Windows не даёт поставить 1С: сообщение о запрете политики и как его обойти законно

Если при запуске setup.exe или 1CEnterprise 8.msi вылетает окно «Установка запрещена на основании системной политики», блокирует не сама 1С, а Windows. Чаще всего проверка идёт по цепочке: права администратора, блокировка скачанного файла, политика Windows Installer в реестре, затем правила AppLocker и антивирус.

Сообщение приходит в разных формулировках. В логе установщика это обычно ошибка 1625, а на экране — текст вроде Данная установка запрещена политикой, заданной системным администратором. Ниже способы идут от безопасных к тем, что требуют правки реестра. Как исправить запрет на 1С 8.3, зависит от того, кто его выставил: сам Windows, групповая политика домена или защитное ПО.

Откуда берётся запрет

Установщик 1С — стандартный пакет Windows Installer (.msi). Перед запуском система сверяется с несколькими слоями защиты. Любой из них может сказать «нет».

Не гадайте, а проходите слои по порядку. Каждый следующий шаг сложнее и рискованнее предыдущего.

Шаг 1. Запуск с правами администратора

Простейшая причина: учётная запись обычная, а установщику нужны права на запись в C:\Program Files\1cv8 и в системную ветку реестра.

1. Нажмите правой кнопкой по setup.exe.
2. Выберите «Запуск от имени администратора».
3. Введите пароль учётной записи администратора, если система его спросит.

Проверьте, что вы вообще состоите в нужной группе. Откройте Win+R, введите lusrmgr.msc и посмотрите состав группы «Администраторы». В редакции Windows Home этой оснастки нет — там смотрите Параметры → Учётные записи → Семья и другие пользователи.

Настройка контроля учётных записей

Если UAC выключен или поднят на максимум, установщик может вести себя странно.

1. Нажмите Win+R, введите UserAccountControlSettings.
2. Поставьте ползунок на второй сверху уровень (уведомлять только при попытках приложений внести изменения).
3. Перезагрузите компьютер и повторите установку.

💡 Не отключайте UAC совсем «навсегда». Выключили на время установки — включите обратно, иначе перестанут работать некоторые функции Windows.

Шаг 2. Снятие блокировки с файла

Дистрибутив, скачанный через браузер или полученный по почте, Windows помечает как пришедший из интернета. Метка хранится в потоке Zone.Identifier и может приводить к отказу.

1. Правой кнопкой по .exe или .msi → Свойства.
2. На вкладке «Общие» внизу найдите надпись «Этот файл получен с другого компьютера и, возможно, был заблокирован».
3. Поставьте галочку «Разблокировать», нажмите ОК.

Если у вас целый каталог с дистрибутивом, быстрее снять метку одной командой. Откройте PowerShell от администратора:

Get-ChildItem "D:\Distr\1C" -Recurse | Unblock-File

Замените путь на свой. Команда ничего не меняет, кроме метки о происхождении файла.

Заодно проверьте, что архив распакован полностью. Запуск setup.exe прямо из окна архиватора не годится: установщик не найдёт соседние файлы. Распакуйте всё в отдельную папку с коротким путём без кириллицы и пробелов, например D:\Distr\1C.

Шаг 3. Проверка политики Windows Installer

Если шаги 1–2 не помогли, смотрим, не отключён ли сам установщик. Именно здесь лежит классическая причина текста про «системную политику».

Через редактор групповой политики

Работает в Windows Pro, Enterprise и Server. В Home оснастки gpedit.msc нет.

1. Win+R → gpedit.msc.
2. Откройте Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Установщик Windows.
3. Найдите параметр «Отключить установщик Windows».
4. Двойной щелчок. Состояние должно быть «Не задано» или «Отключено».
5. Если стоит «Включено» — поменяйте на «Не задано» и примените.

В самом параметре есть выпадающий список: «Никогда», «Только для не управляемых приложений», «Всегда». Вариант «Всегда» блокирует любую установку .msi вообще.

Аналогичный параметр лежит в ветке Конфигурация пользователя. Проверьте оба места.

Затем обновите политики:

gpupdate /force

Через реестр

Для Home и для случаев, когда оснастка недоступна. Работайте осторожно.

1. Win+R → regedit.
2. Перейдите в HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer.
3. Найдите параметр DisableMSI.
4. Значения такие: 0 — установка разрешена, 1 — запрещена для неуправляемых приложений, 2 — запрещена всегда.
5. Задайте 0 либо удалите параметр целиком.
6. Проверьте такую же ветку в HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\Installer.

Рядом бывает параметр DisableUserInstalls. Если он равен 1, пользовательские установки отключены, и система может отвечать отказом.

Быстрый экспорт ветки перед правкой:

reg export "HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer" C:\backup_installer.reg

Если ветки Installer нет вовсе, значит эту политику никто не задавал, и причина в другом слое.

Шаг 4. Правила ограничения запуска

Политика может запрещать не установку вообще, а запуск конкретных файлов. Это делают для рабочих станций в организациях.

Software Restriction Policies

1. Win+R → secpol.msc (в Home не работает ).
2. Откройте Политики ограничения использования программ.
3. Посмотрите уровень по умолчанию: «Неограниченный» означает, что запрета нет.
4. Загляните в «Дополнительные правила»: нет ли там пути или хеша, под который попадает ваш каталог.

Те же правила лежат в реестре: HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers. Не удаляйте ветку наугад — сначала выясните, откуда политика пришла.

AppLocker

В Windows Pro и выше политики AppLocker бывают тоже. Откройте в secpol.msc раздел Политики управления приложениями → AppLocker. Проверьте правила для «Установщиков Windows» и «Исполняемых файлов».

Журнал событий подскажет, какое именно правило сработало: Просмотр событий → Журналы приложений и служб → Microsoft → Windows → AppLocker. Событие с кодом блокировки содержит путь к файлу и название правила.

💡 Быстрый обход — положить дистрибутив в каталог, разрешённый политикой, например в C:\Program Files. Но если политика создана специально, это решение администратора, а не вашей проблемы.

Что делать, если машина в домене

Посмотрите, откуда приходят настройки:

gpresult /h C:\gp_report.html

Откройте отчёт в браузере. Раздел «Применённые объекты групповой политики» покажет, какая политика домена блокирует установку. Правка локальных параметров бесполезна: при следующем обновлении политик домен всё вернёт. Нужно писать заявку администратору.

Шаг 5. Антивирус и брандмауэр

Защитное ПО нередко рвёт установку молча, но иногда выдаёт системное сообщение о запрете.

Что проверить:

• 🛡️ журнал антивируса за время запуска: не изолирован ли setup.exe, 1cv8.exe, msiexec.exe;
• 🛡️ модуль «Контроль приложений» или «Защита от эксплойтов» — у них свои списки;
• 🔥 брандмауэр, если установка идёт с сетевого ресурса или тянет файлы лицензии.

Действия:

1. Добавьте каталог с дистрибутивом и C:\Program Files\1cv8 в исключения.
2. Приостановите защиту на время установки, если политика организации это допускает.
3. После завершения верните защиту и добавьте в исключения рабочие каталоги 1С, чтобы потом не ловить зависания.

Встроенный Защитник Windows (раздел Безопасность Windows → Защита от вирусов и угроз → Управление настройками → Исключения) тоже умеет блокировать неизвестных издателей. Проверьте журнал защиты, там указано, что и почему остановлено.

Шаг 6. Очистка временных файлов и службы установщика

Если ни одна политика ничего не запрещает, сбой может сидеть в самом установщике. Остатки прошлой неудачной установки часто вызывают отказ при повторной.

Временные файлы

1. Win+R → %TEMP% → удалите всё, что получится (занятые файлы пропустите).
2. То же сделайте для C:\Windows\Temp.
3. Проверьте, что на системном диске свободно не меньше 2–3 ГБ. Платформе и распаковке нужно место.

Служба Windows Installer

1. Win+R → services.msc.
2. Найдите «Установщик Windows». Тип запуска — «Вручную» или «Автоматически».
3. Если служба остановлена, запустите её.

Если не запускается, перерегистрируйте установщик из командной строки от администратора:

msiexec /unregister
msiexec /regserver

После этого перезагрузитесь.

Остатки прежней установки

Бывает, что предыдущая попытка оставила записи, и новый пакет считает, что 1С уже ставится. Проверьте:

• каталог C:\Program Files\1cv8 или C:\Program Files (x86)\1cv8 на предмет недоустановленных папок;
• в Панель управления → Программы и компоненты нет ли записи «1С:Предприятие» в странном состоянии;
• нет ли зависшего процесса msiexec.exe в диспетчере задач. Если висит, завершите его и запустите установку снова.

Кэш пользовательских баз (каталог с базами и списком в %APPDATA%\1C\1cv8) к самой установке не относится. Его чистят при других проблемах, на этой ошибке его трогать незачем.

Как найти точную причину по журналу

Когда окно с ошибкой ничего не объясняет, включите подробный журнал msiexec:

msiexec /i "D:\Distr\1C\1CEnterprise 8.msi" /L*v C:\inst.log

Откройте C:\inst.log и найдите строки с Return value 3 и 1625. Чуть выше будет указано, какой именно запрет сработал. Эта диагностика экономит часы: вы видите причину, а не перебираете способы.

Для платформ, поставляемых с setup.exe, обычно хватает тех же параметров: журнал пишется в %TEMP% с именем вида MSI*.LOG.

Типичные промахи при снятии запрета

• ❌ Запускают .msi двойным щелчком из архива. Распакуйте целиком.
• ❌ Правят реестр только в HKLM и забывают HKCU: политика пользователя перекрывает результат.
• ❌ Меняют локальную политику на машине, подчинённой домену. Через час всё вернётся.
• ❌ Выключают антивирус, но оставляют работать «Контроль приложений» из состава того же продукта.
• ❌ Ставят 1С в каталог с кириллицей или длинным путём и принимают сбой за запрет.
• ❌ Забывают перезагрузиться после gpupdate или правки реестра: часть значений читается только при старте.

Если установка нужна на сервере и в терминале

На терминальном сервере (RDS) и в доменных контурах всё строже: установка идёт не интерактивно, а через групповую политику или средства развёртывания.

1. Устанавливайте платформу под учётной записью администратора, находясь на консоли сервера или в сеансе администратора.
2. Уточните у администратора домена, не включена ли политика «Всегда устанавливать с повышенными привилегиями» и не ограничена ли установка для пользователей.
3. Если распространяете платформу через групповую политику, проверьте, что учётная запись компьютера имеет доступ на чтение сетевой папки с дистрибутивом.

💡 Для массовой установки есть параметры командной строки установщика платформы. Подготовьте файл с настройками один раз и разверните на все рабочие места: так не придётся ходить по компьютерам.

Как не получать запрет в дальнейшем

• Храните дистрибутивы в одной папке на сервере, а не в загрузках браузера.
• Согласуйте с администратором белый список каталога установки.
• Фиксируйте версии: платформа и конфигурации ставятся из проверенных источников, а не из случайных архивов.
• Перед правкой политик делайте экспорт реестра и точку восстановления.
• Если лицензия нужна, получайте дистрибутив только из официальных источников. Обход ограничений ради «чужого» дистрибутива не решение.

Частые вопросы