Сквозная авторизация 1C +kerberos+Apache2+WIN AD

@DrSMERTb · Регистрация: 12.11.2010

Студворк — интернет-сервис помощи студентам

Всем доброго времени суток. Пытаюсь настроить сквозную авторизацию (авторизация средствами ОС) 1С веб клиент.
Конфиг:
LDAP server: MS AD 2019
Web server: Linux blg-test-wb.amur.pokrmine.ru 5.4.0-117-generic #132-Ubuntu SMP Thu Jun 2 00:39:06 UTC 2022 x86_64 x86_64 x86_64 GNU/Linux + Apache 2.4.41-4ubuntu3.11
Кластер 1С: Windows
Клиент: Win 10 IE11\Google chrome\Firefox результат во всех одинаковый.
Все машины в домене.

Настройки krb.conf

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
 
[libdefaults]
default_realm = TEST.DOMAIN.RU
dns_lookup_realm = false
dns_lookup_kdc = false
default_tkt_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
default_tgs_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
 
[realms]
AMUR.POKRMINE.RU = {
    kdc = blg-am-dc8.test.domain.ru
    default_domain = TEST.DOMAIN.RU
}
 
[domain_realm]
test.domain.ru = TEST.DOMAIN.RU
.test.domain.ru = TEST.DOMAIN.RU
TEST.DOMAIN.RU = TEST.DOMAIN.RU
.TEST.DOMAIN.RU = TEST.DOMAIN.RU
 
[kdc]
profile = /var/kerberos/krb5kdc/kdc.conf
 
[appdefaults]
pam = {
    debug = true
    ticket_lifetime = 36000
    renew_lifetime = 36000
    forwardable = false
    krb4_convert = false
}

sssd.conf

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
[sssd]
domains = TEST.DOMAIN.RU
config_file_version = 2
services = nss, pam
default_domain_suffix = test.domain.ru
[nss]
entry_negative_timeout = 0
debug_level = 3
[pam]
debug_level = 3
 
[domain/TEST.DOMAIN.RU]
debug_level = 3
default_shell = /bin/bash
krb5_store_password_if_offline = True
cache_credentials = True
krb5_realm = TEST.DOMAIN.RU
realmd_tags = manages-system joined-with-adcli
id_provider = ad
auth_provider = ad
chpass_provider = ad
ldap_schema = ad
ldap_sasl_mech = gssapi
#ldap_sasl_authid = <HOSTNAME>$
ldap_krb5_init_creds = true
#krb5_keytab = /etc/sssd/<HOSTNAME>.keytab
fallback_homedir = /home/%u@%d
ad_domain = TEST.DOMAIN.RU
#use_fully_qualified_names = True
ldap_id_mapping = True
access_provider = ad
ldap_idmap_range_size = 2000000
ldap_idmap_default_domain_sid=S-1-5-21-715617382-1697195920-882978150
ad_gpo_ignore_unreadable = True

smb.conf

Code
1
2
3
4
5
6
7
8
9
10
[global]
workgroup = AMUR
client signing = yes
client use spnego = yes
kerberos method = secrets and keytab
log file = /var/log/samba/%m.log
password server = blg-am-dc8.test.domain.ru
realm = TEST.DOMAIN.RU
security = ads
idmap config * : range = 1000000-1999999

Создание keytab

Code
1
ktpass -princ HTTP/webt1c.test.domain.ru@TEST.DOMAIN.RU -crypto ALL -mapuser usr1cv8x3 -pass password -ptype KRB5_NT_PRINCIPAL -out usr1cv83.keytab

Проверка keytab

Code
1
2
3
4
5
6
7
8
9
10
11
12
root@webt1c:~# kinit  -V -t /opt/usr1cv83.keytab -k HTTP/webt1c.test.domain.ru@TEST.DOMAIN.RU
Using default cache: /tmp/krb5cc_0
Using principal: HTTP/webt1c.test.domain.ru@TEST.DOMAIN.RU
Using keytab: /opt/usr1cv83.keytab
Authenticated to Kerberos v5
root@webt1c:~# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: HTTP/webt1c.test.domain.ru@TEST.DOMAIN.RU
 
Valid starting       Expires              Service principal
15.06.2022 23:22:37  16.06.2022 09:22:37  krbtgt/TEST.DOMAIN.RU@TEST.DOMAIN.RU
        renew until 16.06.2022 23:22:37

Apache2.conf

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
root@webt1c:~# cat /etc/apache2/sites-enabled/conf1c.conf
LoadModule _1cws_module "/opt/1cv8/x86_64/8.3.20.1710/wsap24.so"
# 1c publication
Alias "/conf1c" "/var/www/conf1c/"
<Directory "/var/www/conf1c/">
    AllowOverride None
    Options None
    Order allow,deny
    Allow from all
    SetHandler 1c-application
    ManagedApplicationDescriptor "/var/www/conf1c/default.vrd"
    AuthName "1C:Enterprise web client"
    AuthType Kerberos
    Krb5Keytab /opt/usr1cv83.keytab
    KrbVerifyKDC off
    KrbDelegateBasic off
    KrbServiceName HTTP/webt1c.test.domain.ru@TEST.DOMAIN.RU
    KrbSaveCredentials on
    KrbMethodK5Passwd off
    KrbMethodNegotiate on
    Require valid-user
</Directory>

/var/log/apache2/error.log

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
 [authz_core:debug]  mod_authz_core.c(817): [client 10.10.132.2:63270] AH01626: authorization result of Require valid-user : denied (no authenticated user yet), referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [authz_core:debug]  mod_authz_core.c(817): [client 10.10.132.2:63270] AH01626: authorization result of <RequireAny>: denied (no authenticated user yet), referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1963): [client 10.10.132.2:63270] kerb_authenticate_user entered with user (NULL) and auth_type Kerberos, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1296): [client 10.10.132.2:63270] Acquiring creds for HTTP/webt1c.test.domain.ru@TEST.DOMAIN.RU, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1719): [client 10.10.132.2:63270] Verifying client data using KRB5 GSS-API with our SPNEGO lib, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1735): [client 10.10.132.2:63270] Client delegated us their credential, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1754): [client 10.10.132.2:63270] GSS-API token of length 181 bytes will be sent back, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [authz_core:debug]  mod_authz_core.c(817): [client 10.10.132.2:63270] AH01626: authorization result of Require valid-user : granted, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [authz_core:debug]  mod_authz_core.c(817): [client 10.10.132.2:63270] AH01626: authorization result of <RequireAny>: granted, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace3]  http_filters.c(1125): [client 10.10.132.2:63270] Response sent with status 402, headers:, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace5]  http_filters.c(1134): [client 10.10.132.2:63270]   Date: Wed, 15 Jun 2022 23:29:09 GMT, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace5]  http_filters.c(1137): [client 10.10.132.2:63270]   Server: Apache/2.4.41 (Ubuntu), referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   WWW-Authenticate: Negotiate oYGyMIGvoAMKAQChCwYJKoZIhvcSAQICooGaBIGXYIGUBgkqhkiG9xIBAgICAG+BhDCBgaADAgEFoQMCAQ+idTBzoAMCAReibARqdmH/a/ZYhPvzUvXnJqq73OOK/4i98lvigkXpmGqXMSJctHfeLpoWBlMhrsQw9LljkvF+B7a7AKggAPaLxz/rsXCbxMZIHZQ5fqyuW2OgdoPyqO+1rLhJHB/8sxAblqPwozKgOf+H+VPOrA==, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   vrs-rc: 1, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Content-Length: 785, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Keep-Alive: timeout=5, max=97, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Connection: Keep-Alive, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Content-Type: application/json; charset=utf-8, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [core:trace8]  core_filters.c(570): [client 10.10.132.2:63270] brigade contains: bytes: 510, non-file bytes: 510, eor buckets: 0, morphing buckets: 0
 [core:trace8]  core_filters.c(570): [client 10.10.132.2:63270] brigade contains: bytes: 1295, non-file bytes: 1295, eor buckets: 0, morphing buckets: 0
 [core:trace8]  core_filters.c(570): [client 10.10.132.2:63270] brigade contains: bytes: 1295, non-file bytes: 1295, eor buckets: 1, morphing buckets: 0
 [core:trace5]  protocol.c(708): [client 10.10.132.2:63270] Request received from client: POST /conf1c/ru_RU/e1cib/additionalAuthSettings?sysver=8.3.20.1710 HTTP/1.1
 [http:trace4]  http_request.c(436): [client 10.10.132.2:63270] Headers received from client:, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Content-Type: application/json; charset=utf-8, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Accept: application/json, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   vrs-session: f41b0005-9e22-4704-87b5-12f847c779d0, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Referer: http://webt1c.test.domain.ru/conf1c/ru_RU/, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Accept-Language: ru-RU, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Accept-Encoding: gzip, deflate, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 10.0; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729), referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Host: webt1c.test.domain.ru, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Content-Length: 0, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Connection: Keep-Alive, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Cache-Control: no-cache, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_request.c(439): [client 10.10.132.2:63270]   Authorization: Negotiate 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, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [authz_core:debug]  mod_authz_core.c(817): [client 10.10.132.2:63270] AH01626: authorization result of Require valid-user : denied (no authenticated user yet), referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [authz_core:debug]  mod_authz_core.c(817): [client 10.10.132.2:63270] AH01626: authorization result of <RequireAny>: denied (no authenticated user yet), referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1963): [client 10.10.132.2:63270] kerb_authenticate_user entered with user (NULL) and auth_type Kerberos, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1296): [client 10.10.132.2:63270] Acquiring creds for HTTP/webt1c.test.domain.ru@TEST.DOMAIN.RU, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1719): [client 10.10.132.2:63270] Verifying client data using KRB5 GSS-API with our SPNEGO lib, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1735): [client 10.10.132.2:63270] Client delegated us their credential, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [auth_kerb:debug]  src/mod_auth_kerb.c(1754): [client 10.10.132.2:63270] GSS-API token of length 181 bytes will be sent back, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [authz_core:debug]  mod_authz_core.c(817): [client 10.10.132.2:63270] AH01626: authorization result of Require valid-user : granted, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [authz_core:debug]  mod_authz_core.c(817): [client 10.10.132.2:63270] AH01626: authorization result of <RequireAny>: granted, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [filter:trace4]  mod_filter.c(168): [client 10.10.132.2:63270] Content-Type 'text/plain; charset=utf-8' ..., referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [filter:trace4]  mod_filter.c(180): [client 10.10.132.2:63270] ... did not match 'application/xml', referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [filter:trace2]  mod_filter.c(185): [client 10.10.132.2:63270] Content-Type condition for 'deflate' did not match, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [filter:trace4]  mod_filter.c(168): [client 10.10.132.2:63270] Content-Type 'text/plain; charset=utf-8' ..., referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [filter:trace4]  mod_filter.c(180): [client 10.10.132.2:63270] ... did not match 'application/rss+xml', referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   WWW-Authenticate: Negotiate oYGyMIGvoAMKAQChCwYJKoZIhvcSAQICooGaBIGXYIGUBgkqhkiG9xIBAgICAG+BhDCBgaADAgEFoQMCAQ+idTBzoAMCAReibARqmKoeQ462qhvgZ2FUjE098OYs71aFfney9wnDufUmvOaJCJZmDl9Ysu4vYwaDwIhAp99rKUiPu9+2ICyq2ItP1HuwnYaFQTiXHwirUDQSsidBp91pY9Zy6bBpqfkdPMPPd3/uX51JjH5Iew==, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   vrs-rc: 1, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Cache-Control: no-cache, no-store, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Content-Length: 79, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Content-Language: ru-RU, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Content-Encoding: deflate, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Keep-Alive: timeout=5, max=96, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Connection: Keep-Alive, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63270]   Content-Type: text/plain; charset=utf-8, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [core:trace8]  core_filters.c(570): [client 10.10.132.2:63270] brigade contains: bytes: 576, non-file bytes: 576, eor buckets: 0, morphing buckets: 0
 [core:trace8]  core_filters.c(570): [client 10.10.132.2:63270] brigade contains: bytes: 655, non-file bytes: 655, eor buckets: 0, morphing buckets: 0
 [core:trace8]  core_filters.c(570): [client 10.10.132.2:63270] brigade contains: bytes: 655, non-file bytes: 655, eor buckets: 1, morphing buckets: 0
 [filter:trace4]  mod_filter.c(168): [client 10.10.132.2:63267] Content-Type 'application/octet-stream' ..., referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [filter:trace4]  mod_filter.c(180): [client 10.10.132.2:63267] ... did not match 'application/xml', referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [filter:trace2]  mod_filter.c(185): [client 10.10.132.2:63267] Content-Type condition for 'deflate' did not match, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [filter:trace4]  mod_filter.c(168): [client 10.10.132.2:63267] Content-Type 'application/octet-stream' ..., referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [filter:trace2]  mod_filter.c(185): [client 10.10.132.2:63267] Content-Type condition for 'deflate' did not match, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace3]  http_filters.c(1125): [client 10.10.132.2:63267] Response sent with status 200, headers:, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace5]  http_filters.c(1134): [client 10.10.132.2:63267]   Date: Wed, 15 Jun 2022 23:29:07 GMT, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace5]  http_filters.c(1137): [client 10.10.132.2:63267]   Server: Apache/2.4.41 (Ubuntu), referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   WWW-Authenticate: Negotiate oYGyMIGvoAMKAQChCwYJKoZIhvcSAQICooGaBIGXYIGUBgkqhkiG9xIBAgICAG+BhDCBgaADAgEFoQMCAQ+idTBzoAMCAReibARq0tvxHJK5VzOvpU0f5bWBt08stoR3ANT2sPrhEP4CDFTjX11JByerzwSBjtBkufYtl/V9zqN67+kDq7gGtVkdnKMvkkQRp6nrv4O5wq+SZjo3vJgBb45BP/vuUIWLaSFxfeqKy3V9RDclLg==, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   vrs-rc: 1, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   Cache-Control: private, max-age=31536000, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   Content-Length: 64471, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   Content-Language: ru-RU, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   Content-Encoding: deflate, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   Content-Disposition: attachment; filename=\\"Almarai-Bold.woff\\", referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   Keep-Alive: timeout=5, max=100, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   Connection: Keep-Alive, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [http:trace4]  http_filters.c(955): [client 10.10.132.2:63267]   Content-Type: application/octet-stream, referer: http://webt1c.test.domain.ru/conf1c/ru_RU/
 [mpm_event:trace6]  event.c(1624): connections: 1 (clogged: 0 write-completion: 0 keep-alive: 1 lingering: 0 suspended: 0)
 [mpm_event:trace6]  event.c(1624): connections: 5 (clogged: 0 write-completion: 0 keep-alive: 5 lingering: 0 suspended: 0)
 [mpm_event:trace6]  event.c(1624): connections: 1 (clogged: 0 write-completion: 0 keep-alive: 0 lingering: 1 suspended: 0)
 [mpm_event:trace4]  event.c(872): socket abort in state 6
 [mpm_event:trace6]  event.c(1624): connections: 0 (clogged: 0 write-completion: 0 keep-alive: 0 lingering: 0 suspended: 0)
 [mpm_event:trace4]  event.c(872): socket abort in state 6
 [mpm_event:trace6]  event.c(1624): connections: 0 (clogged: 0 write-completion: 0 keep-alive: 0 lingering: 0 suspended: 0)

/var/log/apache2/access.log

Code
1
2
3
10.10.132.2 - perepelkin-a@TEST.DOMAIN.RU [15/Jun/2022:23:29:09 +0000] "POST /conf1c/ru_RU/e1cib/login?version=8.3.20.1710&nooida&clnId=d1d02e47-9877-42f6-e518-cf5a44ce5f88 HTTP/1.1" 402 1295 "http://webt1c.test.domain.ru/conf1c/ru_RU/" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 10.0; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729)"
10.10.132.2 - perepelkin-a@TEST.DOMAIN.RU [15/Jun/2022:23:29:09 +0000] "POST /conf1c/ru_RU/e1cib/additionalAuthSettings?sysver=8.3.20.1710 HTTP/1.1" 200 655 "http://webt1c.test.domain.ru/conf1c/ru_RU/" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 10.0; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729)"
10.10.132.2 - perepelkin-a@TEST.DOMAIN.RU [15/Jun/2022:23:29:07 +0000] "GET /conf1c/ru_RU/e1csys/mngcore/Almarai-Bold.woff?sysver=8.3.20.1710 HTTP/1.1" 200 65120 "http://webt1c.test.domain.ru/conf1c/ru_RU/" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 10.0; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729)"

По итогу к консоли браузера появляется 402 ошибка и появляется окно с выбором пользователя и вводом пароля (окно 1С, не браузерное).
Куда копать в поисках проблемы?

@Scratchsv · 16.06.2022, 19:48

Апач не поддерживает керберос. По крайней мере, для 1С.
Нужно через иис делать.

Добавлено через 2 минуты
А, какой иис, если там убунта.
Тогда пардон.

@Dethmontt · 20.06.2022, 14:45

DrSMERTb, а в 1С как пользователь создан, что указано в пользователь ОС ?

Добавлено через 36 секунд
DrSMERTb, в журнале регистрации посмотри под кем пытается авторизоваться (событие Аутентификация)

@Scratchsv · 20.06.2022, 14:59

NT AUTHORITY\ANONYMOUS LOGON там

@DrSMERTb · 21.06.2022, 08:51 **[ТС]**

Dethmontt,
В журнале внутренний id (линуксовый id, ну т.е. тот же что и выдаст консоль на команду id ) пользователя, пользователя (win login) в самой 1С прописывал и маленькими и большими буквами, в полном формате домена и в коротком.

@Dethmontt · 21.06.2022, 09:48

У меня знакомый как-то делал такую штуку, без кейтаб файла.

Т.е. каждый авторизуется под собой, а не под служебной УЗ

Добавлено через 11 секунд
Попробую узнать

Добавлено через 55 секунд
У него:
СУБД и Апликейшн - Виндовс
Пользователи - Виндовс

Веб сервер - Линукс

@DrSMERTb · 24.06.2022, 07:11 **[ТС]**

Dethmontt, да тут сама задача то и стоит что бы сквозная авторизация без ввода логинов паролей(

@uwscsi · 13.03.2023, 17:49

Добрый день!

DrSMERTb, подскажите, а удалось до чего-то довести вопрос?

Сейчас занимаемся подобным же вопросом.
Чтобы работала аутентификация методом Kerberos - должно быть настроено делегирование kerberos для учётной записи в AD.
И если для internet explorer - достаточно "неограниченного делегирования" (это уже сделали и проверили - работает),
то для всяких chromium-based браузеров - требуется настраивать "ограниченное делегирование" т.е. на конкретный сервер + службу
(это ещё в процессе, т.к. в нашей организации все эти действия очень "бюрократичны").

Проводили данные операции?

@realcisco · 23.03.2023, 08:57

Сообщение от uwscsi

Добрый день!

Сейчас занимаемся подобным же вопросом.
Чтобы работала аутентификация методом Kerberos - должно быть настроено делегирование kerberos для учётной записи в AD.
И если для internet explorer - достаточно "неограниченного делегирования" (это уже сделали и проверили - работает),
то для всяких chromium-based браузеров - требуется настраивать "ограниченное делегирование" т.е. на конкретный сервер + службу
(это ещё в процессе, т.к. в нашей организации все эти действия очень "бюрократичны").

Проводили данные операции?

А как вы добились положительного результата в IE?

@uwscsi · 23.03.2023, 22:27

realcisco, у нас всё сделано так же как перечислено выше.
Плюс:
В VirtualHost увеличена максимальная длина заголовков (LimitRequestFieldSize 16384)
На AD, для сервисной учётной записи на вкладке "делегирование" -
включено "делегирование для любой службы (Только kerberos)".
Обращение к серверу 1С - по полному доменному имени.
В эксплорере 11 - этого оказалось достаточно.

Для EDGE опирался на эту статью:
https://learn.microsoft.com/en... e-chromium

Но, похоже этого недостаточно.

@realcisco · 27.03.2023, 04:53

Сообщение от uwscsi

realcisco, у нас всё сделано так же как перечислено выше.
Плюс:
В VirtualHost увеличена максимальная длина заголовков (LimitRequestFieldSize 16384)
На AD, для сервисной учётной записи на вкладке "делегирование" -
включено "делегирование для любой службы (Только kerberos)".
Обращение к серверу 1С - по полному доменному имени.
В эксплорере 11 - этого оказалось достаточно.

Для EDGE опирался на эту статью:
https://learn.microsoft.com/en... e-chromium

Но, похоже этого недостаточно.

Вас не затруднит выложить сюда конфиг VirtualHost? Просто у меня серверная учетная завись в AD это учетка самого хоста websrv01.firm.corp.

В наличии имеется тестовый контур:
1. Active Directory на Windows Server 2019 (dc01.firm.corp) (192.168.2.1)
2. 1С сервер 8.3.20.1789 на Windows Server 2019 (1csrv01.firm.corp) (192.168.2.9)
3. Веб сервер на Debian 11.6 (websrv01.firm.corp) (192.168.2.100)
4. SQL сервер для 1С сервера (sqlsrv01.firm.corp) (192.168.2.2)

В рабочем контуре сейчас всё работает, но в Windows связке AD + (1C + IIS) + SQL и хотелось бы Веб часть перевести на другой сервер и на Linux Apache, а когда заработает добавлю SSL.

Веб сервер был настроен вот по этой статье https://wiki.it-kb.ru/unix-lin... beros-auth

Итог.
Авторизация от доменного пользователя проходит, но не смотря на то, что в настройках пользователя стоит "Аутентификация операционной системы", 1С показывает окно с выбором пользователя и пароля. Как я понял веб сервер авторизирует доменного пользователя, но не верно отдает учетные данные на сервер 1С.

В интернете много готовых сборок, но во всех случаях 1С сервер используют вместе с Apache на одной машине, а в моём случае это два разных сервера и две разные операционные системы.

Добавлено через 4 минуты
Для uwscsi

Кстати в рабочем контуре тоже работало только с ie, но когда я добавил в политику AD Chrome и в ней прописал в "Google/Google Chrome/HTTP-аутентификация" "Список разрешенных серверов для аутентификации" тут мой сервер прописан, "Список разрешенных серверов для делегирования прав по протоколу Kerberos" тут тоже мой сервер прописан. После этого SSO заработал и в Хроме.

@realcisco · 30.03.2023, 08:43

https://pyatilistnik.org/throu... le-chrome/

@uwscsi · 10.04.2023, 01:07

Сообщение от realcisco

В рабочем контуре сейчас всё работает, но в Windows связке AD + (1C + IIS) + SQL

В такой связке оно работает "из коробки")
Единственное - надо на уровне домена спустить политику, что все сайты *.YourDomain.local - входят в местную интрасеть и для них разрешена сквозная аутентификация.

Сообщение от realcisco

После этого SSO заработал и в Хроме.

У нас хром запрещён, только IE и EDGE.
EDGE, если я не ошибаюсь - тащит настройки безопасности из общих настроек с IE.
Но у нас всё равно не работает.

Сообщение от realcisco

Вас не затруднит выложить сюда конфиг VirtualHost?

Попробую не забыть.
Но там реально - добавлена только та строчка, которую я указал выше.
На работе, к сожалению, этот сайт прикрыт, а вспоминаешь, что нужно скопипастить конфиг уже по пути домой...

@Jakondo · 11.08.2023, 13:57

Сообщение от realcisco

Кстати в рабочем контуре тоже работало только с ie, но когда я добавил в политику AD Chrome и в ней прописал в "Google/Google Chrome/HTTP-аутентификация" "Список разрешенных серверов для аутентификации" тут мой сервер прописан, "Список разрешенных серверов для делегирования прав по протоколу Kerberos" тут тоже мой сервер прописан. После этого SSO заработал и в Хроме.

Можете по шагам описать подробней все действия что делали. Из контекста вроде бы делаю тоже самое, но без успешно.

Новые блоги и статьи Все статьи Все блоги /
Расчёт токов в цепи постоянного тока igorrr37 05.01.2026 / * Дана цепь постоянного тока с сопротивлениями и напряжениями. Надо найти токи в ветвях. Программа составляет систему уравнений по 1 и 2 законам Кирхгофа и решает её. Последовательность действий:. . .	Новый CodeBlocs. Версия 25.03 palva 04.01.2026 Оказывается, недавно вышла новая версия CodeBlocks за номером 25. 03. Когда-то давно я возился с только что вышедшей тогда версией 20. 03. С тех пор я давно снёс всё с компьютера и забыл. Теперь. . .	Модель микоризы: классовый агентный подход anaschu 02.01.2026 Раньше это было два гриба и бактерия. Теперь три гриба, растение. И на уровне агентов добавится между грибами или бактериями взаимодействий. До того я пробовал подход через многомерные массивы,. . .	Советы по крайней бережливости. Внимание, это ОЧЕНЬ длинный пост. Programma_Boinc 28.12.2025 Советы по крайней бережливости. Внимание, это ОЧЕНЬ длинный пост. Налог на собак: https:/ / ********/ gallery/ V06K53e Финансовый отчет в Excel: https:/ / ********/ gallery/ bKBkQFf Пост отсюда. . .
Кто-нибудь знает, где можно бесплатно получить настольный компьютер или ноутбук? США. Programma_Boinc 26.12.2025 Нашел на реддите интересную статью под названием Anyone know where to get a free Desktop or Laptop? Ниже её машинный перевод. После долгих разбирательств я наконец-то вернула себе. . .	Thinkpad X220 Tablet — это лучший бюджетный ноутбук для учёбы, точка. Programma_Boinc 23.12.2025 Рецензия / Мнение/ Перевод Нашел на реддите интересную статью под названием The Thinkpad X220 Tablet is the best budget school laptop period . Ниже её машинный перевод. Thinkpad X220 Tablet —. . .	PhpStorm 2025.3: WSL Terminal всегда стартует в ~ and_y87 14.12.2025 PhpStorm 2025. 3: WSL Terminal всегда стартует в ~ (home), игнорируя директорию проекта Симптом: После обновления до PhpStorm 2025. 3 встроенный терминал WSL открывается в домашней директории. . .	Как объединить две одинаковые БД Access с разными данными VikBal 11.12.2025 Помогите пожалуйста !! Как объединить 2 одинаковые БД Access с разными данными.

@Scratchsv 1434 / 212 / 85 Регистрация: 04.03.2020 Сообщений: 742
	16.06.2022, 19:48
	Апач не поддерживает керберос. По крайней мере, для 1С. Нужно через иис делать. Добавлено через 2 минуты А, какой иис, если там убунта. Тогда пардон. 0

@Dethmontt Модератор 4032 / 2977 / 594 Регистрация: 10.03.2011 Сообщений: 11,703 Записей в блоге: 1
	20.06.2022, 14:45
	DrSMERTb, а в 1С как пользователь создан, что указано в пользователь ОС ? Добавлено через 36 секунд DrSMERTb, в журнале регистрации посмотри под кем пытается авторизоваться (событие Аутентификация) 0

@Scratchsv 1434 / 212 / 85 Регистрация: 04.03.2020 Сообщений: 742
	20.06.2022, 14:59
	NT AUTHORITY\ANONYMOUS LOGON там 0

@DrSMERTb 64 / 40 / 10 Регистрация: 12.11.2010 Сообщений: 841
	21.06.2022, 08:51 [ТС]
	Dethmontt, В журнале внутренний id (линуксовый id, ну т.е. тот же что и выдаст консоль на команду id ) пользователя, пользователя (win login) в самой 1С прописывал и маленькими и большими буквами, в полном формате домена и в коротком. 0

@Dethmontt Модератор 4032 / 2977 / 594 Регистрация: 10.03.2011 Сообщений: 11,703 Записей в блоге: 1
	21.06.2022, 09:48
	У меня знакомый как-то делал такую штуку, без кейтаб файла. Т.е. каждый авторизуется под собой, а не под служебной УЗ Добавлено через 11 секунд Попробую узнать Добавлено через 55 секунд У него: СУБД и Апликейшн - Виндовс Пользователи - Виндовс Веб сервер - Линукс 0

@DrSMERTb 64 / 40 / 10 Регистрация: 12.11.2010 Сообщений: 841
	24.06.2022, 07:11 [ТС]
	Dethmontt, да тут сама задача то и стоит что бы сквозная авторизация без ввода логинов паролей( 0

@uwscsi 0 / 0 / 0 Регистрация: 13.03.2023 Сообщений: 3
	13.03.2023, 17:49
	Добрый день! DrSMERTb, подскажите, а удалось до чего-то довести вопрос? Сейчас занимаемся подобным же вопросом. Чтобы работала аутентификация методом Kerberos - должно быть настроено делегирование kerberos для учётной записи в AD. И если для internet explorer - достаточно "неограниченного делегирования" (это уже сделали и проверили - работает), то для всяких chromium-based браузеров - требуется настраивать "ограниченное делегирование" т.е. на конкретный сервер + службу (это ещё в процессе, т.к. в нашей организации все эти действия очень "бюрократичны"). Проводили данные операции? 0

@uwscsi 0 / 0 / 0 Регистрация: 13.03.2023 Сообщений: 3
	23.03.2023, 22:27
	realcisco, у нас всё сделано так же как перечислено выше. Плюс: В VirtualHost увеличена максимальная длина заголовков (LimitRequestFieldSize 16384) На AD, для сервисной учётной записи на вкладке "делегирование" - включено "делегирование для любой службы (Только kerberos)". Обращение к серверу 1С - по полному доменному имени. В эксплорере 11 - этого оказалось достаточно. Для EDGE опирался на эту статью: https://learn.microsoft.com/en... e-chromium Но, похоже этого недостаточно. 0

@realcisco 0 / 0 / 0 Регистрация: 23.03.2023 Сообщений: 3
	30.03.2023, 08:43
	https://pyatilistnik.org/throu... le-chrome/ 0