Почему не работает доменная аутентификация в веб-клиенте 1С и как это исправить?

← На главную

Многие администраторы сталкиваются с ситуацией, когда при публикации 1С на веб-сервере IIS и включении аутентификации Windows пользователи все равно видят окно ввода логина и пароля 1С. Разберем детально, почему это происходит и какие шаги необходимо предпринять для настройки бесшовного входа.

Шаг 1. Настройка доверия в браузере (Local Intranet)

Самая частая причина, по которой браузеры отказываются передавать учетные данные Windows, — это настройки безопасности. Современные браузеры, такие как Chrome, Edge или Firefox, по умолчанию считают любой веб-ресурс «внешним» и блокируют автоматическую отправку токенов аутентификации.

Откройте «Свойства браузера» (или «Свойства обозревателя») в панели управления Windows.
Перейдите на вкладку «Безопасность».
Выберите зону «Местная интрасеть» (Local Intranet) и нажмите кнопку «Сайты».
В открывшемся окне нажмите «Дополнительно» и добавьте URL-адрес вашего веб-сервера 1С.
Сохраните изменения и обязательно перезапустите браузер.

После добавления сайта в эту зону браузер начнет доверять ресурсу и разрешит автоматическую передачу учетных данных текущего пользователя Windows.

Шаг 2. Настройка пула приложений IIS

Если веб-сервер IIS и сервер 1С разнесены на разные машины, важно правильно настроить учетную запись, от имени которой выполняется публикация. Если пул приложений запущен от имени ApplicationPoolIdentity, он не сможет корректно делегировать права доменного пользователя.

Рекомендация: Измените учетную запись пула приложений на конкретную доменную учетную запись. Убедитесь, что эта запись имеет права доступа к каталогу публикации на сервере и права на выполнение операций в кластере серверов 1С.

Шаг 3. Делегирование и протокол Kerberos (Проблема двойного прыжка)

Ситуация, когда пользователь заходит через браузер на IIS, а IIS обращается к серверу 1С, называется «двойным прыжком» (Double Hop). Если в вашей инфраструктуре используется протокол Kerberos, он может блокировать передачу данных, если не настроены Service Principal Names (SPN).

Для исправления ситуации выполните следующие действия:

Проверьте, правильно ли настроен SPN для доменной учетной записи, от имени которой работает пул приложений IIS.
Если настройки Kerberos избыточно сложны, можно временно проверить работу через NTLM, однако для повышения безопасности рекомендуется настроить именно Kerberos-авторизацию.

Шаг 4. Проверка файла default.vrd

Файл default.vrd является ключевым для конфигурации веб-сервера 1С. При публикации через конфигуратор настройки иногда могут записываться некорректно. Проверьте содержимое файла в корневой директории вашей публикации:


<?xml version="1.0" encoding="UTF-8"?>
<vrs xmlns="http://v8.1c.ru/8.2/virtual-resource-system">
    <ws>
        <point alias="my_app" base="/my_app" ib="Srvr=Server1C;Ref=BaseName;">
            <standardProcessing enabled="true"/>
        </point>
    </ws>
</vrs>

Убедитесь, что параметры подключения ib указаны верно, а веб-сервер IIS настроен на работу с Windows Authentication. Если в консоли разработчика браузера (F12) на вкладке «Сеть» вы наблюдаете ошибку 401 Unauthorized, это прямой сигнал к тому, что проблема именно на этапе первичного «рукопожатия» между IIS и браузером.

Диагностика и тестирование

Чтобы локализовать проблему, воспользуйтесь простым методом: попробуйте открыть веб-клиент 1С непосредственно с самого сервера, на котором установлен IIS. Если вход проходит успешно, значит, проблема однозначно лежит в области настроек безопасности сети или доверия браузера (интранет-зоны). Если же и с сервера зайти не получается, значит, необходимо проверять настройки самой IIS (проверку подлинности Windows) и настройки default.vrd.

Помните, что аутентификация операционной системы в 1С требует, чтобы пользователь домена был заведен в справочнике «Пользователи» самой 1С, и для него был настроен способ аутентификации «Аутентификация операционной системы» с привязкой доменного имени.