Установка запрещена на основании системной политики в 1С: как исправить

Сообщение «Установка запрещена на основании системной политики. Обратитесь к системному администратору» появляется при запуске установщика платформы 1С, обновления конфигурации или дистрибутива в формате MSI/EXE. Ошибка означает, что операционная система блокирует запуск установщика по правилам, заданным групповой политикой, AppLocker, политиками ограниченного использования программ (SRP) или параметрами реестра Windows.

Чаще всего проблема возникает на компьютерах в домене, где администраторы ограничивают установку ПО, но встречается и на домашних машинах — например, после применения «твикеров», антивирусных утилит с функцией контроля установки или некорректного удаления предыдущей версии платформы. Важно понимать: сама 1С эту ошибку не генерирует, её выдаёт установщик Windows (msiexec) или механизм проверки политик.

Исправление сводится к трём направлениям: проверить права учётной записи, найти и отключить запрещающую политику, либо обойти ограничение легальным способом — установкой от имени администратора, через командную строку с повышенными правами или после согласования с администратором домена.

Почему Windows блокирует установку 1С

Запрет на установку программ в Windows реализуется несколькими механизмами, и от того, какой из них сработал, зависит способ решения. Определить источник блокировки — половина работы.

Основные причины:

• Групповые политики домена или локальные политики. Администратор запретил установку ПО для пользователей, и политика применяется ко всем MSI-пакетам.
• AppLocker. Правила контроля приложений блокируют запуск установщиков из определённых папок (например, из «Загрузок» или временных каталогов) либо без цифровой подписи доверенного издателя.
• Политики ограниченного использования программ (SRP). Устаревший, но всё ещё встречающийся механизм запрета по пути, хешу или издателю.
• Параметр DisableMSI в реестре. Значение 1 или 2 полностью запрещает работу установщика Windows для обычных пользователей или для всех.
• Антивирус или ПО контроля приложений. Модули HIPS и «контроль установки программ» перехватывают запуск msiexec.
• Недостаток прав. Учётная запись не входит в группу администраторов, а UAC не может поднять права из-за политики.

Быстрая проверка: права и запуск от имени администратора

Первый шаг — убедиться, что установка запускается с повышенными правами. Щёлкните по файлу установщика правой кнопкой мыши и выберите «Запуск от имени администратора». Если используется дистрибутив платформы 1С, распакуйте его в простую папку без кириллицы и пробелов в пути, например C:\Distrib\1C, и запускайте setup.exe оттуда.

Проверьте членство учётной записи в группе администраторов: нажмите Win+R, выполните net localgroup administrators и посмотрите список. Если вашей учётной записи там нет, потребуется пароль администратора — без него дальнейшие шаги бессмысленны, и это сознательное ограничение, а не сбой.

Если контекстное меню «Запуск от имени администратора» отсутствует или не помогает, используйте командную строку с повышенными правами: найдите cmd через поиск, запустите от имени администратора и выполните установку MSI напрямую.

msiexec /i "C:\Distrib\1C\1CEnterprise 8.msi" /l*v C:\Distrib\install.log

Параметр /l*v включает подробный журнал установки. Если установка снова завершится ошибкой, в логе будет видно, на каком этапе сработал запрет — это помогает отличить политику от повреждённого пакета.

Проверка и отключение запрета через реестр

На компьютерах вне домена самая частая причина — параметр DisableMSI в реестре. Он мог остаться после работы оптимизаторов системы или быть выставлен вручную.

1. 1
   Нажмите Win+R, введите regedit и подтвердите запуск
2. 2
   Перейдите в HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer
3. 3
   Найдите параметр DisableMSI: значение 1 или 2 означает запрет
4. 4
   Установите значение 0 или удалите параметр
5. 5
   Проверьте аналогичную ветку в HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer
6. 6
   Перезагрузите компьютер и повторите установку

Значения параметра: 0 — установка разрешена, 1 — запрещены установки не от администратора, 2 — установка запрещена полностью. После изменения значения на 0 обычно достаточно перезагрузки, служба установщика Windows подхватит настройку автоматически.

Диагностика групповых политик и AppLocker

Если реестр чист, а запрет остаётся, источник — групповая политика. Чтобы увидеть, какие политики реально применяются к компьютеру и пользователю, выполните в командной строке rsop.msc (результирующая политика) или gpresult /h C:\report.html и откройте отчёт в браузере.

Локальные политики проверяются через gpedit.msc (доступен в редакциях Pro и выше). Осмотрите разделы:

• Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Установщик Windows — политики «Запретить установщик Windows», «Запретить установки пользователям».
• Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Политики ограниченного использования программ.
• Там же — Правила управления приложениями → AppLocker → Исполняемые правила и Правила установщика Windows.

Если сработал AppLocker

AppLocker часто блокирует установку по издателю или пути. Откройте журнал событий: Просмотр событий → Журналы приложений и служб → Microsoft → Windows → AppLocker → MSI and Script. События с кодом блокировки покажут точное правило и файл, который был запрещён. Если правило запрещает запуск из временных папок, перенесите дистрибутив в C:\Distrib и повторите установку — иногда этого достаточно.

Компьютер в домене

Если машина входит в домен Active Directory, локальные изменения политик будут перезаписаны при следующем обновлении (по умолчанию каждые 90–120 минут или после gpupdate /force). В этом случае корректный путь — обратиться к системному администратору: он либо добавит исключение для дистрибутива 1С по цифровой подписи издателя, либо выполнит установку сам. Обход доменных политик — нарушение регламентов большинства организаций.

Антивирус, контроль учётных записей и служба установщика

Модули контроля приложений в антивирусах (HIPS, «разрешённые программы») способны выдавать ту же ошибку или молча блокировать msiexec. Временно приостановите защиту и повторите установку. Если помогло — добавьте установщик и папку с дистрибутивом в исключения, а не работайте с постоянно отключённой защитой.

Проверьте службу установщика Windows: Win+R → services.msc → «Установщик Windows» (Windows Installer). Тип запуска должен быть «Вручную» или «Автоматически», служба не должна быть отключена. Если она отключена политикой, установка любого MSI будет невозможна.

Дополнительно убедитесь, что UAC не отключён полностью и система не работает в режиме «утверждённых приложений» (Windows Defender Application Control) — эти режимы также блокируют неподписанные или неразрешённые установщики.

Проверка результата и типичные ошибки

После устранения запрета запустите установку платформы заново и доведите её до конца. Признаки успеха: мастер установки проходит все этапы без окон с ошибками, в меню «Пуск» появляется ярлык 1С, в «Программах и компонентах» отображается установленная версия платформы, а база открывается в режиме предприятия или конфигуратора.

Если после всех действий установка всё ещё блокируется, соберите данные для диагностики: журнал msiexec (ключ /l*v), события AppLocker и отчёт gpresult. С этим набором администратор или поддержка быстро найдут конкретное правило, которое срабатывает.

Частые вопросы