Администрирование · 12 мин
Доменная авторизация в 1С: принцип работы и настройка
Что такое доменная авторизация в 1С, как она работает, чем отличается от парольной и как настроить вход пользователей через Active Directory без ввода пароля.
Доменная авторизация в 1С — это способ входа в информационную базу, при котором программа не запрашивает логин и пароль, а использует учётные данные Windows-пользователя, уже прошедшего проверку в домене Active Directory. Сотрудник включает компьютер, вводит свой доменный пароль один раз при входе в систему — и дальше 1С запускается под его именем автоматически.
Технически механизм называется аутентификацией операционной системы (OS Authentication). Платформа 1С через протоколы Kerberos или NTLM обращается к контроллеру домена и получает подтверждение, что пользователь именно тот, за кого себя выдаёт. Администратору остаётся только связать пользователя 1С с конкретной доменной учётной записью в формате \\ДОМЕН\ИмяПользователя.
Такой подход снимает сразу несколько проблем: пароли не хранятся в базе 1С, сотрудники не забывают отдельные пароли от учётной системы, а уволенный пользователь теряет доступ сразу после блокировки его доменной учётной записи — без отдельных действий в 1С.
Как работает доменная авторизация: цепочка проверки
Когда пользователь запускает клиент 1С, платформа определяет, под какой учётной записью Windows он работает. Эти данные передаются серверу 1С (или напрямую серверу баз данных в файловом варианте — самому клиенту), который запрашивает подтверждение у контроллера домена. Если домен подтверждает подлинность, 1С ищет в своём списке пользователей запись с совпадающим доменным именем.
Найденная связка «доменная учётная запись → пользователь 1С» определяет права: роли, интерфейс, язык, доступные объекты. Если связки нет, вход отклоняется даже при корректном доменном пароле — домен подтверждает личность, но не выдаёт прав внутри 1С.
Важно понимать разделение ответственности: Active Directory отвечает за вопрос «кто ты», а конфигурация 1С — за вопрос «что тебе разрешено». Поэтому администрирование ведётся в двух местах: учётные записи и блокировки — в домене, роли и профили доступа — в 1С.
Чем доменная авторизация отличается от парольной
Стандартная (парольная) аутентификация 1С хранит хеш пароля в самой информационной базе и проверяет его при каждом входе. Пароль задаёт администратор 1С или сам пользователь, и никакой связи с доменом здесь нет. Доменная же авторизация полностью перекладывает проверку на Windows.
| Критерий | Парольная аутентификация 1С | Доменная авторизация |
|---|---|---|
| Где хранится пароль | В информационной базе 1С | В Active Directory, в 1С не хранится |
| Ввод пароля при входе | Каждый раз или по сохранённым данным | Не требуется, вход прозрачный |
| Блокировка уволенного | Отдельно в 1С и отдельно в домене | Достаточно отключить учётную запись в домене |
| Политика паролей | Настройки 1С (длина, сложность) | Доменная групповая политика |
| Работа вне домена | В любой сети | Требуется доступ к контроллеру домена |
Оба режима можно комбинировать: в карточке пользователя разрешается включить и парольную, и доменную аутентификацию одновременно. Тогда при недоступности домена пользователь войдёт по паролю 1С. Это удобно для ноутбуков, которые выезжают из офисной сети, но ослабляет централизованный контроль.
Требования и ограничения перед настройкой
Доменная авторизация работает не в любой инфраструктуре. Минимальное условие — компьютеры пользователей и сервер 1С должны входить в домен Active Directory, а между ними и контроллером домена должна быть сетевая связность. Для файловых баз домен не обязателен: аутентификация ОС работает и в рабочей группе, но тогда привязка идёт к локальным учётным записям каждого компьютера, что практически неудобно.
Для клиент-серверного варианта есть дополнительные требования. Сервер 1С:Предприятия на Linux поддерживает доменную аутентификацию, но требует корректной настройки Kerberos (keytab-файл, SPN). При публикации базы на веб-сервере для прозрачного входа через браузер или тонкий клиент по веб-соединению нужно настроить аутентификацию ОС на самом веб-сервере — для IIS это режим Windows Authentication.
Ограничение, о котором часто забывают: доменная авторизация не работает для пользователей, заходящих с компьютеров вне домена (домашние ПК, личные устройства без VPN и доверия). Для них нужен запасной способ входа — пароль 1С или OpenID-аутентификация.
Пошаговая настройка в карточке пользователя
Настройка выполняется в режиме 1С:Предприятие с правами администратора. В типовых конфигурациях список пользователей находится в разделе «Администрирование» → «Пользователи и права» (или «Настройка пользователей и прав»), в самописных и старых конфигурациях — через меню «Администрирование» → «Пользователи».
- 1Откройте список пользователей информационной базы и создайте нового пользователя или откройте существующего.
- 2Установите флаг «Аутентификация операционной системы».
- 3В поле «Пользователь» укажите доменную учётную запись в формате \\ДОМЕН\ИмяПользователя или выберите её через кнопку выбора из списка доменных пользователей.
- 4Назначьте роли и профили групп доступа — доменная авторизация сама по себе прав не даёт.
- 5Сохраните карточку и проверьте вход с рабочего места пользователя: база должна открыться без запроса логина и пароля.
Имя доменной учётной записи должно точно совпадать с реальным: лишний пробел, другой регистр домена или опечатка приведут к отказу во входе. Надёжнее не вводить имя вручную, а использовать кнопку выбора — платформа сама покажет список пользователей домена и подставит корректную строку.
Если сотрудников много, заводить каждого вручную долго. В типовых конфигурациях есть групповая обработка загрузки пользователей, а в скриптовых сценариях применяют пакетный запуск конфигуратора или выгрузку пользователей через встроенный язык. Для крупных внедрений связку с AD автоматизируют через регламентные задания синхронизации, но это уже доработка, а не штатная функция платформы.
Клиент-серверный вариант и веб-доступ
В клиент-серверной архитектуре проверку выполняет сервер 1С:Предприятия, поэтому именно он должен иметь доступ к контроллеру домена. Если сервер работает под Windows и входит в домен, дополнительной настройки обычно не требуется. Проверить связность можно простым тестом: с сервера должна разрешаться команда обращения к контроллеру домена.
nltest /dsgetdc:ИМЯ_ДОМЕНАДля веб-доступа схема сложнее. Браузер должен передать учётные данные Windows веб-серверу, а тот — платформе 1С. На IIS включается Windows Authentication для виртуального каталога публикации, в настройках публикации 1С (файл default.vrd) устанавливается режим аутентификации ОС. Браузеры Chrome и Edge в интранет-зоне передают учётные данные автоматически, для Firefox требуется настройка параметра network.automatic-ntlm-auth.
Тонкий клиент, подключающийся по протоколу HTTP к веб-серверу, использует ту же цепочку. Если публикация настроена только на базовую аутентификацию, прозрачный доменный вход работать не будет — пользователь увидит окно запроса логина и пароля.
Проверка результата и типичные проблемы
Признак корректной настройки — пользователь запускает ярлык базы и сразу попадает в рабочий стол конфигурации под своим именем, без окон авторизации. В журнале регистрации при этом фиксируется событие входа с указанием способа аутентификации.
Как проверить результат
База открывается без запроса пароля, в углу окна — имя пользователя 1С
Появляется окно выбора пользователя и ввода пароля
Событие «Аутентификация» с указанием доменного пользователя
Ошибки аутентификации, вход под другим именем
nltest находит контроллер домена с сервера 1С
Ошибка поиска контроллера, таймауты
Наиболее частая ошибка — «Пользователь не найден» при верном доменном пароле. Причина почти всегда в несовпадении строки доменной учётной записи в карточке пользователя 1С с реальной. Вторая по частоте проблема — вход под локальной учётной записью Windows вместо доменной: тогда 1С ищет связку с локальным именем и не находит её.
Когда доменная авторизация не подходит и что выбрать вместо
Доменная схема оправдана, когда большинство пользователей работают в офисной сети на доменных компьютерах. Для внешних сотрудников, франчайзи, удалённых подразделений без VPN она неприменима — там остаётся парольная аутентификация 1С или OpenID.
Как выбрать действие
Гибридный вариант — включённые оба режима у одного пользователя — рабочий, но требует дисциплины: пароль 1С должен регулярно меняться по тем же правилам, что и доменный, иначе он становится слабым звеном. С точки зрения безопасности чище схема, где внешний доступ идёт через отдельную публикацию с VPN-ограничением.
Перед массовым переводом пользователей на доменную авторизацию выгрузите список пользователей базы и сопоставьте его с выгрузкой из Active Directory. Несовпадения фамилий, уволенные, но не отключённые в 1С записи и дубли почти всегда находятся именно на этом этапе — и чинить их проще до миграции, чем после.
Безопасность и администрирование
Главный выигрыш доменной схемы — централизация. Политика сложности паролей, срок действия, блокировка при подборе, отключение уволенных — всё это управляется групповыми политиками домена и автоматически распространяется на доступ в 1С. Администратор 1С перестаёт быть хранителем паролей.
Обратная сторона — зависимость от доступности домена. Если контроллер домена недоступен, а кэшированные учётные данные на компьютере устарели, вход в 1С может стать невозможным даже при исправном сервере 1С. Поэтому резервный администратор с парольной аутентификацией и сложным паролем — обязательный элемент схемы.
Для аудита используйте журнал регистрации 1С совместно с журналами безопасности Windows: первый показывает действия внутри базы, вторые — факты входа в систему. Связка двух журналов позволяет восстановить полную картину при расследовании инцидентов.
Что важно запомнить
Доменная авторизация перекладывает проверку личности на Active Directory: 1С лишь сопоставляет доменную учётную запись со своим пользователем и применяет его роли. Настройка сводится к флагу «Аутентификация операционной системы» и корректной строке \\ДОМЕН\Пользователь. Всегда оставляйте резервного администратора с парольным входом и проверяйте связку после переименования учётных записей в домене.
Частые вопросы
Работает ли доменная авторизация в файловой базе 1С?
Да, режим аутентификации ОС доступен и в файловом варианте. Если компьютеры входят в домен, привязка идёт к доменным учётным записям, как и в клиент-серверном варианте. Без домена можно привязаться только к локальным учётным записям конкретного ПК, что при нескольких рабочих местах теряет смысл.
Почему 1С всё равно просит пароль при включённой доменной авторизации?
Чаще всего причина в том, что в карточке пользователя не установлен флаг аутентификации ОС или доменное имя указано с ошибкой. Также проверьте, что пользователь вошёл в Windows под доменной, а не локальной учётной записью, и что при веб-доступе на веб-сервере включена Windows-аутентификация.
Что произойдёт с доступом, если переименовать пользователя в Active Directory?
Связка в 1С хранит текстовое имя учётной записи, поэтому после переименования вход перестанет работать. Нужно открыть карточку пользователя в 1С и обновить поле доменного имени. Права и история действий в базе при этом сохраняются — меняется только привязка.
Можно ли одному пользователю 1С привязать несколько доменных учётных записей?
Штатно — нет, одна карточка пользователя 1С связывается с одной учётной записью ОС. Если человек работает под разными доменными аккаунтами, для каждого придётся создать отдельного пользователя 1С со своими ролями.
Безопаснее ли доменная авторизация, чем парольная?
При корректно настроенном домене — да: пароли не хранятся в базе 1С, действуют доменные политики сложности и блокировки, доступ отключается централизованно. Но она добавляет зависимость от доступности контроллера домена, поэтому резервный парольный вход для администратора обязателен.
Нужно ли что-то настраивать на рабочем месте пользователя?
Обычно нет: достаточно, чтобы компьютер был в домене и пользователь входил под своей доменной учётной записью. Исключение — доступ через браузер: для автоматической передачи учётных данных сайт публикации должен находиться в зоне местной интрасети, а в Firefox требуется отдельный параметр доверенных URI.