Установка платформы 1С через групповые политики: пошаговое руководство

Централизованная установка платформы 1С через групповые политики (GPO) избавляет администратора от ручной настройки каждого рабочего места. Когда в организации десятки компьютеров, а обновления платформы выходят регулярно, ручная установка превращается в постоянное отвлечение сотрудников и источник ошибок: на одних машинах оказывается старая версия, на других — не хватает нужных компонентов.

Механизм развёртывания через GPO работает так: пакет установки размещается на сетевом ресурсе, политика привязывается к подразделению Active Directory с компьютерами или пользователями, а при загрузке системы или входе пользователя установщик Windows автоматически ставит платформу. Для этого подходят MSI-пакеты, которые «1С» публикует в составе дистрибутива платформы.

Ниже разобран полный цикл: подготовка дистрибутива и сетевой папки, создание политики, особенности назначения пакета на компьютеры и пользователей, проверка результата и разбор типичных проблем. Инструкция ориентирована на доменную среду Windows Server с консолью управления групповыми политиками (GPMC).

Что понадобится перед началом развёртывания

Для установки через групповые политики нужен домен Active Directory и права на создание и редактирование объектов групповой политики. Обычно это права администратора домена или делегированные права на конкретное подразделение. Также потребуется доступ к консоли «Управление групповой политикой» — она есть на контроллере домена и на машинах с установленными средствами удалённого администрирования (RSAT).

Второе условие — дистрибутив платформы 1С в виде MSI-пакета. В комплекте поставки платформы есть папка с файлами 1CEnterprise 8.msi и сопутствующими файлами для административной установки. Если вы скачивали платформу с портала 1С в виде архива, распакуйте его и найдите каталог с MSI — именно этот набор файлов нужен целиком, а не только сам .msi-файл.

Третье условие — сетевая папка, доступная компьютерам домена. Важно понимать: при назначении пакета на компьютер установку выполняет системная учётная запись машины, поэтому доступ к шаре должны иметь компьютеры, а не только пользователи. Проще всего дать группе «Компьютеры домена» (Domain Computers) право чтения на папку и на уровне NTFS.

Подготовка сетевого ресурса с дистрибутивом

Создайте на файловом сервере папку, например \\server\distrib\1C\8.3.24.xxxx, и скопируйте в неё полный набор установочных файлов платформы: сам MSI, файлы .mst (трансформы для языков интерфейса) и сопутствующие компоненты. Использование отдельной папки под каждую версию упрощает последующие обновления — новая версия раскладывается рядом, а старая удаляется после полного перехода.

На уровне общего доступа задайте разрешение «Чтение» для группы «Компьютеры домена» и «Прошедшие проверку». На вкладке безопасности NTFS убедитесь, что у этих групп есть права «Чтение и выполнение» и «Чтение». Отсутствие NTFS-прав — самая частая причина, когда политика применяется, но установка завершается ошибкой.

Проверьте доступ с тестовой машины: выполните в командной строке обращение к папке по UNC-пути и убедитесь, что файлы читаются. Дополнительно полезно проверить доступ от имени системы — например, запустив командную строку через psexec -s cmd и повторив обращение к шаре.

Создание объекта групповой политики

Откройте консоль «Управление групповой политикой», найдите подразделение (OU), содержащее целевые компьютеры, и создайте новый объект GPO — например, «Установка платформы 1С». Откройте его на редактирование. Дальнейшие действия зависят от того, назначаете вы пакет компьютерам или пользователям.

Назначение на компьютеры — рекомендуемый способ

Перейдите в раздел «Конфигурация компьютера → Политики → Конфигурация программ → Установка программ». В контекстном меню выберите «Создать → Пакет» и укажите UNC-путь к MSI-файлу платформы. В появившемся диалоге выберите метод «Назначенный» (Assigned). При таком методе платформа установится на каждый компьютер подразделения при следующей загрузке, независимо от того, какой пользователь войдёт в систему.

Этот вариант предпочтителен для 1С: платформа ставится один раз на машину, доступна всем пользователям и не требует прав администратора у пользователя. Минус — установка происходит при загрузке компьютера, поэтому на уже включённых машинах потребуется перезагрузка.

Назначение на пользователей

Аналогичный раздел есть в «Конфигурации пользователя». Назначенный пакет на пользователя устанавливается при входе в систему, причём для каждого пользователя отдельно. Такой подход оправдан, если 1С нужна только конкретным сотрудникам на разных компьютерах. Учтите: установка идёт в контексте пользователя, и при нехватке прав возможны сбои, а сама платформа будет доступна только тому, кому назначена.

1. 1
   Скопируйте полный дистрибутив платформы (MSI и сопутствующие файлы) в сетевую папку
2. 2
   Назначьте группе «Компьютеры домена» права чтения на шару и на уровне NTFS
3. 3
   Создайте GPO и привяжите его к OU с целевыми компьютерами
4. 4
   Добавьте пакет в «Конфигурация компьютера → Установка программ» как назначенный, указав UNC-путь
5. 5
   На тестовой машине выполните gpupdate /force и перезагрузите её
6. 6
   Проверьте наличие платформы и журналы событий, затем расширяйте область политики

Настройка параметров пакета и трансформов

После добавления пакета откройте его свойства. На вкладке «Развёртывание» проверьте тип развёртывания и при необходимости включите параметр «Удалять это приложение, если оно выходит за рамки области управления» — тогда при выводе компьютера из подразделения платформа будет удалена автоматически. Оставляйте этот флажок выключенным, если не уверены: случайное перемещение машины в другое OU тогда не приведёт к деинсталляции 1С у пользователей.

На вкладке «Модификации» можно добавить файлы трансформов (.mst). В дистрибутиве 1С трансформы отвечают за язык интерфейса установщика и платформы. Если нужен русский интерфейс, добавьте соответствующий .mst из папки дистрибутива. Порядок трансформов в списке имеет значение — они применяются сверху вниз.

Для обновления версии используется вкладка «Обновления»: новый пакет помечается как обновление старого, и при применении политики старая версия заменяется новой. Это корректный способ накатывать свежие релизы платформы через GPO без ручного удаления предыдущих.

Держите под управлением GPO только саму платформу, а конфигурации и обновления информационных баз распространяйте штатными средствами 1С. Смешивание этих задач в одном пакете усложняет сопровождение и делает откат проблемным.

Применение политики и проверка результата

На целевом компьютере выполните gpupdate /force и перезагрузите машину — назначенные на компьютер пакеты ставятся именно при загрузке. После входа в систему проверьте наличие платформы: ярлык в меню «Пуск», запись в списке установленных программ и каталог C:\Program Files\1cv8\ с соответствующей версией.

Если платформа не появилась, первым делом смотрите журнал событий: «Просмотр событий → Журналы Windows → Приложение», источники MsiInstaller и Application Management Group Policy. Коды ошибок там обычно прямо указывают причину: недоступность источника, отказ в доступе или повреждённый пакет.

Полезно также проверить результат применения политики командой gpresult /r или отчётом gpresult /h report.html — так видно, применился ли вообще нужный GPO к компьютеру, или его отфильтровали наследование, блокировка наследования либо WMI-фильтры.

Контрольные точки

Как проверить результат

Запись в «Установленные программы»

Норма

Платформа 1С нужной версии присутствует в списке

Тревожный признак

Записи нет или версия старая — политика не применилась

Журнал событий (MsiInstaller)

Норма

Есть событие об успешной установке продукта

Тревожный признак

Ошибки с кодами доступа или «источник недоступен»

gpresult /r на клиенте

Норма

GPO с пакетом числится в применённых к компьютеру

Тревожный признак

Политика отсутствует в списке — проблема с привязкой или фильтрацией

Типичные ошибки и их устранение

Самая распространённая проблема — ошибка доступа к источнику установки. Симптом: в журнале событие о невозможности прочитать пакет. Причина почти всегда в правах: либо на шару, либо NTFS не выданы права компьютерным учётным записям. Проверьте оба уровня разрешений и доступность пути с тестовой машины.

Вторая типичная ситуация — политика создана, но не применяется. Причины: GPO привязан к OU, в котором нет целевых компьютеров (объекты компьютеров, а не пользователей, должны лежать в подразделении при назначении на компьютер); на OU включена блокировка наследования; настроен фильтр безопасности, исключающий машины. Проверяйте вкладку «Делегирование» и область действия GPO в консоли.

Третья группа ошибок связана с самим пакетом: указан локальный путь вместо UNC, скопирован только .msi без сопутствующих файлов, пакет взят от другой разрядности. Для 64-разрядных систем используйте 64-разрядный дистрибутив платформы — смешивание разрядностей приводит к сбоям установки или невозможности обновления.

Ограничения метода и альтернативы

Установка через GPO имеет естественные ограничения. Она работает только в доменной среде, требует MSI-пакетов и не даёт гибкого расписания: назначенный на компьютер пакет ставится при загрузке, что может задержать включение машин утром. Тонкая настройка параметров установки возможна только через трансформы и свойства командной строки MSI.

В крупных инфраструктурах удобнее системы централизованного управления вроде Microsoft Configuration Manager (SCCM) или отечественные аналоги: они позволяют задавать окна обслуживания, контролировать процент успешных установок и разворачивать любые типы пакетов, включая скрипты. Для небольших сетей без домена альтернатива — установка скриптом через PsExec или по SSH-подобным механизмам, либо общий каталог с ярлыком на сетевую установку платформы.

Отдельный сценарий — тонкие клиенты и терминальные серверы. На терминальном сервере платформу обычно ставят вручную или через GPO один раз на сервер, а пользователям публикуют клиентское приложение; развёртывание на каждое рабочее место в такой схеме не требуется.

Сравнение вариантов

GPO с назначенным MSI

Подходит для доменных сетей малого и среднего размера. Ограничение: установка при загрузке, минимум отчётности о результатах

SCCM / системы управления

Для крупных инфраструктур: расписания, отчёты, любые пакеты. Ограничение: стоимость и сложность внедрения

Скриптовая установка (PsExec, планировщик)

Для сетей без домена или разовых задач. Ограничение: нет централизованного контроля и отката

Частые вопросы

Можно ли установить через GPO 32-разрядную платформу на 64-разрядную Windows?

Технически 32-разрядный клиент работает на 64-разрядной ОС, но для новых развёртываний разумнее использовать 64-разрядный дистрибутив платформы — он лучше работает с большими объёмами памяти. Главное — не смешивать разрядности в цепочке обновлений одного GPO.

Почему установка не начинается после gpupdate /force?

Назначенные на компьютер пакеты устанавливаются только при загрузке системы. После обновления политики перезагрузите машину. Если и после перезагрузки ничего не происходит, проверяйте gpresult и журнал событий — скорее всего, политика не применилась или недоступен источник.

Как обновить версию платформы через ту же политику?

Добавьте в GPO новый пакет с MSI свежей версии и на вкладке «Обновления» укажите, что он заменяет предыдущий пакет. При применении политики старая версия будет удалена, а новая установлена автоматически.

Нужны ли пользователям права администратора для установки через GPO?

Нет. Назначенный пакет устанавливается с повышенными привилегиями самим механизмом групповых политик — это одно из главных преимуществ способа. Пользователю не нужны права администратора ни при назначении на компьютер, ни при назначении на пользователя.

Что будет, если удалить GPO после установки платформы?

По умолчанию уже установленная платформа останется на компьютерах — удаление политики не деинсталлирует программу. Автоматическое удаление происходит только если в свойствах пакета включён параметр удаления при выходе из области управления, и компьютер исключён из области действия GPO.

Можно ли через GPO установить платформу на компьютеры вне домена?

Нет, групповые политики работают только в домене Active Directory. Для недоменных машин используйте скриптовую установку, локальные политики с аналогичным механизмом или ручную установку с сетевого ресурса.