← На главную

При внедрении систем маркировки товаров (например, "Честный знак") в организациях, использующих клиент-серверную архитектуру 1С и терминальный доступ (RDP), возникает ключевой вопрос: в какой точке системы должен находиться сертификат электронной подписи? Рассмотрим подробно, как организовать работу так, чтобы связь с Государственной информационной системой (ГИС МТ) и Станциями управления заказами (СУЗ) работала стабильно у всех пользователей.

Разберем фундаментальные понятия: что мы устанавливаем?

Для начала проанализируем структуру электронной подписи, так как от этого зависит способ её установки. Часто пользователи путают сертификат и закрытый ключ (контейнер).

• Сертификат (открытый ключ) — это общедоступный файл (условно "брелок"), который содержит информацию о владельце и сроке действия. Его можно копировать сколько угодно раз.
• Закрытый ключ (контейнер) — это собственно "ключ", которым подписываются документы. Он может храниться на физическом USB-токене (Рутокен, JaCarta), в реестре Windows или в виде папки на диске.

Выясним причину, почему место установки критично: подпись всегда должна быть доступна именно тому процессу, который выполняет криптографическую операцию. В случае с RDP-сессиями этим процессом является клиентское приложение 1С, запущенное на терминальном сервере.

Вариант 1: Работа в терминальной сессии (RDP)

Если ваши пользователи подключаются к удаленному рабочему столу и запускают 1С именно там, мы должны понимать: на их локальных компьютерах отображается только «картинка». Сама программа 1cv8.exe выполняется в памяти терминального сервера.

Рассмотрим пошагово порядок настройки в этом случае:

1. Установка КриптоПро CSP: Средство криптографической защиты информации (СКЗИ) должно быть установлено непосредственно на терминальном сервере.
2. Установка сертификата: Сертификат устанавливается в профиль пользователя на сервере. Если с подписью должны работать несколько человек под разными учетными записями Windows, сертификат (открытую часть) необходимо импортировать в личное хранилище каждого пользователя.
3. Доступ к контейнеру: Если закрытый ключ хранится в реестре сервера, необходимо убедиться, что у пользователей есть права на чтение соответствующей ветки реестра. Если же используется USB-токен, его нужно «пробросить» с локального компьютера пользователя на сервер.

Вариант 2: Подписание на стороне сервера 1С

В современных конфигурациях 1С (например, 1С:Бухгалтерия 3.0 или Управление торговлей 11) существует настройка «Выполнять функции электронной подписи и шифрования на сервере». Проанализируем, что это меняет.

Если этот флажок установлен, то за обращение к криптографии отвечает не клиентское приложение пользователя, а служба 1C:Enterprise 8 Server. В этом случае:

• КриптоПро и сертификат должны быть установлены на сервере 1С (который может быть отдельной машиной от терминального сервера).
• Установка должна производиться под той учетной записью, от которой запущена служба 1С (обычно это USR1CV8).
• Физические токены в такой схеме использовать крайне неудобно, поэтому чаще всего контейнер копируется в реестр сервера.

Проблема использования USB-токенов через RDP

Посмотрим на ситуацию, когда подпись выдана ФНС на защищенном носителе (например, Рутокен ЭЦП 3.0). С 2022 года такие ключи часто помечаются как неэкспортируемые. Это означает, что вы не сможете скопировать ключ в реестр сервера.

Чтобы использовать такой токен через RDP, выполним следующие действия:

1. В настройках подключения RDP (mstsc.exe) перейдем на вкладку «Локальные ресурсы».
2. Нажмем кнопку «Подробнее» и отметим пункт «Смарт-карты».
3. На самом терминальном сервере должна быть запущена служба «Смарт-карты» (Smart Card).

Важно помнить: при такой схеме токен «занимается» тем пользователем, который его пробросил. Одновременная работа нескольких сотрудников с одним физическим токеном через стандартный RDP практически невозможна без специального ПО (USB-редиректоры).

Вопрос лицензирования КриптоПро

Проанализируем финансовый аспект. Для работы на терминальном сервере обычная лицензия «КриптоПро CSP для рабочего места» может не подойти по условиям лицензионного соглашения или техническим ограничениям.

Если на сервере установлена роль Remote Desktop Services (RDS) и предполагается одновременная работа нескольких пользователей с криптографией, компания КриптоПро требует приобретения серверной лицензии. Она стоит существенно дороже клиентской, но обеспечивает корректную работу службы в многопользовательском режиме.

Использование Машиночитаемых доверенностей (МЧД)

Чтобы избежать необходимости «перетыкания» одного директорского токена между сотрудниками или рискованного копирования ключей, разберем современный стандарт работы. Сейчас рекомендуется использовать личные подписи сотрудников (физических лиц).

В 1С это настраивается следующим образом: каждый сотрудник устанавливает свой личный сертификат на свой ПК или в свой профиль RDP. В настройках обмена с «Честным знаком» прикладывается МЧД, выданная директором этому сотруднику. Это самый безопасный и технически грамотный вариант для работы с маркировкой в крупных организациях.

Краткие выводы и рекомендации

Подведем итог нашему анализу:

• Если работа идет через RDP — ставим КриптоПро и сертификаты на терминальный сервер.
• Если используется тонкий клиент (подключение по протоколу http/https) — ставим всё на локальную машину пользователя.
• Для неэкспортируемых ключей ФНС используем проброс смарт-карт в настройках RDP-клиента.
• При работе нескольких человек всегда проверяйте наличие серверной лицензии КриптоПро, чтобы избежать блокировок или ошибок доступа.

Соблюдение этих правил позволит вам избежать большинства ошибок, связанных с тем, что «1С не видит сертификат» или «контейнер закрытого ключа не найден».