Консоль или rac пишет «Администратор кластера не аутентифицирован»: где ввести логин и что проверить

Сообщение Администратор кластера не аутентифицирован значит одно: в кластере 1С заданы администраторы, а программа, которая к нему обращается, не передала имя и пароль или передала неверные. Чаще всего ошибку выдаёт консоль администрирования серверов 1С, утилита rac или форма блокировки пользователей в типовой конфигурации.

Распространённое заблуждение — что «слетели права Windows» и надо переустанавливать сервер. Почти всегда хватает ввести учётные данные администратора кластера там, где их ждут. Переустановка платформы список администраторов не трогает: он хранится в каталоге данных кластера, а не в программе.

Как устроена защита кластера и при чём здесь RAS

У сервера 1С:Предприятия 8.3 три уровня администраторов. Каждый проверяется отдельно, и у каждого своё сообщение об ошибке.

Пока список администраторов пуст, кластер пускает всех, кто дотянулся до агента по сети. Как только добавлен хотя бы один администратор, любой запрос на управление требует входа.

Схема обращения такая:

• 🖥 консоль MMC обращается к агенту сервера (порт 1540 по умолчанию), а через него — к менеджеру кластера (1541);
• 🔧 утилита rac сама с кластером не работает : она подключается к серверу администрирования ras (по умолчанию порт 1545), а ras уже идёт к агенту;
• 📦 типовые конфигурации на БСП (блокировка сеансов, обновление) используют внешнее соединение или ras и тоже передают имя и пароль администратора кластера.

Отсюда практический вывод: ошибка возникает в том инструменте, где не заполнены учётные данные. Если консоль MMC работает, а скрипт на rac падает — дело в параметрах скрипта, а не в сервере.

Куда вводить логин администратора кластера

Начните с самого частого случая: администратор есть, но его не спросили или ввели не того.

Консоль администрирования серверов

1. Откройте консоль, разверните Central 1C:Enterprise 8.3 servers → ваш сервер → Кластеры.
2. При раскрытии кластера консоль показывает окно ввода имени и пароля администратора кластера. Введите данные администратора кластера, а не пользователя базы.
3. Если окно не появилось и сразу пришла ошибка, закройте консоль и откройте её заново: консоль запоминает введённые данные до конца сеанса, и неверная пара могла «прилипнуть».

Утилита rac

Без явной передачи учётных данных rac выполнит только команды, которым они не нужны, например rac cluster list. Всё, что касается баз и сеансов, потребует параметров:

rac.exe localhost:1545 cluster list

rac.exe localhost:1545 session list ^
  --cluster=<uuid-кластера> ^
  --cluster-user=Admin ^
  --cluster-pwd=Pa$$w0rd

Для команд уровня агента нужны --agent-user и --agent-pwd, для операций с базой — дополнительно --infobase-user и --infobase-pwd. Полный перечень параметров по каждой команде выводит rac help и, например, rac help session.

Пароль в bat-файле читается любым, кто имеет доступ к папке. Храните такие скрипты в каталоге с правами только для администраторов сервера.

Типовые конфигурации

В БП 3.0, ЗУП 3.1 и УТ 11 форма блокировки работы пользователей открывается из раздела Администрирование → Поддержка и обслуживание. При установке блокировки или завершении сеансов программа запрашивает имя и пароль администратора кластера. Пустые поля при заданных администраторах как раз и дают это сообщение.

Служба агента и параметры в реестре Windows

Если пароль точно верный, а ошибка остаётся, проверьте, к какому кластеру вы на самом деле подключаетесь. На одном компьютере бывает несколько служб агента: после установки разных версий платформы или при работе двух кластеров на разных портах.

Параметры запуска службы лежат в реестре:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<имя службы агента 1С>

В значении ImagePath смотрите:

• 📁 -d — путь к каталогу данных кластера (srvinfo). Именно там хранятся списки администраторов;
• 🔌 -port — порт агента (по умолчанию 1540);
• 🔌 -regport — порт менеджера кластера (1541);
• 📶 -range — диапазон портов рабочих процессов (1560:1591).

Типичная ловушка: служба запущена с одним каталогом srvinfo, а администратор добавлялся в кластер, который обслуживает другая служба. Вводите пароль от «соседнего» кластера и получаете отказ.

Регистрация radmin.dll

Консоль MMC работает через компонент radmin.dll той версии платформы, что установлена на сервере. Если консоль не открывается или ведёт себя странно после обновления платформы, перерегистрируйте компонент из командной строки администратора:

regsvr32 "C:\Program Files\1cv8\8.3.xx.xxxx\bin\radmin.dll"

Подставьте номер установленной версии. Версия консоли должна совпадать с версией сервера, иначе вместо ошибки аутентификации обычно появляется ошибка о несовпадении версий.

Учётные записи Windows и аутентификация ОС

Администратору кластера можно задать два способа входа: по паролю 1С и средствами операционной системы. При втором варианте в его свойствах указывается пользователь Windows в формате \\ДОМЕН\Пользователь.

Ошибка возникает, когда:

• 👤 консоль запущена от другой учётной записи Windows, чем указана у администратора (например, через «Запуск от имени»);
• 🌐 компьютер с консолью и сервер находятся в разных доменах без доверия или в рабочей группе;
• ✏️ имя записано не в том формате или с опечаткой в имени домена;
• 🔑 учётная запись домена заблокирована или пароль сменили, а сеанс Windows ещё старый.

Служба агента обычно работает от пользователя USR1CV8. Эта запись к администраторам кластера отношения не имеет: она нужна службе для доступа к файлам и сети. Путать их не надо — менять пользователя службы ради ошибки аутентификации бессмысленно.

💡 Для удалённого управления из рабочей группы надёжнее держать хотя бы одного администратора с входом по паролю. Аутентификацию ОС оставьте для доменных машин.

Если пароль администратора кластера потерян

Пароль восстановить нельзя, только заменить. Порядок действий:

1. Спросите тех, кто администрирует сервер: часто пароль записан в регламенте или хранилище паролей.
2. Если пароля нет, найдите резервную копию каталога srvinfo (файл реестра кластера 1CV8Clst.lst лежит в подкаталоге reg_<порт менеджера>, обычно reg_1541).
3. Остановите службу агента, верните файл из копии того времени, когда пароль был известен, и запустите службу.

Перед заменой сохраните текущий файл реестра кластера отдельно. В нём, кроме администраторов, хранятся список баз, рабочие серверы и требования назначения функциональности. Из старой копии могут пропасть базы, добавленные после неё, — их придётся зарегистрировать заново. Удалять кластер или пересоздавать его ради сброса пароля нельзя.

Что показывают журналы

Когда непонятно, какой именно запрос отклоняется, смотрите журналы. Сначала — системные.

Журнал событий Windows. В разделе «Приложение» записи от служб 1С покажут сбои запуска агента и менеджера кластера. Если в момент ошибки там пусто, служба работает нормально, и проблема в учётных данных.

Журнал безопасности Windows. При аутентификации ОС неудачные попытки входа доменной учётной записи видны здесь. Это быстрый способ понять, доходит ли проверка до Windows.

Технологический журнал 1С. Включается файлом logcfg.xml в каталоге conf платформы. Чтобы поймать текст исключения с временем и процессом, хватает простой настройки:

<config xmlns="http://v8.1c.ru/v8/tech-log">
  <log location="C:\techlog" history="24">
    <event>
      <eq property="name" value="EXCP"/>
    </event>
    <property name="all"/>
  </log>
</config>

Платформа подхватывает изменения файла без перезапуска службы. После воспроизведения ошибки ищите в логах rphost, rmngr и ragent строку с текстом об аутентификации. Видно, какой процесс отказал и в какое время.

Журнал ras. Если rac работает через сервер администрирования, запустите ras в консоли, а не службой: ошибки подключения к агенту будут видны сразу в окне.

Сеть и брандмауэр: как отличить от ошибки входа

Сетевые проблемы выглядят иначе. Если порт закрыт, консоль или rac не достучится до сервера вообще и сообщит об ошибке соединения, а не об аутентификации. Само сообщение «не аутентифицирован» означает, что связь есть и сервер ответил.

Но сеть может косвенно привести именно к этой ошибке:

Пример запуска сервера администрирования с явным адресом агента:

ras.exe cluster --port=1545 srv1c:1540

Для работы клиентов и консоли в брандмауэре сервера нужны входящие порты агента, менеджера кластера и диапазон рабочих процессов: по умолчанию 1540, 1541, 1560-1591. Порт 1545 открывайте только для машин, с которых реально администрируют.

Другие способы управлять кластером

Если консоль MMC не открывается на конкретной машине, кластером можно управлять иначе. Учётные данные администратора кластера нужны при любом способе.

Для COM-соединения последовательность такая: подключиться к агенту, получить кластеры, выполнить аутентификацию, затем запрашивать базы и сеансы:

Коннектор = Новый COMОбъект("V83.COMConnector");
Агент = Коннектор.ConnectAgent("tcp://srv1c:1540");
Кластеры = Агент.GetClusters();
Кластер = Кластеры[0];
Агент.Authenticate(Кластер, "Admin", "Pa$$w0rd");
Сеансы = Агент.GetSessions(Кластер);
Сообщить("Сеансов: " + Формат(Сеансы.Количество(), "ЧГ=0"));

Если пропустить вызов Authenticate, то при заданных администраторах GetSessions вернёт ту самую ошибку аутентификации. Версия COM-компонента должна совпадать с версией сервера.

Частые ошибки при настройке администраторов

• ❌ Добавили администратора и забыли про скрипты. Ночные задания на rac и обработки с COM-соединением перестают работать в тот же день. Прежде чем добавить первого администратора, соберите список всего, что управляет кластером автоматически.
• ❌ Один пароль на всё. Администратор агента, кластера и базы — разные сущности. Если задать одинаковый пароль, при утечке скрипта открывается всё сразу.
• ❌ Администратор только с аутентификацией ОС. Уволился сотрудник, учётную запись отключили — войти в кластер некому. Держите запасного администратора с паролем в хранилище паролей.
• ❌ Резервная копия без srvinfo. Бэкапят базы SQL, а каталог данных кластера нет. При потере пароля восстанавливать нечего.

Частые вопросы об администраторах кластера