← На главную

В процессе эксплуатации информационных систем на базе 1С:Предприятие, опубликованных на веб-сервере IIS с использованием Аутентификации ОС, администраторы могут столкнуться с трудновоспроизводимой ошибкой. Пользователи периодически получают сообщение «Нет прав на запуск требуемого вида клиента», при этом повторная попытка входа через F5 часто приводит к успеху. Разберем детально, почему это происходит и как устранить данную проблему.

Выясним истинную причину ошибки

При анализе логов IIS часто фиксируется ошибка 412 (Precondition Failed). Это указывает на то, что веб-сервер корректно принимает запрос, но при попытке передать его в 1С происходит конфликт условий. Проблема заключается не в правах пользователя или настройках браузера, а в механизме обработки аутентификации при совместном использовании веб-клиента и HTTP-сервисов в одной публикации.

Когда вы публикуете базу 1С, IIS создает виртуальный каталог. Если в этой же базе активно работают HTTP-сервисы (например, для обмена данными с внешними системами под технической учетной записью Windows), происходит следующее:

1. Запрос от внешнего сервиса вызывает HTTP-соединение с авторизацией ОС.
2. В этот момент IIS может ошибочно ассоциировать сеанс обычного пользователя веб-клиента с контекстом технического пользователя HTTP-сервиса.
3. Платформа 1С видит, что у «подмененного» пользователя отсутствуют права на запуск веб-клиента (так как он является технической учетной записью), и блокирует соединение.

Разберем по шагам решение проблемы: разделение публикаций

Самым эффективным и надежным способом решения данной архитектурной ошибки является изоляция веб-клиента от HTTP-сервисов. Рассмотрим, как это реализовать на практике.

Способ 1: Использование разных виртуальных каталогов или портов

Если ваша инфраструктура позволяет, разделите доступ к прикладным интерфейсам. Мы можем опубликовать веб-клиент на одном порту (например, стандартном 80 или 443), а HTTP-сервисы — на другом.

• Создайте в IIS два разных веб-сайта или два разных виртуальных каталога.
• Для веб-клиента настройте публикацию, где будут включены только Web-сервисы и Интерфейс веб-клиента.
• Для интеграционных обменов создайте отдельную публикацию, в которой будут опубликованы только необходимые HTTP-сервисы.

Благодаря этому запросы к сервисам не будут пересекаться с сессиями пользователей веб-клиента в рамках одного пула приложений IIS.

Способ 2: Разделение пулов приложений

Если вы ограничены в ресурсах и не можете разнести публикацию на разные порты, попробуйте настроить разные пулы приложений (Application Pools) для разных частей веб-приложения. Разделение процессов в IIS помогает предотвратить «перетекание» контекста авторизации между задачами.

Важные рекомендации по настройке

В процессе устранения неполадок обратите внимание на следующие аспекты:

• Обновление платформы: Разработчики 1С постоянно работают над оптимизацией механизмов аутентификации. Если ваша версия платформы ниже 8.3.22.x, настоятельно рекомендуем запланировать обновление. В исправляющих релизах платформы 1С были внесены корректировки, исключающие подобные ошибки сопоставления сеансов.
• Проверка прав учетной записи пула: Убедитесь, что доменный пользователь, от имени которого запущен пул приложений IIS, имеет достаточные права доступа к файлам конфигурации default.vrd и папке установки платформы.
• Исключите влияние кэша: Помните, что очистка кэша браузера в данной ситуации не даст результата, так как ошибка носит серверный характер. Не тратьте время на локальные настройки рабочих станций, пока не будет произведено разделение публикации на стороне IIS.

Проанализируем мониторинг

Для подтверждения того, что вы устранили проблему, используйте Журнал регистрации. В нем при возникновении ошибки вы должны видеть записи типа «Доступ. Отказ в доступе», где субъектом выступает технический пользователь HTTP-сервиса, хотя в этот момент он не должен был пытаться войти через веб-клиент. После применения описанных выше методов разделения, записи об ошибках подобного рода в журнале должны исчезнуть.

Таким образом, архитектурное разделение публикаций в IIS — это проверенный и стабильный способ обеспечить бесперебойную работу веб-клиента 1С в нагруженных средах, где активно используются механизмы HTTP-интеграции.