Вики IT-KB

После того, как все основные настройки кластера 1С:Предприятие 8.3 проведены, обязательным пунктом усиления безопасности серверов 1С является создание учётных записей Администраторов кластера / Администраторов центрального сервера. Эти два типа администраторов имеют разные зоны полномочий. Чтобы полностью закрыть доступ к функциям администрирования серверов 1С и работающих на их базе кластеров, нужно сначала отдельно для каждого сервера создать учётные записи уровня «Администратор центрального сервера», а потом внутри кластера создать учётные записи уровня «Администратор кластера».

Сначала создадим для каждого сервера административные учётные записи уровня «Администратор центрального сервера». Здесь мы можем сделать, как минимум, две административные учётные записи. Одна учётная запись будет иметь локальный характер и хранится в конфигурации сервера 1С, а вторая учётная запись будет привязана к Windows-аутентификации и использовать локальные логины Windows, либо доменные логины службы каталогов Active Directory. Локальная учётная запись 1С со сложным паролем в этом случае вовсе не обязательна, и может быть сделана лишь на тот случай, если вдруг потребуется получить доступ к функциям администрирования сервера 1С, а Windows-аутентификация в этот момент по какой-то причине не заработает.

Итак, сначала «на всякий пожарный» создадим одну учётную запись администратора локального типа (со сложным паролем) …

… а для основной работы с сервером создаём дополнительно учётные записи, привязанные к доменным учётным записям тех пользователей, которые выполняют функции администрирования этого сервера 1С.

Обратите внимание на то, попытка использовать кнопку обзора для выбора доменного пользователя в крупных доменных инфраструктурах с большим количеством пользователей может завершиться полным уходом консоли «в себя» на очень длительное время. Поэтому для доменных учётных записей лучше сразу указывать в поле «Пользователь» данные учётной записи по представленному на скриншоте формату.

В итоге для данного сервера мы получим возможность администрирования Центральным сервером 1С двумя учётными записями. При этом, если консоль администрирования 1С будет открываться в пользовательском окружении Windows-пользователя «Petya», то никаких лишних запросов аутентификации не будет, и доступ к функциям администрирования сервером будет предоставлен автоматически.

Ещё раз обращаем внимание на то, что как только мы создаём на сервере первого администратора, не важно, локальный у него тип или Windows, то последующее подключение после перезапуска консоли потребует успешной аутентификации. Поэтому, чтобы избежать ситуации «отрубили сук, на котором сидим» (в случае проблем с настройкой Windows-аутентификации), нам может оказаться полезной заранее созданная учётная запись локального типа.

Аналогичным образом нам нужно создать пару учётных записей уровня «Администратор центрального сервера» для второго сервера 1С (KOM-APP42). При создании локальной учётной записи сервера 1С (в нашем примере «ServerAdmin») на всех серверах кластера мы можем указать один и тот же пароль. Это позволит при входе в консоль под этой учётной записью на любом из серверов управлять всеми серверами без лишних запросов на ввод пароля.

Для того, чтобы полностью ограничить доступ к функциям управления кластера 1С, нам потребуется создать административные учётные записи уровня «Администратор кластера». Для этого в консоли администрирования развернём соответствующий кластер и по аналогии с вышеописанным примером сначала создадим локальную учётную запись кластера 1С, а затем учётную запись c Windows-аутентификацией для возможности «прозрачного» входа.

В отличие от учётных записей уровня «Администратор центрального сервера», которые могут задаваться на каждом сервере отдельно и могут иметь разные пароли, учтённые записи уровня «Администратор кластера» создаются в кластере один раз и автоматически реплицируются на другие серверы-участники кластера.

После создания административных записей в кластере на первом сервере, переключимся в консоли на второй сервер и убедимся в том, что данные по созданным учётным записям администраторов кластера успешно реплицировались.

Проверено на следующих конфигурациях:

Автор первичной редакции:
Алексей Максимов
Время публикации: 13.03.2023 15:45