Где хранятся учетные данные бизнес-приложения 1С

Учетные данные в 1С — это не только логин и пароль пользователя, который вводится при входе. В системе задействованы сразу несколько уровней: пользователи информационной базы, учетная запись сервера 1С:Предприятия, доступ к СУБД, хранилище конфигурации, подключение к внешним сервисам и публикациям. Каждый уровень хранит свои данные в своем месте, и путаница между ними — частая причина проблем при восстановлении доступа или миграции.

Ключевой момент: пароли пользователей не хранятся в открытом виде. Платформа 1С:Предприятие сохраняет хеши паролей внутри информационной базы, поэтому «подсмотреть» забытый пароль администратора нельзя — его можно только сбросить, имея физический доступ к базе или серверу. Это важно понимать до того, как предпринимать какие-либо действия.

Ниже разберем, где конкретно размещаются учетные данные в файловом и клиент-серверном режимах, где лежат списки баз и настройки подключения, как работает хранилище конфигурации и что делать, если доступ утерян.

Где хранятся пароли пользователей в файловой базе

В файловом режиме вся информационная база — это один файл 1Cv8.1CD, лежащий в каталоге базы. Внутри него, помимо данных документов и справочников, находятся и таблицы с учетными записями пользователей: имена, роли, настройки аутентификации и хеши паролей.

Пароль в открытом виде там отсутствует. Платформа вычисляет хеш по алгоритму с «солью», поэтому даже открыв файл базы в стороннем просмотрщике, вы увидите только служебные структуры, а не читаемые пароли. Это сделано намеренно: файл базы часто копируют, выгружают в архивы, передают на флешке — и раскрытие паролей в таком сценарии было бы критической уязвимостью.

Практическое следствие: если пароль администратора файловой базы утерян, восстановить его нельзя — только сбросить. Стандартный способ — воспользоваться специализированной обработкой сброса паролей, запускаемой при открытой базе, либо обратиться к специалисту с опытом работы со структурой БД. Любые манипуляции с файлом 1Cv8.1CD выполняйте только на копии.

Учетные данные в клиент-серверном варианте работы

В клиент-серверной архитектуре появляются три отдельных уровня аутентификации, и их часто путают. Первый уровень — пользователи информационной базы: их учетные записи хранятся в таблицах СУБД (MS SQL Server, PostgreSQL, Oracle или IBM Db2), внутри самой базы данных. Логика та же, что и в файловом режиме: хранятся хеши, а не пароли.

Второй уровень — администраторы кластера серверов 1С:Предприятия. Эти учетные записи не относятся к конкретной базе и хранятся на сервере в служебном каталоге кластера (обычно это каталог srvinfo внутри программных данных сервера 1С). Именно этот логин-пароль запрашивается при подключении к кластеру через консоль администрирования.

Третий уровень — учетная запись СУБД, под которой сервер 1С обращается к базе данных. Ее имя и пароль задаются при создании информационной базы в консоли кластера и хранятся в реестре кластера. Пароль СУБД дополнительно защищается механизмами платформы, но администратор кластера может его заменить при смене пароля на стороне СУБД.

Где лежат списки баз и параметры подключения

Помимо паролей, к учетным данным относятся и настройки подключения: адрес сервера, имя базы, тип соединения. Все они хранятся на клиентском компьютере в файле ibases.v8i. В типовом размещении это профиль пользователя Windows: каталог %APPDATA%\1C\1CEStart. Если списки баз общие для нескольких пользователей, администратор может разместить файл в сетевой папке и указать его в настройках.

Файл ibases.v8i — текстовый, его можно открыть в блокноте и увидеть пути к базам. При этом сохраненные пароли для автоматического входа хранятся не здесь: платформа использует защищенное хранилище операционной системы, привязанное к учетной записи пользователя Windows. Поэтому перенос файла списка баз на другой компьютер не переносит сохраненные пароли — их придется ввести заново.

Еще один файл, который полезно знать, — 1cestart.cfg и пользовательские настройки в каталоге %APPDATA%\1C\1cv8. Там лежат кеши метаданных, настройки диалогов и пути к шаблонам. Удаление кеша — стандартный прием при странных ошибках входа, он не затрагивает сами учетные данные.

Хранилище конфигурации и его учетные записи

Если разработка ведется через хранилище конфигурации, у него собственный список пользователей — отдельный от пользователей информационной базы. Разработчик может не иметь права входа в базу в режиме Предприятия, но иметь доступ к хранилищу, и наоборот.

При файловом варианте хранилища его данные размещаются в каталоге, указанном при создании: там находятся файлы версий конфигурации и служебные таблицы с учетными записями разработчиков. Пароли также хешируются. При серверном варианте учетные данные управляются сервером хранилища и хранятся в его базе.

Практическая проблема: при смене компьютера разработчика или переносе хранилища часто забывают, что подключение к хранилищу настраивается в конфигураторе отдельно (меню «Конфигурация — Хранилище конфигурации»), и там указывается свой логин. Утерю пароля администратора хранилища исправить сложнее, чем в базе, поэтому учетную запись администратора хранилища стоит документировать и хранить в защищенном корпоративном сейфе паролей.

1. 1
   Откройте диалог запуска 1С и посмотрите строку подключения выбранной базы: путь к папке — файловый режим, имя сервера — клиент-серверный.
2. 2
   Для файловой базы перейдите в указанный каталог и убедитесь, что там есть файл 1Cv8.1CD — учетные записи внутри него.
3. 3
   Для клиент-серверной базы откройте консоль администрирования кластера и посмотрите свойства информационной базы: там указаны СУБД и учетная запись доступа к ней.
4. 4
   Проверьте файл ibases.v8i в каталоге %APPDATA%\1C\1CEStart — там список баз и параметры подключения текущего пользователя.
5. 5
   Если используется хранилище конфигурации, откройте в конфигураторе настройки хранилища и зафиксируйте путь и имя пользователя хранилища.

Внешние сервисы, публикации и хранение секретов в коде

Отдельная категория — учетные данные, которые прикладное решение использует для интеграций: пароли к веб-сервисам, токены обмена с банками, ключи API, логины FTP для обмена с сайтом. Типового единого места для них нет: в разных конфигурациях они хранятся в константах, регистрах сведений или специальных справочниках «Учетные записи».

В типовых конфигурациях на базе БСП (Библиотека стандартных подсистем) предусмотрен механизм безопасного хранения паролей: значения шифруются и недоступны пользователям без специальных прав. Однако в доработанных решениях нередко встречаются пароли, записанные прямо в коде модулей или в открытых константах, — это риск утечки при выгрузке конфигурации или предоставлении доступа стороннему специалисту.

При публикации базы на веб-сервере параметры подключения прописываются в файле default.vrd в каталоге публикации. Этот файл содержит строку подключения к базе и может содержать учетные данные — доступ к каталогу публикации на веб-сервере должен быть строго ограничен.

Как организовать безопасное хранение и восстановление доступа

Минимальный набор мер выглядит так: ведите защищенный реестр административных учетных записей (администратор кластера, администратор СУБД, администратор хранилища, администраторы ключевых баз), храните его в корпоративном менеджере паролей, а не в текстовом файле на общем диске. Разделяйте роли: учетная запись для повседневной работы не должна совпадать с административной.

Для восстановления доступа заранее определите процедуру: кто имеет право сбрасывать пароли, где лежат резервные копии, как проверяется личность заявителя. В файловых базах держите хотя бы одного резервного администратора — утеря единственного пароля превращается в техническую задачу с риском потери данных.

Периодически проверяйте, что резервные копии действительно восстанавливаются, а список активных пользователей не содержит уволенных сотрудников. Учетные записи уволенных — один из самых частых каналов инцидентов, потому что про них просто забывают.

Часто задаваемые вопросы

Можно ли посмотреть забытый пароль пользователя 1С?

Нет. Платформа хранит только хеш пароля, обратное преобразование невозможно. Единственный вариант — сбросить пароль и задать новый. В файловой базе это делается специальными обработками при наличии доступа к файлу, в клиент-серверной — через администратора с полными правами.

Где найти файл со списком баз 1С на компьютере?

Обычно это файл ibases.v8i в каталоге %APPDATA%\1C\1CEStart. Быстрый способ — вставить этот путь в адресную строку Проводника Windows. Если используется общий сетевой список, путь к нему указан в настройках диалога запуска (кнопка «Настройка»).

Перенес файл списка баз на новый компьютер, а пароли не подошли. Почему?

Сохраненные пароли хранятся не в ibases.v8i, а в защищенном хранилище операционной системы, привязанном к конкретной учетной записи Windows. На новом компьютере или под другим пользователем пароли нужно ввести заново и при необходимости снова сохранить.

Чем отличается пароль администратора кластера от пароля пользователя базы?

Это разные учетные записи. Пользователь базы нужен для входа в прикладное решение и хранится внутри информационной базы. Администратор кластера управляет сервером 1С (создание баз, сеансы, блокировки) и хранится в служебном каталоге сервера. Один человек может иметь обе учетные записи, но технически они независимы.

Безопасно ли хранить пароли интеграций в константах конфигурации?

В открытом виде — нет: значение увидит любой пользователь с доступом к константе и попадет в каждую выгрузку конфигурации. Используйте механизм безопасного хранения паролей, если он есть в вашей конфигурации, либо ограничьте доступ правами и рассмотрите вынос секретов во внешнее защищенное хранилище.

Что делать, если утерян единственный пароль администратора файловой базы?

Сначала сделайте полную копию каталога базы. Затем проверьте, нет ли второго пользователя с административными правами или сохраненного входа на другом компьютере. Если нет — потребуется специализированная обработка сброса паролей или помощь специалиста; все действия выполняйте только на копии, а не на рабочем файле.