Архитектура сквозной аутентификации (SSO Kerberos) 1С в Linux

Сквозная Windows-аутентификация (Single Sign-On, SSO) в гетерогенной среде (клиенты Windows $\leftrightarrow$ сервер 1С на Linux $\leftrightarrow$ контроллер домена Active Directory) реализуется через интерфейс GSS-API (Generic Security Services) и протокол Kerberos v5. Сервер 1С использует файл секретных ключей keytab (обычно /opt/1cv8/x86_64/8.3.X.X/usr1cv8.keytab или /etc/krb5.keytab) для расшифровки билетов Kerberos (Ticket Granting Service, TGS), передаваемых клиентом. При нарушении конфигурации пользователи получают ошибку:

«Ошибка аутентификации пользователя / Неверное имя пользователя или пароль / GSS-API error: Defective token detected / Key table entry not found / Clock skew too great»

Бизнес-риски

Полный сбой автоматического входа сотрудников в 1С, появление сотен обращений в Helpdesk с запросом ввода паролей, блокировка доменных учетных записей из-за множественных неверных попыток.

Параметры Kerberos Principal Name (SPN)

Пошаговая настройка и траблшутинг Kerberos SSO для 1С на Linux

Сценарий 1: Генерация корректного keytab файла на контроллере домена Active Directory

На контроллере домена Windows Server выполните команду утилиты ktpass:

# Генерация файла keytab на контроллере домена (PowerShell / CMD от Администратора):
ktpass -princ 1cv8/srv-1c-lnx.corp.local@CORP.LOCAL ^
  -mapuser CORP\usr1cv8_srv ^
  -pass 'ComplexPassword123!' ^
  -crypto AES256-SHA1 ^
  -ptype KRB5_NT_PRINCIPAL ^
  -out C:\temp\usr1cv8.keytab

# Проверка привязки SPN к сервисной учетной записи:
setspn -L CORP\usr1cv8_srv

Сценарий 2: Настройка /etc/krb5.conf на Linux-сервере 1С

# Скопируйте usr1cv8.keytab в /etc/1cv8.keytab на Linux и настройте /etc/krb5.conf:
sudo nano /etc/krb5.conf

[libdefaults]
    default_realm = CORP.LOCAL
    default_keytab_name = /etc/1cv8.keytab
    dns_lookup_realm = false
    dns_lookup_kdc = true
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
    default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac
    default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac

[realms]
    CORP.LOCAL = {
        kdc = dc01.corp.local
        kdc = dc02.corp.local
        admin_server = dc01.corp.local
    }

[domain_realm]
    .corp.local = CORP.LOCAL
    corp.local = CORP.LOCAL

Сценарий 3: Проверка keytab и получение билета через kinit

# 1. Проверка прав на файл keytab (пользователь usr1cv8 обязан иметь доступ!):
sudo chown usr1cv8:grp1cv8 /etc/1cv8.keytab
sudo chmod 600 /etc/1cv8.keytab

# 2. Просмотр содержимого keytab и номера KVNO:
klist -k -e /etc/1cv8.keytab

# 3. Тестовая аутентификация по keytab без ввода пароля:
kinit -k -t /etc/1cv8.keytab 1cv8/srv-1c-lnx.corp.local@CORP.LOCAL

# 4. Проверка полученного билета TGT:
klist

Типовые ошибки администраторов

• Рассинхронизация времени более 5 минут (Clock Skew): Протокол Kerberos отклоняет аутентификацию, если часы сервера 1С и контроллера домена расходятся более чем на 300 секунд. Настройте Chrony/NTP.
• Регистр букв в krb5.conf: Имя REALM домена ОБЯЗАНО быть написано ЗАГЛАВНЫМИ БУКВАМИ (например, CORP.LOCAL), иначе Kerberos завершится с ошибкой Realm not found.