Закрываем Конфигуратор от пользователей: права, клиенты и сервер

Запретить доступ в Конфигуратор 1С можно одним действием: заберите у пользователя право Администрирование. В типовых конфигурациях (БП 3.0, ЗУП 3.1, УТ 11) для этого достаточно убрать человека из группы доступа «Администраторы». Без этого права платформа не пустит его в Конфигуратор, даже если он запустит 1cv8.exe с ключом DESIGNER из командной строки.

Типичная история: главбух нажал в окне запуска кнопку «Конфигуратор», «просто посмотреть», и случайно сохранил изменения в типовом модуле. Через месяц база не обновляется. Права решают проблему наполовину. Вторая половина — что установлено на компьютере, как настроен сервер и кто может скопировать файл базы.

Как платформа решает, пускать ли в Конфигуратор

У каждого пользователя информационной базы есть набор ролей. Роли включают права на объекты и общие права на всю конфигурацию. За вход в Конфигуратор отвечает одно общее право — Администрирование.

Логика проверки такая:

• 🔑 пользователь вводит логин и пароль (или входит через аутентификацию ОС);
• 📋 платформа собирает все его роли;
• ✅ если хотя бы в одной роли отмечено право Администрирование, Конфигуратор открывается;
• ⛔ если нет — платформа сообщает, что прав на запуск Конфигуратора нет, и завершает сеанс.

Самая частая дыра — пустой список пользователей. Пока в базе не заведено ни одного пользователя, любой открывает её в любом режиме без пароля, в том числе в Конфигураторе. Поэтому первым делом создайте хотя бы одного пользователя с полными правами и паролем.

Право Администрирование даёт больше, чем Конфигуратор. Его обладатель видит всех пользователей, может менять им пароли и выгружать базу в .dt. Отдавать его «на всякий случай» не стоит.

Отбираем права администратора: типовые конфигурации и Конфигуратор

В типовых конфигурациях на БСП

В БП 3.0, ЗУП 3.1, УТ 11 и других конфигурациях на Библиотеке стандартных подсистем роли напрямую не раздают. Права назначают через группы доступа и профили. Право Администрирование входит в роль «Администратор системы», а она — в профиль «Администратор».

Порядок действий:

1. Откройте программу под администратором в режиме 1С:Предприятие.
2. Перейдите в Администрирование → Настройки пользователей и прав.
3. Откройте Группы доступа и найдите группу «Администраторы».
4. На вкладке участников удалите тех, кому Конфигуратор не нужен. Нажмите «Записать и закрыть».
5. Откройте Пользователи, выберите сотрудника и проверьте его права. Нужные рабочие права выдайте через другие группы доступа, например «Бухгалтеры» или «Кадровики».

Через список пользователей в Конфигураторе

В нетиповых и самописных конфигурациях роли раздают в Конфигураторе:

1. Откройте Администрирование → Пользователи.
2. Дважды щёлкните по пользователю.
3. На вкладке «Прочие» снимите флажки с ролей, в которых есть право Администрирование. Обычно это «Полные права» и аналогичные.
4. Оставьте роли, нужные для работы.

Если роль «Полные права» нужна для работы, а Конфигуратор — нет, создайте в конфигурации свою роль. Скопируйте нужные права и не ставьте флажок Администрирование в общих правах конфигурации. Это доработка, и делают её в расширении или с учётом последующих обновлений.

Что ещё ограничить заодно

Где выбирают режим запуска и почему кнопки мало

Кнопку «Конфигуратор» в окне запуска видят все. Но окно запуска — лишь удобная оболочка над исполняемыми файлами. Спрятать кнопку не значит закрыть доступ: тот же Конфигуратор открывается командой.

"C:\Program Files\1cv8\8.3.24.1586\bin\1cv8.exe" DESIGNER /F"D:\Bases\Buh" /N"Иванов" /P"пароль"

Номер версии в пути подставьте свой. Защищает здесь только право Администрирование.

Тонкий клиент вместо полного дистрибутива

Сильный приём практика — не ставить Конфигуратор на рабочие места вовсе. Конфигуратор входит в исполняемый файл 1cv8.exe (толстый клиент). Тонкий клиент — отдельный файл 1cv8c.exe, Конфигуратора в нём нет.

При установке платформы:

1. Запустите setup.exe из дистрибутива.
2. На шаге выбора компонентов оставьте только тонкий клиент, компонент «1С:Предприятие» отключите.
3. Для однотипной раскатки на много машин используйте отдельный дистрибутив тонкого клиента .

В карточке базы в списке информационных баз укажите основной режим запуска «Тонкий клиент». Так пользователи будут попадать в программу одним и тем же способом.

Запрет на уровне Windows

Если полный дистрибутив на машине нужен (например, для внешних компонент, которые работают только в толстом клиенте), запретите запуск файла политиками:

• 🛡️ AppLocker или политики ограниченного использования программ (SRP);
• 📌 правило на путь %ProgramFiles%\1cv8\*\bin\1cv8.exe для группы пользователей, правило разрешения для группы администраторов 1С;
• ✅ 1cv8c.exe оставить разрешённым.

Ограничения на сервере 1С:Предприятия

В клиент-серверном варианте добавляется ещё один рубеж — кластер серверов . Клиент сначала обращается к агенту сервера (порт 1540), затем к менеджеру кластера (1541) и рабочим процессам. Конфигуратор подключается к базе тем же путём, что и обычный клиент.

Администраторы кластера и базы

В консоли администрирования серверов задайте:

• 👤 администраторов центрального сервера и кластера — без них любой с доступом к консоли создаст, удалит или заблокирует базу;
• 🔐 в свойствах информационной базы — имя и пароль администратора базы, чтобы её параметры не менял кто угодно.

Если администраторов кластера нет, консоль открывается без пароля. Это прямой путь к чужим базам, даже если права внутри конфигурации настроены идеально.

Блокировка начала сеансов

На время обновления или проверки закройте вход всем, включая Конфигуратор. В консоли откройте свойства базы:

1. Отметьте «Блокировка начала сеансов включена».
2. Укажите время начала и конца блокировки и текст сообщения.
3. Задайте «Код разрешения».

Сами вы войдёте с ключом /UC:

"C:\Program Files\1cv8\8.3.24.1586\bin\1cv8.exe" DESIGNER /S"srv1c\buh" /UC"Код2026"

Сеть и терминальный сервер

Дополнительно ограничьте, кто вообще достучится до кластера:

• 🔥 на брандмауэре сервера откройте порты 1540, 1541 и диапазон рабочих процессов только для нужных подсетей;
• 🖥️ при работе через RDP установите на терминальный сервер платформу, но запретите 1cv8.exe пользователям политиками — Конфигуратор останется только у администраторов.

Файловая база: что реально можно закрыть

В файловом варианте вся база — один файл 1Cv8.1CD. Пользователям нужны права на чтение и запись в папку базы, иначе они не смогут работать. Это ограничивает защиту.

Что работает:

1. Пользователи с паролями и без права Администрирование. Без пароля в Конфигуратор не войти, даже через командную строку.
2. Тонкий клиент на рабочих местах. Конфигуратора нет — запустить нечего.
3. Публикация базы на веб-сервере. Пользователи работают через веб-клиент или тонкий клиент по HTTP и не видят сетевую папку с базой.
4. Права NTFS на папку только для доменной группы работников 1С, без «Все» и «Пользователи домена».

Чего не хватает:

• 📁 любой, у кого есть доступ к папке, может скопировать 1Cv8.1CD к себе;
• 🔓 на копии он может попробовать подобрать пароль или открыть данные сторонними утилитами чтения файла;
• 🧩 блокировки начала сеансов из консоли кластера в файловом варианте нет, её делают средствами конфигурации (в типовых — через Администрирование → Обслуживание, блокировка работы пользователей).

Пароли и блокировка подбора

Запрет на Конфигуратор бессилен, если пароль администратора — «123» или пустой. В актуальных версиях платформы политики паролей задают в Конфигураторе: Администрирование → Параметры информационной базы.

Что настроить:

В типовых конфигурациях на БСП часть этих настроек вынесена в пользовательский режим, в настройки пользователей и прав. Задайте политику в одном месте, чтобы правила не противоречили друг другу.

Дополнительно:

• 🙈 снимите у служебных и администраторских учётных записей флажок «Показывать в списке выбора» — логин не будет подсказан в окне входа;
• 👥 у каждого сотрудника — своя учётная запись, общих «Бухгалтер1» быть не должно;
• 🪪 для доменной сети используйте аутентификацию ОС: пароль 1С не нужно передавать на бумажке.

Как проверить, кто входил в Конфигуратор

Журнал регистрации фиксирует каждый сеанс вместе с приложением, через которое он открыт. Конфигуратор там виден отдельно.

Как найти попытки входа:

1. Откройте журнал: в типовой конфигурации — Администрирование → Обслуживание → Журнал регистрации, в Конфигураторе — Администрирование → Журнал регистрации.
2. Установите отбор по приложению «Конфигуратор».
3. Добавьте отбор по событиям начала сеанса и аутентификации, в том числе по ошибкам аутентификации.
4. Задайте период и посмотрите пользователя, компьютер и время.

Что искать:

• 🔁 серии ошибок аутентификации подряд — признак подбора пароля;
• 🌙 входы в Конфигуратор ночью или с непривычных компьютеров;
• 🛠️ события изменения конфигурации — после них стоит сравнить конфигурацию с конфигурацией поставщика.

Частые вопросы