Как отключить установку расширений в 1С

Расширения конфигурации — удобный механизм 1С, который позволяет менять поведение программы без доработки основной конфигурации. Но та же гибкость создаёт риск: пользователь с избыточными правами может подключить расширение из недоверенного файла, нарушить работу учёта или открыть уязвимость. Поэтому администратору часто требуется отключить установку расширений полностью или оставить её только узкому кругу специалистов.

Запрет настраивается на нескольких уровнях: через роли и права пользователей, через профили групп доступа в конфигурациях на базе БСП, через настройки безопасного режима и через параметры кластера сервера 1С. Выбор способа зависит от того, файловая у вас база или клиент-серверная, типовая конфигурация или самописная, и нужно ли запретить установку всем или только части сотрудников.

Ниже разобраны рабочие способы ограничения, их ограничения и способы проверки, что запрет действительно сработал. Материал ориентирован на платформу 1С:Предприятие 8.3 и типовые конфигурации на библиотеке стандартных подсистем.

Как устроен механизм расширений and почему его ограничивают

Расширение подключается к информационной базе через пункт меню «Все функции — Стандартные — Управление расширениями конфигурации» или через раздел «Администрирование — Печатные формы, отчеты и обработки — Расширения» в типовых конфигурациях. Чтобы добавить расширение, пользователю нужно право на администрирование расширений, а при отключённом безопасном режиме — фактически полный доступ к выполнению произвольного кода.

Основные причины запрета: защита от установки расширений из непроверенных источников (файл может содержать вредоносный код), предотвращение случайных изменений поведения учётной системы, соблюдение требований внутренней безопасности и упрощение сопровождения — чем меньше расширений, тем проще обновлять конфигурацию.

Способ 1. Снять право администрирования расширений у ролей

Базовый уровень защиты — права доступа, заданные в конфигураторе. Откройте конфигурацию, перейдите в ветку «Общие — Роли» и проверьте роли, назначенные обычным пользователям. Нас интересуют права «Администрирование расширений конфигурации» и «Администрирование» на корень конфигурации, а также отдельные роли вроде «Добавление изменение расширений конфигурации» в типовых решениях.

Если право «Администрирование расширений конфигурации» снято во всех ролях пользователя, пункт добавления расширения для него станет недоступен, а попытка открыть обработку управления расширениями завершится сообщением о нарушении прав доступа. Право «Администрирование» (полное) даёт те же возможности, поэтому его тоже нужно оставить только у администраторов.

1. 1
   Откройте конфигуратор под учётной записью с полными правами и сделайте резервную копию базы.
2. 2
   Перейдите в «Общие — Роли», откройте роли, назначаемые рядовым пользователям.
3. 3
   Снимите флажки «Администрирование расширений конфигурации» и «Администрирование» для корня конфигурации.
4. 4
   В типовых конфигурациях проверьте профильные роли добавления расширений и снимите с них те же права.
5. 5
   Обновите конфигурацию базы данных (F7) и проверьте доступ под тестовым пользователем.

Учтите: изменение ролей меняет конфигурацию. Если конфигурация на полной поддержке поставщика, доработка ролей снимет её с поддержки или потребует аккуратного режима «с сохранением поддержки». В типовых решениях правильнее работать через профили групп доступа, не трогая роли в конфигураторе.

Способ 2. Профили групп доступа в типовых конфигурациях

В конфигурациях на базе БСП (1С:Бухгалтерия, 1С:ERP, Управление торговлей, ЗУП и другие) права назначаются не напрямую ролями, а через профили групп доступа. Откройте раздел «Администрирование — Настройки пользователей и прав — Профили групп доступа» и найдите профили, которые включают роль добавления расширений — обычно это «Администратор» или отдельный профиль для настройки программы.

Уберите пользователей из групп с такими профилями или отредактируйте копию профиля, исключив из неё роли, связанные с расширениями. Прямое редактирование поставляемых профилей нежелательно — при обновлении конфигурации состав ролей может быть восстановлен. Создавайте собственные профили и назначайте их вместо типовых.

Способ 3. Безопасный режим и защита от опасных действий

Даже если установку расширений разрешить ограниченному кругу лиц, стоит включить защиту от небезопасного кода. В диалоге добавления расширения есть флажки «Использовать безопасный режим» и «Защита от опасных действий». В безопасном режиме расширение не сможет обращаться к файловой системе, COM-объектам и внешним компонентам, что резко снижает риск вредоносного кода.

На уровне всей базы поведение регулируется параметром «Защита от опасных действий» в свойствах пользователя (Администрирование — Пользователи — закладка «Прочее» или диалог «О программе» в зависимости от версии). Если у пользователя включена защита от опасных действий, платформа будет предупреждать и блокировать потенциально опасные операции, включая открытие внешних файлов.

Для централизованного запрета небезопасных расширений администратор кластера может задать список разрешённых расширений или запретить отключение безопасного режима через настройки сервера. Это надёжнее, чем расчёт на дисциплину пользователей, которые могут снять флажок безопасного режима при добавлении файла.

Способ 4. Ограничения на уровне сервера и кластера

В клиент-серверном варианте администратор может усилить контроль средствами консоли кластера. Через свойства информационной базы в консоли доступен параметр «Блокировка регламентных заданий» и настройки безопасности, а через технологический журнал и политики безопасности — отслеживание событий добавления расширений. Прямого флажка «запретить расширения» в кластере нет, поэтому основной запрет строится на правах СУБД и платформенных ролях.

Дополнительный рубеж — ограничение прав учётной записи, под которой пользователи работают с базой, и регулярный аудит: периодически открывайте список расширений в каждой базе и сверяйте его с утверждённым перечнем. В типовых конфигурациях события добавления расширений фиксируются в журнале регистрации, что позволяет найти, кто и когда подключил файл.

Настройте отбор журнала регистрации по событию изменения расширений конфигурации и периодически просматривайте его. Это быстрый способ обнаружить несанкционированную установку, даже если формальный запрет был обойден через административную учётную запись.

Проверка, что запрет работает

После настройки обязательно проверьте результат под учётной записью обычного пользователя, а не администратора. Откройте «Управление расширениями конфигурации» и попробуйте добавить любой тестовый файл .cfe. При корректной настройке команда будет недоступна или появится сообщение о нарушении прав.

Также проверьте раздел «Администрирование — Расширения» в типовой конфигурации и попытку открытия внешних обработок, если задача включала и их запрет. Убедитесь, что ранее установленные расширения продолжают работать: снятие права на установку не отключает уже подключённые расширения, их нужно удалить или отключить отдельно.

Контрольные точки

Как проверить результат

Добавление расширения под обычным пользователем

Норма

Команда недоступна или ошибка нарушения прав

Тревожный признак

Диалог добавления открывается и файл подключается

Список активных расширений в базе

Норма

Только утверждённые расширения

Тревожный признак

Присутствуют неизвестные или лишние расширения

Журнал регистрации по событиям расширений

Норма

Нет записей о добавлении от посторонних пользователей

Тревожный признак

Есть записи об установке от учётных записей без полномочий

Типичные ошибки при запрете расширений

Самая частая ошибка — запретить установку, но забыть про уже подключённые расширения. Они продолжают работать, и если среди них есть нежелательные, риск сохраняется. Вторая ошибка — оставить пользователям право «Администрирование» ради других функций: это право включает и управление расширениями, поэтому его нужно разделять на более мелкие роли.

Третья типичная проблема — редактирование типовых профилей и ролей напрямую. После обновления конфигурации поставщик может вернуть состав ролей, и запрет молча перестанет действовать. Используйте собственные профили и периодически перепроверяйте настройки после обновлений.

FAQ

Отключат ли запрет на установку уже работающие расширения?

Нет. Снятие прав влияет только на добавление и изменение расширений. Уже подключённые расширения продолжают работать, их нужно отключить или удалить вручную через список расширений конфигурации под учётной записью администратора.

Можно ли запретить расширения только для части пользователей?

Да. Права назначаются индивидуально: оставьте роли администрирования расширений только у выделенных администраторов или разработчиков, а остальным назначьте профили без этих ролей. В типовых конфигурациях это делается через группы доступа.

Чем отличается запрет расширений от запрета внешних обработок?

Это разные механизмы. Расширения хранятся в базе и изменяют её поведение постоянно, а внешние обработки запускаются из файла на разовой основе. Запрещать их нужно отдельно: для внешних обработок используется право «Интерактивное открытие внешних обработок» и защита от опасных действий.

Что делать, если пользователю расширение нужно для работы?

Установку должен выполнять администратор после проверки файла: источник, назначение, работа в безопасном режиме. Само использование уже подключённого расширения не требует административных прав, поэтому запрет на установку не мешает штатной работе.

Нарушит ли запрет обновление конфигурации?

Нет, обновление конфигурации поставщиком не зависит от прав на расширения. Но при обновлении стоит проверять совместимость подключённых расширений: после смены релиза часть из них может перестать работать и потребует обновления или отключения.