Как ограничить доступ к базе 1С: практическое руководство

Ограничение доступа к базе 1С — задача, которая решается на нескольких уровнях: внутри самой конфигурации через роли и профили групп доступа, на уровне кластера серверов 1С и на уровне СУБД, где физически хранятся данные. Чаще всего достаточно корректно настроить права внутри программы, но для полноценной защиты важно закрыть и обходные пути — прямое подключение к SQL-серверу, доступ к файлам информационной базы и учётную запись администратора кластера.

Подход зависит от режима работы базы. В файловом варианте основная защита — это права внутри 1С и ограничение доступа к каталогу с файлом базы средствами операционной системы. В клиент-серверном варианте добавляются настройки кластера и разграничение прав на SQL Server, PostgreSQL или другой СУБД. Ниже разобраны оба сценария с конкретными шагами.

Перед любыми изменениями прав сделайте резервную копию базы. Ошибочное сужение прав может заблокировать работу пользователей, а ошибочное расширение — открыть доступ к зарплате, договорам или финансовым документам тем, кому они не предназначены.

Определите, кто и к каким данным должен иметь доступ

До настройки технических средств составьте матрицу доступа: список сотрудников или отделов и перечень объектов, которые им нужны — документы, справочники, отчёты, регистры. Разделите доступ минимум на чтение, добавление, изменение и удаление. Например, менеджеру по продажам обычно нужны заказы и клиенты, но не нужны регламентные операции по зарплате.

Работайте по принципу минимально необходимых прав: пользователю выдаётся только то, что требуется для его задач. Это снижает риск случайной порчи данных и утечки конфиденциальной информации. Отдельно выделите учётные записи с полными правами — их должно быть минимум, и пароли от них не передаются рядовым пользователям.

Настройте роли и профили групп доступа

В типовых конфигурациях на управляемых формах (1С:Бухгалтерия 3.0, 1С:ERP, 1С:ЗУП и других) права настраиваются через профили групп доступа. Откройте раздел «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа». Здесь можно создать новый профиль, выбрать разрешённые роли и затем включить в группу доступа конкретных пользователей.

Для типичных задач используйте готовые профили поставщика конфигурации — например, «Менеджер по продажам», «Бухгалтер», «Кадровик». Если готового профиля нет, создайте свой: задайте имя, отметьте нужные роли и проверьте, какие объекты они открывают. Одна роль может тянуть за собой доступ к связанным объектам, поэтому после назначения профиль нужно протестировать.

Ограничение доступа на уровне записей (RLS)

Если нужно, чтобы пользователи видели не все документы, а только по своей организации, складу или подразделению, включите механизм ограничения доступа на уровне записей. В типовых конфигурациях это делается в настройках групп доступа: для группы задаются разрешённые значения — конкретные организации, склады, контрагенты. Платформа автоматически добавляет условия отбора в запросы.

Учтите, что RLS замедляет выполнение запросов, особенно на больших базах. Включайте его только там, где действительно нужно разделение данных, и проверяйте скорость работы после настройки.

1. 1
   Откройте «Администрирование» → «Настройки прав и пользователей» → «Профили групп доступа»
2. 2
   Создайте новый профиль или скопируйте типовой и отметьте нужные роли
3. 3
   Создайте группу доступа с этим профилем и добавьте в неё пользователей
4. 4
   Войдите в базу под тестовым пользователем и проверьте доступные объекты
5. 5
   Уберите лишние роли, если обнаружен доступ к нежелательным данным

Ограничьте доступ в файловом варианте базы

В файловом режиме база хранится в одном файле 1Cv8.1CD, и любой, кто имеет доступ к этому файлу на уровне операционной системы, потенциально может скопировать базу целиком. Поэтому кроме прав внутри 1С ограничьте доступ к сетевой папке: в свойствах каталога задайте разрешения NTFS или права общего доступа только для группы пользователей 1С.

Уберите права на чтение файла у всех, кому база не нужна, и запретите анонимный доступ к сетевому ресурсу. Проверьте, что резервные копии базы хранятся в каталоге с аналогичными ограничениями — скопировать файл копии так же просто, как и рабочую базу.

Дополнительно установите пароли на учётные записи пользователей в самой базе и включите требование аутентификации при входе. Пустой список пользователей в файловой базе означает, что вход выполняется без пароля вообще.

Закройте обходные пути в клиент-серверном варианте

В клиент-серверном режиме данные хранятся в СУБД, и пользователь с прямым доступом к SQL-серверу может читать таблицы в обход всех ролей 1С. Убедитесь, что учётная запись, под которой сервер 1С подключается к СУБД, известна только администратору, а обычные пользователи не имеют собственных учётных записей на SQL-сервере.

Задайте пароль администратора кластера серверов 1С. По умолчанию в некоторых установках аутентификация кластера не настроена, и любой, кто может подключиться к консоли кластера, способен создать новую базу или изменить параметры существующей. Пароль задаётся при создании администратора кластера в консоли управления.

Ограничьте сетевой доступ к портам СУБД и сервера 1С с помощью брандмауэра: подключения к SQL-серверу должны приниматься только с сервера 1С, а к кластеру 1С — только с рабочих станций пользователей и серверов публикации.

Настройте парольную политику и блокировку учётных записей

В свойствах пользователей информационной базы задайте требования к паролям: минимальную длину, сложность и срок действия. В типовых конфигурациях эти параметры находятся в настройках входа пользователей. Для учётных записей с широкими правами используйте длинные уникальные пароли и храните их в менеджере паролей, а не в таблицах и сообщениях.

Увольняемым сотрудникам сразу отключайте доступ: снимите флажок «Вход в программу разрешён» в карточке пользователя. Удалять учётную запись не обязательно — она может быть связана с историей документов, — но вход должен быть закрыт в день увольнения.

Проверьте результат и ведите контроль

После настройки прав проверьте результат от имени обычного пользователя: войдите под его учётной записью и попробуйте открыть объекты, которые должны быть закрыты. Проверяйте не только документы, но и отчёты — через универсальный отчёт или консоль запросов иногда можно получить данные, к которым прямой доступ закрыт.

Включите журнал регистрации и периодически просматривайте события входа, изменения прав и отказов в доступе. Это позволяет заметить попытки обхода ограничений и ошибки настройки. В клиент-серверном варианте журнал ведётся на уровне кластера, в файловом — внутри базы.

Контрольные точки

Как проверить результат

Вход под тестовым пользователем

Норма

Доступны только объекты его профиля

Тревожный признак

Открываются документы или отчёты вне его зоны ответственности

Попытка открыть закрытый объект

Норма

Сообщение о нарушении прав доступа

Тревожный признак

Объект открывается на чтение или изменение

Доступ к файлу базы или СУБД

Норма

Доступ есть только у служебных учётных записей

Тревожный признак

Файл копируется обычным пользователем, SQL принимает чужие логины

Журнал регистрации

Норма

События входа и отказов фиксируются

Тревожный признак

Журнал отключён или пуст при активной работе

Частые вопросы

Можно ли ограничить доступ к базе 1С по времени или расписанию?

Штатного механизма ограничения входа по расписанию в платформе нет. В клиент-серверном варианте можно задать блокировку сеансов на уровне кластера (например, на время регламентных работ), а индивидуальные ограничения по времени обычно реализуются доработкой конфигурации или внешними средствами.

Как быстро отключить доступ уволенному сотруднику?

Откройте карточку пользователя в разделе «Пользователи» и снимите флажок «Вход в программу разрешён». Если сотрудник работает в сеансе прямо сейчас, завершите его сеанс через консоль кластера или обработку управления сеансами. Учётную запись можно не удалять — она сохранит связь с созданными документами.

Защищает ли пароль в 1С от копирования файловой базы?

Нет. Если злоумышленник скопировал файл 1Cv8.1CD, он может пытаться открыть базу на другом компьютере и подобрать пароль без контроля с вашей стороны. Поэтому доступ к самому файлу должен быть ограничен средствами операционной системы, а права внутри 1С работают как второй рубеж.

Чем отличаются роли от профилей групп доступа?

Роли — это наборы прав на объекты конфигурации, заданные разработчиком в конфигураторе. Профили групп доступа — это пользовательский уровень настройки в режиме предприятия: администратор собирает роли в профиль и назначает его группе пользователей, не заходя в конфигуратор.

Что делать, если после настройки прав у пользователя пропал нужный документ?

Сравните профиль пользователя с типовым профилем для его должности и найдите недостающую роль. Учтите, что документ может быть недоступен не только из-за роли, но и из-за ограничения на уровне записей — проверьте, входит ли организация или склад документа в разрешённые значения его группы доступа.

Нужно ли ограничивать доступ веб-клиенту и тонкому клиенту отдельно?

Нет, права в 1С едины для всех видов клиентов — они проверяются на сервере или в файловой базе независимо от способа подключения. Достаточно один раз настроить роли и профили, и ограничения будут действовать для тонкого, толстого и веб-клиента одинаково.