Вход через Active Directory в коробочном Битрикс24: настройка LDAP и синхронизации пользователей

Вход через Active Directory в коробочном Битрикс24 настраивается встроенным модулем «AD/LDAP интеграция». Администратор добавляет сервер домена, указывает служебную учетную запись с правом чтения и корень дерева, сопоставляет поля и группы, включает периодическую синхронизацию. После этого сотрудники входят доменным логином и паролем, а при настроенном NTLM попадают на портал без ввода пароля.

Обычно к этой задаче приходят так: в компании уже есть домен Windows, сотрудники каждое утро входят в него на рабочих компьютерах, а на корпоративном портале у них отдельный логин и отдельный пароль. Пароли забываются, уволенные сотрудники неделями остаются активными на портале, потому что их забыли отключить, а новые сотрудники ждут, пока администратор заведет им учетную запись вручную. Связка Битрикс24 с Active Directory закрывает все три проблемы, если настроить ее аккуратно с первого раза.

Что дает связка Active Directory и коробочного Битрикс24

Главная выгода связки в том, что учетными записями управляют в одном месте, в домене, а портал подтягивает изменения сам. Чтобы дальше не путаться в терминах, договоримся о трех определениях.

Active Directory (AD) — это служба каталогов Microsoft, в которой хранятся учетные записи сотрудников, группы и структура подразделений компании. LDAP — это протокол, по которому другие системы читают данные из такого каталога: Битрикс24 подключается к AD именно по нему. NTLM-авторизация — это способ входа, при котором браузер сам передает порталу, какой пользователь вошел в Windows, и пароль повторно вводить не нужно.

Что меняется для бизнеса после настройки:

• сотрудник помнит один пароль, и политика сложности паролей домена автоматически действует и для портала;
• новый сотрудник, которого ИТ завел в AD, появляется в Битрикс24 при ближайшей синхронизации, ручное создание учетных записей уходит;
• сотрудник, удаленный в AD, на портале деактивируется, и доступ к CRM, задачам и документам у него пропадает;
• группы домена превращаются в группы портала, поэтому права на разделы можно выдавать через привычные доменные группы;
• структура компании в Битрикс24 может собираться из данных AD: подразделения и руководители.

Модуль «AD/LDAP интеграция» описан в справке Битрикс24 об интеграции с AD/LDAP: там сказано, что он нужен для встраивания портала в корпоративную сеть и централизованного управления группами пользователей, а импортированные из LDAP пользователи деактивируются после удаления в LDAP. Это возможность именно коробочной версии, в облачном Битрикс24 такого модуля нет, для облака есть другие сценарии единого входа.

В каких редакциях работает модуль и как это влияет на лицензию

Модуль входит в коробочный Битрикс24, а в продукте «1С-Битрикс: Управление сайтом» доступен только в старших редакциях. В документации 1С-Битрикс по форме настройки LDAP-сервера прямо указано, что он недоступен в редакциях «Бизнес», «Малый бизнес», «Стандарт» и «Старт».

Второй момент, о котором стоит подумать до первой синхронизации, это количество пользователей. Каждый импортированный из AD сотрудник становится пользователем портала и занимает место в лицензии. В домене часто лежат сотни служебных записей, учетки уволенных, тестовые пользователи и сервисные аккаунты. Если загрузить каталог целиком, лимит лицензии закончится на первом же импорте. Поэтому фильтр пользователей и группы, исключенные из импорта, нужно настроить до первого запуска синхронизации. Если сотрудников реально больше, чем мест, пригодится наш разбор о том, как расширить коробочный Битрикс24 сверх лимита пользователей.

Что подготовить на стороне домена до настройки

До того как открывать админку Битрикс24, у администратора домена нужно получить пять вещей. Без них настройка превратится в переписку на неделю.

1. Адрес контроллера домена и порт. Стандартный порт LDAP 389, для подключения с шифрованием обычно используется 636. Сервер, на котором работает Битрикс24, должен видеть контроллер домена по сети: это частая причина неудачи, когда портал стоит в отдельном сегменте или в дата-центре.
2. Служебную учетную запись с правом чтения каталога. Под ней портал будет читать AD. Права администратора домена ей не нужны и выдавать их не стоит. Пароль у такой записи лучше сделать бессрочным или завести напоминание о смене, иначе синхронизация однажды молча остановится.
3. Корень дерева (base DN). Это ветка каталога, начиная с которой портал ищет пользователей, например DC=company,DC=kz или конкретное подразделение внутри него.
4. Список групп и подразделений, которые нужны на портале. Кто из домена должен попасть в Битрикс24, а кто нет: бухгалтерия на аутсорсе, склад без компьютеров, служебные учетные записи.
5. Порядок заполнения атрибутов. У каждого сотрудника в AD должны быть заполнены имя, фамилия и почта, а для структуры компании еще подразделение и руководитель. Пустые атрибуты в домене дадут пустые карточки на портале.

Как добавить LDAP-сервер в Битрикс24: вкладка «Сервер»

Сервер добавляется в административной части портала, в разделе настроек AD/LDAP: там открывается список серверов и кнопка «Создать». Форма сервера состоит из четырех вкладок: «Сервер», «Настройка полей», «Группы» и «Синхронизация». Порядок заполнения первой вкладки такой:

1. Отметьте «Активен» и заполните «Название», например «AD головного офиса». Если доменов или веток несколько, на каждую заводится отдельная запись сервера.
2. В поле «Сервер:порт» укажите адрес контроллера домена и порт. Для стандартного LDAP это 389.
3. В «Тип подключения» выберите вариант с шифрованием, если контроллер его поддерживает. Логин и пароль служебной записи иначе пойдут по сети открытым текстом.
4. В поле «Логин пользователя с правами доступа на чтение к дереву» укажите служебную запись в формате логин@домен или домен\логин, ниже введите «Пароль».
5. Нажмите «Проверить». При успешном подключении сервер вернет список корней деревьев, и это первый признак того, что сеть, логин и пароль в порядке.
6. Выберите или впишите «Корень дерева (base DN)».
7. Если планируете вход без пароля, заполните «Домен для NTLM авторизации». Значение должно точно совпадать с доменом, включая регистр букв.

На этой же вкладке есть таймауты: время ожидания результатов поиска, сетевой таймаут и максимальное количество объектов, возвращаемых при одном поиске. Для небольшого домена значения по умолчанию подходят. Если в каталоге тысячи объектов и синхронизация обрывается, первым делом смотрят именно сюда. Учтите, что начиная с версии модуля 23.100.0 сохраненный пароль служебной записи на странице редактирования не показывается: если его нужно сменить, просто введите новый.

Вкладка «Настройка полей»: фильтры, атрибуты и структура компании

Вкладка «Настройка полей» определяет, каких пользователей портал заберет из домена и какие данные о них перенесет. В блоке «Параметры схемы сервера (AD \ LDAP)» есть ссылки AD и LDAP: по клику подставляются стандартные значения для выбранного типа каталога, и для Active Directory это самый быстрый старт. Фильтры пользователей и групп можно отредактировать, длина каждого до 2048 символов. Именно в фильтре пользователей удобнее всего отсечь отключенные и служебные учетные записи, чтобы они не съедали лицензию.

Ниже находится таблица «Соответствие полей пользователя и атрибутов LDAP». Обязательный минимум: «Активность», «Имя», «Фамилия» и «E-Mail». Остальные поля добавляются ссылкой «[добавить…]». В таблице ниже типичные атрибуты Active Directory для основных полей. Это пример для стандартной схемы AD, в вашем домене названия могут отличаться, если ИТ использует свои атрибуты.

Поле в Битрикс24	Типичный атрибут AD	Что проверить в домене
Логин	sAMAccountName	Логин уникален и не меняется при переводах
Имя	givenName	Заполнено у всех сотрудников
Фамилия	sn	Заполнено у всех сотрудников
E-Mail	mail	Почта есть и не повторяется у разных людей
Подразделение	department	Название отдела написано одинаково у всех его сотрудников
Руководитель	manager	Ссылка на учетную запись руководителя актуальна

Отдельный переключатель «Проверять привязку пользователя в свойствах группы» решает, как определяется членство в группах. В выключенном состоянии учитывается только основная группа пользователя (атрибут primaryGroupID). Во включенном портал смотрит все группы, где пользователь указан в атрибуте member. Для распределения прав почти всегда нужен второй вариант.

Если на портале установлен модуль корпоративного портала, на этой же вкладке появляется блок «Отделы и структура компании». Здесь включается «Импортировать структуру компании из AD», выбирается подразделение, внутрь которого будет загружена структура, отмечается «Назначать руководителей подразделений» и задается «Название подразделения по умолчанию» для сотрудников без отдела. Структура строится по атрибутам department и manager: если у сотрудника заполнен только руководитель, он попадает в подразделение руководителя, если не заполнено ничего, отправляется в подразделение по умолчанию.

Как связать группы домена с группами портала

Группы домена связываются с группами Битрикс24 на вкладке «Группы» через таблицу соответствий. В левой колонке «Группа на удаленном сервере», в правой «Локальная группа». Кнопка «Обновить список групп» подтягивает актуальные группы из AD, кнопка «Еще» добавляет строку. Там же есть список групп, которые не участвуют в импорте пользователей: сюда стоит отправить служебные и технические группы.

Практичная схема выглядит так. В домене заводятся группы под роли на портале, например «B24 Продажи», «B24 Бухгалтерия», «B24 Администраторы портала». На портале под них есть локальные группы с нужными правами. Когда ИТ переводит сотрудника из одного отдела в другой и меняет ему группы в AD, права на портале меняются при следующей синхронизации без участия администратора Битрикс24. Права на CRM при этом настраиваются отдельно, в ролях доступа CRM, и группы домена их не заменяют.

Как настроить синхронизацию пользователей по расписанию

Синхронизация настраивается на вкладке «Синхронизация»: включите «Выполнять периодическую полную синхронизацию» и задайте «Период, каждые» в часах. Там же есть флажок «Создавать несуществующих пользователей». Если он выключен, портал только обновляет данные уже заведенных сотрудников и новых не создает. Поле «LDAP атрибут с датой изменения» помогает определять, какие записи менялись. При редактировании на вкладке видно, когда была выполнена последняя полная синхронизация, и это первое место, куда смотреть, если новые сотрудники перестали появляться.

Какой период выбрать, зависит от того, как часто в компании меняется персонал и насколько быстро уволенный сотрудник должен потерять доступ. Для большинства компаний хватает синхронизации несколько раз в сутки. При увольнении с конфликтом не стоит ждать расписания: деактивируйте пользователя на портале вручную сразу после блокировки в домене.

Для больших каталогов в документации 1С-Битрикс описана пошаговая синхронизация: обычная загружает всех пользователей одним запросом и на тысячах записей может упереться в лимиты памяти или времени выполнения скрипта, а пошаговая обрабатывает их частями. Она требует свежей версии модуля и включается отдельно, поэтому решение о ней лучше принимать вместе с тем, кто обслуживает сервер портала.

Одно правило важно объяснить сотрудникам заранее. Поля, которые приходят из AD, правятся в домене. Если менеджер поменяет фамилию или телефон в своем профиле на портале, при следующей синхронизации значение вернется из каталога. Пароль доменного пользователя тоже меняется в Windows, а не в Битрикс24.

Как включить вход без пароля через NTLM

NTLM включается в настройках модуля «AD/LDAP интеграция»: путь «Настройки > Настройки продукта > Настройки модулей > AD/LDAP интеграция», флажок «Использовать NTLM авторизацию». Но одного флажка мало, вход без пароля требует подготовки в трех местах.

1. Сервер портала. Веб-сервер должен поддерживать NTLM. По справке Битрикс24, для этого нужен IIS или Apache с модулем mod_ntlm или mod_auth_sspi. Если портал развернут на Linux, эту часть настраивает администратор сервера.
2. Запись LDAP-сервера. Сначала регистрируется сервер AD/LDAP с соответствием групп, на вкладке «Сервер» заполняется «Домен для NTLM авторизации». В настройках модуля при необходимости указывается «Имя переменной PHP, в которой хранится логин пользователя NTLM», если веб-сервер передает логин не в стандартной переменной.
3. Браузеры сотрудников. Адрес портала нужно добавить в зону местной интрасети, иначе браузер не будет передавать данные входа автоматически. На компьютерах в домене это удобнее всего сделать групповой политикой.

При NTLM пароль проверяет контроллер домена, а портал паролей сотрудников не хранит. Поэтому вопрос «почему пароли не импортировались» снимается: так и задумано. Сотрудник, который пришел на портал с личного ноутбука вне домена или из дома, входит обычной формой с доменным логином и паролем, если LDAP-сервер подключен и активен.

Почему пользователи из AD не могут войти: частые ошибки

Почти все проблемы со входом через Active Directory сводятся к сети, к служебной учетной записи или к фильтрам. На проектах B2BPRO.KZ мы чаще всего видим одну и ту же картину: настройку сделали один раз, она работала, а через несколько месяцев у служебной записи истек пароль, и синхронизация остановилась без всяких уведомлений. Новые сотрудники перестали появляться, уволенные остались активными, и заметили это только тогда, когда бывший менеджер зашел в CRM.

Симптом	Вероятная причина	Что проверить
Кнопка «Проверить» не возвращает корни дерева	Нет сетевого доступа к контроллеру или неверный логин	Доступность порта с сервера портала, формат логина, пароль служебной записи
Новые сотрудники не появляются на портале	Синхронизация не идет или выключено создание пользователей	Дату последней полной синхронизации, флажок «Создавать несуществующих пользователей», срок пароля служебной записи
Импортировалось слишком много учетных записей	Слишком широкий фильтр или корень дерева	Фильтр пользователей, base DN, список групп, исключенных из импорта
Сотрудник есть, но без отдела	Пустой атрибут department или manager в AD	Карточку сотрудника в домене, «Название подразделения по умолчанию»
NTLM не срабатывает, портал просит пароль	Браузер не передает данные или домен указан не так	Зону местной интрасети в браузере, «Домен для NTLM авторизации» с учетом регистра, поддержку NTLM на веб-сервере
Изменения в профиле сотрудника пропадают	Поле перезаписывается значением из AD	Таблицу соответствия полей, правку данных в домене

Отсюда простая регулярная проверка, которую стоит поставить в календарь администратора раз в месяц: открыть вкладку «Синхронизация» и посмотреть дату последней полной синхронизации, сверить количество активных пользователей портала с количеством сотрудников и проверить срок действия пароля служебной записи. Это занимает десять минут и избавляет от неприятного открытия через полгода.

Если домен большой, на портале несколько подразделений с разными правами или вход нужно связать с CRM, телефонией и почтой, настройку удобнее отдать тем, кто делает это регулярно. Наша команда выполняет внедрение и настройку Битрикс24 под ключ, включая коробочные порталы на собственных серверах компаний в Казахстане: от подключения домена и выбора фильтров до проверки входа у каждого отдела.

Частые вопросы

Можно ли подключить Active Directory к облачному Битрикс24?

Модуль «AD/LDAP интеграция» работает только в коробочной версии Битрикс24, которая стоит на сервере компании. В облаке такого модуля нет: для облачного портала используются другие сценарии единого входа, и их настройка отличается от связки по LDAP, описанной для коробки.

Пароли сотрудников переносятся из AD в Битрикс24?

Нет, пароли из Active Directory в Битрикс24 не копируются. При входе через LDAP или NTLM пароль проверяет контроллер домена, а портал его не хранит. Поэтому сменить пароль сотрудник должен в Windows, и новый пароль сразу начнет действовать на портале.

Что будет с сотрудником на портале, если удалить его в AD?

Пользователь, импортированный из LDAP, деактивируется на портале после удаления в каталоге, при ближайшей синхронизации. Его задачи, сделки и история остаются в Битрикс24, но войти он больше не сможет. Если доступ нужно закрыть немедленно, деактивируйте его на портале вручную, не дожидаясь расписания.

Сколько мест в лицензии займут пользователи из домена?

Каждый импортированный из AD пользователь становится пользователем портала и занимает место в лицензии коробочного Битрикс24. Чтобы служебные учетные записи и отключенные сотрудники не съели лимит, до первой синхронизации настройте фильтр пользователей и исключите технические группы из импорта.

Как часто Битрикс24 синхронизирует пользователей с Active Directory?

Периодичность задает администратор на вкладке «Синхронизация» в поле «Период, каждые», значение указывается в часах. Для этого включается «Выполнять периодическую полную синхронизацию». Дата последней полной синхронизации видна там же, по ней удобно проверять, что обмен с доменом не остановился.