Закрываем доступ к базе 1С: от завершения сеанса до защиты сервера

Чтобы быстро закрыть доступ в 1С, не нужно удалять пользователей. В файловой базе блокировку входа включают через Конфигуратор: Администрирование → Блокировка соединений с информационной базой. В клиент-серверной — через консоль администрирования серверов или утилиту rac: там же завершают активные сеансы. Отдельного пользователя отключают флажком «Вход в программу разрешён» в его карточке.

Частая ошибка — думать, что закрыть доступ можно только одним способом «на всех сразу». На деле есть несколько уровней: сеанс, вход в базу, права внутри базы, учётная запись пользователя и защита на уровне сервера и сети. Какой выбрать — зависит от того, кого и на сколько вы отключаете: одного уволенного сотрудника, всех на время обновления или всю базу от посторонних снаружи.

Ниже — все рабочие способы с точными путями. Начнём с самого быстрого и безопасного, закончим защитой на уровне операционной системы.

Какой способ выбрать под вашу задачу

Прежде чем щёлкать настройки, определитесь, что именно вы закрываете. От этого зависит и метод, и обратимость действия.

Завершение активных сеансов в клиент-серверной базе

Если база работает на сервере «1С:Предприятия», активные сеансы видно в консоли администрирования серверов (оснастка MMC) или в кроссплатформенной утилите rac.

В консоли откройте Central server → кластер → Информационные базы → ваша база → Сеансы. Правой кнопкой по сеансу — «Удалить». Пользователя выбьет из базы в течение нескольких секунд.

Через rac порядок такой:

# узнать идентификатор кластера
rac cluster list
# посмотреть открытые сеансы
rac session list --cluster=<uuid-кластера>
# завершить конкретный сеанс
rac session terminate --cluster=<uuid-кластера> --session=<uuid-сеанса>

Точные параметры для вашей версии платформы смотрите в rac help и rac session help — набор ключей между релизами меняется.

В файловой базе такого инструмента нет: завершить чужой сеанс снаружи невозможно. Остаётся попросить сотрудника закрыть программу либо включить блокировку входа и дождаться, пока все выйдут.

Блокировка начала сеансов на время регламентных работ

Когда нужно освободить базу для обновления, загрузки .dt или тестирования, отдельные сеансы завершать бессмысленно — люди тут же зайдут обратно. Правильнее перекрыть сам вход.

В файловой базе это делается в Конфигураторе: Администрирование → Блокировка соединений с информационной базой. Укажите:

• 🕒 дату и время начала и окончания блокировки;
• 💬 текст сообщения, который увидят пользователи при попытке войти;
• 🔑 код разрешения — пароль, позволяющий войти несмотря на блокировку.

В клиент-серверной базе блокировку начала сеансов включают в консоли администрирования в свойствах информационной базы: галка «Блокировка начала сеансов включена», код разрешения и сообщение. Там же есть отдельная галка для блокировки регламентных заданий — её имеет смысл включить, чтобы фоновые процессы не мешали работам.

Зная код разрешения, администратор входит в заблокированную базу через параметр запуска:

"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /UC код_разрешения

Запишите код разрешения отдельно. Если забыть его и закрыть окно настроек, войти в базу штатным способом будет нельзя до окончания срока блокировки.

Удобный чек-лист перед обновлением или архивацией:

Ограничение прав через роли и профили групп доступа

Иногда задача не «выгнать», а «показывать меньше»: закрыть зарплату , себестоимость или кнопку удаления. Это решают права, а не блокировки.

Права в 1С раздаются через роли. Роль — это набор разрешений на объекты (справочники, документы, отчёты) и на действия с ними (чтение, добавление, изменение). Роли описываются в Конфигураторе, в ветке Общие → Роли.

В типовых конфигурациях на «Библиотеке стандартных подсистем» роли не назначают напрямую — для этого есть профили групп доступа и группы доступа в пользовательском режиме: НСИ и администрирование → Настройки пользователей и прав → Профили групп доступа. Логика такая:

1. Профиль объединяет несколько ролей под понятным именем («Бухгалтер», «Кладовщик», «Только просмотр»).
2. Группа доступа связывает профиль с конкретными пользователями.
3. В ряде профилей задаются ещё и ограничения на уровне записей (RLS) — например, доступ только к своей организации или складу.

Чтобы человек видел базу «только на чтение», назначьте профиль без прав на изменение. Это мягкий способ закрыть доступ: пользователь работает, но навредить данным не может.

Разберём на примере. Кладовщику нужны приходные и расходные накладные, но не нужны ни банк, ни зарплата. Вместо того чтобы отбирать права по одному объекту, вы назначаете ему готовый профиль «Кладовщик», а через RLS ограничиваете видимость одним складом. Новому кладовщику потом достаточно выдать тот же профиль — настраивать заново ничего не нужно. В этом и смысл профилей: права привязаны к роли в компании, а не к конкретному человеку.

Если типовой профиль не подходит, создайте свой на основе существующего и уберите лишние роли. Менять сами роли в Конфигураторе в типовой конфигурации не стоит — при обновлении правки затрутся.

Отключение пользователя в списке информационной базы

Самый частый запрос — закрыть доступ конкретному сотруднику, например при увольнении. Здесь важно различать два списка пользователей.

Пользователи в режиме «1С:Предприятие» — это справочник, которым управляют из интерфейса: НСИ и администрирование → Настройки пользователей и прав → Пользователи. Откройте карточку и:

• снимите флажок «Вход в программу разрешён» — вход закрыт, но история действий сохранена;
• при необходимости задайте срок действия учётной записи (например, последний рабочий день), чтобы доступ закрылся автоматически.

Пользователи информационной базы — это технический список в Конфигураторе: Администрирование → Пользователи. Здесь задаётся способ аутентификации:

💡 В типовых конфигурациях оба списка синхронизируются: снятый флажок «Вход разрешён» в справочнике обычно отключает и пользователя ИБ. Удалять пользователя Конфигуратором без необходимости не стоит — потеряется связь с документами, где он указан автором.

Если сотрудник входил по доменной учётной записи, продублируйте блокировку в Active Directory: пока его аккаунт в домене активен, он сможет подключиться к другим ресурсам, даже если в 1С доступ закрыт.

Защита базы на уровне сервера, сети и файлов

Всё перечисленное защищает базу изнутри. Но если файл базы лежит в общей папке, а сервер смотрит в интернет, настройки прав не спасут — базу просто скопируют или подключат напрямую.

Минимальный уровень защиты снаружи:

• 🗂 Права на каталог файловой базы. Доступ к папке с файлом 1Cv8.1CD — только у тех, кто реально работает. Остальным — запрет на уровне NTFS. Копия файла базы = копия всех данных, пароли 1С тут не помогают.
• 🧱 Фаервол для клиент-серверной базы. Порты сервера «1С:Предприятия» (менеджер кластера и рабочие процессы, по умолчанию диапазон около 1540, 1541 и 1560–1591) не должны быть открыты в интернет. Доступ к ним — только из локальной сети.
• 🔒 VPN вместо проброса портов. Удалённым сотрудникам давайте доступ через VPN, а не публикуйте порты сервера наружу.
• 🌐 HTTPS для веб-публикации. Если база опубликована через веб-сервер (тонкий клиент или мобильное подключение), используйте только HTTPS и ограничьте доступ по IP или паролю на уровне веб-сервера.

Отдельный случай — работа через терминальный сервер (RDP). Тогда 1С запускается на сервере, а пользователь видит только картинку. Закрыть доступ здесь можно на двух уровнях: отключить учётную запись в самой 1С и заблокировать RDP-доступ в домене. Второе важно не забыть — пока терминальный вход открыт, человек попадёт на сервер, даже если в базе его отключили.

Отдельно про резервные копии: храните архивы базы там же, где и саму базу, под теми же правами. Бэкап в открытой папке — это дыра в защите не меньшая, чем открытый порт. Шифрование диска или архива добавляет ещё один барьер, если носитель с копией вдруг окажется не у вас.

Контроль и автоматизация доступа

Закрыть доступ — половина дела. Вторая половина — видеть, кто и когда входил, и не настраивать всё вручную каждый раз.

Журнал регистрации. В пользовательском режиме он доступен в разделе администрирования (пункт «Журнал регистрации»). По нему видно входы, выходы, ошибки аутентификации и действия с объектами. Если кто-то пытается зайти под заблокированной учёткой — это будет в журнале. Настройте политику хранения, чтобы журнал не рос бесконтрольно, но и не обнулялся слишком быстро.

Автоматическое закрытие сеансов. В настройках прав обычно есть ограничение на длительность неактивного сеанса — база сама завершит подключение, если пользователь ушёл и забыл выйти. Это закрывает риск «открытая 1С на незалоченном компьютере».

Политики паролей. В настройках пользователей задайте минимальную длину и сложность пароля, срок действия и запрет на повтор. Для клиент-серверных баз это снижает риск подбора.

Скриптовое управление. Регулярные операции (например, ночная блокировка базы перед бэкапом и разблокировка утром) автоматизируют через rac в связке с планировщиком ОС. Так человеческий фактор убирается: не нужно помнить, что перед архивацией надо закрыть вход.

Чем крупнее база и чем больше пользователей, тем важнее не раздача прав по одному, а продуманная схема профилей: новый сотрудник получает готовый профиль своей должности, а не собранный вручную набор ролей.

Частые вопросы