При внедрении системы маркировки товаров (в частности, обуви) в компаниях, использующих терминальный доступ (RDP), часто возникает вопрос: как обеспечить одновременную работу нескольких сотрудников с одной электронной цифровой подписью (ЭЦП). Основная сложность заключается в том, что стандартные методы работы с USB-токенами не всегда корректно функционируют в многопользовательской среде Windows Server. Разберем подробно технические и лицензионные аспекты решения этой задачи.
Первое, с чего необходимо начать, — это проверка вашей лицензии на криптопровайдер. Если ваша 1С развернута на Windows Server (2012, 2016, 2019 или 2022) и пользователи заходят в систему через удаленный рабочий стол (RDP), стандартная индивидуальная лицензия КриптоПро CSP не подойдет. Для корректной работы в многопользовательском режиме требуется серверная лицензия.
Проанализируем ситуацию: обычная лицензия позволяет инициализировать криптоядро только в рамках одной активной сессии. Когда второй пользователь попытается подписать документ в 1С, программа выдаст ошибку доступа к криптопровайдеру или сообщит об отсутствии лицензии. Серверная версия снимает эти ограничения, позволяя системе одновременно обрабатывать запросы от множества пользователей в разных RDP-сессиях.
Существует распространенное заблуждение, что система «Честный знак» требует исключительно физического присутствия USB-токена в сервере. Как показывает практика и опыт участников обсуждения, «Честному знаку» не важен тип носителя. Важна лишь корректная электронная подпись, сформированная валидным сертификатом.
Рассмотрим два основных способа организации доступа к ключу:
Разберем по шагам, как сделать так, чтобы одна подпись была доступна всем пользователям RDP-сервера через реестр:
Во-первых, необходимо установить сертификат через панель КриптоПро CSP. Запустите программу от имени администратора. Перейдите на вкладку Сервис и выберите Скопировать контейнер. В качестве источника укажите ваш USB-токен, а в качестве целевого считывателя выберите Реестр.
Во-вторых, обратите внимание на выбор хранилища. Чтобы сертификат был виден всем пользователям, а не только тому, кто его устанавливал, при установке личного сертификата (вкладка Сервис — Установить личный сертификат) выберите хранилище «Локальный компьютер» (Local Machine), а не «Текущий пользователь».
В-третьих, проанализируем права доступа. Часто пользователи сталкиваются с тем, что 1С не видит ключ в реестре. Это происходит из-за отсутствия прав на чтение ветки реестра, где хранятся контейнеры. Выясним причину: по умолчанию доступ к ветке HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Crypto Pro\Settings\Users\S-1-5-18\Keys (для 64-битных систем) ограничен. Вам потребуется предоставить группе «Пользователи» права на чтение этой ветки реестра, чтобы криптопровайдер мог подтянуть контейнер в каждой RDP-сессии.
После того как криптопровайдер настроен на уровне операционной системы, перейдем к настройкам в самой 1С. В большинстве конфигураций (УТ, Розница, БП) путь к настройкам следующий: Администрирование — Обмен электронными документами — Электронная подпись и шифрование.
Выполним следующие действия:
Программы проверим, что КриптоПро CSP определился корректно.Выполнять подписание и проверку на сервере. Если он установлен, то КриптоПро и сам сертификат должны быть установлены не только на RDP-сервере, но и на сервере, где запущена служба 1C:Enterprise Server (пользователь USR1CV8).При работе с маркировкой обуви 1С взаимодействует с API «Честного знака». В момент подписания запроса (например, при заказе кодов маркировки или вводе в оборот) 1С обращается к установленному криптопровайдеру. Если вы настроили ключ в реестре (как было описано выше), система будет мгновенно получать доступ к подписи без необходимости физического взаимодействия с токеном.
Посмотрим на пример того, как это упрощает жизнь: бухгалтер может одновременно подписывать счета-фактуры в ЭДО, а кладовщик в другой RDP-сессии — подтверждать приемку маркированной обуви. При использовании реестра конфликтов доступа к устройству не возникнет.
Проанализируем ситуацию с точки зрения закона №63-ФЗ «Об электронной подписи». Передача ключа (даже в цифровом виде через реестр) другим лицам формально является нарушением обязанности владельца обеспечивать конфиденциальность ключа. Однако в условиях автоматизации бизнес-процессов использование «серверного» ключа для маркировки является общепринятой практикой. Рекомендуется внутренним приказом по организации назначить ответственных лиц за использование данной подписи в системе 1С.
Подводя итог, можно сказать: для реализации маркировки через RDP вам критически необходима серверная лицензия КриптоПро и настройка хранения ключа в реестре сервера в ветке для локального компьютера. Это обеспечит стабильную и быструю работу всех пользователей без приобретения дополнительных токенов для каждого сотрудника.