При организации удаленной работы через терминальный сервер (RDP) часто возникает классическая дилемма: программа 1С находится на сервере, а физический носитель с электронной подписью (токен) или установленный сертификат — на локальном компьютере бухгалтера. Для полноценной работы 1С-ЭДО системе необходим доступ к закрытому ключу подписи — для этого есть интерфейс для ведения юридически значимого ЭДО в 1С. Разберем детально, как обеспечить эту связь, не нарушая безопасность и работоспособность других программ, таких как «Астрал».
Проанализируем первый и самый очевидный способ — физическое копирование сертификата и контейнера закрытого ключа на терминальный сервер. Этот метод удобен тем, что после настройки подпись будет доступна пользователю всегда, независимо от того, вставлен ли токен в его локальный компьютер в данный момент.
Рассмотрим пошагово, как это реализовать:
КриптоПро CSP необходимо выполнить копирование контейнера на флешку или в реестр, если это разрешено политиками безопасности.КриптоПро CSP (кнопка «Установить личный сертификат»), связав его с импортированным контейнером.Важный нюанс: Если вы используете «Астрал» на локальном компьютере, его работа не нарушится. Как правильно заметили участники обсуждения, электронная подпись — это по сути цифровой паспорт. Вы можете сделать его копию и использовать в разных местах одновременно.
Если политика безопасности компании запрещает хранить копии ключей в реестре сервера, или если подпись записана на неизвлекаемый токен (например, Рутокен ЭЦП 2.0/3.0), нам необходимо настроить «проброс» устройства. В этом случае сервер будет думать, что токен вставлен непосредственно в него.
Выясним, как настроить этот механизм:
mstsc.exe).Теперь при подключении к серверу служба смарт-карт пробросит ваш токен в удаленную сессию. 1С увидит подпись так, будто она подключена локально. Обратите внимание: для стабильной работы этого метода на сервере должна быть запущена служба Смарт-карты (тип запуска — «Автоматически»).
Ситуация с лицензиями часто вызывает путаницу. Существует миф, что на серверную ОС Windows Server обязательно нужна серверная лицензия за несколько десятков тысяч рублей. Разберем реальное положение дел:
Если на сервере развернута роль Remote Desktop Services (RDS), обычная клиентская лицензия КриптоПро действительно может не активироваться. Однако есть три пути решения:
КриптоПро CSP. В этом случае программа на сервере будет работать бесплатно, «подхватывая» лицензию из самого сертификата.Проанализируем ситуацию, когда на локальном ПК стоит ViPNet CSP (часто используется для «Астрала»), а для 1С-ЭДО требуется КриптоПро CSP.
Критически важно: установка двух разных криптопровайдеров на один сервер — это высокий риск нестабильности системы. Это может привести к критическим ошибкам Windows (BSOD). Если вам необходимо использовать оба продукта, следуйте правилам:
ViPNet, затем КриптоПро).ViPNet CSP отключите поддержку протокола TLS, чтобы он не конфликтовал с аналогичной функцией КриптоПро.Если вы решили копировать контейнер в реестр сервера, помните о разграничении прав. По умолчанию контейнер, установленный в ветку HKEY_CURRENT_USER, виден только этому пользователю.
Если стоит задача сделать так, чтобы подписью могли пользоваться несколько сотрудников (например, под одной учетной записью 1С, но разными RDP-аккаунтами), контейнер нужно устанавливать в хранилище Компьютер (Local Machine). Для этого в КриптоПро при копировании выберите соответствующий переключатель. Это потребует прав администратора на сервере.
Рассмотрим пример пути в реестре, где хранятся такие ключи:
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Crypto Pro\Settings\Users\S-1-5-21...\Keys
Если работа с пробросом токенов и установкой криптопровайдеров на сервер кажется слишком сложной, рассмотрим современный вариант — облачные подписи. Для этой задачи есть инструмент для подписания документов в 1С через смартфон.
При использовании 1С-ЭДО с облачным сертификатом (через сервис 1С-ЭДО или сторонних операторов) вам не нужно физически подключать токен к серверу. Подтверждение операции происходит через SMS или мобильное приложение — для этого подойдёт сервис интеграции 1С с мобильной подписью Госключ. Это полностью снимает проблему «видимости» ключа в RDP-сессии и вопросы серверного лицензирования криптографии.
Резюмируем: для настройки 1С-ЭДО через RDP наиболее стабильным является метод проброса смарт-карт в настройках RDP-клиента или использование облачной подписи. Если же вы выбираете копирование на сервер, убедитесь в наличии лицензии (или проверьте наличие встроенной в сертификат ФНС) и избегайте конфликта между КриптоПро и ViPNet.