← На главную

При работе с программными продуктами 1С и системами электронного документооборота (ЭДО), такими как "Контур Диадок", часто возникает необходимость использования электронной цифровой подписи (ЭЦП) — для этих систем есть автоматическая выгрузка документов из Диадок и СБИС. Особенно остро проблема проявляется при подключении к удаленному рабочему столу (RDP), когда токены с ЭЦП вставлены в локальный компьютер пользователя, а не напрямую в сервер. Пользователи сталкиваются с ситуацией, когда ЭЦП не "подтягиваются" в обработку 1С, хотя, казалось бы, все необходимые настройки выполнены. Давайте вместе разберем эту непростую ситуацию и выясним, почему так происходит и как обеспечить корректную работу ЭЦП через RDP.

Основные принципы работы ЭЦП через RDP

Прежде всего, давайте развенчаем распространенный миф о том, что RDP якобы блокирует работу с ЭЦП. Это не так. Современные версии протокола RDP обладают функциональностью для перенаправления локальных устройств, включая смарт-карты и USB-токены. При правильной настройке RDP позволяет удаленному сеансу "видеть" и использовать токен, вставленный в клиентский компьютер.

Для того чтобы проброс ЭЦП через RDP состоялся, необходимо учесть несколько ключевых моментов:

1. Настройка RDP-подключения: В параметрах ярлыка RDP-подключения (для удобства можно использовать EasyRDPHub — простой способ управлять удалёнными подключениями), которым мы пользуемся для входа на сервер, должны быть включены опции перенаправления смарт-карт. Это позволяет операционной системе удаленного сервера распознать локальный считыватель смарт-карт.
2. Драйверы и криптопровайдеры на сервере: На удаленном сервере, к которому мы подключаемся, должны быть установлены соответствующие драйверы для используемого типа токена и криптопровайдер, поддерживающий алгоритмы шифрования ГОСТ 34.10-2012. Даже если эти компоненты установлены на локальном компьютере, их наличие и корректная работа на сервере являются обязательными условиями.
3. Пользовательские права: Учетная запись пользователя, под которой мы авторизуемся на сервере и запускаем 1С, должна обладать необходимыми правами для доступа к перенаправленным смарт-картам. В некоторых случаях стандартных прав может быть недостаточно, и потребуются дополнительные настройки безопасности.

Пошаговая проверка и настройка проброса ЭЦП

Когда ЭЦП не отображается в 1С, нам необходимо последовательно проверить все звенья цепочки, от клиента до сервера и конкретной обработки 1С. Рассмотрим подробнее каждый шаг.

1. Проверка настроек RDP-подключения на клиентской машине.

   Первым делом мы убеждаемся, что наш RDP-ярлык настроен на проброс смарт-карт. Для этого:

   1. Откройте ярлык .rdp (выполнив быстрое подключение к RDP) через контекстное меню (правая кнопка мыши -> "Изменить").
   2. Перейдите на вкладку "Локальные ресурсы".
   3. В разделе "Локальные устройства и ресурсы" нажмите кнопку "Подробнее...".
   4. Убедитесь, что в списке устройств и ресурсов установлена галочка напротив пункта "Смарт-карты" (Smart cards). Если токен является обычным USB-устройством, иногда полезно также попробовать установить галочку напротив "Устройства с поддержкой Plug and Play" или конкретных USB-устройств, если это возможно, но основной фокус делаем на смарт-картах.

   Сохраните изменения в ярлыке и попробуйте переподключиться.

2. Установка и проверка драйверов и криптопровайдера на сервере.

   Далее мы переходим к проверке серверной части. При проектировании систем стоит учитывать концепцию защищенной IT инфраструктуры. На сервере, к которому мы подключаемся, должны быть установлены:

   1. Драйверы для используемого токена: Если вы используете Рутокен, JaCarta, eToken или любой другой токен, убедитесь, что соответствующие драйверы установлены на сервере. Это должны быть последние версии драйверов с официальных сайтов производителей.
   2. КриптоПро CSP: Автор темы упомянул, что используется КриптоПро CSP 5.0. Мы должны убедиться, что он установлен, лицензирован и активно работает на сервере. Проверить это можно, открыв утилиту "КриптоПро CSP" (через Панель управления или поиск). Проверьте вкладку "Общие" на наличие лицензии и ее срок действия.
   3. Служба "Распространение сертификатов": Эта служба Windows (Certificate Propagation Service) отвечает за корректное отображение сертификатов со смарт-карт в хранилище Windows. Мы должны убедиться, что она запущена и работает в автоматическом режиме. Проверить статус службы можно через "Диспетчер задач" -> вкладка "Службы" или через утилиту services.msc. В случае проблем, попробуйте перезапустить эту службу.

3. Проверка видимости сертификата в хранилище Windows на сервере.

   Это критически важный шаг. Если операционная система на сервере не "видит" сертификат, то и 1С его не увидит. Мы проверяем это следующим образом:

   1. После подключения через RDP (с активным токеном в локальном ПК) и входа под той же учетной записью, что используется для работы с 1С, запустите утилиту управления сертификатами Windows. Для этого нажмите Win + R, введите certmgr.msc и нажмите Enter.
   2. В открывшемся окне перейдите в раздел "Личное" -> "Сертификаты".
   3. Мы должны увидеть наш сертификат, проброшенный с локального токена. Если сертификата нет, это означает, что проблема находится на уровне проброса RDP или драйверов, и нам нужно вернуться к предыдущим шагам.

   Важно: Проверку необходимо выполнять именно под той учетной записью пользователя, которая будет работать с 1С, поскольку сертификаты часто привязываются к профилю пользователя.

4. Проверка пользовательских прав.

   Мы должны убедиться, что у пользователя, работающего в сеансе RDP, есть достаточные права для доступа к перенаправленным смарт-картам. В редких случаях могут потребоваться дополнительные настройки разрешений безопасности для группы пользователей, работающих с токенами, или даже для папок КриптоПро CSP, но обычно это не требуется, если КриптоПро установлен корректно.

Специфика интеграции с "Контур Диадок" и сравнение со "СБИС"

Автор вопроса справедливо отметил, что со "СБИС" проброс ЭЦП через RDP работает без проблем, в то время как с "Контур Диадок" возникают трудности. Это очень важный аспект, поскольку он указывает на возможную причину проблемы в самой интеграции или плагине ЭДО.

1. Особенности плагинов "Контур Диадок".

   Различные системы ЭДО, такие как "Контур Диадок" и "СБИС", используют свои уникальные механизмы взаимодействия с 1С и криптопровайдерами. Эти механизмы могут сильно отличаться:

   • Дополнительные компоненты: "Контур Диадок" может требовать установки специального плагина, такого как "Контур.Крипто", или других компонентов, которые обеспечивают интеграцию с КриптоПро CSP и доступ к сертификатам. Мы должны убедиться, что все необходимые компоненты "Контура" установлены на сервере и корректно функционируют.
   • Зависимость от веб-компонентов: Некоторые плагины ЭДО используют веб-технологии и могут зависеть от браузерных расширений или настроек безопасности веб-браузера, даже если работа происходит внутри 1С. В условиях RDP или
     Скопировать код

     
     RemoteApp
     

     это может создавать дополнительные сложности.
   • Актуальность версий: Мы всегда должны использовать актуальные версии обработки "Контур Диадок" для 1С, плагинов Контура и КриптоПро CSP. Разработчики постоянно выпускают обновления, содержащие исправления ошибок и улучшения совместимости, особенно в условиях удаленного доступа.

2. Почему "СБИС" может работать иначе.

   Автор упомянул, что для "СБИС" ему пришлось запускать плагин в одной сессии с 1С через CMD-файл. Это указывает на специфический механизм инициализации или перенаправления, который может быть уникален для "СБИС". Возможно, плагин "СБИС" более гибко или универсально обрабатывает доступ к локальным криптосредствам в RDP-сессии, или же имеет встроенные механизмы эмуляции, которые не требуют таких строгих условий, как "Контур Диадок". "Контур Диадок" может использовать другой, более прямой, но менее адаптивный подход к поиску сертификатов.

Рекомендации по диагностике и решению проблемы в "Контур Диадок"

Когда общие настройки RDP и драйверов проверены, а проблема остается, нам необходимо углубиться в специфику "Контур Диадок".

1. Изучение документации и логов "Контур Диадок".

   Мы должны обратиться к официальной документации "Контур Диадок" по интеграции с 1С и работе в терминальных сессиях. Часто разработчики предоставляют подробные инструкции и рекомендации. Кроме того, многие плагины и обработки имеют собственные диагностические утилиты или генерируют логи, которые могут содержать ценную информацию об ошибках при поиске сертификатов. Изучите эти логи, они могут прямо указать на причину.

2. Обращение в техническую поддержку "Контур Диадок".

   Учитывая специфичность проблемы и тот факт, что "СБИС" работает, а "Контур Диадок" нет, наиболее эффективным шагом будет обращение в техническую поддержку самого сервиса "Контур Диадок". Специалисты "Контура" лучше всего знают особенности своего продукта, его взаимодействия с 1С и КриптоПро, а также имеют опыт решения подобных проблем в условиях RDP. Они могут предоставить специализированные диагностические утилиты или конкретные инструкции, разработанные для таких ситуаций.

3. Актуализация всех компонентов.

   Мы должны убедиться, что все используемые компоненты обновлены до последних версий:

   • Платформа 1С:Предприятие.
   • Конфигурация 1С (БП 3.0).
   • Внешняя обработка "Контур Диадок".
   • Плагины "Контур.Крипто" или аналогичные.
   • Драйверы токенов.
   • КриптоПро CSP.

   Обновления часто содержат критические исправления, влияющие на совместимость и стабильность работы.

4. Перезапуск служб и системы.

   Иногда простая перезагрузка может решить проблему. Мы можем попробовать перезапустить службу "Распространение сертификатов" на сервере, а также выполнить полную перезагрузку как клиентского компьютера, так и удаленного сервера. Это может помочь сбросить временные ошибки и применить все изменения настроек.

Альтернативные подходы к работе с ЭЦП на сервере

Если после всех попыток настроить проброс ЭЦП через RDP мы сталкиваемся с постоянными проблемами, стоит рассмотреть альтернативные, более надежные, хотя и более сложные, подходы к работе с ЭЦП в серверной инфраструктуре.

Один из таких подходов — это установка закрытого ключа ЭЦП непосредственно на сервере. Это может быть реализовано с использованием специализированных серверных токенов (аппаратные модули безопасности, HSM) или через облачные сервисы для хранения ключей. Такой подход исключает зависимость от проброса через RDP, но требует более высокого уровня безопасности, поскольку ключи находятся на сервере, и соответствующего администрирования. Мы должны тщательно взвесить все риски и преимущества перед внедрением такого решения.

Также существуют другие протоколы удаленного доступа, такие как AnyDesk, о чем упомянул один из участников форума. Хотя RDP является стандартом и при правильной настройке полностью поддерживает проброс смарт-карт, некоторые альтернативные решения могут иметь свои механизмы проброса устройств, которые в определенных случаях оказываются более надежными или простыми в настройке. Однако, мы всегда рекомендуем сначала исчерпать все возможности стандартного RDP, прежде чем переходить к альтернативам.

В итоге, проблема с "не подтягивающимися" ЭЦП в "Контур Диадок" через RDP является комплексной и требует систематического подхода к диагностике. Начиная с проверки базовых настроек RDP и драйверов, и заканчивая углубленным анализом специфики плагина "Контур Диадок" и, при необходимости, обращением в его техническую поддержку, мы сможем добиться стабильной работы ЭЦП в нашей 1С.