1. Войдите в рабочий домен
Откройте одноразовое приглашение администратора шлюза, задайте пароль от 12 символов. Для следующего входа нужны имя домена, имя пользователя и пароль шлюза. Пароль шлюза отличается от пароля 1С.
2. Найдите настройки REST в 1С
В 1С:Фреш откройте Администрирование → Настройки интеграции → Настройка автоматического REST-сервиса. Пункт может находиться в другом разделе или отсутствовать. Если публикация OData недоступна в вашем приложении/тарифе, уточните её поддержку у поставщика: сетевые настройки не добавят отсутствующий интерфейс.
3. Создайте отдельного пользователя REST
Включите отдельную авторизацию, задайте собственное имя и сильный уникальный пароль. Не используйте основной пароль аккаунта Fresh. Пример имени на скриншоте не является общим логином. Не пересылайте пароль в чат ИИ.
4. Опубликуйте нужные объекты
На вкладке «Состав» выберите справочники, документы и регистры, необходимые для ваших задач. Для продаж по контрагентам нужны документы реализации, ссылка на контрагента и справочник контрагентов. В production не выбирайте всё по примеру демобазы: начинайте с минимального состава.
Подтвердите необходимые зависимости и сохраните настройки. У служебного пользователя должны быть права чтения этих данных. Публикация интерфейса сама по себе не означает, что учётная запись ограничена чтением: назначьте минимально необходимые права в 1С.
5. Зарегистрируйте адрес в шлюзе
Возьмите адрес именно своей публикации вида https://ваш-сервер/путь-базы/odata/standard.odata. В разделе подключения шлюза зарегистрируйте HTTPS-адрес и идентификатор базы, затем сохраните отдельный профиль с REST-логином и паролем. Эти реквизиты хранятся зашифрованно. Приватные IP и перенаправления не поддерживаются этим способом; для внутренней базы требуется отдельно подготовленный коннектор.
6. Выберите выдаваемые поля и маскирование
Получите схему. Новые объекты закрыты. Разрешите только нужные объекты/поля, примените предложенные правила и проверьте небольшую выборку «оригинал → маска». Преднастройки — отправная точка, не доказательство анонимизации. Проверьте свободные тексты, названия, контакты и косвенные идентификаторы. Для связей маскированных ссылок настройте соответствующую связь с Ref_Key целевого справочника.
7. Пригласите пользователей и назначьте профиль
Создайте приглашение с нужной ролью и отдельно назначьте пользователю профиль базы. Каждый пользователь создаёт собственный MCP-ключ в личном разделе. Ключ даже администратора даёт только доступ к MCP, а не управление доменом или раскрытие оригиналов.
8. Подключите ИИ-клиент
Скачайте настройки в разделе «Подключить ИИ». Codex использует Streamable HTTP URL и переменную окружения ONEC_MCP_TOKEN. Для клиента с OAuth используйте OAuth URL и свой ключ в форме согласования доступа; поддержка зависит от клиента. Сначала попросите list_entities, затем describe_entity и read_entity с limit=2. Не сообщайте ИИ пароль 1С.
9. Проверьте журнал
Администратор домена видит успешные и отклонённые запросы, причину, время выполнения и request ID. Значения ячеек, пароли и ключи в журнал не записываются. Убедитесь, что ИИ получает только разрешённые поля и маскированные значения. При tenant_busy повторите запрос после завершения текущего; при quota_exceeded уменьшите запрос или уточните лимиты тарифа.
10. Раскройте результат у себя
Перед скачиванием настроек MCP создайте и выберите маскирующую сессию: конфигурация Codex включит её заголовок X-Masking-Session. Для OAuth-клиента задайте этот дополнительный заголовок, если клиент его поддерживает. Без сессии чтение остаётся маскированным, но полученные постоянные токены не подходят для пользовательского раскрытия файлов в production. Локальный обработчик в браузере заменяет токены в TXT/CSV/JSON/HTML/DOCX/XLSX после проверки текущих прав. Сам файл на сервер не загружается. Произвольный ответ внешнего ИИ автоматически не меняется: загрузите полученный файл в этот раздел. PDF/OCR пока не поддерживаются.