Налаштування інтеграції Bitrix24 з LDAP/Active Directory
У компанії з 200 співробітників кадровик додає нову людину в Active Directory, потім окремо створює їй обліковий запис у Bitrix24, потім вручну додає до потрібного відділу та груп. При звільненні — те ж саме в зворотному порядку. Через пів року в Б24 висять 30 «мертвих» облікових записів, а новий менеджер другий тиждень працює без доступу до CRM, тому що заявку на створення облікового запису загубили. Інтеграція з LDAP вирішує це: один джерело істини — Active Directory, Bitrix24 синхронізується автоматично.
Вимоги та обмеження
Інтеграція LDAP доступна тільки для коробочної версії Bitrix24 (on-premise). Хмарна Б24 не підтримує прямого підключення до LDAP — для хмари використовуються SSO-рішення (SAML, OAuth).
Що потрібно для підключення:
| Параметр | Значення |
|---|---|
| Сервер LDAP | IP або FQDN контролера домену |
| Порт | 389 (LDAP) або 636 (LDAPS) |
| Base DN | DC=company,DC=local |
| Bind DN | Сервісний обліковий запис з правами читання каталогу |
| Протокол | LDAP v3 |
| Шифрування | LDAPS (порт 636) або STARTTLS |
Сервісний обліковий запис не повинен бути адміністратором домену. Достатньо прав на читання об'єктів у потрібних OU.
Налаштування LDAP-коннектора
У панелі управління Bitrix24: Параметри → LDAP-сервери → Додати. Параметри підключення:
- Сервер — адреса контролера домену. Для відмовостійкості можна вказати кілька через пробіл.
- Base DN — кореневий контейнер для пошуку користувачів. Якщо користувачі в кількох OU — налаштувати кілька LDAP-підключень або використати Base DN на рівень вище.
-
Фільтр користувачів — LDAP-фільтр для вибірки:
(&(objectClass=user)(objectCategory=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))— активні користувачі, виключаючи заблоковані облікові записи. -
Маппінг полів — відповідність атрибутів LDAP полям Б24:
sAMAccountName→ логін,mail→ email,displayName→ ім'я,department→ відділ,telephoneNumber→ робочий телефон.
Синхронізація груп та відділів
LDAP-групи маппяться на групи Bitrix24. Користувач, доданий до групи Sales в AD, автоматично потрапляє в групу «Відділ продажів» в Б24. Маппінг задається в параметрах LDAP-сервера: поле групи → memberOf, прив'язка до груп Б24 → за назвою або ID.
Відділи синхронізуються за атрибутом department або за структурою OU. Якщо в AD є OU OU=Marketing,OU=Users,DC=company,DC=local — користувачі з цього контейнера потрапляють у відділ «Маркетинг» в Б24.
Автоматична деактивація
Ключова задача — вчасно заблокувати доступ звільненого співробітника. При синхронізації LDAP-коннектор перевіряє статус облікового запису в AD:
- Обліковий запис заблокований (прапорець
ACCOUNTDISABLEуuserAccountControl) → користувач деактивується в Б24. - Обліковий запис видалений з AD → користувач деактивується в Б24 при наступній синхронізації.
- Обліковий запис переміщений в OU звільнених → якщо OU не входить в Base DN, користувач також деактивується.
Синхронізація запускається за розписанням через cron-агент модуля LDAP. Рекомендуємий інтервал — кожні 15-30 хвилин. Для критичних випадків (звільнення з негайним блокуванням) — ручний запуск синхронізації або пряма деактивація в Б24.
Що налаштовуємо
- Підключення LDAP-сервера з шифруванням (LDAPS/STARTTLS)
- Маппінг атрибутів AD на поля профіля Bitrix24
- Фільтри для вибірки потрібних користувачів і виключення сервісних облікових записів
- Синхронізація груп AD з групами та відділами Б24
- Автоматична деактивація при блокуванні/видаленні в AD
- Налаштування cron-розписання синхронізації