# Двухфакторная аутентификация для Passwork

## Описание

Passwork в серверной установке умеет аутентифицировать пользователей через каталог по протоколу LDAP. Если указать в настройках адрес локального инстанса Simple2FA вместо адреса контроллера домена, вход в хранилище паролей получит второй фактор: пользователь подтверждает вход на своём устройстве.

Метод подключения — [LDAP-прокси](index.md). Второй фактор подтверждается push-уведомлением в мобильном приложении, в Telegram или в MAX.

Схема работы:

1. Пользователь открывает Passwork и вводит логин и пароль.
2. Passwork обращается по LDAP к локальному инстансу Simple2FA.
3. Инстанс проверяет логин и пароль в каталоге организации.
4. Инстанс запрашивает у пользователя подтверждение вторым фактором.
5. Пользователь подтверждает вход, и Passwork открывает сессию.

## Перед началом работы

- В глобальных настройках инстанса включён LDAP-прокси, порты опубликованы на хосте — [шаги 1 и 2 общей инструкции](index.md#шаг-1-включить-ldap-прокси).
- С сервера Passwork открыт доступ к инстансу по порту LDAP (`1389`) или LDAPS (`1636`).
- DN сервисной учётной записи добавлен в список сервисных в глобальных настройках Simple2FA.
- Сохранён доступ под локальным администратором Passwork — он не зависит от настроек LDAP.

## Подготовка в Simple2FA

В панели администратора создайте [ресурс](../../admin/resources.md):

| Поле | Значение |
| --- | --- |
| Название | Passwork |
| Протокол | LDAP |
| CIDR клиентов LDAP | IP-адрес сервера Passwork, например `10.0.0.70/32` |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Каталог, в котором проверяется пароль |

Добавьте ресурс в группу пользователей, которым разрешён вход в Passwork.

## Настройка Passwork

Войдите в Passwork под администратором, откройте настройки LDAP и добавьте сервер:

- **Название** — например, `Simple2FA`;
- **Хост** — адрес локального инстанса и порт: `ldap://simple2fa.example.local:1389` или `ldaps://simple2fa.example.local:1636`;
- **Тип авторизации** — простая привязка по логину и паролю (simple). Механизмы NTLM и Digest прокси не поддерживает;
- **Учётная запись для подключения** — DN сервисной учётной записи, например `CN=ldapbind,CN=Users,DC=example,DC=local`, и её пароль из каталога;
- **Base DN** — база поиска в вашем каталоге, например `DC=example,DC=local`;
- **Атрибут логина** — `sAMAccountName` для Active Directory, `uid` для типового LDAP-каталога.

Сохраните настройки и, если нужно, выполните синхронизацию пользователей — она проходит под сервисной учётной записью, второй фактор при ней не запрашивается.

!!! note "Названия полей зависят от версии"
    В разных версиях Passwork набор полей отличается. Ориентируйтесь на смысл: адрес и порт сервера каталога, тип соединения, учётная запись для подключения, база поиска и атрибут логина.

## Проверка работы

1. Откройте страницу входа Passwork в приватном окне браузера, не закрывая текущую сессию администратора.
2. Введите логин и пароль тестового пользователя каталога.
3. Дождитесь запроса подтверждения и подтвердите вход.
4. Убедитесь, что Passwork открыл сессию, а в журнале [«Попытки авторизации»](../../admin/auth-attempts.md) появилась успешная попытка на ресурсе Passwork.

Если Passwork сообщает об ошибке входа раньше, чем приходит запрос подтверждения, увеличьте таймаут LDAP в настройках Passwork или уменьшите «Таймаут ожидания подтверждения» в глобальных настройках Simple2FA.

## Смотрите также

- [Приложения с входом по LDAP](index.md) — общая часть настройки и диагностика
- [Ресурсы](../../admin/resources.md)
- [Настройка ресурсов](../index.md)