Почему не удается пройти авторизацию на веб-сервере IIS при входе в 1С и как это исправить?

← На главную

При публикации информационной базы 1С:Предприятие на веб-сервере Microsoft Internet Information Services (IIS) системные администраторы и разработчики часто сталкиваются с ситуацией, когда окно авторизации отклоняет корректные учетные данные пользователей 1С или учетные записи операционной системы. При этом, если удалить всех пользователей из конфигурации 1С, вход в базу осуществляется без запроса пароля. Разберем детально, почему возникает такой конфликт и как правильно настроить веб-сервер и права в базе данных.

Причина 1: Конфликт механизмов аутентификации в IIS

Основная причина циклического запроса логина и пароля заключается в том, кто именно выполняет проверку подлинности: сам веб-сервер IIS или модуль расширения веб-сервера 1С (wsisapi.dll). Если в параметрах опубликованного сайта в IIS активирована Проверка подлинности Windows (Windows Authentication) или Базовая проверка подлинности (Basic Authentication), веб-сервер пытается сопоставить вводимые логин и пароль с локальными или доменными пользователями операционной системы Windows, перехватывая HTTP-заголовок Authorization и не передавая его платформе 1С.

Для того чтобы аутентификация выполнялась средствами самой платформы 1С:Предприятие (по списку пользователей базы), разберем по шагам правильную настройку IIS:

Откроем Диспетчер служб IIS (inetmgr).
В дереве подключений слева раскроем ветку сервера, затем папку Сайты (Sites) → Default Web Site и выберем виртуальный каталог нашей опубликованной базы 1С.
В центральной панели перейдем в раздел Аутентификация (Проверка подлинности / Authentication).
Убедимся, что для пункта Анонимная проверка подлинности (Anonymous Authentication) установлено состояние Включено (Enabled).
Отключим все остальные типы аутентификации: Проверка подлинности Windows, Базовая проверка подлинности и Дайджест-проверка подлинности должны иметь состояние Отключено (Disabled).
Выполним перезапуск веб-сервера IIS командой iisreset в командной строке или через панель действий диспетчера IIS.

Причина 2: Настройка параметров файла публикации default.vrd

Управление методами входа также задается в конфигурационном файле публикации default.vrd, который платформа 1С создает в каталоге публикации. Проанализируем ключевые атрибуты корневого узла <point>:

Параметр enableStandardAuthentication="true" разрешает использование стандартной проверки подлинности платформы 1С (по логину и паролю пользователя информационной базы).
Параметр enableOSAuthentication="false" отключает сквозную аутентификацию средствами операционной системы, предотвращая лишние запросы со стороны браузера при отсутствии настроенного доменного окружения.

Посмотрим на пример структуры файла default.vrd для корректной стандартной авторизации пользователей 1С:


<?xml version="1.0" encoding="UTF-8"?>
<point xmlns="http://v8.1c.ru/8.2/virtual-resource-system"
       xmlns:xs="http://www.w3.org/2001/XMLSchema"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       base="/base_name"
       ib="File=&quot;C:\Bases\MyBase&quot;;"
       enableStandardAuthentication="true"
       enableOSAuthentication="false">
    <ws/>
    <httpServices/>
</point>

Причина 3: Права роли пользователя на запуск веб-клиента

Если параметры веб-сервера настроены корректно, но пользователь 1С все равно не может войти в систему или получает сообщение об ограничении прав доступа, проверим настройки прав в конфигураторе 1С:

Откроем информационную базу в режиме Конфигуратор.
Перейдем в дерево метаданных: ветка Общие → Роли.
Откроем роль, назначенную пользователю (или роль с полными правами).
В свойствах корня конфигурации (самый верхний элемент дерева прав роли) проверим наличие флага Веб-клиент. Без этого права запуск пользовательского сеанса через браузер блокируется платформой.

Причина 4: Права доступа к файлам и каталогам (NTFS)

Для стабильной работы веб-сервисов и веб-клиента необходимо предоставить сервисной учетной записи IIS корректные права на уровне файловой системы:

Учетная запись пула приложений (по умолчанию IIS_IUSRS и IUSR) должна иметь права Чтение и выполнение на каталог с установленной платформой 1С (включая модуль wsisapi.dll) и на папку с файлом публикации default.vrd.
Если база данных является файловой (1Cv8.1CD), группе IIS_IUSRS требуются права Изменение (Modify) и Запись (Write) на каталог с базой, так как сеанс веб-сервера производит блокировки и запись временных файлов от имени рабочего процесса пула приложений IIS.