# Двухфакторная аутентификация для 1С-Битрикс24

## Описание

В коробочной версии Битрикс24 за доменный вход отвечает модуль «AD/LDAP»: портал проверяет логин и пароль пользователя в каталоге. Если указать в настройках модуля адрес локального инстанса Simple2FA вместо адреса контроллера домена, вход получит второй фактор — пользователь подтверждает его на своём устройстве.

Метод подключения — [LDAP-прокси](index.md). Второй фактор подтверждается push-уведомлением в мобильном приложении, в Telegram или в MAX.

Схема работы:

1. Пользователь открывает портал Битрикс24 и вводит логин и пароль.
2. Модуль AD/LDAP обращается по LDAP к локальному инстансу Simple2FA.
3. Инстанс проверяет логин и пароль в каталоге организации.
4. Инстанс запрашивает у пользователя подтверждение вторым фактором.
5. Пользователь подтверждает вход, и портал открывает сессию.

## Перед началом работы

- В глобальных настройках инстанса включён LDAP-прокси, порты опубликованы на хосте — [шаги 1 и 2 общей инструкции](index.md#шаг-1-включить-ldap-прокси).
- С сервера Битрикс24 открыт доступ к инстансу по порту LDAP (`1389`) или LDAPS (`1636`).
- В Битрикс24 установлен модуль «AD/LDAP интеграция».
- DN сервисной учётной записи добавлен в список сервисных в глобальных настройках Simple2FA.
- Сохранён доступ под локальным администратором портала — он не зависит от настроек AD/LDAP.

## Подготовка в Simple2FA

В панели администратора создайте [ресурс](../../admin/resources.md):

| Поле | Значение |
| --- | --- |
| Название | Битрикс24 |
| Протокол | LDAP |
| CIDR клиентов LDAP | IP-адрес сервера портала, например `10.0.0.50/32` |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Каталог, в котором проверяется пароль |

Добавьте ресурс в группу пользователей, которым разрешён вход на портал.

## Настройка Битрикс24

### Подключение сервера

Откройте административную часть портала, раздел **«Настройки → AD/LDAP»**, и нажмите **«Добавить»**.

Вкладка **«Сервер»**:

- **Активен** — включить;
- **Название** — например, `Simple2FA`;
- **Сервер:порт** — адрес локального инстанса и порт: `1389` для незашифрованного соединения или `1636` для LDAPS;
- **Тип подключения** — «SSL» для порта 1636 или «Без шифрования» для порта 1389;
- **Логин пользователя с правами доступа на чтение к дереву** — DN сервисной учётной записи, например `CN=ldapbind,CN=Users,DC=example,DC=local`;
- **Пароль** — её пароль из каталога;
- **Корень дерева (base DN)** — база поиска в вашем каталоге, например `DC=example,DC=local`;
- **Сетевой таймаут** — `90` секунд, чтобы пользователь успел подтвердить вход.

Вкладка **«Настройки полей»**: выберите схему сервера (AD или LDAP) и задайте соответствие полей пользователя портала атрибутам каталога.

!!! note "Поле email"
    Если в каталоге у пользователей не заполнен атрибут почты, уберите соответствие для поля email — иначе портал не сможет создать или обновить пользователя.

Вкладка **«Синхронизация»**: включите «Создавать несуществующих пользователей», если пользователи портала должны заводиться при первом входе. Нажмите **«Сохранить»**.

### Настройки модуля

Откройте **«Настройки → Настройки продукта → Настройки модулей»** и выберите в списке **«AD/LDAP интеграция»**, вкладка **«Настройки»**:

- **E-mail для пользователей, у которых он не указан** — служебный адрес, например `nomail@example.local`;
- **Сервер домена по умолчанию** — сервер, созданный на предыдущем шаге;
- **Создавать новых пользователей при первой успешной авторизации** — включить;
- **Проверять авторизацию на всех доступных LDAP-серверах, если в логине не указан префикс** — включить;
- **Создавать пользователя, если пользователь с таким логином уже существует** — выключить.

Нажмите **«Сохранить»**.

## Проверка работы

1. Откройте страницу входа портала в приватном окне браузера, не закрывая текущую сессию администратора.
2. Введите логин и пароль тестового пользователя каталога.
3. Дождитесь запроса подтверждения и подтвердите вход.
4. Убедитесь, что портал открыл сессию, а в журнале [«Попытки авторизации»](../../admin/auth-attempts.md) появилась успешная попытка на ресурсе Битрикс24.

## Смотрите также

- [Приложения с входом по LDAP](index.md) — общая часть настройки и диагностика
- [1С: плагин](../web/1c-plugin.md) и [1С: OIDC](../web/1c-oidc.md) — подключение систем 1С
- [Ресурсы](../../admin/resources.md)