Как восстановить или сбросить пароль sa на SQL-сервере для базы 1С

В практике администратора 1С нередко возникает ситуация, когда доступ к учетной записи sa (System Administrator) в MS SQL Server оказывается утерян. Это может произойти при смене ответственного персонала, после длительного перерыва в обслуживании сервера или в случаях, когда пароль был сохранен в настройках кластера 1С, но забыт сотрудниками. Рассмотрим подробно, как решить эту проблему, не прибегая к переустановке SQL-сервера, и разберем сопутствующие технические нюансы.

Способ 1: Использование Windows-авторизации

Первым делом проанализируем самый простой вариант. Если SQL Server настроен в режиме смешанной авторизации (Mixed Mode), что является стандартом для работы с 1С, то, скорее всего, администраторы Windows имеют право входа в SQL Server с правами sysadmin.

Разберем по шагам этот процесс:

1. Запустим среду SQL Server Management Studio (SSMS) от имени администратора.
2. В окне подключения выберем тип аутентификации "Windows Authentication".
3. Если вход выполнен успешно, развернем ветку Security, затем Logins.
4. Найдем пользователя sa, откроем его свойства (Properties) и просто зададим новый пароль.

Этот метод работает в большинстве случаев, если при установке SQL Server группа локальных администраторов была добавлена в список администраторов БД.

Способ 2: Однопользовательский режим (Single-User Mode)

Если Windows-авторизация не дает прав системного администратора, воспользуемся официальным методом восстановления доступа через запуск службы в однопользовательском режиме. В этом режиме любой член локальной группы администраторов на сервере автоматически получает права sysadmin.

Рассмотрим алгоритм действий подробнее:

1. Остановим службу SQL Server. Это можно сделать через оснастку services.msc или через SQL Server Configuration Manager. Также можно воспользоваться командой в консоли: net stop MSSQLSERVER
2. Запустим экземпляр SQL Server в режиме обслуживания с параметром -m. Для этого откроем командную строку от имени администратора и перейдем в каталог с исполняемыми файлами SQL (путь может отличаться в зависимости от версии):
   Скопировать код

   
   cd "C:\Program Files\Microsoft SQL Server\MSSQL15.MSSQLSERVER\MSSQL\Binn"
   sqlservr.exe -m
   

3. Теперь, пока сервер запущен в этом режиме, откроем второе окно командной строки и воспользуемся утилитой sqlcmd для сброса пароля или добавления нового администратора:
   Скопировать код

   
   sqlcmd -S .
   CREATE LOGIN [YourDomain\YourUser] FROM WINDOWS;
   ALTER SERVER ROLE [sysadmin] ADD MEMBER [YourDomain\YourUser];
   GO
   

   Или сразу сменим пароль для sa:
   Скопировать код

   
   ALTER LOGIN sa WITH PASSWORD = 'NewStrongPassword123';
   GO
   

4. После выполнения команд закроем консоль с запущенным процессом sqlservr.exe (нажав Ctrl+C) и запустим службу SQL Server в обычном режиме через net start MSSQLSERVER.

Способ 3: Использование системной учетной записи (NT AUTHORITY\SYSTEM)

Иногда полезно знать, что служба SQL Server часто запускается под учетной записью LocalSystem. Мы можем использовать это, чтобы получить доступ. Проанализируем ситуацию: если запустить SSMS от имени системы, мы сможем войти в SQL без знания пароля sa.

Для реализации этого метода можно воспользоваться утилитой PsExec из пакета Sysinternals. Выполним команду:

psexec -i -s "C:\Path\To\Ssms.exe"

Запущенная таким образом среда Management Studio позволит управлять пользователями SQL так же, как если бы вы знали пароль администратора.

Где 1С хранит пароль и можно ли его вытащить?

Выясним причину, почему 1С продолжает работать, даже если мы не знаем пароль. Сервер 1С:Предприятие хранит параметры подключения к базам данных в зашифрованном виде.

Основные моменты, которые стоит знать:

• Данные хранятся в файлах с расширением .lst (например, 1CV8Reg.lst) в каталоге регистрации кластера (обычно это C:\Program Files\1cv8\srvinfo).
• Пароль зашифрован, и хотя существуют способы его дешифрации, это требует использования стороннего ПО, что не всегда безопасно.
• Важно: Если вы смените пароль sa на уровне SQL Server методами, описанными выше, вам обязательно нужно будет обновить его в настройках каждой информационной базы через Консоль администрирования серверов 1С, иначе подключение к базам пропадет.

Почему использование учетной записи sa — это плохая практика

Проанализируем ситуацию со стороны безопасности. Использование sa для повседневной работы 1С крайне не рекомендуется. Рассмотрим почему:

1. Избыточные права: Учетная запись sa имеет полные права на весь сервер, включая системные настройки и другие базы данных. Для работы 1С достаточно прав db_owner на конкретную БД.
2. Риск взлома: Если злоумышленник получит доступ к файлам настроек кластера 1С, он получит полный контроль над всем SQL-сервером.
3. Отсутствие аудита: Сложно понять, кто именно вносил изменения, если все процессы и администраторы используют один и тот же логин sa.

Вместо этого рекомендуем создать отдельного пользователя SQL специально для 1С. Разберем пример создания такого пользователя через SQL-скрипт:

-- Создаем логин на уровне сервера
CREATE LOGIN [User1C] WITH PASSWORD = 'SafePassword_123', CHECK_POLICY = OFF;
GO
-- Назначаем роль для работы с процессами (необходимо для 1С)
ALTER SERVER ROLE [processadmin] ADD MEMBER [User1C];
GO
-- В конкретной базе данных назначаем владельца
USE [Имя_Вашей_Базы_1С];
CREATE USER [User1C] FOR LOGIN [User1C];
ALTER ROLE [db_owner] ADD MEMBER [User1C];
GO

Резюме для администратора

Подводя итог, можно сказать, что утеря пароля sa не является катастрофой. Используя Windows-авторизацию или однопользовательский режим, можно восстановить контроль над сервером за считанные минуты. Однако после восстановления доступа крайне желательно пересмотреть политику безопасности: создать именных пользователей для администраторов и отдельную ограниченную учетную запись для службы 1С.