# Первая настройка

Порядок действий от установленного инстанса до первого входа со вторым фактором. Четыре шага: глобальные настройки, подключение каталога, синхронизация пользователей, настройка ресурса. Каждый выполняется в [панели администратора](../admin/index.md); подробности по каждому разделу — в ссылках «Подробнее».

!!! note "Что нужно до начала"

    Установленный локальный инстанс и вход в панель под администратором — см. [«Установка локального инстанса»](local-instance.md). API-ключ организации выдаётся при подключении; если его нет, напишите на [sales@simple2fa.ru](mailto:sales@simple2fa.ru).

## Шаг 1. Глобальные настройки { #глобальные-настройки }

Настройки уровня всего инстанса. Для первой настройки достаточно трёх полей:

- **API ключ** — ключ организации, связывающий инстанс с облаком Simple2FA для проверки второго фактора;
- **Отключить 2FA при неудачном подключении к облаку** — что делать, если облако недоступно: пропускать второй фактор или отказывать во входе. Решение принимается до подключения ресурсов, а не после;
- **Время жизни токена настройки (мин)** — сколько действует ссылка на мастер привязки второго фактора. Если пользователи не успевают завершить привязку, увеличьте значение.

Остальное — формат имени пользователя, размер батча синхронизации, геолокация по IP — можно оставить со значениями по умолчанию и вернуться к ним позже.

Подробнее: [Глобальные настройки](../admin/global-settings.md).

## Шаг 2. Подключение каталога { #каталог }

Каталог организации — источник учётных записей и место, где проверяется первый фактор. Поддерживаются **LDAP** (Active Directory, Samba DC, ALD Pro и другие совместимые каталоги) и **Keycloak**.

Для LDAP-подключения понадобятся адрес сервера, база поиска, фильтр поиска пользователя и сервисная учётная запись, от имени которой инстанс обращается к каталогу:

| Поле | Пример |
| --- | --- |
| URL для подключения к LDAP | `ldap://127.0.0.1:389/` |
| Строка домена LDAP | `dc=simple2fa,dc=test,dc=ru` |
| Строка фильтрации LDAP | `(&(objectClass=user)(sAMAccountName={login}))` |
| Строка сервисного аккаунта LDAP | `cn=Administrator,cn=Users,dc=simple2fa,dc=test,dc=ru` |

TLS оставьте включённым: без него учётные данные идут по сети в открытом виде. Закончив, нажмите проверку соединения — она сразу покажет, что каталог отвечает и сервисная учётная запись подходит.

Подробнее: [Поставщики учётных записей](../admin/account-providers.md).

## Шаг 3. Синхронизация пользователей { #синхронизация }

Синхронизация переносит учётные записи из каталога в Simple2FA по расписанию. Настраивается отдельно для каждого поставщика.

Что задаётся:

- **интервал синхронизации** — период автоматического запуска; `0` означает только ручной запуск кнопкой;
- **маппинг атрибутов** — из каких полей каталога берутся логин, имя, почта и членство в группах. По умолчанию логин читается из `sAMAccountName`, имя — из `name`; для каталогов, отличных от Active Directory, значения нужно поправить;
- **сопоставление групп** — в какие группы Simple2FA попадают пользователи из групп каталога. Именно группа определяет, какие способы второго фактора доступны пользователю и к каким ресурсам он допущен.

Первый раз синхронизацию удобно запустить вручную и посмотреть, сколько учётных записей перенеслось и в какие группы они попали.

Подробнее: [Синхронизация учётных записей](../admin/account-sync.md) и [Группы пользователей](../admin/user-groups.md).

## Шаг 4. Настройка ресурса { #ресурс }

Ресурс — это одна защищаемая система: VPN-шлюз, сервер, приложение. В его карточке выбирается протокол и выдаются реквизиты, которые затем указываются на стороне самой системы.

- **RADIUS** — для VPN, VDI, сетевого оборудования и шлюзов удалённых рабочих столов. Порт из диапазона `1812`–`1814`; карточка выдаёт **Секрет RADIUS** и **NAS ID**, их нужно прописать в настройках устройства;
- **HTTPS** — для интеграции через API. Порт `443`, карточка выдаёт **API ключ** ресурса.

На время первой настройки включите в карточке **режим отладки**: он показывает статус слушателя и журнал входящих RADIUS-запросов — по нему сразу видно, доходит ли запрос от устройства и с какими атрибутами.

Подробнее: [Ресурсы](../admin/resources.md). Инструкции по конкретным системам — в разделе [«Настройка ресурсов»](../integrations/index.md).

## Проверка

Пользователь привязывает себе второй фактор через мастер настройки (визард): ссылка отправляется ему по почте или передаётся администратором вручную. Мастер [оформляется под бренд организации](../admin/wizard-theme.md) — логотип и цветовая палитра.

Дальше — тестовый вход на подключённом ресурсе. Результат каждой попытки виден в [журнале попыток аутентификации](../admin/auth-attempts.md): пользователь, ресурс, способ подтверждения, причина отказа. Если вход не доходит до Simple2FA, смотрите журнал режима отладки в карточке ресурса; если ошибка на стороне компонентов — [историю ошибок](../admin/error-history.md).

## Что дальше

<div class="doc-list" markdown>

- [Настройка ресурсов](../integrations/index.md)

    Пошаговые инструкции по подключению VPN, рабочих столов, серверов Linux, веб-приложений и 1С.

- [Панель администратора](../admin/index.md)

    Подробное описание всех разделов — от политики блокировки до ролей администраторов.

- [Способы подтверждения](../reference/methods.md)

    Все десять способов и как выбрать основной и резервный.

- [Глоссарий](../reference/glossary.md)

    Термины панели и руководства: ресурс, поставщик УЗ, NAS ID, Shared Secret.

</div>