Доступ к БД.

[diagnoz_]

Добрый вечер. Windows Server 2003 SP2 R2 + 1С Бухгалтерия. файловая база данных (выдан общий доступ на папку с БД на этом же сервере) и права выданы только на чтение и изменение. в AD есть группа терминальных пользователей имеющих доступ к серверу и к БД соответственно, после входа на который, запускается только среда 1С. проблема состоит в следующем: так как БД "расшаренная", ничто и никто не мешает терминальным пользователям зайти по UNC-пути или по IP-адресу на сервер и скопировать себе эту БД в тихую, чего не хотелось бы допустить. если оставить их с правами на БД, "только для чтения", то будут проблемы с доступом к БД в терминальной сессии пользователей на этапе входа в 1С в сессии, но и скопировать ее уже не будет возможности. как можно провернуть так, чтобы был доступ только в их терминальной сессии, но не было доступа зайти по "шаре" и слить БД? кстати у терминального пользователя, также есть возможность зайти на сам сервер непосредственно, удаленно (что считаю не правильным, так как нужны были некоторые настройки, выполненные под каждым пользователем на сервере). спасибо.

[Angry Demon]

как можно провернуть так, чтобы был доступ только в их терминальной сессии, но не было доступа зайти по "шаре" и слить БД?
Внесите их сюда в список разрешений на шару и поставьте галку Полный доступ -> Запретить.
http://rgho.st/private/8X2qd9wbG/514f5144a096f31bc57efec8bfbfcae3/thumb.png (http://rgho.st/private/8X2qd9wbG/514f5144a096f31bc57efec8bfbfcae3.view)

[diagnoz_]

Angry Demon, да, все получилось. спасибо. осталось ограничить вход пользователей на терминал к этим БД. так как можно зайти на сам сервер и сделать тоже самое, хотя вряд ли такое смогут сделать, но сделать надо.

[Angry Demon]

осталось ограничить вход пользователей на терминал к этим БД
Не понял???

можно зайти на сам сервер и сделать тоже самое
Отключите подключение локальных дисков клиентов при подключении по RDP.

[diagnoz_]

Не понял??? »
по RDP можно полноценно зайти под пользователем входящим в группу "Пользователи удаленного рабочего стола" и иметь полный доступ. нужен доступ только по RDP пользователя с запуском своей среды 1с и все.

[diagnoz_]

Angry Demon,
на счет доступа по unc-пути или по ip работает, открыть\копировать нельзя, да вот не совсем понимаю как тогда при таких настройках Permissions, производится успешная работа с этой расшаренной БД в самой 1С? :)

[Angry Demon]

по RDP можно полноценно зайти под пользователем входящим в группу "Пользователи удаленного рабочего стола" и иметь полный доступ
Не будет полного доступа к серверу (к его рабочему столу), если прописана 1С в профиле.

как тогда при таких настройках Permissions, производится успешная работа с этой расшаренной БД в самой 1С?
Не путайте разрешения на шару (закладка "Доступ") и разрешения NTFS (закладка "Безопасность"). ;)

[diagnoz_]

Angry Demon,
Спасибо. теперь все ясно :)

[Iska]

Отключите подключение локальных дисков клиентов при подключении по RDP. »
\\tsclient\Диск1, \\tsclient\Диск2… никуда не денется.

Не будет полного доступа к серверу (к его рабочему столу), если прописана 1С в профиле. »
Если в приложении, использующемся в качестве шелла — 1С («прописана 1С в профиле») есть окна Открыть/Сохранить (а оно так и есть) — то и полноценный доступ тоже есть.

Одним словом — можно попытаться несколько затруднить возможность копирования файловой базы 1С, но не более.

[Angry Demon]

Iska, всё верно, любая гадость осуществима, вопрос в квалификации и потраченных усилиях.

[paranoya]

Базу перекинуть в SQL - самый простой путь к тому, чтобы её нельзя было слить простыми методами.

[Iska]

paranoya, не самый простой. Цена вопроса.

[diagnoz_]

Был бы SQL, многие бы вопросы отпали сами собой, да вот стоит 1С7.7, которой поддержки нет уже более 10 лет, да и официально выше SQL2000 не работает, смысла нет возиться. :)

[paranoya]

Iska, Postgress бесплатен. :)
diagnoz_, тогда надо убрать расшаренность с папки с БД и использовать её только внутри терминала, при этом исключив возможность лазить в сетевом окружении из терминалки, это трудней, надо подумать как ограничить терминальных юзеров от использования доступных им сетевых папок. Самый простой способ - настроить фаервол на компьютерах с сетевыми папками на отказ по SMB для терминального сервера.

[Iska]

Iska, Postgress бесплатен. »
paranoya, какой такой Postgress для v7.7? Не, я понимаю, что ребятки подсуетились, нарисовали транслятор, но на мой взгляд, это уже чересчур большой геморрой перебор, и тоже небесплатно.