Как отключить аутентификацию OpenID Connect в 1С

При подключении информационной базы 1С к корпоративному провайдеру идентификации (Keycloak, Active Directory Federation Services, Azure AD и другим) вход пользователей переводится на протокол OpenID Connect. Если интеграция настроена с ошибками, провайдер выведен из эксплуатации или нужно вернуть стандартную аутентификацию, возникает задача отключить OIDC и восстановить обычный вход по логину и паролю 1С.

Проблема в том, что при включённой аутентификации OpenID Connect пользователи могут вообще потерять доступ к базе: окно входа перенаправляет на страницу провайдера, который недоступен или отклоняет запрос. Поэтому отключение OIDC часто выполняется в аварийном порядке, и важно знать несколько рабочих способов — через конфигуратор, через настройки публикации на веб-сервере и через файл параметров базы.

Ниже разобраны сценарии для файловых и клиент-серверных баз, для тонкого клиента и веб-клиента, а также проверка результата и типичные ошибки, из-за которых отключение «не срабатывает».

Где в 1С хранятся настройки OpenID Connect

Прежде чем отключать, полезно понимать, где именно зафиксирована настройка. В типовом механизме платформы аутентификация OpenID Connect задаётся на уровне информационной базы: в свойствах базы указывается, что используется внешний провайдер идентификации, и прописываются его параметры — адрес издателя (issuer), идентификатор клиента (client ID) и связанные настройки.

Для веб-клиента и тонкого клиента, подключающегося через веб-сервер, параметры OIDC дополнительно дублируются в файле публикации default.vrd. Именно этот файл читает модуль веб-сервера (веб-сервис 1С) при обработке входящих запросов. Если настройку убрать только в конфигураторе, а в default.vrd она осталась — веб-доступ продолжит требовать вход через провайдера.

Третье место — свойства отдельных пользователей: у конкретного пользователя может быть установлен способ аутентификации «Аутентификация OpenID Connect» вместо стандартной. Даже после глобального отключения OIDC таким пользователям нужно вернуть пароль 1С, иначе они не смогут войти.

Подготовка: что сделать перед отключением

Главный риск при отключении OpenID Connect — потерять доступ к базе вообще. Если все пользователи, включая администратора, входили только через OIDC, то после отключения войти будет некому. Поэтому сначала убедитесь, что существует хотя бы один пользователь с правами администратора и действующим паролем 1С.

Второй шаг — сделать резервную копию. Для файловой базы достаточно скопировать каталог с файлом 1Cv8.1CD при остановленной работе пользователей. Для клиент-серверной базы выполните выгрузку в dt через конфигуратор или штатный бэкап средствами СУБД. Это страховка на случай, если при редактировании настроек что-то пойдёт не так.

Третий шаг — зафиксируйте текущие параметры OIDC: адрес провайдера, client ID, настройки публикации. Если отключение окажется временным (например, на время ремонта сервера идентификации), эти данные позволят быстро вернуть конфигурацию обратно.

Способ 1: отключение через конфигуратор

Основной и самый безопасный способ — работа через конфигуратор. Запустите 1С в режиме «Конфигуратор» и войдите под пользователем с административными правами. Если OIDC настроен только для веб-клиента, конфигуратор обычно пускает со стандартной аутентификацией без проблем.

Откройте меню «Администрирование» и перейдите к настройкам пользователей и прав доступа. Найдите параметры аутентификации информационной базы — в зависимости от версии платформы это может быть отдельный пункт настроек аутентификации OpenID Connect или раздел в свойствах базы. Снимите признак использования OIDC-аутентификации или очистите параметры провайдера (адрес издателя, идентификатор клиента).

Затем пройдите по списку пользователей: откройте карточку каждого, у кого в качестве способа входа был указан OpenID Connect, переключите на стандартную аутентификацию 1С и задайте пароль. Убедитесь, что флажок «Аутентификация 1С:Предприятия» установлен, а пароль соответствует политике безопасности, если она настроена.

Сохраните изменения и проверьте вход: запустите режим «Предприятие» под обычным пользователем с новым паролем. Если вход выполняется без перенаправления на страницу провайдера — отключение на уровне базы завершено.

1. 1
   Сделайте резервную копию базы и зафиксируйте текущие параметры OIDC
2. 2
   Войдите в конфигуратор под администратором
3. 3
   Откройте настройки аутентификации информационной базы и отключите использование OpenID Connect
4. 4
   Каждому пользователю с OIDC-входом включите аутентификацию 1С и задайте пароль
5. 5
   Сохраните изменения и проверьте вход в режиме «Предприятие» под обычным пользователем

Способ 2: отключение OIDC в публикации на веб-сервере

Если пользователи работают через веб-клиент или тонкий клиент по HTTP, настройки OpenID Connect хранятся в файле default.vrd в каталоге публикации на веб-сервере. Откройте этот файл в текстовом редакторе с правами администратора на сервере.

Найдите блок, связанный с OpenID Connect: параметры издателя, идентификатора клиента и связанные атрибуты аутентификации. Удалите этот блок или закомментируйте его, оставив стандартные настройки публикации (строку подключения к базе, параметры веб-сервисов). Сохраните файл, следя за тем, чтобы XML остался корректным — лишний или незакрытый тег приведёт к ошибке публикации целиком.

После правки перезапустите веб-сервер: для IIS — перезапуск пула приложений или службы, для Apache — перезапуск службы. Без перезапуска модуль веб-сервера может продолжать использовать закэшированные настройки, и вход по-прежнему будет уходить на провайдера.

Альтернатива ручной правке — перепубликация базы из конфигуратора («Администрирование → Публикация на веб-сервере») с уже отключённым OIDC. При публикации платформа сформирует новый default.vrd без параметров OpenID Connect. Учтите, что перепубликация перезапишет и другие ручные правки default.vrd, если они были.

# Apache: перезапуск после правки default.vrd
sudo systemctl restart apache2
# IIS (из PowerShell):
iisreset

Что делать, если войти в базу уже невозможно

Ситуация: OIDC-провайдер недоступен, все пользователи входили только через него, и конфигуратор тоже не пускает. Для файловой базы выход есть: платформа позволяет открыть конфигуратор без аутентификации, если в базе вообще не создано ни одного пользователя, но если пользователи есть — потребуется вход. В этом случае проверьте, не сохранился ли у какого-либо пользователя включённой аутентификация 1С параллельно с OIDC — такие учётные записи войдут по паролю.

Если парольных учётных записей нет, для файловой базы остаётся вариант восстановления из резервной копии, сделанной до включения OIDC, либо обращение к специалистам с инструментами низкоуровневой работы с файлом базы — самостоятельные правки 1Cv8.1CD сторонними средствами небезопасны и могут разрушить данные.

Для клиент-серверной базы ситуация проще: аутентификация OpenID Connect, настроенная только на уровне веб-публикации, не мешает подключению тонким клиентом напрямую к серверу 1С (по протоколу TCP). Подключитесь к базе через кластер серверов минуя веб-сервер, войдите под администратором и отключите OIDC штатным способом.

Проверка результата и типичные ошибки

После отключения проверьте все каналы доступа: толстый/тонкий клиент напрямую, тонкий клиент через веб-сервер, веб-клиент в браузере. Признак успешного отключения — стандартное окно ввода логина и пароля 1С без перенаправлений на внешнюю страницу входа.

Дополнительно проверьте фоновые задания и внешние соединения: регламентные операции, обмены и интеграции, которые выполнялись под служебными учётными записями с OIDC, после отключения начнут завершаться ошибкой аутентификации. Назначьте этим учётным записям пароли 1С и обновите параметры подключения в настройках обменов.

Альтернативы полному отключению

Полное отключение OIDC — не единственный вариант. Если проблема в нестабильности провайдера, можно оставить смешанный режим: у части пользователей включена и аутентификация 1С, и OpenID Connect. Тогда при недоступности провайдера они войдут по паролю, а в штатном режиме — через единый вход.

Если цель — сменить провайдера (например, переезд с одного сервера идентификации на другой), достаточно обновить параметры издателя и client ID в настройках базы и в default.vrd, не отключая механизм целиком. Это менее рискованно, чем полный откат на парольный вход с последующим повторным включением.

Частые вопросы