Прозрачная Kerberos авторизация Windows AD + Windows 1С + Linux Apache2

Форум Администрирование Общие вопросы администрирования (Admin)

Платформа 1С v8.3

1. SunFranCisco 23.03.23 08:31 Сейчас в теме

Добрый день

Задача сделать прозрачную авторизацию доменных пользователей в опубликованных базах 1c на веб сервере.
В наличии имеется тестовый контур:
1. Active Directory на Windows Server 2019 (dc01.firm.corp) (192.168.2.1)
2. 1С сервер 8.3.20.1789 на Windows Server 2019 (1csrv01.firm.corp) (192.168.2.9)
3. Веб сервер на Debian 11.6 (websrv01.firm.corp) (192.168.2.100)
4. SQL сервер для 1С сервера (sqlsrv01.firm.corp) (192.168.2.2)

В рабочем контуре сейчас всё работает, но в Windows связке AD + 1C + IIS + SQL и хотелось бы Веб часть перевести на Linux Apache, а когда заработает добавлю SSL.

Веб сервер был настроен вот по этой статье https://wiki.it-kb.ru/unix-linux/debian/buster/join-debian-linux-10-buster-to-active-directory-domain-with-sssd-realmd-with-ad-security-group-authorization-in-pam-for-console-login-and-ssh-sso-putty-and-apache-kerberos-auth

Итог.
Авторизация от доменного пользователя проходит, но не смотря на то, что в настройках пользователя стоит "Аутентификация операционной системы", 1С показывает окно с выбором пользователя и пароля. Как я понял веб сервер авторизирует доменного пользователя, но не верно отдает учетные данные на сервер 1С.

Во вложении часть технологического журнала во время логина на Веб сервер.
В интернете много готовых сборок, но во всех случаях 1С сервер используют вместе с Apache, а в моём случае это два разных сервера и две разные операционные системы. Кто сталкивался отзовитесь?

Прикрепленные файлы:

rphost.txt

По теме из базы знаний

В облако на работу: Все варианты авторизации ОС сервером 1С на базе РЕД ОС 8 в домене windows. Рецепты от Капитана

Ответы

Подписаться на ответы Инфостарт бот

Свернуть все

3. user1863362 23.03.23 09:41 Сейчас в теме

(1) Клиентскую часть еще настроить надо, чтобы браузер текущие кредишнлы ОС сразу отдавал. Примерно так: https://its.1c.ru/db/v8doc#content:20:1:issogl2_8.2.2.%D0%B0%D0%B2%D1%82%D0%BE%D0%BC%D0%B0%D1%82%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B0%D1%8F%D0%B0%D1%83%D1%82%D0%B5%D0%BD%D1%82%D0%B8%D1%84%D0%B8%D0%BA%D0%B0%D1%86%D0%B8%D1%8F

5. SunFranCisco 23.03.23 11:03 Сейчас в теме

Браузеры настроены, я же написал что в рабочем контуре всё работает

4. user1863362 23.03.23 09:42 Сейчас в теме

(1)

это два разных сервера

Ну и делегирование тогда уж: https://its.1c.ru/db/metod8dev/content/5944/hdoc

6. SunFranCisco 23.03.23 11:05 Сейчас в теме

Конкретно по этой инструкции всё настроено

2. ImHunter 327 23.03.23 09:07 Сейчас в теме

(1) Вроде бы что-то в логе исправленных ошибок в последнем релизе 8.3.22 что-то было про это. Может быть это исправление распространится и на более старые платформы - тоже нужно смотреть.

7. SunFranCisco 24.03.23 09:23 Сейчас в теме

(2) Я нашел на ИТС, что аж в Версии 8.3.19 появилась такая возможность, а у меня 8.3.20.1789

Версии 8.3.19
Реализована возможность использовать частичное делегирование Kerberos для выполнения аутентификации ОС в том случае, если кластер серверов работает под управлением ОС Windows, а веб-сервер и клиентское приложение расположены каждый на своем компьютере и этот компьютер отличается от компьютера, на котором работает кластер серверов.
Для средств администрирования кластера серверов реализована возможность указания имени участника-службы (SPN):

В консоли администрирования кластера, в свойствах рабочего сервера, реализовано свойство Имя службы (SPN) сервера 1С:Предприятия.
Свойство объекта АдминистрированиеРабочийСервер.ИмяСлужбыСервера.
Свойство объекта IWorkingServerInfo.ServicePrincipalName для средств администрирования с использованием COM-соединения.
Методы getServicePrincipalName(), setServicePrincipalName() интерфейса IWorkingServerInfo для средств администрирования из языка Java.
Параметр service-principal-name для команд rac server insert, rac server update.

Источник: https://dl03.1c.ru/content/Platform/8_3_22_1923/1cv8upd_8_3_22_1923.htm#06e7b2db-d269-11ea-8371-0050569f678a

Стало возможно использовать аутентификацию ОС при доступе через веб-сервер без понижения общей безопасности системы.

Оставьте свое сообщение

E-mail: