← На главную

Рассмотрим распространенную ситуацию в корпоративной среде: у пользователей настроена сквозная аутентификация ОС (аутентификация Windows / Active Directory), и вход в информационные базы 1С происходит автоматически без запроса логина и пароля. Однако сразу после смены пароля администратора или доменной учетной записи на сервере при запуске 1С начинает появляться стандартное окно авторизации с требованием ввести пароль.

Выясним причину сбоя аутентификации

Проанализируем механику работы аутентификации Windows на сервере 1С:Предприятия. Когда пользователь запускает клиентское приложение, платформа пытаются пройти сквозную проверку подлинности с использованием протоколов NTLM или Kerberos (SSPI).

Проверка токенов безопасности выполняется рабочими процессами rphost, которые наследуют контекст безопасности главной службы «Агент сервера 1С:Предприятия». Если служба 1С была запущен от имени доменной учетной записи (например, администратора или специального пользователя), то после смены пароля этой учетной записи происходят следующие события:

1. Расхождение учетных данных: В оснастке служб Windows сохраняются устаревшие данные входа. Служба продолжает работу с кэшированным маркером безопасности или сталкивается с ошибкой проверки тикетов.
2. Потеря контекста безопасности: Процессы rphost не могут валидировать доменные билеты пользователей через контроллер домена Active Directory.
3. Откат на стандартную форму входа: Платформа 1С:Предприятие не завершает работу аварийно, а автоматически сбрасывает механизм входа на показ диалогового окна аутентификации 1С.

Разберем по шагам порядок решения проблемы

Для восстановления автоматического сквозного входа пользователей выполним следующие действия:

1. Обновление пароля в настройках службы Windows:

   Перейдем на сервер приложений 1С и откроем оснастку управления службами (комбинация клавиш Win + R, затем команда services.msc). Найдем службу с именем 1C:Enterprise 8.3 Server Agent (или аналогичную для вашей версии). Откроем свойства службы и перейдем на вкладку Вход в систему. Введем актуальный новый пароль учетной записи и подтвердим его.

2. Проверка статуса учетной записи в Active Directory:

   Если служба предпринимала попытки повторного подключения с неверными кэшированными данными, доменная учетная запись могла заблокироваться. В оснастке «Active Directory — пользователи и компьютеры» проанализируем состояние учетной записи и при необходимости снимем блокировку (Account Lockout).

3. Перезапуск служб сервера 1С:

   Перезапустим службу «Агент сервера 1С:Предприятия». В процессе перезапуска автоматически завершатся и заново создадутся управляющие и рабочие процессы ragent, rmngr и rphost, приняв обновленные доменные учетные данные.

4. Сброс кэша Kerberos на клиентах (при необходимости):

   Если у отдельных пользователей окно авторизации продолжает выводиться, сбросим кэшированные Kerberos-билеты на их рабочих станциях. Для этого в командной строке выполним:

   klist purge

Рекомендации по настройке учетной записи службы 1С

Чтобы избежать подобных сбоев в будущем, соблюдем основные правила системного администрирования серверов 1С:

1. Не использовать личные и административные учетные записи: Служба сервера 1С должна запускаться от имени специально созданной сервисной доменной учетной записи (например, usr1cv8) с минимально необходимыми локальными правами.
2. Бессрочный пароль: Для сервисной учетной записи в Active Directory следует установить параметр «Срок действия пароля не ограничен» (Password never expires).
3. Использование gMSA: В современной доменной инфраструктуре рекомендуется запуск службы 1С от имени управляемой учетной записи gMSA (Group Managed Service Account), где обновление паролей происходит автоматически на уровне Active Directory без остановки сервисов.