Почему не видно списка пользователей домена при настройке доменной авторизации в 1С

Настройка доменной авторизации — это стандартная процедура для обеспечения удобства пользователей и безопасности системы. Однако часто системные администраторы и специалисты 1С сталкиваются с ситуацией, когда при попытке выбрать пользователя из Active Directory (AD) в конфигураторе, список оказывается пустым. Рассмотрим подробно, почему это происходит и как решить данную проблему, пройдя по всем уровням инфраструктуры: от операционной системы до настроек самой платформы.

Шаг 1. Проверка вхождения сервера в домен

Прежде всего, разберем базовое требование. Чтобы платформа 1С могла обращаться к объектам Active Directory, сервер, на котором запущен «Агент сервера 1С:Предприятие», должен быть полноправным членом этого домена. Если сервер находится в рабочей группе (Workgroup), он не сможет пройти проверку подлинности в контроллере домена для получения списка пользователей.

Проанализируем ситуацию: проверьте свойства системы на сервере приложений. Если сервер уже в домене, попробуйте перезагрузить его или переввести в домен, так как возможна потеря доверительных отношений между рабочей станцией и доменом.

Шаг 2. Настройка учетной записи службы «Агент сервера 1С»

Это одна из самых частых причин проблемы. По умолчанию служба 1С часто устанавливается от имени локальной системной учетной записи LocalSystem или специально созданной локальной учетной записи USR1CV8. Рассмотрим, почему это мешает работе:

1. Локальная учетная запись не имеет прав на сетевые запросы к контроллеру домена от своего имени.
2. Доменная учетная запись необходима для того, чтобы служба могла авторизоваться в AD и выполнить запрос на чтение списка пользователей (LDAP-запрос).

Разберем по шагам, как настроить учетную запись службы:

• Создайте в домене специального пользователя (например, svc_1c_server).
• Назначьте этому пользователю права Read (Чтение) на все объекты в нужных вам Organizational Units (OU) в Active Directory.
• В оснастке «Службы» (services.msc) найдите Агент сервера 1С:Предприятия, перейдите на вкладку «Вход в систему» и укажите данные созданной доменной учетной записи.
• Важно: не забудьте предоставить этой учетной записи права на папку с данными сервера (по умолчанию C:\Program Files\1cv8\srvinfo) и необходимые права в локальной политике безопасности (Log on as a service).

Шаг 3. Сетевая связность и открытие портов

Выясним причину, связанную с сетевыми экранами (Firewalls). Для получения списка пользователей 1С использует протокол LDAP. Если между сервером 1С и контроллером домена стоит фаервол, список будет пуст. Проанализируем список необходимых портов:

• TCP/UDP 389: Стандартный протокол LDAP. Без него запросы к AD не пройдут.
• TCP 3268: Глобальный каталог (Global Catalog). Он критически важен, если ваша доменная структура состоит из нескольких доменов (лес доменов), и вам нужно видеть пользователей из всех частей леса.
• TCP/UDP 53 (DNS): Сервер 1С должен корректно разрешать имя домена в IP-адреса. Проверьте, что в настройках сетевой карты сервера 1С указаны именно доменные DNS-серверы.
• TCP/UDP 88 (Kerberos): Необходим для самой авторизации пользователей.

Посмотрим на пример проверки порта через PowerShell:

Test-NetConnection -ComputerName dc1.yourdomain.local -Port 389
Test-NetConnection -ComputerName dc1.yourdomain.local -Port 3268

Шаг 4. Ограничения Active Directory (MaxPageSize)

Проанализируем ситуацию, когда в домене очень много пользователей (более 1000). В Active Directory существует политика MaxPageSize, которая ограничивает количество объектов, возвращаемых за один LDAP-запрос. Если платформа 1С запрашивает список без использования механизма постраничной выдачи (paging), а количество пользователей превышает лимит, контроллер домена может вернуть ошибку или пустой результат.

В этом случае стоит проверить настройки политики LDAP на контроллере домена с помощью утилиты ntdsutil, хотя чаще всего проблема решается ограничением области поиска пользователей (перемещением нужных пользователей в отдельный OU и предоставлением прав только на него).

Шаг 5. Особенности работы 1С на ОС Linux

Если ваш сервер 1С работает под управлением Linux, настройка значительно усложняется. Рассмотрим основные моменты:

1. Сервер должен быть введен в домен (например, через realmd или samba/winbind).
2. Должен быть корректно настроен файл /etc/krb5.conf.
3. Необходимо создать файл keytab и прописать SPN (Service Principal Name).
4. Для отображения списка пользователей часто требуется установленная библиотека gss-ntlmssp.

Пример части конфигурации krb5.conf, которую мы должны проверить:

[libdefaults]
    default_realm = YOURDOMAIN.LOCAL
    dns_lookup_realm = false
    dns_lookup_kdc = true

[realms]
    YOURDOMAIN.LOCAL = {
        kdc = dc1.yourdomain.local
        admin_server = dc1.yourdomain.local
    }

Шаг 6. Диагностика с помощью системных утилит

Чтобы окончательно убедиться, в чем проблема — в 1С или в настройках ОС — выполним проверку «от противного». Запустите на сервере 1С (под той же учетной записью, под которой работает служба Агента) утилиту ldp.exe или ADSIEdit.msc.

Рассмотрим алгоритм проверки в ldp.exe:

• Меню Connection -> Connect (введите имя контроллера домена).
• Меню Connection -> Bind (выберите текущего пользователя).
• Меню View -> Tree.

Если в этих утилитах вы не видите список пользователей или получаете ошибку доступа, значит, проблема в правах или сети, и 1С здесь ни при чем. Нужно копать в сторону разрешений в Active Directory.

Резюме

Для успешного отображения списка доменных пользователей в 1С необходимо соблюдение трех условий: сервер в домене, служба запущена от доменного пользователя с правами на чтение AD и открыты LDAP-порты. Если все эти условия соблюдены, но списка все равно нет, обратите внимание на версию платформы 1С — в старых релизах встречались ошибки взаимодействия с LDAP в 64-битных системах.