Двухфакторная аутентификация для Passwork

Последнее обновление 17 сентября 2026Копировать как MarkdownОткрыть как Markdown

Описание

Passwork в серверной установке умеет аутентифицировать пользователей через каталог по протоколу LDAP. Если указать в настройках адрес локального инстанса Simple2FA вместо адреса контроллера домена, вход в хранилище паролей получит второй фактор: пользователь подтверждает вход на своём устройстве.

Метод подключения — LDAP-прокси. Второй фактор подтверждается push-уведомлением в мобильном приложении, в Telegram или в MAX.

Схема работы:

1. Пользователь открывает Passwork и вводит логин и пароль.
2. Passwork обращается по LDAP к локальному инстансу Simple2FA.
3. Инстанс проверяет логин и пароль в каталоге организации.
4. Инстанс запрашивает у пользователя подтверждение вторым фактором.
5. Пользователь подтверждает вход, и Passwork открывает сессию.

Перед началом работы

• В глобальных настройках инстанса включён LDAP-прокси, порты опубликованы на хосте — шаги 1 и 2 общей инструкции.
• С сервера Passwork открыт доступ к инстансу по порту LDAP (1389) или LDAPS (1636).
• DN сервисной учётной записи добавлен в список сервисных в глобальных настройках Simple2FA.
• Сохранён доступ под локальным администратором Passwork — он не зависит от настроек LDAP.

Подготовка в Simple2FA

В панели администратора создайте ресурс:

Поле	Значение
Название	Passwork
Протокол	LDAP
CIDR клиентов LDAP	IP-адрес сервера Passwork, например 10.0.0.70/32
Проверять первый фактор	Включить
Поставщики учётных записей	Каталог, в котором проверяется пароль

Добавьте ресурс в группу пользователей, которым разрешён вход в Passwork.

Настройка Passwork

Войдите в Passwork под администратором, откройте настройки LDAP и добавьте сервер:

• Название — например, Simple2FA;
• Хост — адрес локального инстанса и порт: ldap://simple2fa.example.local:1389 или ldaps://simple2fa.example.local:1636;
• Тип авторизации — простая привязка по логину и паролю (simple). Механизмы NTLM и Digest прокси не поддерживает;
• Учётная запись для подключения — DN сервисной учётной записи, например CN=ldapbind,CN=Users,DC=example,DC=local, и её пароль из каталога;
• Base DN — база поиска в вашем каталоге, например DC=example,DC=local;
• Атрибут логина — sAMAccountName для Active Directory, uid для типового LDAP-каталога.

Сохраните настройки и, если нужно, выполните синхронизацию пользователей — она проходит под сервисной учётной записью, второй фактор при ней не запрашивается.

Названия полей зависят от версии

В разных версиях Passwork набор полей отличается. Ориентируйтесь на смысл: адрес и порт сервера каталога, тип соединения, учётная запись для подключения, база поиска и атрибут логина.

Проверка работы

1. Откройте страницу входа Passwork в приватном окне браузера, не закрывая текущую сессию администратора.
2. Введите логин и пароль тестового пользователя каталога.
3. Дождитесь запроса подтверждения и подтвердите вход.
4. Убедитесь, что Passwork открыл сессию, а в журнале «Попытки авторизации» появилась успешная попытка на ресурсе Passwork.

Если Passwork сообщает об ошибке входа раньше, чем приходит запрос подтверждения, увеличьте таймаут LDAP в настройках Passwork или уменьшите «Таймаут ожидания подтверждения» в глобальных настройках Simple2FA.

Смотрите также

• Приложения с входом по LDAP — общая часть настройки и диагностика
• Ресурсы
• Настройка ресурсов