← На главную

При администрировании инфраструктуры 1С:Предприятия часто возникает необходимость перевести службу сервера приложений с локального системного пользователя (по умолчанию создаваемого инсталлятором, например USR1CV8) на доменную учетную запись Active Directory. Нередко системные администраторы сталкиваются с ситуацией, когда после изменения учетной записи в свойствах службы Windows процесс ragent.exe запускается и через несколько секунд аварийно останавливается без явных ошибок в стандартном окне оснастки служб.

Разберем детально, какие права требуются новой доменной учетной записи, почему служба может мгновенно завершать работу, как правильно диагностировать сбой и действительно ли смена пользователя необходима для сетевых загрузок (курсов валют, классификаторов банков и сервисов 1С).

Обязательные права файловой системы и каталоги

Рассмотрим каталоги, к которым учетная запись службы сервера 1С:Предприятие должна иметь беспрепятственный доступ на уровне файловой системы NTFS:

1. Каталог данных кластера серверов (srvinfo). Это критически важный каталог (по умолчанию расположенный по пути C:\Program Files\1cv8\srvinfo). В нем хранятся конфигурационные файлы кластера (1CV8Reg.lst), файлы реестра и списков баз данных, а также журналы регистрации. Доменному пользователю необходимо предоставить Полный доступ (Full Control) к этой директории.
2. Профиль пользователя и временные папки (%TEMP%, %APPDATA%). Служебные процессы кластера 1С (ragent.exe, rmngr.exe, rphost.exe) активно используют кэширование и временные файлы. Эти данные пишутся в каталог профиля пользователя операционной системы. Если пользователь ни разу не входил на сервер интерактивно, его локальный профиль может отсутствовать или быть не инициализирован.
3. Исполняемые файлы платформы 1С. Каталог установки (обычно C:\Program Files\1cv8\8.3.X.XXXX\bin). Учетной записи требуется право на чтение и выполнение файлов (Read & Execute).

Типичные причины сбоя при запуске под доменной учетной записью

Проанализируем скрытые проблемы операционной системы и Active Directory, из-за которых служба 1С может падать сразу после старта:

1. Проблема владения файлами и наследования прав в srvinfo. Если сервер 1С ранее работал под локальной учетной записью, владельцем существующих конфигурационных файлов и баз журнала регистрации (*.lgd, *.lgf) остался старый пользователь. Простого назначения прав на папку верхнего уровня бывает недостаточно. Необходимо зайти в расширенные свойства безопасности папки srvinfo, сменить владельца на новую доменную учетную запись (или группу локальных администраторов) и обязательно отметить флаг Заменить все записи разрешений дочернего объекта наследуемыми от этого объекта.
2. Отсутствие локального профиля Windows. Рекомендуется выполнить один тестовый интерактивный вход (через консоль или RDP) на сервер под созданной доменной учетной записью. При этом Windows сформирует профиль на диске и инициализирует куст реестра HKEY_CURRENT_USER.
3. Права на вход в качестве службы (Logon as a service) и доменные GPO. При указании пользователя в оснастке services.msc Windows автоматически добавляет ему локальную привилегию SeServiceLogonRight. Однако если в домене действуют групповые политики (GPO), они могут при очередном обновлении переопределить эту настройку или содержать явное ограничение в политике «Отказ во входе в качестве службы» (SeDenyServiceLogonRight).
4. Ограничения учетной записи в Active Directory. Проверим свойства пользователя в оснастке AD: должны быть сняты флаги «Требовать смену пароля при следующем входе», отключен срок действия пароля, сняты ограничения по допустимым рабочим станциям для входа (Logon Workstations) и времени авторизации.
5. Доступ к системному реестру. Учетной записи службы необходим доступ на чтение и запись к веткам реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ (параметры службы 1С) и HKEY_LOCAL_MACHINE\SOFTWARE\1C.

Диагностика сбоя: как увидеть реальную ошибку

Если служба падает без внятного сообщения в окне управления службами, применим два проверенных метода диагностики:

1. Просмотр системных журналов Windows. Откроем оснастку Просмотр событий (Event Viewer) и проанализируем журналы Система (System) от источника Service Control Manager и Приложение (Application). Там фиксируются коды завершения процесса (например, код ошибки 1067, свидетельствующий о сбое при обращении к файлам кластера, или отказ в доступе).
2. Интерактивный запуск через командную строку. Это самый быстрый способ увидеть причину падения. Войдем на сервер под доменным пользователем, откроем командную строку (cmd) и вручную запустим главный процесс сервера с рабочими ключами реестра, например:
   Скопировать код

   
   "C:\Program Files\1cv8\8.3.XX.XXXX\bin\ragent.exe" -srvc -agent -regport 1541 -port 1540 -range 1560:1591 -d "C:\Program Files\1cv8\srvinfo"
   

   Если процессу не хватает прав доступа к каталогу или файлу, текст ошибки немедленно отобразится в окне консоли.

Нужен ли доменный пользователь для загрузки курсов валют и банков?

Выясним исходную причину, побуждающую переводить службу на доменного пользователя. Часто считается, что локальный пользователь USR1CV8 не может выходить в интернет для загрузки курсов валют, классификаторов банков и взаимодействия с сервисами 1С. Это заблуждение.

Служебный локальный пользователь операционной системы не имеет встроенных ограничений на исходящие сетевые подключения. Проблемы с регламентными заданиями загрузки данных обычно вызваны следующими сетевыми факторами:

1. Межсетевой экран и шлюз. Доступ в сеть интернет блокируется на сетевом шлюзе (брандмауэре) для самого IP-адреса сервера 1С. Сетевым администраторам необходимо открыть исходящие порты 80 (HTTP) и 443 (HTTPS) для IP-адреса сервера 1С.
2. Корпоративный прокси-сервер. Если весь трафик в компании идет через прокси-сервер с авторизацией, параметры прокси необходимо настроить непосредственно в прикладном решении (раздел «Администрирование» — «Настройки программы» — «Параметры прокси-сервера») либо централизованно в файле конфигурации платформы inetcfg.xml, находящемся в каталоге conf платформы 1С. Перевод службы на пользователя домена без указания параметров прокси проблему не решит.
3. Сертификаты безопасности. Загрузка данных с защищенных порталов требует наличия доверенных корневых сертификатов в системном хранилище сертификатов Windows. Если цепочка сертификатов на сервере не обновлена, регламентное задание 1С завершится с ошибкой проверки SSL/TLS, вне зависимости от того, под каким пользователем стартовала служба.