Настройка интеграции Битрикс24 с LDAP/Active Directory

Настройка интеграции Битрикс24 с LDAP/Active Directory

Представьте: в компании на 200 сотрудников кадровик добавляет нового человека в Active Directory, потом отдельно создаёт ему учётку в Битрикс24, вручную добавляет в нужный отдел и группы. При увольнении — то же самое в обратном порядке. Через полгода в Б24 висят 30 «мёртвых» аккаунтов, а новый менеджер вторую неделю работает без доступа к CRM — заявку на создание учётки потеряли. Каждый такой ручной процесс отнимает время и чреват ошибками: забыли создать учётку — человек не работает, забыли заблокировать — уволенный сотрудник всё ещё имеет доступ к CRM и документам. Интеграция с LDAP, которую мы настраиваем, решает эту проблему: один источник правды — Active Directory, Битрикс24 синхронизируется автоматически. Мы имеем 8-летний опыт настройки LDAP-интеграций для коробочных Битрикс24 и гарантируем стабильную работу.

Требования и ограничения

LDAP-интеграция доступна только для коробочной версии Битрикс24 (on-premise). Облачный Б24 не поддерживает прямое подключение к LDAP — для облака используются SSO-решения (SAML, OAuth). Мы настоятельно рекомендуем использовать LDAPS (порт 636) вместо незащищённого LDAP, так как LDAPS снижает риск перехвата учётных данных примерно в 100 раз.

Необходимые параметры подключения:

Сравнение протоколов:

Сервисная учётка не должна быть доменным администратором. Достаточно прав на чтение объектов в нужных OU.

Как работает синхронизация с Active Directory?

В админке Битрикс24: Настройки → LDAP-серверы → Добавить. Параметры подключения:

• Сервер — адрес контроллера домена. Для отказоустойчивости можно указать несколько через пробел.
• Base DN — корневой контейнер для поиска пользователей. Если пользователи в нескольких OU — настраивается несколько LDAP-подключений или используется Base DN на уровень выше.
• Фильтр пользователей — LDAP-фильтр для выборки: (&(objectClass=user)(objectCategory=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2))) — активные пользователи, исключая заблокированные учётки.
• Маппинг полей — соответствие атрибутов LDAP полям Б24: sAMAccountName → логин, mail → email, displayName → имя, department → отдел, telephoneNumber → рабочий телефон.

Все маппинги гибко настраиваются под вашу схему AD. Мы также подготавливаем документацию по каждому полю.

Синхронизация групп и отделов

LDAP-группы маппятся на группы Битрикс24. Пользователь, добавленный в группу Sales в AD, автоматически попадает в группу «Отдел продаж» в Б24. Маппинг задаётся в настройках LDAP-сервера: поле группы memberOf, привязка к группам Б24 — по названию или ID.

Отделы синхронизируются по атрибуту department или по OU-структуре. Если в AD есть OU OU=Marketing,OU=Users,DC=company,DC=local — пользователи из этого контейнера попадают в отдел «Маркетинг» в Б24.

Почему важна автоматическая деактивация?

Ключевая задача — вовремя блокировать доступ уволенного сотрудника. При синхронизации LDAP-коннектор проверяет статус учётки в AD:

• Учётка заблокирована (флаг ACCOUNTDISABLE в userAccountControl) → пользователь деактивируется в Б24.
• Учётка удалена из AD → пользователь деактивируется в Б24 при следующей синхронизации.
• Учётка перемещена в OU уволенных → если OU не входит в Base DN, пользователь также деактивируется.

Синхронизация запускается по расписанию через cron-агент модуля LDAP. Рекомендуемый интервал — каждые 15-30 минут. Для критичных случаев (увольнение с немедленным блокированием) — ручной запуск синхронизации или прямая деактивация в Б24.

Мы предоставляем полную настройку расписания и оповещений об ошибках синхронизации.

Что входит в настройку под ключ?

• Подключение LDAP-сервера с шифрованием (LDAPS/STARTTLS)
• Маппинг атрибутов AD на поля профиля Битрикс24
• Фильтры для выборки нужных пользователей и исключения сервисных учёток
• Синхронизация групп AD с группами и отделами Б24
• Автоматическая деактивация при блокировке/удалении в AD
• Настройка cron-расписания синхронизации
• Документация по настройкам и алгоритму синхронизации
• Обучение администраторов (опционально)
• Техническая поддержка в течение 2 недель после запуска

Как мы гарантируем стабильность?

Мы тестируем интеграцию в тестовой среде перед переносом в продакшн. Предоставляем чек-лист проверки: все учётные записи синхронизированы, деактивация работает, группы маппятся корректно. В случае сбоя — оперативное восстановление. Наши инженеры имеют сертификаты 1С-Битрикс и опыт работы с крупными доменными структурами (до 10 000 пользователей).

Оценим ваш проект и предложим сроки настройки от 2 до 5 дней в зависимости от сложности. Свяжитесь с нами для консультации.