Корпоративный вход: AD FS, JIT и группы доступа

AD FS подтверждает доменную учётку сотрудника, а BusinessProxy управляет его доступом к рабочим ресурсам. Настройку выполняет владелец или администратор рабочей области вместе с администратором AD FS.

• Откройте «Команда → SSO» в нужной рабочей области. Скопируйте показанный OIDC callback URL в регистрацию приложения BusinessProxy в AD FS.
• Подготовьте HTTPS Issuer URL, Client ID и Client secret. Для AD FS используется прямой OIDC code flow с PKCE S256.
• Настройте ключ доступа или аутентификатор BusinessProxy: изменение сопоставлений групп и работа с настройками AD требуют свежего подтверждения BP.

Добавьте подключение или нажмите «Изменить» в его меню. Явно выберите «Microsoft AD FS (OIDC)». Ранее созданное универсальное OIDC-подключение автоматически не меняет профиль.

• Укажите Issuer URL и Client ID из вашей регистрации. При редактировании оставьте Client secret пустым, чтобы сохранить текущий секрет.
• Для входа уже привязанных пользователей достаточно базового scope openid. Для дополнительных корпоративных claims администратор AD FS настраивает отдельный ресурс BP, разрешает openid allatclaims и сообщает значение поля «Ресурс AD FS».
• В «Атрибут групп» укажите точное имя claim, настроенного в AD FS. Например, bp_groups, если именно это имя выдаёт ваш провайдер.
• Кнопка «Проверить подключение» проверяет метаданные и ключи подписи. Успешный тест нужно дополнить реальным входом сотрудника.

Для новых сотрудников включите «Создавать пользователей при первом входе (JIT)». Сотрудник открывает ссылку SSO и входит доменной учёткой; предварительно создавать личную привязку ему не нужно.

• AD FS должен передавать подписанные корпоративный email и подтверждение его достоверности. Администратор организации определяет доверенный email-домен; отсутствие подтверждения блокирует создание аккаунта.
• Новый пользователь получает роль обычного участника. JIT и корпоративные группы не назначают административные роли BusinessProxy или CMS.
• Существующий аккаунт BP с таким email автоматически не связывается с корпоративной учёткой. Его владелец использует «Корпоративный вход» в профиле и подтверждает обе стороны привязки.
• Вместо общего JIT можно импортировать выбранных сотрудников AD и отдельно разрешить им первый вход. Без JIT или такого разрешения новые аккаунты не создаются. Ручной запрет администратора BP сохраняется.

В меню подключения откройте «Группы и доступ». Выберите существующую группу BusinessProxy, укажите стабильный SID или другое точное значение из подписанного claim и подтвердите сохранение passkey или кодом BP.

• Назначьте группе доступ в настройках нужных CMS или web-приложений. Само сопоставление не открывает ресурсы.
• Проверьте базовое разрешение по роли: если ресурс доступен всем обычным участникам, удаление из одной разрешающей группы само по себе его не закроет.
• Без импорта членство обновляется при следующем SSO-входе. При включённой синхронизации AD источником членства становится принятый справочник выбранных групп. Ручные разрешения и запреты BP не перезаписываются.
• Роли внутри Битрикс и других приложений остаются в соответствующей системе. Вход в BP не заменяет управление их нативными правами.

В меню подключения выберите «Каталог AD». Сначала оператор BusinessProxy разрешает контроллер, сетевой адрес и доверенный CA для вашей рабочей области. После этого каталог появляется в списке.

• Используйте отдельную сервисную учётку с правами чтения. Укажите её DN, пароль и DN выбранных групп, по одному на строку.
• Сохраните настройки с подтверждением BP, затем нажмите «Предпросмотр сотрудников». Будут показаны счётчики, SID групп и до 20 примеров.
• Предпросмотр не импортирует сотрудников, не подтверждает владение email и не меняет права. Неполный результат не принимается.
• Оператор выбирает прямой LDAPS или чтение через коннектор рядом с закрытым AD. Оба профиля проверяют сертификат и имя контроллера. Коннектор дополнительно проверяет локально разрешённые адреса и область каталога.

Этот шаг нужен для AD, недоступного из BusinessProxy напрямую. Администратор получает у оператора BusinessProxy индивидуальный сертификат и файл конфигурации для конкретной рабочей области, SSO-подключения и каталога. Компонент чтения AD запускается рядом с контроллером или обычным коннектором web-приложений.

businessproxy-directory-connector --config /private/path/directory-agent.json

• Распакуйте архив для своей ОС. Поместите индивидуальные сертификат, ключ и конфигурацию в каталог, доступный только служебной учётке процесса. В Windows запускается businessproxy-directory-connector.exe.
• Разрешите исходящий HTTPS к directory.business-proxy.com:443 и LDAPS к выбранному контроллеру. Коннектор не требует входящего порта в сети организации. Обычный web-токен коннектора для этого канала не подходит.
• В «Каталог AD» выберите согласованный каталог через коннектор, сохраните сервисную учётку с подтверждением BP и выполните предпросмотр. Пароль AD передаётся на короткое задание по mTLS и не записывается в файл конфигурации коннектора.
• После предпросмотра доступны тот же импорт и расписание. Если коннектор остановлен, предыдущий справочник сохраняется. При замене или отзыве сертификата оператор обновляет разрешённый сертификат, затем администратор подтверждает актуальные настройки каталога.

В «Каталог AD → Импорт и синхронизация сотрудников» нажмите «Импортировать справочник» и подтвердите действие ключом доступа или кодом BP. Полный результат сохраняется в справочнике. Аккаунты BusinessProxy создаются только при подтверждённом первом SSO-входе.

• Администратор AD FS должен передавать единственный подписанный SID сотрудника, например bp_object_sid. Укажите точное имя атрибута. Email и логин не заменяют SID и не связывают существующие аккаунты.
• После успешного импорта включите «Разрешить вход импортированным сотрудникам». Это отдельное разрешение: общий JIT можно оставить выключенным. Сотрудник должен входить с подтверждённым корпоративным email, совпадающим с записью AD.
• Выберите ручное обновление или обновление каждые 5 минут. В ручном режиме изменения AD вступают в силу после следующего импорта администратором. В справочнике доступны поиск, фильтры и загрузка следующих страниц.
• Чтобы отклонять вход всех сотрудников вне выбранной области, включите «Допускать через SSO только сотрудников справочника». Этот режим требует фоновых обновлений. Все изменения режима подтверждаются свежей проверкой BP.

Принятое отключение сотрудника в AD или выход из выбранных групп прекращает его управляемый корпоративный доступ. BusinessProxy отзывает связанные сессии приложений, CMS и браузерного прокси. Прямой публичный доступ к приложению вне BusinessProxy требует собственной защиты приложения.

• В режиме каждые 5 минут отсутствие успешных обновлений 10 минут приостанавливает управляемый корпоративный доступ. Предыдущее состояние справочника сохраняется; проверьте контроллер, CA и сервисную учётку, затем обновите справочник.
• Неполное чтение не принимается. Отключение более 20 сотрудников и более 20% ранее допущенной выборки требует отдельного подтверждения показанного результата; изменившийся результат придётся проверить заново.
• Повторное включение AD не открывает старые сессии. Нужен новый SSO-вход. Автоматически восстанавливается только обычное членство, которое отключил сам каталог; ручное отключение администратором BP сохраняется.
• Проверяйте базовые роли ресурсов и ручные разрешения. Удаление одной разрешающей группы не отменяет отдельное разрешение, а синхронизация не назначает нативные роли Битрикс или других приложений.

В разделе «Группы и доступ» скопируйте ссылку для сотрудников. Она открывает выбранное SSO-подключение и не содержит пароль или токен сессии. Пароль AD вводится только на странице AD FS.

• Проверьте нового сотрудника с разрешённой группой: аккаунт создаётся как обычный участник, назначенное приложение доступно.
• Проверьте сотрудника без разрешения, повторный вход после изменения группы и явный отзыв сессии BP.
• Если появляется ошибка email, проверьте корпоративные claims в AD FS. Если каталог недоступен, проверьте согласованный маршрут, CA и сервисную учётку; перепривязка личного аккаунта эти ошибки не исправляет.