← На главную

При попытке организовать работу пользователей из нескольких доменов с одним сервером 1С, часто возникает ситуация, когда операционная система сервера не видит пользователей из «чужого» домена. В этой статье мы разберем, почему возникает такая проблема и какие шаги необходимо предпринять для её устранения.

Понимание природы проблемы

Важно уяснить, что 1С сама по себе не занимается верификацией паролей или поиском учетных записей в Active Directory. Платформа 1С использует механизм аутентификации операционной системы (SSPI). Когда пользователь пытается войти в 1С под своей учетной записью Windows, платформа обращается к Windows, которая, в свою очередь, должна проверить легитимность пользователя через контроллеры домена.

Если в настройках аутентификации пользователя в конфигураторе 1С вы не видите нужный домен, это означает, что сама операционная система сервера не «доверяет» тому домену, где создана учетная запись пользователя. Проблема лежит не в настройках самой 1С, а на уровне инфраструктуры Active Directory.

Шаг 1: Настройка доверительных отношений между доменами

Для того чтобы сервер в домене VTOROI мог успешно авторизовать пользователя из домена PERVII, между этими доменами должны быть установлены доверительные отношения (Trust Relationships).

1. Проверка лесной структуры: Если оба домена входят в состав одного леса, доверие обычно настраивается автоматически. Однако, если домены являются независимыми, необходимо вручную настроить «внешнее доверие» (External Trust) или «доверие между лесами» (Forest Trust).
2. Тип доверия: Рекомендуется настраивать двустороннее доверие (Two-Way Trust), чтобы серверы могли свободно обмениваться данными о пользователях и группах.
3. Роль администраторов: Данная задача является сугубо административной и выполняется в оснастке «Домены и доверие Active Directory» (Active Directory Domains and Trusts).

Шаг 2: Настройка DNS-инфраструктуры

Одной из главных причин, почему доверие «не взлетает», является некорректная настройка DNS. Для того чтобы Kerberos-билеты пользователей корректно проверялись, серверы должны уметь разрешать имена контроллеров домена друг друга.

Рекомендуем настроить условные пересылки (Conditional Forwarders) на DNS-серверах каждого домена. Это позволит серверу в домене VTOROI мгновенно находить контроллер домена PERVII и направлять запросы на аутентификацию по верному адресу.

Шаг 3: Проверка групповых политик и делегирования

После того как доверие установлено, необходимо убедиться, что права доступа не ограничены политиками безопасности:

• Локальный вход: Убедитесь, что пользователям из внешнего домена разрешен вход на сервер 1С через локальные политики безопасности (Local Security Policy).
• Service Principal Names (SPN): Для работы Kerberos-аутентификации важно, чтобы для учетной записи службы 1С (под которой запущен rphost) были корректно зарегистрированы SPN. При междоменной работе часто требуется настройка делегирования (Delegation) для учетной записи сервера.

Как проверить работоспособность?

После выполнения всех настроек на стороне AD, сервер Windows должен начать распознавать «чужие» учетные записи. Проверить это можно, попытавшись зайти в свойства пользователя 1С в Конфигураторе. В поле «Аутентификация операционной системы» при выборе пользователя должна появиться возможность выбрать другой домен через выпадающий список или ручной ввод (например: DOMAIN\User).

Если после настройки доверия список не обновился, попробуйте перезапустить службу 1C:Enterprise Server Agent, чтобы очистить кэшированные данные о доменах.

Помните: Платформа 1С лишь транслирует запрос к Windows. Если на уровне операционной системы (команда whoami /user или проверка через gpresult) пользователь из внешнего домена не может получить доступ к ресурсам сервера, 1С также не сможет авторизовать его под учетной записью ОС.