вход под чужим логином. Последнее часто всплывает, когда в отделе один пароль на всех.
По умолчанию журнал может хранить не все события или удалять старые. Уровень детализации и срок хранения задаются в Конфигураторе: Администрирование → Настройка журнала регистрации. Для контроля доступа выставьте детализацию «Регистрировать все события».
Частые ошибки при блокировке
- ❌ Удалили пользователя вместо блокировки. В документах поле автора превращается в «битую» ссылку, история в журнале теряет имя. Восстановить связь потом сложно.
- ❌ Сняли флажок, но не завершили сеанс. Сотрудник продолжает работать ещё полдня, пока не закроет программу.
- ❌ Блокировку сеансов включили без кода разрешения. Администратор сам не может зайти в базу. Выход — снять блокировку в консоли кластера.
- ❌ Заблокировали пользователя, под которым идут обмены. Обмен с сайтом или банком перестаёт работать, и это замечают не сразу.
- ❌ Поменяли пользователя в Конфигураторе в базе на БСП. Карточка показывает одно, реальные права другие.