1c linux авторизация ad (1c Аутентификация Windows)

Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Регистрация
Войти
 
Страницы: 1
Ответить
1c linux авторизация ad (1c Аутентификация Windows), Kerberos authentification
Настраиваю доменую авторизацию в 1с и она отказывается работать
создал файл usr1cv8.keytab про проверки он проходит
klist -e -k -t /opt/1C/v8.3/x86_64/usr1cv8.keytab


Keytab name: FILE:/opt/1C/v8.3/x86_64/usr1cv8.keytab
KVNO Timestamp           Principal
---- ------------------- ------------------------------------------------------
  5 01.01.1970 03:00:00 usr1cv8/1c-platform.domain.local@DOMAIN.LOCAL (arcfour-hmac)


kinit -k -t /opt/1C/v8.3/x86_64/usr1cv8.keytab usr1cv8/1c-platform.domain.local@DOMAIN.LOCAL

проходит без ошибки
в техническом журнале вижу

05:39.674032-0,EXCP,2,process=rphost,p:processName=test,OSThread=14884,t:
clientID=68,
t:applicationName=1CV8C,t:computerName=TS2,t:connectID=100,Exception=a01f465c-ed70-442e-ada5-847668d7a41c,Descr='./src/VResourceInfoBaseServerImpl.cpp(1078):
05:39.676068-0,EXCP,2,process=rphost,p:processName=test,OSThread=14884,t:clientID=68,t:
applicationName=1CV8C,
t:computerName=TS2,t:connectID=100,Descr='GSS-API error gss_acquire_cred: Unspecified
GSS failure.  Minor code may provide more information
05:39.676069-0,EXCP,2,process=rphost,p:processName=test,OSThread=14884,t:clientID=68,t:
applicationName=1CV8C,
t:computerName=TS2,t:connectID=100,Descr='GSS-API error gss_acquire_cred: Is a directory
05:39.679054-0,EXCP,2,process=rphost,p:processName=test,OSThread=14884,t:clientID=68,
t:applicationName=1CV8C,
t:computerName=TS2,t:connectID=100,Exception=a01f465c-ed70-442e-ada5-847668d7a41c,Descr='./src/VResourceInfoBaseServerImpl.cpp(1078):
Инструкция от 1С: Пример настройки
Kerberos-аутентификации для Linux-версии сервера 1С:Предприятия 8

Единственное отличие для 8.3:  Переименовать файл usr1cv8.keytab в usr1cv83.keytab
Услуги Системного Администратора - Работаю только с Юр. Лицами по договору обслуживания.
Подробная статья как Установка 1С:Предприятие 8.3 на Linux сервер

В этой статье мы постарались собрать наиболее полную информацию по установке сервера приложений 1С:Предприятие в среде Linux с использованием СУБД PostgreSQL и публикацией информационной базы и веб-сервисов на веб-сервере Apache. Рассматривается наиболее полная установка сервера в домен Microsoft Windows. Пользователи работают на рабочих станциях в среде Windows, авторизация в системе 1С:Предприятие производится через Active Directory.
Услуги Системного Администратора - Работаю только с Юр. Лицами по договору обслуживания.
C платформы авторизация по AD проходит.
Проходит по Логину, паролю через web или платформу.

Не проходит авторизация через AD для Web.

Kerberos, CentOS Linux release 7.8.2003 (Core) x86_64.

В логах такая ошибка:


37:16.918002-0,EXCP,2,process=rphost,p:processName=test_base,OSThread=3146,t:clientID=1808,t:
applicationName=WebServerExtension,t:computerName=***,t:connectID=1567,
Exception=a01f465c-ed70-442e-ada5-847668d7a41c,Descr='./src/VResourceInfoBaseServerImpl.cpp(1461):
a01f465c-ed70-442e-ada5-847668d7a41c:
Идентификация пользователя не выполнена Неправильное имя или пароль пользователя'
37:16.918003-0,EXCP,2,process=rphost,p:processName=test_base,OSThread=3146,t:clientID=1808,t:
applicationName=WebServerExtension,t:computerName=***,t:connectID=1567,
Exception=580392e6-ba49-4280-ac67-fcd6f2180121,Descr='./src/VResourceInfoBaseImpl.cpp(1103):
580392e6-ba49-4280-ac67-fcd6f2180121: Неправильное имя пользователя или пароль
Ошибка при выполнении запроса POST к ресурсу /e1cib/login:'
37:16.923003-0,EXCP,2,process=rphost,p:processName=test_base,OSThread=3146,t:clientID=1808,t:
applicationName=WebServerExtension,t:computerName=***,t:connectID=1567,
Exception=a01f465c-ed70-442e-ada5-847668d7a41c,Descr='./src/VResourceInfoBaseServerImpl.cpp(1461):
a01f465c-ed70-442e-ada5-847668d7a41c: Идентификация пользователя не выполнена
Неправильное имя или пароль пользователя'
37:16.924000-0,EXCP,2,process=rphost,p:processName=test_base,OSThread=3146,t:clientID=1808,t:
applicationName=WebServerExtension,t:computerName=***,t:connectID=1567
,Exception=580392e6-ba49-4280-ac67-fcd6f2180121,Descr='./src/VResourceInfoBaseImpl.cpp(1103):
580392e6-ba49-4280-ac67-fcd6f2180121: Неправильное имя пользователя или пароль
Ошибка при выполнении запроса POST к ресурсу /e1cib/login:'
Тут рассказано про IIS и Kerberos, но подробно рассказано что делать при подобной ошибке:
https://its.1c.ru/db/metod8dev/content/5944/hdoc (с картинками)

Вот выдержка:

Расположение веб-сервера IIS и рабочих серверов 1С на разных машинах
В некоторых случаях, несмотря на корректно указанного пользователя операционной системы в пользователе информационной базы, при попытке входа в опубликованную базу через браузер аутентификация операционной системы не проходит. Такая ситуация может возникать, если веб-сервер IIS и сервер 1с находятся на разных машинах. В таком случае в технологическом журнале рабочего процесса можно наблюдать следующую картину:

Копировать в буфер обмена
56:39.487001-0,CONN,2,process=rphost,p:processName=accounting,t:clientID=39,t:applicationName=
WebServerExtension,t:
computerName=webserver,t:connectID=16,Txt=Srvr: SrcUserName1: winserver1c$@DOMAIN701.COM
56:39.487002-0,CONN,2,process=rphost,p:processName=accounting,t:clientID=39,t:applicationName=
WebServerExtension,t:
computerName=webserver,t:connectID=16,Txt=Srvr: DstUserName1: testuser2@DOMAIN701.COM(DOMAIN701.COM\testuser2)
56:39.596004-0,CONN,2,process=rphost,p:processName=accounting,t:clientID=39,t:applicationName=
WebServerExtension,t:
computerName=webserver,t:connectID=16,Txt=Srvr: DstUserName2: NT AUTHORITY\ANONYMOUS LOGON(NT AUTHORITY\ANONYMOUS LOGON)
56:39.659003-0,EXCP,2,process=rphost,p:processName=accounting,t:clientID=39,t:applicationName=
WebServerExtension,t:
computerName=webserver,t:connectID=16,Exception=a01f465c-ed70-442e-ada5-847668d7a41c,Descr='src\VResourceInfoBaseServerImpl.cpp(991):
a01f465c-ed70-442e-ada5-847668d7a41c: Идентификация пользователя не выполнена
Неправильное имя или пароль пользователя'



При возникновении такой ситуации необходимо проверить следующие настройки:

1) Убедиться, что процессы сервера 1С запущены от имени доменной учетной записи,
входящей в группу
Domain Users.

2) Убедиться, что веб-сервер IIS настроен корректно.

В публикации информационной базы найти настройки аутентификации



В настройках аутентификации отключить анонимную аутентификацию и включить Windows-аутентификацию. В Windows-аутентификации упорядочить доступных провайдеров так, чтобы на первом месте был Negotiate.



Пул приложений публикации не нуждается в настройках, в нем можно оставить все по умолчанию.

После изменения настроек перезапустить веб-сервер с помощью команды iisreset в командной строке.

3) Убедиться, что в контроллере домена в свойствах компьютера, на котором запущен веб-сервер, на вкладке делегирование установлено "Доверять компьютеру делегирование любых служб (только Kerberos)"

Для этого откройте оснастку Active Directory Users and Computers (dsa.msc), в компьютерах найдите веб-сервер, перейдите в его свойства и на вкладке Делегирование установить значение "Доверять компьютеру делегирование любых служб (только Kerberos)" и нажать применить.



4) Убедиться, что на клиенте в свойствах обозревателя разрешена встроенная проверка подлинности Windows.



После выполнения всех действий необходимо перезагрузить клиентский компьютер (рабочие серверы перезагрузки не требуют) и убедиться, что аутентификация операционной системы успешно выполняется.

Важно: аутентификации Windows при расположении веб-сервера IIS и рабочих серверов на разных машинах в тонком клиенте работает, начиная с версии 8.3.10.2620 (для тестирования).
Услуги Системного Администратора - Работаю только с Юр. Лицами по договору обслуживания.
Спасибо за ответ.

1. У нас Linux, установлен Apache.
2. Web - сервер и сервер 1С, расположены на одном айпишнике.



3) Процессы сервера 1С запущены от учетной записи в AD.

- Убедиться, что процессы сервера 1С запущены от имени доменной учетной записи,
входящей в группу
Domain Users.


Вот по третьему пункту непонятно.
Мне казалось, что если учетка в AD, то она в Domain Users?


ПС.
Говорят, что под Apache не факт, что вообще работать будет.
Страницы: 1
Ответить
Читают тему (гостей: 1, пользователей: 0, из них скрытых: 0)
Форма ответов
 
Текст сообщения*
:) ;) :D 8-) :( :| :cry: :evil: :o :oops: :{} :?: :!: :idea:
Защита от автоматических сообщений. Введите символы, изображенные на этой картинке в поле ввода &quote;Код подтверждения&quote;.