Как ограничить доступ к папке 1С

Ограничить доступ к папке 1С требуется в двух типовых ситуациях: когда база работает в файловом режиме на общем сетевом ресурсе и к ней не должны попасть посторонние, либо когда нужно закрыть доступ к служебным каталогам — резервным копиям, шаблонам, дистрибутивам. В обоих случаях основным инструментом служат права файловой системы NTFS и настройки общего доступа Windows, а внутри самой программы — роли и права пользователей.

Важно понимать различие уровней. Права на папку определяют, кто вообще может открыть файлы базы на уровне операционной системы. Права внутри 1С определяют, что пользователь увидит и сможет сделать после входа в программу. Полноценная защита строится на сочетании обоих уровней: NTFS закрывает файлы от прямого копирования и просмотра, а роли в конфигурации ограничивают действия внутри сеанса.

Ниже описаны конкретные способы для файловой и клиент-серверной архитектуры, порядок настройки прав, типичные ошибки и способы проверить, что ограничения действительно работают.

Определите, какая папка и от кого защищается

Прежде чем менять права, уточните, что именно находится в папке. Если это каталог файловой базы (там лежит файл 1Cv8.1CD), то ограничение доступа затронет работу всех пользователей программы: у каждого из них должна остаться возможность читать и изменять файлы базы, иначе 1С просто не запустится. Если это папка с резервными копиями или выгрузками, права можно ужесточить сильнее — вплоть до доступа только для администратора.

Второй вопрос — от кого закрывается доступ. Если от других сотрудников в локальной сети, достаточно прав NTFS и корректной шары. Если от локального пользователя того же компьютера, потребуется снять наследование прав и явно исключить его группу. Если угроза — вынести базу на флешке, дополнительно имеет смысл шифрование диска и аудит доступа к файлам.

Настройте права NTFS на папку базы

Основной механизм — список контроля доступа (ACL) на вкладке «Безопасность» в свойствах папки. Откройте свойства каталога, перейдите на вкладку «Безопасность» и нажмите «Дополнительно». Чтобы задать собственный набор прав, отключите наследование от родительской папки: система предложит преобразовать унаследованные права в явные — согласитесь, затем удалите лишние записи.

Для файловой базы оставьте в списке только нужные учётные записи или группы: группу пользователей 1С с правами «Изменение», «Чтение и выполнение», «Запись», а также «Система» и «Администраторы» с полным доступом. Права «Изменение» обязательны: 1С создаёт и перезаписывает служебные файлы блокировок, и с доступом «только чтение» база не откроется в рабочем режиме.

1. 1
   Откройте свойства папки базы и перейдите на вкладку «Безопасность»
2. 2
   Нажмите «Дополнительно» и отключите наследование, преобразовав права в явные
3. 3
   Удалите записи для «Все», «Пользователи» и других лишних групп
4. 4
   Добавьте группу пользователей 1С с правами «Изменение» и «Чтение и выполнение»
5. 5
   Оставьте «Система» и «Администраторы» с полным доступом
6. 6
   Зайдите под обычным пользователем и проверьте запуск 1С и попытку открыть папку посторонней учётной записью

Если пользователей много, не выдавайте права каждому по отдельности — создайте в Windows (или в домене) группу, например «1C_Users», включите в неё нужные учётные записи и назначьте права группе. Так проще добавлять и исключать сотрудников: достаточно изменить членство в группе, не трогая ACL папки.

Ограничьте доступ через общий сетевой ресурс

Когда файловая база опубликована по сети, действуют два слоя прав: разрешения общего доступа (шары) и NTFS. Эффективные права — наиболее строгие из двух. Частая ошибка — шара с правом «Все: полный доступ»: тогда защита держится только на NTFS, и любая ошибка в ACL открывает базу всей сети.

Настройте шару так же сузко: в свойствах папки на вкладке «Доступ» откройте «Расширенная настройка» и укажите ту же группу пользователей 1С с уровнем «Изменение». Группу «Все» удалите. Для уменьшения видимости ресурса можно сделать скрытую шару, добавив знак доллара к имени, например \\SERVER\Base1C$ — такая папка не отображается в сетевом окружении, хотя это лишь дополнительная мера, а не защита.

Дополнительно проверьте, что на сервере включён аудит доступа к файлам, если требуется отслеживать, кто открывал базу. Политика аудита включается через локальную или групповую политику, а события смотрятся в журнале «Безопасность».

Настройте права пользователей внутри 1С

Даже с доступом к папке пользователь не должен видеть в программе лишнего. В типовых конфигурациях права настраиваются через профили групп доступа: в разделе администрирования создайте профили с нужным набором ролей и назначьте их пользователям. Отдельные роли есть на документы, справочники, отчёты и служебные функции — например, право на выгрузку данных или на работу с внешними обработками.

Обязательно установите пароли всем учётным записям 1С и отключите встроенную учётную запись с пустым паролем, если она создавалась при первоначальной настройке. Для файловой базы пароль 1С — единственный барьер после доступа к файлу, поэтому слабый или пустой пароль сводит на нет остальные меры.

Для разграничения данных внутри одной базы (например, менеджер видит только свою организацию) используется механизм RLS — ограничение доступа на уровне записей. Он настраивается в конфигурации и требует аккуратности: сложные шаблоны RLS заметно замедляют запросы на больших объёмах данных.

Проверяйте права нового пользователя сразу после создания: войдите под его учётной записью и убедитесь, что лишние разделы не видны, а нужные документы открываются. Найти ошибку на этом этапе проще, чем после месяца работы.

Защитите резервные копии и служебные каталоги

Копии базы содержат те же данные, что и рабочая база, но о них часто забывают. Папка с выгрузками .dt или архивами должна быть доступна только администратору и учётной записи, под которой работает задание резервного копирования. Настройте ACL по тому же принципу: отключить наследование, оставить минимальный список учётных записей.

Если копии отправляются на сетевое хранилище или в облако, применяйте те же ограничения на целевой стороне. Полезно хранить копии в зашифрованном виде — например, в архиве с паролем или на диске с включённым BitLocker: тогда даже при утечке файла данные останутся недоступны.

Особенности клиент-серверного варианта

В клиент-серверной архитектуре пользователи не обращаются к файлам напрямую: данные хранятся в СУБД (MS SQL, PostgreSQL и др.), а доступ идёт через сервер 1С. Ограничивать доступ к папке в этом случае нужно на уровне каталогов сервера: закройте сетевой доступ к каталогам кластера и файлам СУБД, оставив права только служебным учётным записям.

Разграничение прав пользователей выполняется средствами кластера (администраторы кластера и информационных баз) и ролями конфигурации. Дополнительно ограничьте доступ к консоли управления сервером 1С и к СУБД: учётная запись, под которой сервер 1С подключается к базе, должна иметь права только на нужную базу данных.

Сравнение вариантов

Файловая база + NTFS

Подходит для небольших команд. Защита строится на ACL папки и шары; уязвимость — любой, кто получил доступ к файлу, может скопировать базу целиком

Клиент-серверный режим

Надёжнее для разграничения доступа: пользователи не видят файлов данных, права контролируются кластером и СУБД. Требует отдельного сервера и администрирования

Только роли внутри 1С

Ограничивает действия в программе, но не защищает файл базы от копирования. Применяется как дополнение, а не единственная мера

Проверьте результат и типичные ошибки

После настройки выполните проверку с двух сторон. Под учётной записью рядового пользователя убедитесь, что 1С запускается, документы проводятся, а попытка открыть чужую папку с копиями завершается отказом в доступе. Под посторонней учётной записью проверьте, что папка базы недоступна ни по сети, ни локально.

Также проверьте эффективные права через вкладку «Действующий доступ» в расширенных настройках безопасности: Windows покажет итоговые права конкретного пользователя с учётом всех групп и наследования. Это быстрый способ найти лишнее разрешение.

Контрольные точки

Как проверить результат

Запуск 1С под рабочей учётной записью

Норма

База открывается, документы создаются и проводятся

Тревожный признак

Ошибка доступа к файлам или невозможность записи

Открытие папки базы посторонним пользователем

Норма

Отказано в доступе и по сети, и локально

Тревожный признак

Папка открывается, файлы видны или копируются

Действующие права в расширенных настройках безопасности

Норма

У лишних групп прав нет, у группы 1С — «Изменение»

Тревожный признак

Присутствуют «Все» или «Пользователи» с любым доступом

Частые вопросы

Можно ли поставить пароль на саму папку 1С?

В Windows нет штатной функции пароля на папку. Используются права NTFS, шифрование (EFS или BitLocker) либо сторонние архиваторы с паролем для нерабочих копий. Для рабочей базы корректный путь — ACL и учётные записи.

Почему после ограничения прав 1С перестала запускаться?

Чаще всего пользователю не хватает права «Изменение» на папку базы: 1С создаёт служебные файлы блокировок и журналов. Проверьте действующие права учётной записи и убедитесь, что она входит в группу с доступом на запись.

Как запретить копирование файла базы на флешку?

Полностью запретить копирование тому, кто имеет доступ на чтение, средствами прав нельзя. Снижают риск шифрование диска, ограничение USB-устройств групповыми политиками и аудит доступа к файлам. Принципиальное решение — переход на клиент-серверный режим, где файл базы пользователям недоступен.

Нужно ли ограничивать доступ к папке, если база на SQL-сервере?

Да, но это касается служебных каталогов сервера и СУБД, а не папки у пользователя. Данные хранятся в СУБД, поэтому закрывайте сетевой доступ к файлам сервера и ограничивайте права учётных записей служб.

Чем отличаются права на папку от прав в конфигураторе?

Права на папку работают на уровне операционной системы и решают, кто может открыть файлы базы. Права в конфигураторе (роли) действуют внутри сеанса 1С и определяют, какие объекты — документы, справочники, отчёты — доступны пользователю после входа.