Рассмотрим одну из самых популярных и спорных тем, с которой сталкиваются системные администраторы и владельцы бизнеса при развертывании инфраструктуры для 1С — использование двух бесплатных сессий удаленного рабочего стола в операционных системах Windows Server. Многие пытаются сэкономить на покупке дорогостоящих терминальных лицензий, используя этот встроенный режим для работы бухгалтеров или менеджеров. Давайте подробно разберем, насколько это законно, какие технические ограничения накладывает система и как решить задачу удаленной работы пользователей абсолютно легально и без лишних затрат.
Официально режим работы двух бесплатных сессий RDP в Windows Server называется Remote Desktop for Administration (Удаленный рабочий стол для администрирования). В лицензионном соглашении Microsoft (Product Terms) четко регламентировано целевое назначение этих подключений. Они предоставляются исключительно для управления, настройки, мониторинга и обслуживания сервера.
Проанализируем, какие действия в рамках этих двух сессий считаются легальными, а какие — прямым нарушением лицензии:
.dt в конфигураторе 1С), настройка СУБД (например, MS SQL Server или PostgreSQL), создание и управление учетными записями пользователей, установка платформы 1С или конфигураций.Для выполнения любых пользовательских задач на сервере в режиме удаленного рабочего стола компания обязана приобрести пакет лицензий клиентского доступа Windows Server CAL, а также терминальные лицензии служб удаленных рабочих столов RDS CAL (Remote Desktop Services Client Access License) на каждого пользователя или устройство.
Некоторые технические специалисты полагают, что если «тихо» работать в 1С под учетной записью администратора, то доказать факт нарушения невозможно, так как технических ограничений на запуск программ в этом режиме нет. Однако при проведении официального лицензионного аудита (SAM-аудит) проверяющие используют специализированные скрипты и детально анализируют системные логи.
Рассмотрим основные маркеры нарушений, которые легко обнаруживают аудиторы:
RemoteDesktopServices-RdpCoreTS и TerminalServices-LocalSessionManager. Если сессия под учетной записью «Администратор» создается ежедневно в 9:00 и завершается в 18:00, полностью совпадая с рабочим графиком сотрудника, для аудиторов это очевидный признак того, что под учетными данными администратора работает обычный пользователь.1cv8.exe (запущенных именно в режиме «Предприятие», а не «Конфигуратор»), почтовых клиентов или браузеров, работающих часами в рамках RDP-сессии, однозначно квалифицируется как нецелевое использование административного режима.В случае обнаружения таких нарушений компании грозит требование принудительного выкупа всех недостающих лицензий Server CAL и RDS CAL по текущим рыночным ценам, а в некоторых случаях — штрафные санкции.
Особое внимание стоит уделить редакции Windows Server Essentials (например, версии 2019 Essentials). Эта редакция ориентирована на малый бизнес и имеет крайне жесткие рамки, которые невозможно обойти простым изменением настроек:
Remote Desktop Session Host (Узел сеансов удаленных рабочих столов). Это значит, что даже если вы приобретете лицензии RDS CAL, активировать их и развернуть полноценный терминальный сервер на этой ОС не удастся. Для этого потребуется сначала выполнить обновление редакции (upgrade) до Windows Server Standard или Datacenter.Администраторы. Обычный пользователь без административных прав подключиться к серверу не сможет.Попытки решить эту проблему путем добавления учетных записей простых сотрудников (бухгалтеров или менеджеров) в группу Администраторы несут в себе колоссальные риски информационной безопасности. Любой такой пользователь получает полные права на удаление файлов операционной системы, изменение настроек безопасности, установку стороннего ПО (включая вредоносное) и кражу конфиденциальных баз данных 1С.
Что же делать, если бюджет компании ограничен, приобретена лицензия Windows Server Essentials (или Standard), но требуется организовать удаленную работу для нескольких сотрудников? Выход есть, и он абсолютно легален, безопасен и не требует покупки терминальных лицензий.
Давайте разберем решение этой задачи по шагам. Вместо организации удаленного доступа к рабочему столу сервера мы опубликуем базу данных 1С на веб-сервере.
Шаг 1. Выбор и установка веб-сервера.
В качестве веб-сервера мы можем использовать встроенный в Windows Server веб-сервер IIS (Internet Information Services) или бесплатный веб-сервер Apache. Давайте рассмотрим установку Apache или активацию IIS через диспетчер серверов Windows.
Шаг 2. Публикация базы данных 1С.
Для публикации базы данных используется встроенная утилита платформы 1С. Запустите Конфигуратор 1С:Предприятия от имени администратора компьютера, перейдите в меню Администрирование — Публикация на веб-сервере, укажите имя публикации и каталог, после чего нажмите кнопку «Опубликовать».
Для автоматизации этого процесса или при работе в консольном режиме мы можем использовать специальную утилиту командной строки webinst, входящую в состав платформы 1С:
"C:\Program Files\1cv8\8.3.22.1709\bin\webinst.exe" -iis -wsdir My1CBase -dir "C:\inetpub\wwwroot\My1CBase" -connstr "Srvr=MyServerName;Ref=My1CBase;"
В данном примере мы используем утилиту webinst для публикации информационной базы на веб-сервере IIS с именем виртуального каталога My1CBase.
Шаг 3. Подключение пользователей.
После публикации базы пользователи могут подключаться к ней двумя способами:
http://IP_адрес_сервера/My1CBase и ввести свои учетные данные 1С.Перевод пользователей на работу через веб-публикацию имеет множество плюсов:
RDS CAL. Вы экономите значительный бюджет без нарушения законодательства и авторских прав.Таким образом, использование встроенных двух сессий RDP для постоянной работы пользователей в 1С является грубым нарушением лицензионного соглашения Microsoft, которое легко выявляется при первой же проверке. Для экономии бюджета и обеспечения стабильной, безопасной работы лучшим решением является публикация баз данных 1С на веб-сервере и подключение сотрудников через тонкий клиент.