Чем аутентификация средствами 1С:Предприятие отличается от аутентификации операционной системы

Когда пользователь запускает 1С:Предприятие, система должна понять, кто перед ней, и выдать соответствующие права. Для этого платформа предлагает два базовых механизма: собственную аутентификацию 1С, где логин и пароль хранятся внутри информационной базы, и аутентификацию операционной системы, при которой 1С доверяет проверке, уже выполненной Windows или доменом Active Directory. От выбора зависит удобство входа, безопасность и трудоёмкость администрирования.

Путаница между этими способами — частая причина проблем: пользователь «не может войти», хотя пароль верный, или наоборот входит без пароля, когда этого не должно быть. Причина почти всегда в том, что администратор не до конца понимает, какой механизм реально срабатывает в конкретном случае и какие у него ограничения.

Ниже разобраны принципы работы обоих способов, их сравнение по ключевым параметрам, типовые сценарии выбора, настройка и контроль результата. Материал ориентирован на администраторов и внедренцев 1С, работающих с файловыми и клиент-серверными базами.

Как устроена аутентификация средствами 1С:Предприятие

При аутентификации средствами 1С учётные данные — имя пользователя и хэш пароля — хранятся непосредственно в информационной базе. Платформа сама запрашивает логин и пароль при старте, сверяет их со своим списком пользователей и при совпадении открывает сеанс с назначенными ролями.

Этот способ не зависит от того, под какой учётной записью пользователь вошёл в операционную систему. Один и тот же человек может работать в Windows под одним именем, а в 1С входить под совершенно другим. Это удобно, когда к одному компьютеру имеют доступ несколько сотрудников или когда база используется вне доменной сети.

Администратор управляет такими пользователями через конфигуратор (раздел «Администрирование — Пользователи») или через стандартную обработку управления пользователями в режиме предприятия. Для каждого пользователя можно задать пароль, требование его сложности, запрет смены, а также привязку ролей и языка интерфейса.

Важная особенность: ответственность за надёжность пароля полностью лежит на политике, которую настроил администратор 1С. Если пароли простые или общие для нескольких сотрудников, база становится уязвимой даже при исправной остальной инфраструктуре.

Как работает аутентификация операционной системы

При аутентификации ОС платформа 1С не проверяет пароль сама. Она обращается к операционной системе и спрашивает: «Кто сейчас работает за этим компьютером?» Windows возвращает идентификатор текущего пользователя (в доменной среде — доменную учётную запись), и 1С ищет в своём списке пользователя, которому сопоставлен этот идентификатор.

Если сопоставление найдено, сеанс открывается без запроса логина и пароля вообще — пользователь уже доказал свою личность при входе в Windows. Если соответствия нет, вход отклоняется либо платформа предлагает пройти аутентификацию средствами 1С, если она тоже разрешена.

Проверка подлинности при этом выполняется средствами Windows: локальной базой SAM на отдельном компьютере или контроллером домена Active Directory в корпоративной сети. В домене используется протокол Kerberos, что даёт дополнительную защиту от перехвата учётных данных.

Ключевое следствие: политика паролей (сложность, срок действия, блокировка после неудачных попыток) управляется не в 1С, а в групповых политиках домена. Администратор 1С только привязывает доменные учётные записи к пользователям информационной базы и назначает им роли.

Сравнение двух способов по ключевым параметрам

Практическая разница между механизмами видна не в абстрактных характеристиках, а в повседневных операциях: входе в систему, смене пароля, увольнении сотрудника, разграничении доступа. Таблица ниже сопоставляет оба способа по этим критериям.

Из сравнения видно, что ни один способ не является универсально лучшим. Аутентификация 1С выигрывает в простоте развёртывания и независимости от инфраструктуры, аутентификация ОС — в удобстве пользователей и централизованном контроле доступа.

Сравнение вариантов

Только аутентификация 1С

Подходит для небольших компаний без домена, файловых баз, внешних пользователей. Ограничение: пароли управляются вручную, при увольнении легко забыть отключить доступ.

Только аутентификация ОС

Оптимальна в доменной сети с централизованным управлением учётными записями. Ограничение: не работает для пользователей вне домена и требует настройки для веб-доступа.

Комбинированный режим

Пользователю разрешены оба способа: доменные сотрудники входят прозрачно, внешние — по логину и паролю 1С. Самый гибкий вариант, но требует аккуратного контроля, кто каким способом входит.

Когда какой способ выбирать

Выбор определяется инфраструктурой компании и характером пользователей. Для небольшой организации с файловой базой и несколькими сотрудниками разворачивать домен ради прозрачного входа в 1С нерационально — проще использовать аутентификацию 1С с обязательными паролями.

В компании с развёрнутым Active Directory аутентификация ОС снимает сразу несколько проблем: пользователи не запоминают отдельный пароль для 1С, служба безопасности управляет доступом централизованно, а при увольнении сотрудника достаточно заблокировать одну доменную учётную запись, чтобы закрыть доступ ко всем системам, включая 1С.

Комбинированный режим оправдан, когда часть пользователей работает вне домена: удалённые сотрудники, аудиторы, франчайзи. Им выдают учётные записи 1С с паролем, а штатные сотрудники продолжают входить через Windows.

Маршрут решения

Как выбрать способ

В компании нет домена Active Directory и база файловаяИспользуйте аутентификацию 1С с обязательными паролями и запретом пустых паролей

Есть домен и все пользователи 1С — доменныеНастройте аутентификацию ОС и сопоставьте пользователей; пароли 1С можно не задавать

Часть пользователей работает вне домена или через вебВключите комбинированный режим: ОС для доменных, 1С для внешних

Требуется строгий аудит входов и блокировокПредпочтительна аутентификация ОС: события централизованно фиксируются в журналах безопасности Windows

Настройка аутентификации ОС: порядок действий

Настройка выполняется в конфигураторе в списке пользователей информационной базы. Для каждого пользователя, который должен входить через Windows, включается флаг аутентификации операционной системы и указывается соответствующая учётная запись в формате «ДОМЕН\ИмяПользователя» или выбирается из списка.

В клиент-серверном варианте важно, чтобы сервер 1С:Предприятия имел доступ к контроллеру домена и мог проверить переданные учётные данные. Если сервер работает под Linux или связь с доменом настроена некорректно, прозрачный вход перестанет работать, хотя на клиентских машинах всё выглядит исправно.

1. 1
   Откройте конфигуратор: Администрирование — Пользователи
2. 2
   Создайте или откройте пользователя и включите флаг «Аутентификация операционной системы»
3. 3
   Укажите учётную запись ОС в формате ДОМЕН\ИмяПользователя или выберите её через кнопку выбора
4. 4
   Назначьте пользователю необходимые роли и сохраните изменения
5. 5
   Попросите пользователя запустить 1С под своей учётной записью Windows и убедитесь, что вход выполняется без запроса пароля

После настройки обязательна проверка под реальной учётной записью пользователя, а не под административной. Администратор часто имеет и те, и другие права, поэтому ошибки сопоставления под ним не проявляются.

Типичные ошибки и ограничения

Самая распространённая ошибка — сопоставление пользователю 1С не той учётной записи ОС. Например, указана локальная учётная запись вместо доменной, или в имени домена допущена опечатка. Внешне это выглядит как «1С не пускает без пароля», хотя настройка вроде бы выполнена.

Вторая группа проблем связана со сменой компьютера или переустановкой системы. Если пользователь входил через локальную учётную запись Windows, после переустановки её идентификатор изменится, и сопоставление перестанет действовать. В доменной среде этой проблемы нет — учётная запись хранится на контроллере домена.

Отдельного внимания заслуживает безопасность комбинированного режима. Если пользователю разрешены оба способа, а пароль 1С пустой или слабый, злоумышленнику достаточно знать логин — доменная защита его не остановит, потому что вход пойдёт через механизм 1С.

Как проверить, что всё работает правильно

Контроль результата сводится к трём проверкам: вход выполняется ожидаемым способом, пользователь получает именно свои роли, а посторонний вход невозможен. Все проверки выполняются штатными средствами и не требуют сторонних инструментов.

Полезно также периодически сверять список пользователей информационной базы со списком активных учётных записей домена. Расхождения — пользователь 1С без доменной записи или наоборот — почти всегда указывают на забытые при увольнении доступы или на ошибки настройки.

Контрольные точки

Как проверить результат

Вход пользователя с аутентификацией ОС

Норма

1С запускается без запроса логина и пароля

Тревожный признак

Появляется окно ввода пароля или ошибка идентификации

Соответствие учётной записи

Норма

В свойствах пользователя указана запись вида ДОМЕН\Имя, совпадающая с реальной

Тревожный признак

Указана локальная запись, опечатка в домене или чужая учётная запись

Доступ уволенного сотрудника

Норма

После блокировки учётной записи в домене вход в 1С невозможен

Тревожный признак

Вход по-прежнему выполняется — значит, остался активный пароль 1С

Права после входа

Норма

Пользователь видит только разрешённые ему разделы и документы

Тревожный признак

Доступны лишние функции или, наоборот, нет нужных — ошибка в ролях

Комбинированный режим и безопасность

В свойствах пользователя оба флага — аутентификация 1С и аутентификация ОС — могут быть включены одновременно. Тогда платформа сначала пытается выполнить вход через операционную систему, а при неудаче предлагает ввести логин и пароль 1С. Это удобно как резервный путь, но расширяет поверхность атаки.

Разумный компромисс: оставить комбинированный режим только администраторам (на случай проблем с доменом) и внешним пользователям, а для штатных сотрудников использовать только аутентификацию ОС. Пароль 1С у администраторов в этом случае должен быть длинным, уникальным и храниться в сейфе или менеджере паролей.

Для веб-доступа и тонкого клиента через веб-сервер аутентификация ОС требует дополнительной настройки публикации: веб-сервер должен поддерживать передачу учётных данных Windows. Если это не настроено, пользователи через браузер будут вынуждены входить по паролю 1С, и этот сценарий нужно предусмотреть заранее.

Часто задаваемые вопросы

Можно ли использовать оба способа одновременно для одного пользователя?

Да, в свойствах пользователя включаются оба флага. Тогда 1С сначала пробует прозрачный вход через Windows, а при неудаче предлагает ввести пароль 1С. Это удобно как резервный вариант, но требует надёжного пароля 1С, иначе второй механизм становится слабым местом.

Работает ли аутентификация ОС в файловой базе?

Работает. Платформа связывает пользователя информационной базы с учётной записью Windows независимо от варианта развёртывания. Ограничение то же, что и всегда: без домена сопоставление привязано к локальной учётной записи конкретного компьютера и ломается при его замене или переустановке системы.

Почему пользователь с аутентификацией ОС всё равно видит окно ввода пароля?

Чаще всего причины три: в свойствах пользователя указана неверная учётная запись ОС (локальная вместо доменной или с опечаткой), флаг аутентификации ОС не включён, либо в клиент-серверном варианте сервер 1С не может проверить учётные данные в домене. Проверяйте в этом порядке, начиная с точности сопоставления.

Что произойдёт с доступом к 1С при блокировке учётной записи в домене?

Если у пользователя включена только аутентификация ОС, вход в 1С станет невозможен сразу после блокировки доменной учётной записи. Если дополнительно включена аутентификация 1С с заданным паролем, доступ сохранится — именно поэтому при увольнении нужно проверять оба механизма.

Нужно ли менять пароль 1С, если пользователь сменил пароль Windows?

Нет, эти пароли не связаны. При аутентификации ОС пароль 1С вообще не участвует во входе, а при аутентификации 1С используется отдельный пароль, хранящийся в базе. Смена доменного пароля никак не влияет на пароль 1С и наоборот.

Какой способ безопаснее для базы с конфиденциальными данными?

При наличии домена предпочтительнее аутентификация ОС: проверка выполняется по Kerberos, действуют доменные политики сложности и блокировки, а события входа централизованно журналируются. Аутентификация 1С безопасна ровно настолько, насколько дисциплинированно администратор задаёт и контролирует пароли пользователей.