Настройка аутентификации Windows при расположении веб-сервера IIS и рабочих серверов на разных машинах

Описание проблемы

Не работает аутентификация операционной системы (windows) через IIS при использовании тонкого клиента или веб-клиента.

С точки зрения пользователей, будет видно окно с запросом логина и пароля.

Проблема может заключаться в том, что методы операционной системы в силу различных причин возвращают описание текущего пользователя сеанса в таком представлении, которое не совпадает ни с одним пользователем в списке пользователей информационной базы 1С

Решение проблемы

На сервере 1С включить технологический журнал, используя следующую настройку:

Воспроизвести ситуацию с неудачной аутентификацией операционной системы. Авторизоваться под пользователем операционной системы, указанным в свойствах пользователя 1С.

Открыть технологический журнал рабочего процесса и найти событие EXCP со следующим описанием: «Идентификация пользователя не выполнена
Неправильное имя или пароль пользователя»

Обратите внимание на предшествующее ему событие CONN и значение свойства DstUserName2 — именно в таком виде пользователь должен быть указан в свойствах пользователя информационной базы.

04:45.940011-0,CONN,2,process=rphost,t:clientID=60,Txt=Srvr: SrcUserName1: svc-1c@DOMAIN701.COM
04:45.940012-0,CONN,2,process=rphost,t:clientID=60,Txt=Srvr: DstUserName1: testuser2@DOMAIN701.COM(DOMAIN701.COM\testuser2)
04:45.971001-0,CONN,2,process=rphost,t:clientID=60,Txt=Srvr: DstUserName2: DOMAIN701\testuser2(DOMAIN701\testuser2)
04:46.205021-0,EXCP,2,process=rphost,p:processName=trade,t:clientID=60,t:applicationName=WebServerExtension,t:computerName=webserver,t:connectID=19,Exception=a01f465c-ed70-442e-ada5-847668d7a41c,Descr=’src\VResourceInfoBaseServerImpl.cpp(991):
a01f465c-ed70-442e-ada5-847668d7a41c: Идентификация пользователя не выполнена
Неправильное имя или пароль пользователя’

Заменить значение свойства «Пользователь» пользователя информационной базы согласно следующему формату «\\» + [Имя пользователя из свойства DstUserName2 без скобок].

Проверить работоспособность аутентификации средствами операционной системы, войдя в информационную базу, используя веб-клиент.

Расположение веб-сервера IIS и рабочих серверов 1С на разных машинах

В некоторых случаях, несмотря на корректно указанного пользователя операционной системы в пользователе информационной базы, при попытке входа в опубликованную базу через браузер аутентификация операционной системы не проходит. Такая ситуация может возникать, если веб-сервер IIS и сервер 1с находятся на разных машинах. В таком случае в технологическом журнале рабочего процесса можно наблюдать следующую картину:

56:39.487001-0,CONN,2,process=rphost,p:processName=accounting,t:clientID=39,t:applicationName=WebServerExtension,t:computerName=webserver,t:connectID=16,Txt=Srvr: SrcUserName1: winserver1c$@DOMAIN701.COM
56:39.487002-0,CONN,2,process=rphost,p:processName=accounting,t:clientID=39,t:applicationName=WebServerExtension,t:computerName=webserver,t:connectID=16,Txt=Srvr: DstUserName1: testuser2@DOMAIN701.COM(DOMAIN701.COM\testuser2)
56:39.596004-0,CONN,2,process=rphost,p:processName=accounting,t:clientID=39,t:applicationName=WebServerExtension,t:computerName=webserver,t:connectID=16,Txt=Srvr: DstUserName2: NT AUTHORITY\ANONYMOUS LOGON(NT AUTHORITY\ANONYMOUS LOGON )
56:39.659003-0,EXCP,2,process=rphost,p:processName=accounting,t:clientID=39,t:applicationName=WebServerExtension,t:computerName=webserver,t:connectID=16,Exception=a01f465c-ed70-442e-ada5-847668d7a41c,Descr=’src\VResourceInfoBaseServerImpl.cpp(991):
a01f465c-ed70-442e-ada5-847668d7a41c: Идентификация пользователя не выполнена
Неправильное имя или пароль пользователя’

При возникновении такой ситуации необходимо проверить следующие настройки:

1) Убедиться, что процессы сервера 1С запущены от имени доменной учетной записи, входящей в группу Domain Users.

2) Убедиться, что веб-сервер IIS настроен корректно.

В публикации информационной базы найти настройки аутентификации

В настройках аутентификации отключить анонимную аутентификацию и включить Windows-аутентификацию. В Windows-аутентификации упорядочить доступных провайдеров так, чтобы на первом месте был Negotiate.

Пул приложений публикации не нуждается в настройках, в нем можно оставить все по умолчанию.

После изменения настроек перезапустить веб-сервер с помощью команды iisreset в командной строке.

3) Убедиться, что в контроллере домена в свойствах компьютера, на котором запущен веб-сервер, на вкладке делегирование установлено «Доверять компьютеру делегирование любых служб (только Kerberos)»

Для этого откройте оснастку Active Directory Users and Computers (dsa.msc), в компьютерах найдите веб-сервер, перейдите в его свойства и на вкладке Делегирование установить значение «Доверять компьютеру делегирование любых служб (только Kerberos)» и нажать применить.

4) Убедиться, что на клиенте в свойствах обозревателя разрешена встроенная проверка подлинности Windows.

После выполнения всех действий необходимо перезагрузить клиентский компьютер (рабочие серверы перезагрузки не требуют) и убедиться, что аутентификация операционной системы успешно выполняется.

Важно: аутентификации Windows при расположении веб-сервера IIS и рабочих серверов на разных машинах в тонком клиенте работает, начиная с версии 8.3.10.2620 (для тестирования).

Аутентификация операционной системы. Перестала работать.

Платформа 1С:Предприятие 8.2 (8.2.18.96). УПП (1.3.23.1). Windows Server 2008 R2.

До сегодняшнего дня отлично работала аутентификация операционной системы. Сегодня аутентификация работать перестала. При старте 1С выскакивает окно авторизации.

Из действий, которые могут быть связаны — в 1С в режиме предприятия были созданы 3 пользователя с указанием аутентификация операционной системы (указаны пользователи домена). Как потом выяснилось такие пользователи уже были созданы с галкой Недействительный. (не знаю может быть ли это связано или нет).

В какую сторону копать?

Настроил ТЖ с параметрами conn и excp,
запись логов пошла, но к сожалению пока не могу по ним определить ошибку.

в разделе EXCP нашел следующие записи:

InitializeSecurityContext: Error 80090324!

InitializeSecurityContext: Error 80090324!

‘server_addr=any:1560 descr=Ошибка сетевого доступ

‘server_addr=any:1561 descr=Ошибка сетевого доступ

‘server_addr=any:1562 descr=Ошибка сетевого доступ

‘server_addr=any:1563 descr=Ошибка сетевого доступ

‘addrBelongsToThisComputer2, address=localhost, result=true’

‘Connected, client=(23)[::1]:59291, server=(23)[::1]:1541’

Clnt: MyUserName1: МойЛогин@МойДомен

Clnt: DstUserName1: ЛогинСервера1С@МойДомен StartProtocol: 0 Success

‘addrBelongsToThisComputer2, address=ИмяСервера, result=true’

‘Connected, client=(23)[::1]:59300, server=(23)[::1]:1560’

Clnt: MyUserName1: МойЛогин@МойДомен

Clnt: DstUserName1: ЛогинСервера1С@МойДомен StartProtocol: 0 Success

кто знает, в какую сторону копать?

Добавление — пользователи работают через терминальный доступ непосредственно на сервер 1С.

(1) т.е. истек срок действия пароля? данная проблема у всех пользователей. и на сервер через РДП они попадают без проблем

(2) по словам админов — ничего не менялось.

Когда я открывают список пользователей и выбираю доменного юзера для конкретного пользователя — я вижу список доменов и список пользователей доменов.
т.е. получается с сервера 1С видно и домены и пользователи?

(4) судя по всему у Вас несколько доменов?

сервер 1с в том-же домене, что и пользователи.

(11) спасибо за такую развернутую инструкцию.

Для обоих имен домена выдал имя контроллера домена.
лукап по этому имени показал его ип-адрес.
и имя и ип-адрес соответствуют контроллеру домена.

по имени и по ип пингуются с сервера 1С..

Ну тогда мы имеем что-то мелкопакостное. Типа того:
— системные часы, надо проверить время на сервере и на контроллере домена;
— некорректная установка софта на сервак, возможно некорректные записи в реесте, возможно обновления надо поставить, возможно они криво встали и т.п.

А сервер перегрузить пробовали?

(13) сейчас сравнил время на контроллере и на сервере 1с через NET TIME. Время отличается. Это может быть причиной проблемы авторизации?

1с авторизация windows не работает

Вопрос

Веб-клиент 1С. Всё работало, но вчера сломалось: не походит авторизация Windows — 3 запроса логина/пароля и ошибка 401.1.

Примечательно: та же ситуация с любым веб-узлом на данном сервере и только из IE. Opera, Firefox после ввода doman\user открывают. В IE на всех машинах такая проблема, чистка куков-темпов не помагает. На самом сервере открывается нормально только по адресу localhost, servername — уже не работает.

Как это понимать и как лечить?

Ответы

3. авторизация сквозная, на все узлы сайта включена только авторизация Windows

П.С. авторизация windows не работает даже на сам Defaul Web Site (IIS 7 welcome screen); анонимная и обычная авторизации работают.

Такая проблема возникает когда включено Kernel-mode authentication .

Вам нужно отключить аутентификацию в режиме ядра. (дополнительные параметры Windows аутентификации.) Далее:

> net start w3svc

или просто сделайте IISRESET.

Все ответы

Веб-клиент 1С. Всё работало, но вчера сломалось: не походит авторизация Windows — 3 запроса логина/пароля и ошибка 401.1.

Примечательно: та же ситуация с любым веб-узлом на данном сервере и только из IE. Opera, Firefox после ввода doman\user открывают. В IE на всех машинах такая проблема, чистка куков-темпов не помагает. На самом сервере открывается нормально только по адресу localhost, servername — уже не работает.

Как это понимать и как лечить?

А можно побольше информации:

1. серверная платформа

3. И какая точно авторизация у вас используется (сквозная или при входе на сайт вводите логин\пароль)

Аутентификация Windows не работает на терминальном сервере

Есть терминальный сервер на Windows 2003, пользователи которые на нем работают в 1С, пользователи в домене, терминальный сервер в домене, сервер 1С в домене (отдельный). Сервер БД отдельный на PostgreSQL (если это важно).

Делаю у пользователя настройку — аутентификация Windows, вибираю нужного пользователя, отключаю аутентификацию 1С, вхожу в терминальный сервер под выбранным пользователем, запускаю 1С, выбираю настроенную базу с этим пользователем, а она мне список пользователей показывает.

Беглый гугл показал, что эта проблема свойственна именно при работе на сервере. При локальном запуске все ок. Вот темы об этом:
v8: Аутентификация Windows на сервере 1С
http://www.sql.ru/forum/916665/windows-autentifikaciya-windows-server-2008-64-bit

У кого нибудь получалось победить?

Нашел в чем загвоздка. Garikk, спасибо, натолкнул на хорошую идею.

Дело в том, что полное доменное имя: company.local. В то время как имя домена для старого стандарта просто COMPANY. И при входе на терминальный сервер все входят именно в таком виде:
\\COMPANY\username

Если же в конфигураторе пользователя выбирать из списка доменных пользователей, он пишет в настройку:
\\company.local\username

Поправил на
\\COMPANY\username
и все заработало. Записи в логах натолкнули меня на мысль, какое именно имя он ищет. Видимо конфигуратор не может полноценно работать с доменными именами.

Веб-клиент, windows авторизация

(0) >из внешней сети как можно зайти, используя данные нашей локальной сети

Никак. Протокол win-аутентификации (NTLM) работает только внутри локальной сети.

(1) >А еще хочется, чтобы доменная аутентификация опционально для пользователя была бы «неавтоматической», то есть с вводом логина, пароля и домена

Это штатная функция. В настройках запуска базы нужно выбрать «Запрашивать имя и пароль».

(3) >Доменные — не умеет.
Имхо, и правильно делает. Для юзеров самое то, чтобы работали в базах под своими учетками.
А для админа есть 1с-ные логин/пароль.

>Сквид же умеет так делать.
Дык, 1с же не только через веб-сервер умеет работать.

(12) и проблема то в чем?

заходишь на сервак в конторе по RDP/VPN под учеткой домена

заходишь с сервера в 1с.

> а стандарт де-факто при организации выхода в интернет из локальной сети.

лучше бы в 1с аудит сделали. блокировку после N-той попытки зайти

(23) Да, неявно. В этом режиме 1С ничего не знает про логины, пароли, домены и т.д., а пользуется стандартным интерфейсом безопасности ОС.

При явной аутентификации необходимо реализовывать защищенный ввод логина/пароля, процедуры аутентификации в домене и на локальном компьютере, обрабатывать ошибки, выполнять дополнительные действия вроде «Менять пароль при входе в систему» и т.п.

В общем городить еще одно звено, массовая необходимость которого сомнительна (толпа кладовщиков и авторизация в домене с компьютера вне домена скажем так не самые массовые варианты), а безопасность явно ниже чем основной вариант. А далее — безопасность системы определяется безопасностью самого слабого звена.

Вот зачем 1С становиться «слабым звеном»?

>Вот зачем 1С становиться «слабым звеном»?

некуй накручивать на систему еще и «варку кофе с минетом».