Jak se v současnosti ve firmách účtuje? Obvykle jde o program 1C, nainstalovaný na lokálním počítači účetního, na kterém pracuje stálý účetní nebo specialista na outsourcing. Outsourcer může spravovat současně několik takových firemních klientů, někdy dokonce i konkurentů.
Při takovém přístupu jsou přístupy k bankovním účtům, prostředkům kryptochránění, elektronickému oběhu dokumentů a dalším důležitým službám nastaveny přímo na počítači účetního.
Co to znamená? Že vše je v rukou účetního a pokud se rozhodne podvést majitele firmy, udělá to bez problémů.
film „RocknRolla“ (2008)
V tomto článku si povíme, jak spolehlivě uzamknout všechny služby, včetně 1C, v jednom cloudu, abyste měli možnost odříznout všechny služby jedním tlačítkem, i když účetní odletěl na kouzelné Bali.
Co se vůbec může stát? Dva skutečné případy
Systémový administrátor z Wall Street
Manželka našeho spoluzakladatele — zkušená účetní — ji v minulém měsíci oslovila o pomoc významná restaurace v Moskvě. Restaurace ukládala všechny databáze na vlastním serveru, o který se staral stálý sysadmin z týmu restaurace.
Přímo během práce účetní zašel sysadmin do online kasina a chytl virus, který zničil celou databázi. Na koho byla vinu svržena? Přesně tak, na právě příchozí účetní.
Hrdince se velmi vydařilo, že její manžel je managing partner hostingové firmy a rozumí takovým věcem. Po dlouhých hádkách telefonicky (náš kolega už byl připraven vyrazit a osobně se postarat o admina) byly shromážděny důkazy a viník potrestán. Ale databáze byla ztracena, takže pro sysadmina se happy end nekonal.
Notebook, uvízlý v cizím bytě
To je starý příběh našich dalších známých.
Zkušená žena ve věku 64 let pečlivě vedla účetnictví internetového obchodu s čínskými gadgety přes 1C. Klient a databáze byly uloženy na notebooku, který jí byl poskytnut v práci. Bylo to pohodlné: snadno tisknout z kancelářských tiskáren, databáze byla malá a vešla se na netbook, mohla si ji vzít na chalupu nebo domů.
Pak došlo k tragédii: v pátek večer ji odvezli s mrtvicí, žádná záchranná služba. Netbook zůstal doma, protože účetní byla zodpovědná a vzala si práci na víkend.
Notebook was certainly rescued, the accountant has recovered, but if we transfer this situation to the present days and replace a stroke with coronavirus, the operation of rescuing the computer from a locked apartment takes on a completely different scale.
Can two cats and a Labrador open the door for you? Even if the neighbor waters the flowers and feeds the cats, will she give you the computer?
But let's move on to 1C in the cloud — what deployment and cloud operation options are available.
What options are there for working with 1C in the cloud?
Option 1. Client + corporate application server + database
Suitable for large companies where the services of a whole team of accountants are needed. This is quite an expensive option (many additional licenses are required), and we won’t consider it since the article is about configuring work for an accountant in a small firm.
Option 2. 1C: Fresh
1C: Fresh is a quite convenient way to work with 1C via a browser. No configuration is required: when renting such a license, the franchisee company will set everything up themselves and provide you with a username and password.
But there are two downsides:
✗ High price: the basic tariff for one application requires payment upfront for at least six months for two workplaces — 6808 CZK.
✗ You cannot configure the VPS server yourself, on which many companies operate simultaneously. You are given a key only to your room in a dormitory, based on shared hosting principles.
In Fresh, there is also the configuration 1C: BusinessStart, a subscription for which, during a promotion, costs 400 CZK per month. The capabilities of the configuration are significantly limited; without the promotion, the subscription will cost 1000 CZK, and it must also be paid for a minimum of six months.
Option 3: your own VPS, on which the 1C client and database are installed.
This option is suitable for small companies where 1-2 accountants work — they can comfortably operate without installing the 1C: Enterprise application server and SQL server.
The main advantage of this approach is that the rented VPS can serve as a full-fledged working computer for the accountant with RDP access.
Když jsou všechna data, dokumenty a přístupy uloženy na VPS pod vaší kontrolou, můžete se bát nejen zamčených notebooků v bytě, ale ani společného útěku účetního se systémovým administrátorem na ostrovy, který s sebou vezme všechny dokumenty a peníze z účtu. Můžete deaktivovat přístup jedním tlačítkem odstraněním uživatele.
Tento způsob je dobrý i z následujících důvodů:
- Když účetní pracuje s produkty 1C, 1C generuje spoustu dokumentů Word, Excel, Acrobat. Když je klient 1C spuštěn na počítači účetního, všechny dokumenty se ukládají na jeho notebook. Při práci na VPS se vše ukládá na virtuálním stroji.
- Databáze 1C a dokumenty vůbec nepřecházejí na osobní počítač účetního (při používání 1C: Fresh by se dokumenty musely stahovat).
- Možnost připojit VPS do podnikové sítě přes VPN a zajistit účetnímu bezpečný přístup k vnitřním zdrojům (při používání 1C: Fresh by byl osobní počítač účetního nutné připojit do chráněné lokální sítě).
- Je možné nastavit bezpečnou integraci 1C: Podniku s externími systémy: EDI, osobními účty bank, státními službami atd. V případě použití 1C: Fresh by bylo nutné přístup k mnoha kritickým službám nastavit na osobním počítači účetního.
No a cena, samozřejmě. Pronájem virtuálního stroje s licencí 1C bude stát asi 1500 Kč měsíčně, pokud si zvolíte luxusní tarify od drahých hostingů. To není o moc dražší než minimální základní balíček služeb 1C: Fresh a je to podstatně levnější než u jiných předplatných. Platit lze měsíčně.
Licenci lze zakoupit od jakéhokoli francizanta, a cena závisí na konfiguraci balíčku produktů a služeb, a po vypršení doby platnosti bude nutné doplatit za podporu přes portál 1C: ITS, aby byly aktualizace.
Pokud vezmete u nás, nabízíme k těmto účelům virtuální stroj s předinstalovaným klientem 1C: Podniku (stačí nám napsat na podporu s popisem vašeho úkolu). Pronájem virtuálního stroje stojí přibližně 800 Kč měsíčně, a cena pronájmu licence 1C na jedno pracovní místo bude dalších 700 Kč. Podporu poskytujeme bez dalšího poplatku, přičemž 1C: Podnik aktualizují naši specialisté, pokud napíšete do technické podpory.
Pro účetního to bude vypadat přesně tak, jak je zvyklý — známá pracovní plocha, ikony, dokonce si může pověsit i známé pozadí. A teď k meritu věci, jak vytvořit a nastavit takové cloudové prostředí, jehož přístup lze deaktivovat stisknutím jedné tlačítka.
Objednáváme VPS se zabudovaným 1C: podnikáním
Pro účetního je ideální OS Windows. Co se týče výkonu VPS — podle našich zkušeností, pro pohodlnou práci jednoho nebo dvou zaměstnanců s file serverovou verzí 1C: podnikání stačí konfigurace se dvěma procesorovými jádry, minimálně 4-5 GB RAM a rychlým SSD o kapacitě 50 GB.
Služby automatizujeme teprve poté, co se důkladně ujistíme, že je to pro zákazníky potřeba, proto zatím připojení není automatizováno a objednání serveru s 1C probíhá prostřednictvím ticketového systému. Všechno nastavíme ručně.
Když se připojíte k vytvořené virtuální mašině přes RDP, můžete vidět přibližně takový obrázek.
Přenášíme databázi 1C
Dalším krokem je exportovat databázi z dříve nainstalované verze 1C: podnikání na účetním počítači.
Poté ji musíte nahrát na virtuální server přes FTP, jakýmkoli cloudovým úložištěm nebo připojením místního úložného zařízení k VPS prostřednictvím RDP klienta.
Následně je třeba přidat informační databázi do klientského programu: ukazujeme, jak to udělat na obrazovkách.
Po úspěšném přidání databáze je 1C: podnikání připraveno k použití na vašem vlastním VPS. Zbývá nastavit vzdálené pracovní plochy pro uživatele a integraci s různými externími systémy, jako jsou osobní účty bank nebo služby elektronického dokumentového oběhu.
Nastavujeme vzdálené pracovní plochy
Ve výchozím nastavení Windows Server povoluje maximálně dvě současné RDP relace pro správu systému. Používat je pro práci technicky není složité (stačí přidat nemajetkového uživatele do odpovídající skupiny), ale to by bylo porušením podmínek licenční smlouvy.
Abychom mohli nasadit plnohodnotné služby vzdálené plochy (Remote Desktop Services nebo RDS), je třeba přidat serverové role a komponenty, aktivovat licenční server nebo použít externí, a také nainstalovat samostatně zakoupené klientské licence (RDS CAL).
Tady také můžeme pomoci: můžete si u nás zakoupit RDS CAL jednoduše zasláním . Dále budeme jednat my: nainstalujeme je na náš licenční server a nastavíme služby vzdálené plochy.
Ale samozřejmě, pokud byste chtěli všechno nastavit sami, nebudeme vás o to potěšení připravovat.
Po nastavení RDS může účetní začít pracovat s 1C: Enterprise na virtuálním serveru jako na místním počítači. Nezapomeňte nainstalovat na VPS standardní účetní software: kancelářský balík, alternativní prohlížeč, Acrobat Reader.
Nyní zbývá postarat se o připojení klienta 1C k bankovním osobním účtům.
Nastavujeme integraci s bankami
V 1C: Enterprise existuje technologie DirectBank pro přímou výměnu dat s bankami, bez nutnosti instalace dalšího softwaru. Umožňuje stahovat výpisy a posílat platební dokumenty bez jejich exportu do souborů, pokud banka takový standard interakce podporuje (v opačném případě se budeme muset starat o textové soubory ve formátu 1C, ale nic hrozného — nyní se ukládají na virtuální stroj).
Nejprve se v účetním programu vytvoří běžný účet (pokud ještě nebyl vytvořen), poté je třeba otevřít jeho formulář v kartě organizace a vybrat příkaz „Připojit 1C: DirectBank“. Nastavení výměny může být načteno do 1C: Enterprise automaticky nebo ručně: pro podrobné pokyny se obraťte na webové stránky banky. V některých případech je nutné aktivovat integraci s produkty 1C zvlášť v osobním účtu.
Pro nastavení může být potřeba uživatelské jméno a heslo k osobnímu účtu společnosti v bance. Nejčastěji se při tom používá dvoufaktorová autentizace (2FA) přes SMS.
Další populární možnost, zabezpečený hardwarový token, nám nevyhovuje z důvodu použití virtuálního serveru. Kromě toho by bylo nutné zabezpečené nosiče přenést mimo areál společnosti a předat pracujícímu vzdáleně účetnímu, čímž bychom nad nimi ztratili kontrolu.
Varianta s přihlášením/heslem a 2FA přes SMS může být také riskantní, ačkoli technologie DirectBank umožňuje pouze získávat výpisy a zasílat platební dokumenty. Pro provedení platby je však nutné ji podepsat kvalifikovaným elektronickým podpisem, který se uchovává na zabezpečeném fyzickém zařízení klienta nebo na straně banky. V prvním případě nejsou žádné problémy: pokud externí účetní nebude mít přístup k tokenu, bude moci pouze formulovat dokumenty.
V případě cloudového elektronického podpisu je SMS s jednorázovým kódem pro potvrzení platby obvykle zasílána na stejné telefonní číslo, které se používá pro autentizaci v osobním účtu. Některé banky tuto situaci vyřešily tak, že umožnily klientům vyměňovat si data prostřednictvím DirectBank bez 2FA. V tomto případě bude účetní moci pouze stahovat výpisy a zasílat dokumenty, ale přístup k penězům nebo dokonce k osobnímu účtu nezíská.
Existuje ještě jedna možnost pro oddělení úrovní přístupu: mnoho bank umožňuje používat účet na státních službách prostřednictvím jednotného systému identifikace a autentizace (). Řediteli stačí vstoupit do nastavení svého účtu, vybrat záložku „Organizace“ a pozvat zaměstnance. Jakmile pozvání přijme, v sekci „Přístupy k systémům“ je možné najít svou banku (po předchozím nastavení integrace s ní) a dát uživateli přístup k osobnímu účtu. Přitom není nutné mu předávat telefon nebo token, který se používá k podpisu platebních dokumentů.
Připojujeme se k službám EDO
Služby pro výměnu elektronických dokumentů jsou pohodlné a všeobecná remote pracovní doba je učinila naprosto nezbytnými. Klient 1C: Podnik se s nimi integruje, ale právně významný EDO vyžaduje použití kvalifikovaného elektronického podpisu.
Ten může být uložen pouze na flash disku nebo uchováván v cloudových službách, které mají odpovídající certifikáty domácích regulátorů.
Nahrát elektronický podpis na jakékoli médium nebo jej uchovávat na VPS není možné, proto obvykle účetní pracuje s elektronickým oběhem dokumentů z místního počítače připojením USB flash disku. Na něj se instaluje certifikovaný prostředek kryptografické ochrany informací (tzv. kryptoprvník) a veřejný certifikát elektronického podpisu. Její privátní část je uložena na flash disku, který je nutné fyzicky připojit k počítači pro podepisování dokumentů v programech, které tuto funkci podporují. Pro práci s EDP přes webové rozhraní budou potřebné pluginy pro prohlížeče.
Aby se kritický systém pro business nemusel spouštět na osobním počítači zaměstnance pracujícího na dálku, bude rovněž užitečné VPS, nicméně varianta s fyzickým tokenem zde nebude fungovat.
Je obtížné říct, jak se zachová kryptoprůvodce ve virtuálním prostředí, zvlášť při pokusu o prohození USB portu na VPS přes RDP klienta. Zůstává cloudový EDS bez fyzického nosiče, ale ne všechny služby EDP tuto možnost nabízejí. Ta stojí, mimochodem, kolem tisíce rublů ročně, nezahrnujíc poplatek za samotnou službu výměny dokumentů, který závisí na objemech.
Dobrou zprávou je, že téměř všechny populární ruské služby už dávno zavedly vzájemný roaming dokumentů, a proto se lze připojit k jakékoli z nich. Špatnou zprávou je, že zcela se vzdát papíru nebude možné, protože mezi obchodními partnery se určitě najdou ti, kteří EDP nepoužívají.
Nastavujeme přístup k službám pomocí certifikátů.
Mnohé služby umožňují provádět autentizaci a autorizaci bez přihlašovacího jména a hesla pomocí klientských SSL certifikátů, které lze také nainstalovat na VPS, nikoli na počítač účetního.
Stejným způsobem lze nastavit autentizaci na firemních webových resursech. Jak to udělat:
- Koupit důvěryhodnou certifikační autoritu, abyste mohli podepisovat a ověřovat klientské SSL certifikáty;
- Vytvořit klientské SSL certifikáty podepsané důvěryhodným certifikátem;
- Nastavit webové servery tak, aby vyžadovaly a ověřovaly klientské SSL certifikáty;
- Nainstalovat klientské certifikáty uživatelům vzdálených pracovních stanic na VPS.
Téma nasazení 1C: Podnikání pro malé firmy na virtuálních serverech je rozsáhlá, popsali jsme pouze jeden způsob, který je vhodný pro zabezpečení účetnictví.
VPS může občas dobře posloužit a vyhnout se instalaci kritických IT řešení a předávání soukromých firemních dat na osobní počítač specialisty na dálku.
Doufáme, že vám článek byl užitečný.
Zdroj: habr.com
