Почему не проходит авторизация?

Question

[Aleksandr]

Всем привет, занялся такой задачей SSO на 1С и бьюсь уже долго(
Что имеем:
1. Debian 10(пробовал на 11 и 12(gssapi)) +Apache2.4+ опубликован веб-сервер
2. 1C 8.3.22.2239
3. AD MS WS 2019
4. Krb5

В AD создана учетка к ней сделан keytab, kinit работает, ntp настроен на домен. Пробую в IE, страница открывается (т.е авторизация срабатывает, пробовал на ПК не в домене - не пускает), в логах вижу ошибки
1 .

"POST /foo/ru_RU/e1cib/login?version=8.3.22.2239&nooida&clnId=bca605e0-97b2-4fa3-ab91-bda3ef2b00fa HTTP/1.1" <b>402</b> 1878 "http://address/upr_it/ru_RU/" "Mozilla/4.0

2.

kerb_authenticate_user entered with user (NULL) and auth_type Kerberos, referer: http://address/upr_it/ru_RU/

Но при этом так же есть в логах такое

authorization result of Require valid-user : granted, referer: http://address/foo/ru_RU/

В журнале 1С такое:
DstUserName1: user@domain(domain.local\user), вроде как должен быть DstUserName2 но его нет.
И соответственно ошибки типа:

a01f465c-ed70-442e-ada5-847668d7a41c: Идентификация пользователя не выполнена
Неправильное имя или пароль пользователя'
580392e6-ba49-4280-ac67-fcd6f2180121: Неправильное имя пользователя или пароль
Ошибка при выполнении запроса POST к ресурсу /e1cib/login:'

Прогуглил, у многих всё работает, но не делятся как. Действовал по разным инструкциям советам - но не получается, не понимаю где "затык". Буду рад любому ответу/комментарию.
Всем спасибо!)

Comments

[Роман Безруков]

В AD создана учетка к ней сделан keytab

делегирование Kerberos на этой учетке настроено? Все нужные SPN прописаны?

Answer 1

[Aleksandr]

Решилось всё тем, что запуск самой 1С был не от системного пользователя (usr1cv8) а от другой учетки, переделал и всё поехало)

Comments

[and1by]

Добрый день.

А можете поделиться конфигами для apache2 и 1c?
keytab использовали один для apache2 и 1c? Что-то в настройках 1c меняли или у пользователей внутри 1c?

Уже давно мучаюсь с этой проблемой и все никак...

Заранее спасибо.

[DNjoy]

Добрый день!

Получилось настроить ad для 1с через krb5, но для apache2 не получается, мучаюсь уже второй месяц.

Тоже интересует - keytab для apache2 и 1c использовали разные? Можете написать параметры для их формирования? Какие права выдавали keytab файлу для apache2?