Подрядчик ушёл, а пароль администратора 1С остался: как закрыть доступ

Минимальные привилегии на облачном сервере 1С значат: каждый входит под личной учётной записью, а права зависят от роли и ограничены нужной базой. Подрядчик получает доступ на срок работ и теряет его в день подписания акта. Администратор сервера, администратор базы и бухгалтер не пересекаются в правах, вход на сервер закрыт вторым фактором.

🌙 Ночью удалили реализации, а в журнале только «Администратор»

Типичная картина для бухгалтерии на 25 пользователей. Главбух открывает журнал регистрации и видит: в воскресенье в 23:40 под пользователем «Администратор» удалены реализации за неделю. Кто удалял, неизвестно. Пароль от этой учётной записи знают шестеро: два бухгалтера, главбух, директор, штатный айтишник и фрилансер, чья доработка конфигурации закончилась полгода назад. Пароль висит закреплённым сообщением в рабочем чате.

Документы вернутся из резервной копии, но без автора непонятно, что ещё тронули и повторится ли это завтра. Поэтому вместо закрытия периода команда выясняет, кто где был в воскресенье вечером. Пароль меняют сразу для всех, и до его раздачи никто не может войти в базу.

Журнал регистрации 1С при этом работает исправно. Он просто пишет в каждую строку одно и то же имя. Общий логин стёр границу между людьми, и никакая настройка журнала её не вернёт. С личными учётками тот же вечер выглядел бы иначе: в журнале стоит конкретная учётка, видны время и рабочее место, а отключать нужно одну запись.

🧱 «В 1С роли настроены, значит доступ закрыт»: почему это не так

Распространённое заблуждение. Роли в 1С защищают только верхний слой, а к данным ведут три двери, и ключи от каждой выдают отдельно.

Панель управления арендой

Здесь перезагружают сервер, откатывают снимки диска, переустанавливают систему и сбрасывают пароли. Кто может переустановить ОС или откатить диск, тот может стереть всё, что лежит выше. Права в панели нужны владельцу договора и тому, кто отвечает за инфраструктуру. Бухгалтеру и подрядчику туда заходить незачем.

Windows Server

Вход по RDP и членство в группе «Администраторы» дают доступ ко всему, что лежит на диске. Файловая база хранится в одном файле 1Cv8.1CD, и копируется он как любой другой файл. У клиент-серверной базы то же самое открывает доступ к СУБД. Резервные копии лежат рядом.

Отдельная тема — администраторы кластера серверов 1С. Их учётная запись в консоли кластера управляет всеми базами сервера. Отдавать её подрядчику, которому нужна одна база, незачем.

Сама 1С

Тут работают роли и профили групп доступа. Опасные права известны: роль «Полные права», право «Администрирование» и «Интерактивное открытие внешних обработок». Внешняя обработка может выгрузить любые таблицы базы в файл, и основная защита от этого — выключенное право на её открытие.

Идеальные роли в базе не спасают, если учётная запись входит в группу администраторов сервера. И наоборот: закрытый сервер не защитит базу, где у каждого «Полные права».

💸 Сколько стоит оставить как есть

Сначала самое осязаемое: время. Без автора действия каждая ошибка превращается в расследование, а сверка и сдача отчётности уходят на второй план. Если срок по отчёту горит, проверка людей идёт параллельно с ручным восстановлением данных.

Дальше данные. В базе лежат контрагенты, прайс-листы, зарплатные ведомости, паспортные данные сотрудников. Для персональных данных действует 152-ФЗ: оператор обязан принимать меры защиты, и правила доступа к данным входят в их число. При утечке оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента. С общим логином ответить на вопрос «кто имел доступ» нельзя.

И подрядчик. Недобросовестность тут ни при чём: ноутбук фрилансера вы не контролируете, а пароль от вашего сервера в сохранённом списке браузера живёт дольше проекта. Доступ в базу идёт через чужую машину, которую никто не обновляет по вашему регламенту.

Отзыв прав в спешке бьёт по всем. Когда пароль общий, поменять его можно только для всей компании, и работа стоит до раздачи нового. При личных учётках отключается одна.

Чем дольше тянуть, тем дороже разбор: в базе копятся пользователи с унаследованными правами, и приходится выяснять историю каждой учётной записи.

🚩 Пять признаков, что общий администратор у вас уже есть

Если совпал хотя бы один пункт, шаги ниже вам нужны.

• ✓Пароль администратора хоть раз отправляли в мессенджере или записывали на стикере у монитора.
• ✓В списке пользователей Windows остались учётки людей, которые давно не работают.
• ✓Подрядчик заходит под тем же логином, что и бухгалтерия.
• ✓Все сотрудники бухгалтерии работают с ролью «Полные права», потому что «так быстрее».
• ✓Порт RDP открыт в интернет без VPN.

🔐 Шесть шагов от общего логина к ролям

Порядок важен: без списка людей нельзя описать роли, а без ролей нельзя отзывать права точечно.

1. ✓Составьте список всех, у кого есть вход: в панели провайдера, в Windows (пользователи и группы) и в 1С. Сверьте его с кадровым списком и действующими договорами подрядчиков. Учётки уволенных и закончивших проект в таких списках встречаются часто.
2. ✓Выделите четыре роли: владелец договора, администратор сервера, администратор базы 1С и пользователь по должности. Первые три не обязаны быть одним человеком. Директору как владельцу договора права администратора базы не нужны.
3. ✓Заведите личные учётки и закройте вход снаружи. Учётка «Администратор» остаётся, но пароль хранит один ответственный в менеджере паролей, и для работы её не используют. Пароли длинные и разные для сервера и для базы. RDP не выставляют в интернет: вход через VPN или с белого списка IP плюс второй фактор. Такой вход мы настраиваем в рамках настройки сервера 1С.
4. ✓Раздавайте права от пустого набора. В типовых конфигурациях на БСП (библиотека стандартных подсистем) права выдают через профили и группы доступа, а не отдельными ролями. Специалисту по зарплате — расчёты с персоналом, менеджеру по продажам — реализации и контрагенты, но без зарплатных ведомостей. «Администрирование» и открытие внешних обработок оставьте администратору базы.
5. ✓Подрядчику заведите отдельную учётку на срок работ: свой пользователь в 1С с нужными ролями, на сервере без членства в группе администраторов, если задача этого не требует. Доработки ведите на копии базы. В акт сдачи добавьте строку «доступ закрыт», и пусть закрывает его тот, кто принимает работу.
6. ✓Раз в квартал повторяйте первый шаг. Списки расходятся быстро: приходит новый сотрудник, меняется должность, появляется ещё один подрядчик.

📊 Четыре схемы доступа: что видно в журнале и что будет при уходе человека

Разница между схемами видна в тот день, когда что-то пошло не так.

Вторая схема лучше первой, но от ошибки сотрудника с полными правами не защищает. Третья закрывает и это, с неё стоит начинать на только что арендованном сервере. К четвёртой приходят, когда в базе персональные данные и вход возможен из дома: пароль без VPN и второго фактора ничего не открывает.

🖥️ Как это решается на арендованном сервере и сколько стоит

Шаги выше работают, когда вы сами управляете учётными записями сервера. Для небольшой команды подойдёт виртуальный сервер для 1С, изолированный от других клиентов на уровне виртуализации. Если баз несколько или важна физическая изоляция, берут выделенный сервер в аренду: железо не делится ни с кем.

Аренда сервера 1С стоит от 1 100 ₽/мес за пользователя. Разграничение прав, личные учётки, закрытие RDP и перенос подрядчика на отдельную учётку делает системный администратор по ставке 3800 руб/час. Сколько часов это займёт, зависит от числа пользователей и от того, как права выданы сейчас, поэтому оценку даём после просмотра списков из первого шага.

Чем это отличается от схемы «получили доступ и разбирайтесь сами»: роли описываем при подключении базы, а не после первого инцидента, и результат фиксируем в таблице «роль, человек, права». По ней раз в квартал сверяют списки, а новому администратору она заменяет разговор «кто что настраивал».

Чтобы получить оценку, достаточно прислать список пользователей Windows и 1С. Пароли и сами базы для этого не нужны.

❓ Частые вопросы

Что такое IAM на сервере 1С простыми словами?

IAM — это управление учётными записями и правами: кто входит, под каким именем и что ему разрешено. Для 1С на арендованном сервере это три слоя: панель управления арендой, Windows Server и роли в самой базе. Права каждого слоя выдают отдельно и по должности, а не одним общим администратором.

Можно ли оставить один общий логин «Администратор» для всех бухгалтеров?

Технически можно, но делать так не стоит: журнал регистрации записывает одно имя, и после ошибки или удаления данных автора не найти. Увольнение сотрудника или уход подрядчика заставляет менять пароль для всей компании. Личные учётки с ролями по должностям решают обе проблемы и не усложняют ежедневную работу.

Какие права в 1С опасны и кому их давать?

Осторожно выдавайте роль «Полные права», право «Администрирование» и право «Интерактивное открытие внешних обработок». Они нужны администратору базы, остальным сотрудникам хватает профиля по должности. Внешняя обработка может выгрузить таблицы базы в файл, поэтому право на её открытие закрывают всем, кроме администратора, и перепроверяют после обновления конфигурации.

Как выдать доступ подрядчику-программисту и не потерять контроль?

Заведите отдельную учётку на срок работ: свой пользователь в 1С с нужными ролями и вход на сервер без прав администратора. Доработки лучше вести на копии базы. Закрытие доступа вносят в акт сдачи работ, и отключает его тот, кто принимает результат.

Сколько стоит настроить роли и доступы на арендованном сервере 1С?

Аренда сервера 1С стоит от 1 100 ₽/мес за пользователя. Настройку учётных записей, ролей и входа выполняет системный администратор по ставке 3800 руб/час. Число часов зависит от количества пользователей и текущего состояния прав, поэтому оценку даём после просмотра списков пользователей Windows и 1С.