Двухфакторная аутентификация для 1С через плагин
Описание
При входе в 1С пользователи проходят двухэтапную аутентификацию: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.
Проверка первого фактора выполняется штатными средствами 1С. После успешной проверки расширение Simple2FA инициирует запрос второго фактора через локальный инстанс Simple2FA.
Пользователь 1С сопоставляется с пользователем Simple2FA по имени для входа или по адресу электронной почты — что из двух используется, задаётся в настройках расширения параметром Аутентификация по. Пользователь с таким именем или адресом должен существовать в Simple2FA.
Схема работы:
- Пользователь запускает клиент 1С.
- 1С запрашивает логин и пароль пользователя.
- 1С выполняет штатную проверку учётных данных.
- После успешной проверки расширение Simple2FA отправляет запрос в локальный инстанс.
- Локальный инстанс запрашивает у пользователя подтверждение вторым фактором.
- Пользователь подтверждает вход.
- После успешной проверки пользователь получает доступ к 1С.
Альтернативный способ подключения — вход в 1С через Simple2FA по протоколу OIDC: в этом сценарии проверка логина и пароля выполняется не средствами 1С, а на странице входа Simple2FA, установка расширения не требуется, а вход в 1С работает в режиме единого входа (SSO) вместе с другими подключёнными приложениями. Способ доступен для веб-клиента и тонкого клиента при опубликованной на веб-сервере базе.
Подготовка в Simple2FA
Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:
| Поле | Значение |
|---|---|
| Название | 1С (или любое удобное) |
| Протокол | HTTP |
| Проверять первый фактор | Отключено — первый фактор проверяется средствами 1С |
После сохранения ресурса скопируйте его ключ (API key ресурса) — он потребуется при настройке расширения.
В глобальных настройках убедитесь, что:
- указан корректный API-ключ организации для связи локального инстанса с облаком,
- локальный инстанс доступен с сервера 1С по сети,
- разрешены исходящие HTTPS-соединения от локального инстанса.
Установка расширения в 1С
Скачайте файл расширения Simple2FA (.cfe) и запустите конфигуратор 1С от имени пользователя с правами администратора информационной базы.
1) Откройте конфигурацию
- В меню выберите Конфигурация → Открыть конфигурацию.
2) Создайте пустое расширение
- Выберите Конфигурация → Расширения конфигурации.
- Нажмите кнопку добавления и подтвердите создание нового расширения кнопкой ОК.
- Имя, синоним, префикс и назначение можно оставить по умолчанию — при загрузке файла они будут заменены значениями из расширения Simple2FA.
3) Загрузите файл расширения
- Выделите созданное расширение в списке.
- Нажмите Конфигурация → Загрузить конфигурацию из файла… и укажите файл расширения Simple2FA.
4) Подтвердите загрузку и обновление
- На предупреждение о полной замене текущей конфигурации расширения ответьте Да.
- На запрос обновления конфигурации базы данных ответьте Да.
- В окне Реорганизация информации нажмите Принять.
5) Проверьте параметры применения расширения
В списке расширений у расширения Simple2FA должны быть заданы следующие свойства:
- Активно: включено.
- Безопасный режим: отключён — расширение обращается к локальному инстансу по сети.
- Защита от опасных действий: отключена.
- Область действия: Информационная база.
- Использовать основные роли для всех пользователей: отключено — роли назначаются пользователям вручную.
Назначение ролей
Расширение добавляет две роли:
- Базовые права Simple2FA — необходима всем пользователям, которые будут проходить двухфакторную аутентификацию.
- Настройка Simple2FA — даёт доступ к форме настроек подключения. Назначается администраторам.
Откройте Администрирование → Пользователи, выберите пользователя, перейдите на вкладку Прочие и отметьте нужные роли в списке доступных.
Роль обязательна
Без роли «Базовые права Simple2FA» пользователь не сможет пройти проверку второго фактора.
Настройка подключения
Запустите 1С в режиме предприятия под пользователем с ролью Настройка Simple2FA и откройте форму настроек Simple2FA:
- Использовать: включите флаг, чтобы активировать проверку второго фактора.
- Адрес сервиса: адрес бэкенда локального инстанса (
local-backend), напримерhttps://api.simple2fa.company.local. Адрес панели администратора не подходит: при установке инстанса они задаются какDOMAIN_APIиDOMAIN_ADMIN. - Ключ ресурса: ключ ресурса, созданного ранее в панели Simple2FA.
- Аутентификация по: по какому признаку пользователь 1С сопоставляется с пользователем Simple2FA — Имени или Электронной почте. Выбранный признак должен быть заполнен у всех пользователей, которые будут проходить проверку второго фактора, и совпадать со сведениями в Simple2FA.
Нажмите Сохранить.
Сведения о пользователях
Расширение берёт имя пользователя или адрес электронной почты — в зависимости от значения параметра Аутентификация по — из списка пользователей информационной базы. Список открывается в конфигураторе, меню Администрирование → Пользователи.
Если в конфигурации есть справочник Пользователи из БСП (меню обычно Администрирование → Настройки пользователей и прав → Пользователи), сведения рекомендуется указывать в нём — в полях Имя (для входа) и Электронная почта.
Эти значения должны совпадать со сведениями о пользователе в Simple2FA: при аутентификации по имени — с логином, при аутентификации по электронной почте — с адресом почты.
Настройка пользователей
Пользователи самостоятельно настраивают второй фактор через мастер настройки Simple2FA.
Способ подтверждения пользователь выбирает из тех, что разрешены политикой его группы.
Проверка работы
- Запустите клиент 1С,
- Введите логин и пароль пользователя,
- Дождитесь запроса второго фактора от Simple2FA,
- Подтвердите вход вторым фактором,
- После успешной проверки доступ к 1С будет предоставлен.
Результат каждой попытки входа доступен в панели администратора, в разделе «Попытки авторизации».