Закрываем сотруднику доступ к базе 1С: от галочки в карточке до сервера

Чтобы запретить вход в 1С пользователю, откройте Администрирование → Настройки пользователей и прав → Пользователи, найдите сотрудника и снимите флажок «Вход в программу разрешен». Запрет сработает при следующем входе. Если сотрудник сейчас в базе, завершите его сеанс: сам по себе флажок открытую сессию не закрывает.

Этот путь одинаков в типовых конфигурациях на БСП: Бухгалтерии 3.0, ЗУП 3.1, УТ 11, КА и ERP. Для нетиповых баз, временной блокировки всех пользователей и серверных установок есть другие способы. Ниже они собраны по уровням: программа, права, сервер 1С, операционная система.

Какой способ блокировки выбрать

Сначала определитесь с задачей. Уволенному бухгалтеру, стажёру на время отпуска и всем сотрудникам на час обновления нужны разные инструменты.

Запрет входа через карточку пользователя

В конфигурациях на БСП список пользователей ведётся в самой программе. Конфигуратор для этого не нужен, и лучше в него не лезть: справочник «Пользователи» и список пользователей информационной базы должны совпадать.

Временный запрет

1. Откройте Администрирование → Настройки пользователей и прав → Пользователи.
2. Найдите сотрудника. В длинном списке удобнее искать через Ctrl+F по фамилии.
3. Откройте карточку и снимите флажок «Вход в программу разрешен».
4. Нажмите «Записать и закрыть».

Программа сама отключит у пользователя информационной базы аутентификацию 1С и аутентификацию Windows. Логин и настройки при этом сохраняются. Вернуть доступ можно тем же флажком.

Рядом с флажком в актуальных релизах есть ссылка, которая задаёт срок действия входа. Можно указать дату, после которой вход закроется сам, или запретить вход, если человек не работал в программе заданное число дней. Это удобно для подрядчиков и временных сотрудников: доступ выдаётся до конкретного числа и не висит открытым после окончания договора.

Увольнение сотрудника

Для уволенных ставьте флажок «Недействителен». Он снимает разрешение на вход и убирает пользователя из списков выбора, при этом все документы, где он указан автором или ответственным, остаются на месте.

Не удаляйте пользователя из справочника, если он работал в базе. Его имя стоит в истории изменений, в журнале регистрации, в поле «Ответственный» документов. Удаление либо не пройдёт из-за ссылок, либо оставит «битые» ссылки в документах.

Общие правила входа

В разделе Администрирование → Настройки пользователей и прав есть настройки входа для всех пользователей сразу. Там задают требования к сложности пароля, срок его действия и автоматический запрет входа после долгого бездействия. Если сотрудники часто увольняются без уведомления ИТ-службы, такая страховка закрывает забытые учётные записи.

Как выгнать пользователя из 1С прямо сейчас

Снятый флажок не трогает уже открытый сеанс. Человек продолжит работать, пока сам не закроет программу. Поэтому после запрета входа его сеанс нужно завершить.

Через список активных пользователей

1. Откройте Администрирование → Обслуживание (в части конфигураций раздел называется «Поддержка и обслуживание»).
2. Перейдите в «Активные пользователи».
3. Выделите строку с сотрудником и выберите команду завершения сеанса.

В файловой базе сеанс закроется сразу. В клиент-серверной программа запросит логин и пароль администратора кластера серверов 1С, если он задан. Без этих данных завершить чужой сеанс из программы не получится.

Через консоль кластера

В клиент-серверном варианте то же самое делается в «Администрировании серверов 1С Предприятия»:

1. Разверните кластер → «Информационные базы» → нужная база → «Сеансы».
2. Найдите сеанс по имени пользователя и компьютеру.
3. В контекстном меню выберите «Удалить».

Если консоль не запускается, а сервер стоит на Linux, сеанс можно найти и закрыть утилитой rac. Её команды показаны в разделе про сервер.

Ограничение через права доступа и роли

Иногда задача не «никого не пускать», а «пускать, но не во всё». Например, кладовщику оставить только склад, а бывшего главбуха перевести в режим просмотра на время передачи дел.

Группы доступа в типовых конфигурациях

Права в БСП назначаются не напрямую, а через группы доступа и их профили:

1. Администрирование → Настройки пользователей и прав → Группы доступа.
2. Откройте группу, например «Бухгалтеры», и исключите из неё сотрудника.
3. Или откройте карточку пользователя и нажмите «Права доступа », там видно все его группы.

Если убрать пользователя из всех групп, войти он не сможет: у него не останется ни одной роли с правом запуска клиента. Но этот способ хуже флажка «Вход в программу разрешен». Через месяц никто не вспомнит, в каких группах человек состоял, и восстанавливать права придётся по памяти.

Запрет отдельных способов запуска

В конфигурациях на БСП есть роли, которые разрешают конкретный клиент: тонкий, толстый, веб-клиент, внешнее соединение. Их можно увидеть в конфигураторе в ветке «Общие → Роли» по словам «Запуск…». Профиль группы доступа без роли веб-клиента не пустит пользователя через браузер, но оставит вход через обычное приложение.

Пример: менеджеру разрешён вход только из офиса через тонкий клиент, а из дома через опубликованную на веб-сервере базу не нужен. Создайте копию профиля без роли веб-клиента и переведите менеджера в группу с этим профилем.

Нетиповая база без БСП

В самописных и старых конфигурациях справочника пользователей нет, всё делается в конфигураторе:

1. Запустите базу в режиме «Конфигуратор».
2. Откройте Администрирование → Пользователи.
3. Откройте нужного пользователя.
4. Снимите флажки «Аутентификация 1С:Предприятия» и «Аутентификация операционной системы».
5. Снимите «Показывать в списке выбора», чтобы имя не мелькало на экране входа.

Пользователь с двумя снятыми флажками аутентификации войти не сможет ни по паролю, ни по учётной записи Windows. На вкладке «Прочие» можно также снять у него роли.

Блокировка всей базы на уровне сервера 1С

Перед обновлением, закрытием периода или восстановлением из копии часто нужно выгнать всех и никого не пускать несколько часов.

Блокировка работы пользователей из программы

1. Администрирование → Обслуживание → «Блокировка работы пользователей».
2. Включите запрет, укажите время начала и окончания.
3. Напишите сообщение, которое пользователи увидят при попытке входа: например, «Обновление базы, вход откроется в 14:00».
4. Задайте код разрешения и запишите его.

Пользователи получат предупреждение и через несколько минут будут отключены. С кодом разрешения в базу может зайти администратор: для этого к параметрам запуска добавляют /UC<код>.

"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /S"srv1c\buh" /UC12345

В консоли кластера

Откройте свойства информационной базы в консоли администрирования серверов и включите «Блокировка начала сеансов включена». Там же задаются начало и конец блокировки, сообщение и код разрешения. Флажок «Блокировка регламентных заданий включена» остановит фоновые обмены и загрузки, если они мешают работам.

Блокировка начала сеансов не выгоняет тех, кто уже вошёл. Их сеансы удалите вручную, как описано выше.

Через rac на Linux и без консоли

Утилита rac подключается к серверу администрирования ras, который должен быть запущен. Типовой порядок:

# 1. UUID кластера
rac cluster list

# 2. Список сеансов
rac session list --cluster=<uuid-кластера>

# 3. Завершить один сеанс
rac session terminate --cluster=<uuid-кластера> --session=<uuid-сеанса>

# 4. Запретить новые сеансы в базе
rac infobase update --cluster=<uuid-кластера> --infobase=<uuid-базы> \
  --infobase-user=Администратор --infobase-pwd=<пароль> \
  --sessions-deny=on --denied-message="Идут регламентные работы" \
  --permission-code=12345

UUID базы показывает rac infobase summary list --cluster=<uuid-кластера>. Если на кластере задан администратор, добавьте --cluster-user и --cluster-pwd. Снимают блокировку той же командой с --sessions-deny=off. При расхождениях в параметрах сверяйтесь с rac help для вашей версии платформы.

Ограничение доступа средствами Windows

Методы внутри 1С не помогут, если человек знает пароль другого пользователя или заходит под общей учётной записью. Тогда закрывают доступ уровнем ниже.

Файловая база

Файловая база — это папка с файлом 1Cv8.1CD. Кто может читать и писать в эту папку, тот может её открыть.

• 📁 Откройте свойства папки базы → вкладка «Безопасность».
• 👤 Удалите пользователя или его группу из списка доступа.
• 🔒 Если доступ шёл через сетевую папку, проверьте и права общего доступа, и права NTFS: работают более строгие из двух.

Без права на запись база не откроется даже на чтение: платформе нужно создавать служебные файлы блокировки рядом с базой.

Клиент-серверная база

Здесь пользователь не видит файлов базы, он подключается к серверу 1С по сети. Варианты:

• 🧱 Брандмауэр на сервере 1С. Закройте порты 1540, 1541 и диапазон рабочих процессов (по умолчанию 1560–1591) для IP-адресов, которым база не нужна.
• 🏢 Учётная запись домена. Если в 1С включена аутентификация Windows, отключите учётную запись в Active Directory: вход по ней в 1С пропадёт вместе с входом в компьютер.
• 🖥 Терминальный сервер . Когда 1С работает через RDP, исключите сотрудника из группы, которой разрешено подключение к серверу.
• 🌐 Веб-публикация. Если база опубликована на IIS или Apache, ограничьте доступ к публикации на веб-сервере или снимите её.

Отключение учётной записи Windows не закрывает вход по паролю 1С. Если у пользователя включены оба способа аутентификации, он войдёт с любого компьютера, введя логин и пароль 1С. Отключайте вход в самой 1С тоже.

Возврат доступа и частые ошибки

Вернуть доступ просто: в карточке пользователя поставьте «Вход в программу разрешен» и снимите «Недействителен», если он стоял. Проверьте, что сотрудник остался в нужных группах доступа. Если меняли права NTFS или правила брандмауэра, откатите и их.

Если при попытке входа сотрудник видит Пользователь ИБ не идентифицирован, значит, флажок снят не до конца или пароль сменился. Откройте карточку и посмотрите, какие способы аутентификации включены.

Ещё две ошибки встречаются регулярно:

• ❌ Общая учётная запись «Склад» или «Офис» на нескольких человек. Закрыть доступ одному из них без смены пароля всем нельзя. Заводите каждому свою.
• ❌ Убрали последнего пользователя с полными правами. В БСП программа не даст записать такое изменение, но в самописной базе через конфигуратор это возможно. Перед любыми правами у администраторов держите вторую учётную запись с полными правами.