Чем аутентификация средствами 1С:Предприятия отличается от аутентификации операционной системы

При запуске 1С:Предприятия пользователь проходит проверку подлинности одним из двух основных способов: вводит логин и пароль, заданные внутри самой информационной базы, либо входит автоматически под своей учётной записью Windows или Linux-домена. Первый вариант называется аутентификацией средствами 1С:Предприятия, второй — аутентификацией операционной системы. Внешне для пользователя разница может быть почти незаметна, но для администратора это два принципиально разных механизма с разной моделью безопасности, администрирования и восстановления доступа.

Выбор способа влияет на то, где хранятся пароли, кто может их сбросить, как организовать единый вход в несколько баз и что произойдёт при увольнении сотрудника. Неправильно выбранный или небрежно настроенный режим — частая причина как инцидентов безопасности, так и банальных ситуаций «пользователь не может войти в базу».

Ниже разобраны технические различия двух механизмов, порядок настройки каждого, критерии выбора для разных сценариев работы и типичные ошибки администрирования.

Как устроены два механизма аутентификации

Аутентификация средствами 1С:Предприятия — это встроенный механизм платформы. Для каждого пользователя информационной базы администратор задаёт имя и пароль, которые хранятся внутри базы в зашифрованном (хешированном) виде. При входе платформа запрашивает эти данные и сверяет их с сохранёнными значениями. Операционная система при этом не участвует в проверке: один и тот же системный пользователь Windows может входить в 1С под разными учётными записями, и наоборот.

Аутентификация операционной системы работает иначе. Платформа 1С не проверяет пароль сама, а запрашивает у ОС подтверждение: «кто сейчас работает за этим компьютером?». Если в свойствах пользователя информационной базы указано соответствие его системной учётной записи (например, доменной учётке вида ДОМЕН\Иванов), то при запуске 1С автоматически сопоставляет текущего пользователя ОС с пользователем базы и впускает его без диалога ввода пароля.

Важно понимать: аутентификация ОС в 1С — это не самостоятельная проверка, а делегирование доверия. Фактическую проверку пароля выполняет контроллер домена (в Active Directory) или локальная система безопасности. 1С лишь получает от ОС идентификатор пользователя и ищет ему соответствие в списке пользователей информационной базы.

Где хранятся учётные данные и кто ими управляет

Ключевое практическое различие — место хранения секретов и границы ответственности. При аутентификации средствами 1С пароли существуют только внутри информационной базы. Их задаёт и сбрасывает администратор 1С через конфигуратор или штатные средства управления пользователями. Администратор Windows и доменный администратор к этим паролям отношения не имеют.

При аутентификации ОС в базе 1С паролей вообще нет — есть только привязка к системным учётным записям. Управление паролями, политиками сложности, блокировками и сроками действия полностью ложится на службу каталогов или локальную политику безопасности Windows. Для администратора 1С это снимает задачу «выдать пароль», но добавляет зависимость от доменной инфраструктуры.

Настройка аутентификации средствами 1С

Настройка выполняется в конфигураторе: меню «Администрирование» → «Пользователи». Для каждого пользователя устанавливается флажок «Аутентификация 1С:Предприятия», задаётся имя и пароль. Имя пользователя должно быть уникальным в пределах базы. Пароль можно оставить пустым, но это допустимо только для служебных целей в тестовых базах — в рабочей среде пустой пароль означает свободный вход.

Дополнительно в свойствах пользователя можно ограничить вход: запретить аутентификацию средствами 1С, оставив только ОС, или наоборот. Платформа также позволяет задать минимальную длину пароля и проверку его сложности — эти параметры настраиваются в свойствах информационной базы или через параметры кластера при клиент-серверном варианте работы.

1. 1
   Откройте конфигуратор и перейдите в «Администрирование» → «Пользователи»
2. 2
   Создайте пользователя или откройте существующего
3. 3
   Установите флажок «Аутентификация 1С:Предприятия» и задайте пароль
4. 4
   Назначьте роли и при необходимости снимите флажок «Аутентификация операционной системы»
5. 5
   Сохраните и проверьте вход под новым пользователем из режима Предприятия

Настройка аутентификации операционной системы

Для включения этого режима в свойствах пользователя устанавливается флажок «Аутентификация операционной системы» и указывается соответствующая системная учётная запись в формате \\ДОМЕН\ИмяПользователя. Выбрать учётку можно через стандартный диалог выбора пользователей Windows. При следующем запуске 1С пользователь, вошедший в Windows под указанной записью, попадёт в базу автоматически.

В клиент-серверном варианте есть нюанс: проверку подлинности выполняет сервер 1С, поэтому сервер должен иметь возможность определить системного пользователя клиентского сеанса. В Linux-инфраструктуре аутентификация ОС также поддерживается, но требует корректной настройки Kerberos и членства сервера в домене — это отдельная задача системного администрирования.

Если пользователю разрешены оба способа сразу, поведение зависит от ситуации: при совпадении системной учётки вход пройдёт автоматически, а если соответствие не найдено — появится диалог ввода логина и пароля 1С. Это удобно как резервный путь входа, но ослабляет контроль: обход доменной блокировки через пароль 1С в этом случае возможен.

Что выбрать в разных сценариях

Для организации с доменом Active Directory и централизованным ИТ-управлением аутентификация ОС — предпочтительный вариант. Увольняется сотрудник — блокируется одна доменная учётная запись, и доступ ко всем базам 1С прекращается автоматически. Пользователи не хранят отдельные пароли, не пишут их на бумажках, а политики сложности и смены паролей действуют единообразно.

Аутентификация средствами 1С оправдана там, где доменной структуры нет или пользователи работают вне её: файловые базы на локальных компьютерах, доступ внешних сотрудников и аудиторов, веб-клиент и тонкий клиент через веб-сервер для внешних пользователей, сценарии, где под одной системной учёткой работают разные люди (например, на общем компьютере кладовщика). Также это единственный вариант, когда нужно, чтобы один человек входил в одну базу под несколькими ролями-пользователями.

Маршрут решения

Как выбрать способ аутентификации

Есть домен Active Directory и централизованное управление учёткамиИспользуйте аутентификацию ОС с привязкой пользователей к доменным учётным записям

Несколько сотрудников работают за одним компьютером под одной учёткой WindowsИспользуйте аутентификацию 1С с отдельным паролем для каждого сотрудника

Доступ нужен внешним пользователям через веб-клиент без доменных учётокНастройте аутентификацию 1С с сильными паролями

Нужен резервный вход администратора на случай сбоя доменаОставьте одному служебному пользователю аутентификацию 1С и храните пароль в защищённом месте

Безопасность и восстановление доступа

С точки зрения безопасности аутентификация ОС выигрывает за счёт того, что пароль не дублируется и не хранится в базе, а проверка выполняется зрелой инфраструктурой с защищёнными протоколами. Однако она создаёт единую точку отказа: недоступность контроллера домена или проблемы с доверием могут заблокировать вход в 1С для всех пользователей сразу. Поэтому практикуется оставить хотя бы одну аварийную учётную запись с аутентификацией 1С.

Восстановление доступа тоже различается. Забытый пароль 1С сбрасывает администратор базы за минуту через конфигуратор. Если же администратор потерял доступ ко всем административным учёткам базы, задача усложняется и требует специальных процедур. При аутентификации ОС «забыть пароль 1С» невозможно в принципе — но проблемы с доменной учёткой решает уже другой специалист.

Типичные ошибки и как их проверить

Самая частая ошибка — неверно указанное соответствие пользователя ОС: опечатка в имени домена, использование локальной учётки вместо доменной или наоборот. Внешне это выглядит как «1С не пускает без пароля» или «пускает не под тем пользователем». Проверка простая: сравнить значение в свойствах пользователя базы с фактической учётной записью, под которой выполнен вход в систему (команда whoami в командной строке покажет точный формат).

Вторая группа ошибок связана со смешанным режимом: пользователю оставлены обе аутентификации, пароль 1С простой и никогда не меняется. Фактически это обходной путь, обесценивающий доменные политики. Третья типичная проблема — забытые пользователи в базе после увольнения сотрудника при аутентификации 1С: доменную учётку отключили, а отдельный пароль 1С продолжает работать, если пользователю разрешён вход с паролем.

Контрольные точки

Как проверить результат настройки

Вход пользователя в базу

Норма

При аутентификации ОС вход происходит без диалога пароля, в журнале регистрации виден правильный пользователь

Тревожный признак

Появляется запрос логина и пароля или ошибка о невозможности аутентификации

Соответствие учётной записи

Норма

Значение в свойствах пользователя совпадает с выводом команды whoami на рабочем месте

Тревожный признак

Форматы различаются (локальная вместо доменной, опечатка в имени)

Доступ уволенного сотрудника

Норма

После блокировки доменной учётки или отключения пользователя в базе вход невозможен ни одним способом

Тревожный признак

Вход по-прежнему возможен через сохранённый пароль 1С

Ответы на частые вопросы

Можно ли использовать оба способа аутентификации одновременно?

Да, в свойствах пользователя можно включить оба флажка. Тогда при совпадении системной учётной записи вход выполнится автоматически, а иначе появится диалог ввода логина и пароля 1С. Это удобно как резервный вариант, но пароль 1С в такой схеме должен быть не слабее доменного, иначе он станет лазейкой.

Работает ли аутентификация ОС через веб-клиент?

Да, поддерживается, но требует настройки веб-сервера: для IIS включается аутентификация Windows, для Apache — модуль Kerberos-аутентификации. Без этой настройки веб-клиент будет запрашивать логин и пароль 1С, даже если у пользователя включена аутентификация ОС.

Что произойдёт, если контроллер домена недоступен?

Пользователи, у которых включена только аутентификация ОС, не смогут войти в базу — платформа не сможет подтвердить их подлинность. Пользователи с аутентификацией 1С продолжат работать. Поэтому административной учётной записи рекомендуется оставлять вход по паролю 1С.

Как узнать, под каким способом вошёл конкретный пользователь?

Откройте журнал регистрации и найдите событие сеанса данного пользователя — в нём фиксируется режим аутентификации. Также в свойствах пользователя в конфигураторе видно, какие флажки аутентификации для него установлены.

Безопасно ли хранить пароли в базе 1С?

Платформа хранит не сами пароли, а их хеши, поэтому извлечь исходный пароль из базы штатными средствами нельзя. Однако защищённость зависит от сложности пароля: короткие и словарные пароли уязвимы для подбора. Включайте требования к длине и сложности паролей в настройках базы.

Нужно ли заново настраивать пользователей при переезде базы на другой сервер?

При аутентификации 1С — нет, список пользователей и пароли хранятся внутри базы и переезжают вместе с ней. При аутентификации ОС привязки к доменным учёткам также сохраняются, но нужно убедиться, что новый сервер 1С находится в том же домене или в доверенном домене и может выполнять проверку подлинности.