Коротко. WebAccessAgent работает в фоне на компьютере пользователя и открывает веб-клиенту Directum RX доступ к настольным редакторам, сканеру, локальной подписи и почтовому клиенту. Пользователь ставит его из меню на Windows, Linux и macOS, администратор на Windows раскатывает CA.cer и затем msiexec /qn. Если не работает, смотрите значок и версию агента, флажок «Использовать веб-агент», порт 9654 и журнал в папке remote.

Пользователь нажимает «Редактировать», а документ вместо Word скачивается в папку загрузок, и подписать его можно только простой или облачной подписью. Так веб-клиент Directum RX работает без веб-агента WebAccessAgent. Ниже по справке Directum RX 25.2 разберём, как агент ставится и что проверять, если он не работает.

Симптом

Без агента веб-клиент остаётся рабочим, но ведёт себя иначе:

  • при первом открытии или подписании документа предлагает установить веб-агент;
  • документ на редактирование скачивает в папку загрузок браузера, правки потом загружают обратно вручную через значок редактируемых документов;
  • для подписания оставляет только простую и облачную подпись;
  • при входе по сертификату около 30 секунд ждёт загрузки агента, затем предлагает его скачать;
  • экспорт списка в Excel сохраняет файл на диск, «Добавить в календарь» создаёт файл .ics.

Почему так

WebAccessAgent ставится на компьютер пользователя и работает в фоне. Веб-клиент передаёт ему действия, которым нужен доступ к компьютеру. Браузер связывается с агентом через порт на компьютере пользователя, 9654 по HTTPS или 9554 по HTTP, агент с веб-сервером работает по 443 или 80. Соединение браузера с агентом защищено сертификатом: установщик для Windows в конце просит установить webagent https certificate, при массовой установке заранее раскатывают CA.cer.

По справке агент нужен, чтобы:

  • открывать документы и отчёты в настольных редакторах. В Windows это Microsoft Office, LibreOffice и другие, в Linux и macOS свободные редакторы вроде LibreOffice. Правки из поддерживаемых редакторов попадают в RX сами, когда файл сохранён и закрыт;
  • заносить документы со сканера, только в Windows и Linux и при установленных драйверах сканера;
  • подписывать усиленной локальной подписью. Кроме агента на рабочем месте нужны СКЗИ и сертификаты цепочки доверия удостоверяющего центра. Облачной подписи агент не нужен;
  • отправлять документ вложением в письмо и добавлять встречу в календарь почтового клиента. Встречи в Linux не поддерживаются;
  • входить по сертификату, открывать экспорт списка в редакторе, вставлять ссылку на объект с его именем, прикладывать снимки экрана к отзыву о системе.

Где работает и кто ставит

Установщики есть для Windows (WebAccessAgent.msi), Linux (deb для систем на базе Debian вроде Ubuntu и Astra Linux, rpm для остальных, например ALT Linux) и macOS (WebAccessAgent.dmg), на мобильных устройствах агента нет. Для работы с системой справка называет Яндекс Браузер, Google Chrome и Mozilla Firefox и допускает другие браузеры. За точными требованиями к ОС, браузерам и редакторам она отсылает к документу вендора «Directum RX. Типовые требования к аппаратному и программному обеспечению».

Пользователь ставит агент сам через пункт «Установить веб-агент» в меню пользователя. Права зависят от ОС:

  • в Windows установка «только для текущего пользователя» идёт в его папку, «для всех пользователей компьютера» требует прав администратора, иногда и настройки UAC;
  • в Linux права суперпользователя нужны при первой установке, для сертификата агента и доступа к папкам пользователя, кэша и журналов. Обновлениям они не нужны;
  • в macOS при установке система спрашивает имя и пароль администратора, чтобы разрешить запуск.

Массовую установку делает администратор, справка описывает её только для Windows: групповые политики Active Directory, System Center Configuration Manager, Kaspersky Security Center, WSUS или msiexec в тихом режиме.

Диагностика

Что смотрим Где Норма
Значок агента область уведомлений Windows и Linux, строка меню macOS есть
Версия агента правая кнопка по значку, «О программе» как в таблице «Версии компонентов» вашего обновления в справке «Что нового»
Флажок «Использовать веб-агент» настройки проводника веб-клиента установлен
Разрешение на сервере конфигуратор Directum Launcher, группа WebAgent, WEB_AGENT_CAN_USE true
Порт агента компьютер пользователя, 9654 (HTTPS) или 9554 (HTTP) открыт, его слушает агент
CA.cer при массовой установке хранилище «Доверенные корневые центры сертификации» сертификат есть
Журнал агента <LOGS_PATH>/remote/<IP>.WebAccessAgent.<код системы>.<ИД учётной записи>.<дата>.log нет ошибок в момент сбоя
Терминальная служба Web Agent for Terminal Service в Windows, WebAgentProxySvc в Linux запущена

Сообщения агента уходят на сервер порциями, по умолчанию по 100, поэтому свежая запись может появиться в журнале не сразу. Если администратор менял LOGS_REMOTE_PATH, журналы клиентов лежат по этому пути. Локальные журналы агента открывает ссылка «Лог-файлы» в окне «О программе». Чем читать эти файлы, описано в статье о чтении логов Directum RX.

Какой процесс слушает порт агента и работает ли терминальная служба:

# Windows, PowerShell
Get-Process -Id (Get-NetTCPConnection -LocalPort 9654 -State Listen).OwningProcess
# Linux
ss -ltnp '( sport = :9654 or sport = :9554 )'
sudo systemctl status WebAgentProxySvc
# macOS
lsof -nP -iTCP:9654 -sTCP:LISTEN

На терминальном сервере порт 9654 занимает терминальная служба, а экземпляры агента берут порты от 10000 до 49151, каждый свой.

Что сделать

  1. Агента нет. Установите его из меню пользователя, включите «Использовать веб-агент» в настройках проводника и обновите страницу. Если установщик не скачивается, администратор сохраняет его тем же пунктом меню у себя и передаёт пользователю.
  2. Агент установлен, но веб-клиент его не видит. Обновите страницу. Если браузер спрашивает, разрешить ли сайту открывать ссылки приложения агента, разрешите и отметьте запоминание выбора. Проверьте значок и флажок «Использовать веб-агент». В Linux закрытый агент запускают из списка приложений. Дальше проверьте WEB_AGENT_CAN_USE на сервере.
  3. Установку не пускает система. В Windows файл MSI может задержать фильтр SmartScreen, разрешение настраивает администратор. В Linux установщик может предупредить, что пакет ставится из файла, и спросит пароль суперпользователя. На ошибку macOS «You do not have permission to open the application WebAccessAgent» есть отдельная страница.
  4. Есть подозрение на антивирус или политики. О блокировке агента антивирусом справка 25.2 ничего не пишет, поэтому повторите сценарий на тестовом рабочем месте с теми же политиками и без них. Из требований справки проверьте открытый порт агента и CA.cer в доверенных корневых центрах. Ошибка «Log synchronize error» в журнале агента разобрана отдельно.
  5. RX обновили. Агент обновляется сам, нумерация у него своя: в обновлении RX 25.2.0.37 это 6.0.3.1002, в 25.2.0.38 и 25.2.0.40 уже 6.0.3.1005, подробнее в статье про версии Directum RX. Сверьте версию в «О программе» с таблицей «Версии компонентов» вашего обновления. Если на компьютере версия ниже, автообновление до него не дошло: переустановите агент из меню пользователя. Ошибку «Нет такого файла или каталога» при обновлении агента вендор исправил в 25.2.0.38. На терминальном сервере после обновления или перезапуска терминальной службы перезапустите все экземпляры агента.
  6. Несколько сотрудников работают на одном компьютере по очереди или на терминальном сервере. Нужна терминальная служба веб-агента. Её установщик лежит в комплекте Directum Launcher, для облачной системы его выдаёт поддержка Directum RX.
  7. Нужна массовая раскатка. В Windows поставьте агент на один компьютер, раскатайте его CA.cer (в справке путь C:\Program Files (x86)\WebAccessAgent) в «Доверенные корневые центры сертификации» на все рабочие места, затем раскатайте пакет. Для Linux и macOS справка массовую установку не описывает, свою схему проверьте на тестовом стенде.

Тихая установка по примеру справки, имя пакета подставьте своё:

msiexec /I WebAccessAgent.Ru.msi /qn
rem с подробным журналом установки
msiexec /I WebAccessAgent.Ru.msi /qn /l*v C:\Temp\webagent-install.log

Что собрать для поддержки

Справка просит назвать время ошибки и приложить журналы за весь день. По агенту добавьте:

  • время с точностью до минуты, учётную запись, IP-адрес, ОС и браузер пользователя;
  • версию агента из «О программе», версии платформы и прикладной разработки RX, способ установки агента;
  • журналы агента и веб-клиента из папки remote на сервере, журнал веб-сервера за то же время и локальные журналы агента;
  • proxy.log терминальной службы, если она используется;
  • снимок экрана с текстом ошибки.

Чего не делать

  • Не ставить и не обновлять терминальную службу в рабочее время. Для Linux справка предупреждает: останавливаются все экземпляры агента, и правки в открытых документах могут не сохраниться, их восстанавливают из локальной копии. В Windows после обновления службы экземпляры агента перезапускают.
  • Не раскатывать MSI без CA.cer. Справка требует раскатать сертификат до массовой установки, он защищает соединение браузера с агентом.
  • Не рассчитывать, что WEB_AGENT_ENABLED_BY_DEFAULT включит агент всем. Параметр ставит флажок при первом входе и не трогает тех, кто уже менял его сам. По умолчанию он выключен.
  • Не уходить на HTTP, чтобы обойти проблемы с сертификатами. Справка допускает HTTP только в тестовой среде и называет доступ к системе по HTTPS необходимым для работы агента.