Как запретить доступ в конфигуратор 1С

Запрет доступа в конфигуратор — базовая мера защиты информационной базы 1С. Через конфигуратор пользователь может изменить структуру метаданных, отредактировать код модулей, получить доступ к любым данным в обход ролей и даже разрушить базу. Поэтому режим конфигурирования должен быть открыт только администраторам и разработчикам, а для рядовых пользователей — закрыт на уровне прав.

В зависимости от версии платформы и режима работы (файловая база, клиент-серверный вариант, обычное или управляемое приложение) применяются разные инструменты: настройка ролей, параметр запуска, пароль на конфигурацию, блокировка сеансов и ограничения на уровне СУБД. Ниже разобраны все рабочие способы с проверкой результата.

Определите, как именно пользователь попадает в конфигуратор

Прежде чем закрывать доступ, важно понять сценарий входа. В файловой базе любой пользователь, у которого есть файл 1Cv8.1CD и платформа, может попытаться открыть конфигуратор — если у него есть права администратора внутри базы или список пользователей пуст. В клиент-серверном варианте доступ дополнительно контролируется кластером серверов 1С и правами на СУБД.

Проверьте три вещи: есть ли у пользователя роль с правами администрирования, задан ли список пользователей информационной базы (пустой список в файловой базе означает, что конфигуратор открывается без пароля) и есть ли у человека доступ к самому файлу базы или серверу. От этого зависит, какого уровня защиты достаточно.

Уберите права администрирования в ролях пользователя

Главный механизм запрета — роли. Откройте конфигуратор под администратором, перейдите в «Администрирование → Пользователи», выберите нужного пользователя и на вкладке «Прочие» посмотрите, какие роли ему назначены. Роли «Полные права» и «Администратор системы» дают возможность работать в конфигураторе и менять настройки базы.

Снимите эти роли и оставьте только прикладные (например, «Бухгалтер», «Менеджер по продажам»). После этого при попытке открыть конфигуратор пользователь либо не увидит нужных пунктов меню, либо получит сообщение о недостатке прав. В типовых конфигурациях на БСП аналогичная настройка выполняется через профили групп доступа в режиме 1С:Предприятие.

Обратите внимание: право «Администрирование» в роли даёт широкие возможности, включая управление пользователями и журналом регистрации. Даже если пользователю нужны расширенные функции, выдавайте отдельные права точечно, а не полный административный набор.

Установите пароль на конфигурацию

Дополнительный барьер — пароль на изменение конфигурации. В конфигураторе откройте «Конфигурация → Поддержка → Настройка поддержки» и задайте пароль поставщика, либо используйте механизм защиты конфигурации от изменений. Тогда даже пользователь, открывший конфигуратор, не сможет редактировать объекты без пароля.

Этот способ особенно полезен в файловых базах, где технически сложно полностью перекрыть запуск конфигуратора. Пароль должен знать только администратор или внедренец. Храните его в надёжном месте: восстановить пароль поставщика штатными средствами нельзя.

Учтите ограничение: защита паролем не мешает просматривать структуру метаданных и в ряде случаев — модули. Если требуется скрыть исходный код, используйте поставку конфигурации без исходных текстов модулей (настройка при создании файла поставки).

Запретите запуск конфигуратора через права на файл и сервер

Настройки внутри 1С не помогут, если пользователь имеет физический доступ к файлу базы. В файловом варианте ограничьте права на папку с 1Cv8.1CD средствами Windows: дайте пользователям только чтение и запуск через сетевой ресурс, не выдавайте полный доступ и не передавайте копии файла. Любой, кто скопировал файл базы к себе на компьютер, сможет работать с ней без ваших ограничений.

В клиент-серверном варианте защита надёжнее: пользователи не видят файл базы вообще. Доступ к кластеру серверов 1С регулируется администраторами кластера, а доступ к СУБД — учётными записями SQL Server или PostgreSQL. Убедитесь, что пароль администратора кластера задан, а учётная запись СУБД, под которой работает сервер 1С, известна только администратору.

Используйте блокировку сеансов и режим обновления

На время регламентных работ доступ в конфигуратор закрывают блокировкой соединений. В консоли кластера (или через «Администрирование → Блокировка установки соединений» в типовых конфигурациях) установите запрет сеансов с кодом разрешения. Пока блокировка активна, пользователи не смогут войти ни в предприятие, ни в конфигуратор без кода.

Дополнительно существует параметр запуска /DisableStartupDialogs и возможность публикации базы на веб-сервере только для тонкого клиента — в таком сценарии пользователь физически не имеет установленной компоненты конфигуратора на своём компьютере. Ограничение набора клиентских приложений на рабочих местах — недооценённая, но эффективная мера.

1. 1
   Создайте резервную копию базы и проверьте, что восстановление из неё работает
2. 2
   Заведите список пользователей, задайте пароли, оставьте одного администратора с полными правами
3. 3
   Снимите с остальных пользователей роли «Полные права» и «Администратор системы»
4. 4
   Установите пароль на конфигурацию через настройку поддержки
5. 5
   Ограничьте доступ к файлу базы (файловый вариант) или задайте пароль администратора кластера (серверный)
6. 6
   Войдите под обычным пользователем и убедитесь, что конфигуратор не открывается или изменения заблокированы

Проверьте результат и типичные ошибки

Проверка обязательна: войдите в базу под учётной записью обычного пользователя и попробуйте открыть конфигуратор, изменить объект, посмотреть список пользователей. Также проверьте вход без пароля и попытку открыть копию файла базы на другом компьютере — для файлового варианта это самый частый обход защиты.

Контрольные точки

Как проверить результат

Вход в конфигуратор под обычным пользователем

Норма

Отказ в доступе или отсутствие пунктов администрирования

Тревожный признак

Конфигуратор открывается и позволяет менять объекты

Вход без пароля в файловую базу

Норма

Запрашивается имя и пароль пользователя

Тревожный признак

База открывается сразу — список пользователей пуст

Изменение конфигурации

Норма

Запрашивается пароль поставщика

Тревожный признак

Объекты редактируются свободно

Часто задаваемые вопросы

Можно ли полностью скрыть конфигуратор у пользователя?

Полностью запретить запуск исполняемого файла конфигуратора штатными средствами 1С нельзя, но можно сделать его бесполезным: без прав администрирования, без пароля поставщика и без доступа к файлу базы пользователь не сможет ничего изменить. Дополнительно на рабочих местах устанавливают только тонкий клиент без компоненты конфигурирования.

Что делать, если пароль администратора утерян?

Штатного способа сброса нет. Для файловых баз существуют специализированные утилиты и услуги по снятию пароля, но их использование — крайняя мера. Профилактика проста: храните пароли в защищённом хранилище и держите минимум две учётные записи с полными правами.

Отличается ли запрет для клиент-серверной базы?

Да. В серверном варианте пользователь не имеет доступа к файлу данных, поэтому достаточно корректных ролей, пароля администратора кластера и защиты учётной записи СУБД. Риск копирования базы существует только для тех, у кого есть доступ к серверу.

Можно ли запретить конфигуратор только на время обновления?

Да, для этого служит блокировка соединений с кодом разрешения. Она временно закрывает вход всем, кто не знает код, и автоматически снимается после регламентных работ или по расписанию.

Защищает ли пароль на конфигурацию исходный код модулей?

Нет, пароль поставщика запрещает изменение объектов, но просмотр модулей может оставаться доступным. Чтобы скрыть код, при создании поставки конфигурации выбирайте вариант поставки модулей без исходных текстов.