Как настроить доменную аутентификацию в веб-клиенте 1С при использовании IIS и браузера Firefox?

При переходе пользователей с тонкого клиента на веб-клиент часто возникает ситуация, когда при входе в базу 1С запрашиваются логин и пароль, несмотря на то, что для пользователя в конфигураторе включена аутентификация операционной системы. В тонком клиенте вход происходит прозрачно, а веб-браузер выдает стандартное диалоговое окно авторизации или форму 1С. Разберем причины такого поведения и настроим сквозную доменную аутентификацию (Single Sign-On, SSO) для связки IIS и Mozilla Firefox.

Почему тонкий клиент работает, а веб-клиент запрашивает пароль?

Тонкий клиент 1С обращается к службам операционной системы Windows напрямую, автоматически получая текущий токен безопасности пользователя. Веб-клиент работает внутри браузера, который по соображениям безопасности не передает доменные учетные данные (NTLM- или Kerberos-тикеты) сторонним веб-узлам без явного разрешения администратора или пользователя. Кроме того, веб-сервер IIS должен быть предварительно сконфигурирован для приема и проверки доменных учетных данных.

Шаг 1. Настройка проверки подлинности на веб-сервере IIS

Разберем по шагам правильную конфигурацию веб-сервера Internet Information Services (IIS):

1. Откроем Диспетчер служб IIS (inetmgr).
2. В дереве подключений выберем опубликованное виртуальное приложение базы 1С.
3. В центральной панели перейдем в раздел Проверка подлинности (Authentication).
4. Отключим параметр Анонимная проверка подлинности (Anonymous Authentication). Если этот параметр включен, IIS принимает все запросы от имени служебного пользователя IUSR и не запрашивает доменные реквизиты клиента.
5. Включим параметр Проверка подлинности Windows (Windows Authentication).
6. Выделим пункт Проверка подлинности Windows и в правой панели действий откроем Провайдеры (Providers). Убедимся, что в списке присутствуют Negotiate и NTLM. Если в локальной сети не настроен Kerberos или отсутствуют SPN-записи, переместим NTLM на первое место в списке.
7. В правой панели действий откроем Дополнительные параметры (Advanced Settings). Убедимся, что параметр Расширенная защита (Extended Protection) установлен в значение Выкл. (None) или Принимать (Accept), чтобы избежать блокировки запросов от сторонних браузеров.

Шаг 2. Проверка файла публикации базы (default.vrd)

Проанализируем файл публикации базы данных default.vrd, расположенный в физическом каталоге публикации на сервере. При публикации базы через конфигуратор или утилиту webinst необходимо удостовериться, что платформа 1С настроена на использование аутентификации веб-сервера.

В секции конфигурации виртуального приложения должен присутствовать параметр, разрешающий сквозную проверку подлинности:

<point xmlns="http://v8.1c.ru/8.2/virtual-resource-system"
       xmlns:xs="http://www.w3.org/2001/XMLSchema"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       base="/base_name"
       ib="Srvr=app-server;Ref=base_name;"
       wsauth="true">
</point>

Атрибут wsauth="true" указывает платформе, что авторизацию пользователя выполняет веб-сервер, после чего переданный логин ОС сопоставляется с пользователем информационной базы 1С.

Шаг 3. Настройка браузера Mozilla Firefox

По умолчанию Firefox не выполняет автоматическую NTLM- и Kerberos-аутентификацию для произвольных адресов. Чтобы браузер прозрачно передавал учетные данные домена, настроим параметры доверенных зон:

1. В адресной строке Firefox введем about:config и подтвердим согласие с предупреждением безопасности.
2. В строке поиска параметров найдем network.automatic-ntlm-auth.trusted-uris.
3. Двойным кликом откроем редактирование и введем URL-адрес сервера или доменное имя (например: http://server.domain.local или .domain.local). Если баз несколько, адреса можно перечислить через запятую.
4. Найдем параметр network.negotiate-auth.trusted-uris и укажем тот же список адресов для поддержки Kerberos.
5. Если обращение к базе происходит по короткому NetBIOS-имени (например, http://server/base), переведем параметры network.automatic-ntlm-auth.allow-non-fqdn и network.negotiate-auth.allow-non-fqdn в значение true.

Шаг 4. Централизованное распространение настроек через GPO

Чтобы не настраивать каждый компьютер вручную, применим групповые доменные политики (GPO). Существует два основных способа централизованного применения настроек браузера:

1. Административные шаблоны Firefox (ADMX): Установим официальные ADMX-шаблоны Mozilla в групповые политики домена Active Directory. В разделе политик Конфигурация компьютера -> Административные шаблоны -> Mozilla -> Firefox -> Аутентификация настроим параметры доверенных сайтов SPNEGO и NTLM.
2. Скрипт автоконфигурации (AutoConfig / mozilla.cfg): С помощью сценария входа GPO скопируем файл конфигурации в каталог установки браузера на клиентских машинах, автоматически прописывающий значения network.automatic-ntlm-auth.trusted-uris.

Особые случаи и диагностика неполадок

Рассмотрим распространенные технические нюансы, которые могут приводить к сбоям при авторизации:

1. Проблема «двойного прыжка» (Double Hop): Если веб-сервер IIS и сервер приложений 1С (служба rphost) находятся на разных физических серверах, протокол NTLM не сможет передать учетные данные дальше веб-сервера. В такой архитектуре необходимо настроить полноценное Kerberos-делегирование и зарегистрировать имена служб (SPN) с помощью утилиты setspn.
2. Соответствие имени пользователя ОС в 1С: В карточке пользователя в конфигураторе имя пользователя операционной системы должно быть указано в формате DOMAIN\User или user@domain.local. Точный формат имени, передаваемый веб-сервером, можно отследить в технологическом журнале 1С по событиям CONN и параметру DstUserName2.
3. Информирование пользователей: Если в организации используются ненастроенные клиентские браузеры, администратор веб-сервера IIS может переопределить стандартную страницу ошибки 401 Unauthorized, разместив на ней пошаговую инструкцию по настройке параметров доверенных узлов.