OIDC SSO — Доступ и безопасность

Главная / Документация / Доступ и безопасностьOIDC SSOЕдиный вход через внешнего провайдера по OpenID Connect: подключение, маппинг claims, автосоздание и связывание по email.Обновлено 05.07.2026OIDC SSO - единый вход через внешнего провайдера идентификации (например Keycloak, Google, Okta, Яндекс). Пользователь входит кнопкой на странице логина, без отдельного пароля в системе. Альтернатива и дополнение к LDAP / AD - можно включить оба.Подключение

**Название провайдера** - видно на кнопке «Войти через …».

**Базовый URL (issuer)** - адрес провайдера; настройки подтягиваются автоматически из его discovery-конфигурации.

**Идентификатор приложения (client_id)** и **секрет** - выдает провайдер (пустое поле секрета при сохранении - «не менять»).

**Области доступа (scopes)** - минимум openid, обычно openid email profile.

Маппинг claimsИз токена провайдера берутся: внешний идентификатор (по умолчанию sub), email, ФИО и резервное имя. Эти данные кладутся в карточку сотрудника.Поведение при входе

**Автосоздание учеток** - заводить профиль при первом входе с неизвестным пользователем.

**Связывание по email** - если в системе уже есть сотрудник с таким email, привязать вход к нему, а не плодить дубль.

**Роль по умолчанию** - для новых пользователей (обычно минимальная).

В провайдере нужно прописать адрес возврата (redirect_uri) на этот портал. Если автосоздание выключено и пользователя нет - вход не пройдет; если связывание по email выключено, а такой email уже есть локально - вход завершится конфликтом.Кто видит разделРаздел доступен только администратору системы (см. Роли и доступы).Соответствует версии продукта 0.9.0. Дата проверки: 2026-06-24.

Безопасность и закрытый контур

Интеграции и REST API