# Двухфакторная аутентификация для 1С через плагин

## Описание

При входе в 1С пользователи проходят двухэтапную аутентификацию: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.

Проверка первого фактора выполняется штатными средствами 1С. После успешной проверки расширение Simple2FA инициирует запрос второго фактора через локальный инстанс Simple2FA.

Пользователь 1С сопоставляется с пользователем Simple2FA по имени для входа или по адресу электронной почты — что из двух используется, задаётся в настройках расширения параметром **Аутентификация по**. Пользователь с таким именем или адресом должен существовать в Simple2FA.

Схема работы:

1. Пользователь запускает клиент 1С.
2. 1С запрашивает логин и пароль пользователя.
3. 1С выполняет штатную проверку учётных данных.
4. После успешной проверки расширение Simple2FA отправляет запрос в локальный инстанс.
5. Локальный инстанс запрашивает у пользователя подтверждение вторым фактором.
6. Пользователь подтверждает вход.
7. После успешной проверки пользователь получает доступ к 1С.

Альтернативный способ подключения — [вход в 1С через Simple2FA по протоколу OIDC](1c-oidc.md): в этом сценарии проверка логина и пароля выполняется не средствами 1С, а на странице входа Simple2FA, установка расширения не требуется, а вход в 1С работает в режиме единого входа (SSO) вместе с другими подключёнными приложениями. Способ доступен для веб-клиента и тонкого клиента при опубликованной на веб-сервере базе.

## Подготовка в Simple2FA

Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:

| Поле | Значение |
| --- | --- |
| Название | 1С (или любое удобное) |
| Протокол | HTTP |
| Проверять первый фактор | Отключено — первый фактор проверяется средствами 1С |

После сохранения ресурса скопируйте его ключ (API key ресурса) — он потребуется при настройке расширения.

В глобальных настройках убедитесь, что:

- указан корректный API-ключ организации для связи локального инстанса с облаком,
- локальный инстанс доступен с сервера 1С по сети,
- разрешены исходящие HTTPS-соединения от локального инстанса.

## Установка расширения в 1С

Скачайте файл расширения Simple2FA (`.cfe`) и запустите конфигуратор 1С от имени пользователя с правами администратора информационной базы.

**1) Откройте конфигурацию**

- В меню выберите **Конфигурация → Открыть конфигурацию**.

![Открытие конфигурации в конфигураторе 1С](../../assets/img/1c-2fa/1.-otkryt-konfiguracziyu.png)

**2) Создайте пустое расширение**

- Выберите **Конфигурация → Расширения конфигурации**.
- Нажмите кнопку добавления и подтвердите создание нового расширения кнопкой **ОК**.
- Имя, синоним, префикс и назначение можно оставить по умолчанию — при загрузке файла они будут заменены значениями из расширения Simple2FA.

![Добавление нового расширения конфигурации в 1С](../../assets/img/1c-2fa/2.-dobavit-rasshirenie.png)

**3) Загрузите файл расширения**

- Выделите созданное расширение в списке.
- Нажмите **Конфигурация → Загрузить конфигурацию из файла…** и укажите файл расширения Simple2FA.

![Загрузка конфигурации расширения Simple2FA из файла](../../assets/img/1c-2fa/3.-zagruzit-rasshirenie.png)

**4) Подтвердите загрузку и обновление**

- На предупреждение о полной замене текущей конфигурации расширения ответьте **Да**.
- На запрос обновления конфигурации базы данных ответьте **Да**.
- В окне **Реорганизация информации** нажмите **Принять**.

![Подтверждение замены конфигурации расширения](../../assets/img/1c-2fa/4.-prinimaem-zagruzku-1.png)

![Подтверждение обновления конфигурации базы данных](../../assets/img/1c-2fa/5.-prinimaem-zagruzku-2.png)

![Реорганизация информации при установке расширения Simple2FA](../../assets/img/1c-2fa/6.-prinimaem-zagruzku-3.png)

**5) Проверьте параметры применения расширения**

В списке расширений у расширения **Simple2FA** должны быть заданы следующие свойства:

- **Активно:** включено.
- **Безопасный режим:** отключён — расширение обращается к локальному инстансу по сети.
- **Защита от опасных действий:** отключена.
- **Область действия:** Информационная база.
- **Использовать основные роли для всех пользователей:** отключено — роли назначаются пользователям вручную.

![Параметры применения расширения Simple2FA](../../assets/img/1c-2fa/7.-nastraivaem-primenenie-rasshireniya.png)

## Назначение ролей

Расширение добавляет две роли:

- **Базовые права Simple2FA** — необходима всем пользователям, которые будут проходить двухфакторную аутентификацию.
- **Настройка Simple2FA** — даёт доступ к форме настроек подключения. Назначается администраторам.

Откройте **Администрирование → Пользователи**, выберите пользователя, перейдите на вкладку **Прочие** и отметьте нужные роли в списке доступных.

![Назначение роли Базовые права Simple2FA пользователю 1С](../../assets/img/1c-2fa/8.-dobavlenie-roli.png)

!!! warning "Роль обязательна"
    Без роли «Базовые права Simple2FA» пользователь не сможет пройти проверку второго фактора.

## Настройка подключения

Запустите 1С в режиме предприятия под пользователем с ролью **Настройка Simple2FA** и откройте форму настроек Simple2FA:

- **Использовать:** включите флаг, чтобы активировать проверку второго фактора.
- **Адрес сервиса:** адрес бэкенда локального инстанса (`local-backend`), например `https://api.simple2fa.company.local`. Адрес панели администратора не подходит: при [установке инстанса](../../start/local-instance.md) они задаются как `DOMAIN_API` и `DOMAIN_ADMIN`.
- **Ключ ресурса:** ключ ресурса, созданного ранее в панели Simple2FA.
- **Аутентификация по:** по какому признаку пользователь 1С сопоставляется с пользователем Simple2FA — **Имени** или **Электронной почте**. Выбранный признак должен быть заполнен у всех пользователей, которые будут проходить проверку второго фактора, и совпадать со сведениями в Simple2FA.

Нажмите **Сохранить**.

![Форма настроек подключения Simple2FA в 1С](../../assets/img/1c-2fa/9.-nastrojki-podklyucheniya.png)

## Сведения о пользователях

Расширение берёт имя пользователя или адрес электронной почты — в зависимости от значения параметра **Аутентификация по** — из списка пользователей информационной базы. Список открывается в конфигураторе, меню **Администрирование → Пользователи**.

Если в конфигурации есть справочник **Пользователи** из БСП (меню обычно **Администрирование → Настройки пользователей и прав → Пользователи**), сведения рекомендуется указывать в нём — в полях **Имя (для входа)** и **Электронная почта**.

![Карточка пользователя в справочнике «Пользователи» БСП: поля «Имя (для входа)» и «Электронная почта»](../../assets/img/1c-2fa/10.-polzovatel-bsp.png)

Эти значения должны совпадать со сведениями о пользователе в Simple2FA: при аутентификации по имени — с логином, при аутентификации по электронной почте — с адресом почты.

## Настройка пользователей

Пользователи самостоятельно настраивают второй фактор через мастер настройки Simple2FA.

Способ подтверждения пользователь выбирает из тех, что разрешены [политикой его группы](../../admin/user-groups.md).

## Проверка работы

- Запустите клиент 1С,
- Введите логин и пароль пользователя,
- Дождитесь запроса второго фактора от Simple2FA,
- Подтвердите вход вторым фактором,
- После успешной проверки доступ к 1С будет предоставлен.

Результат каждой попытки входа доступен в панели администратора, в разделе [«Попытки авторизации»](../../admin/auth-attempts.md).

## Смотрите также

- [Веб-приложения и 1С](index.md)
- [Начало работы](../../start/index.md)
- [Вход в 1С через Simple2FA по протоколу OIDC (SSO)](1c-oidc.md)
- [Сценарии использования](../../start/scenarios.md)