LDAP / AD — Доступ и безопасность

Главная / Документация / Доступ и безопасностьLDAP / ADВход по доменным учетным записям (LDAP/Active Directory), автосоздание пользователей и доступ по членству в группе.Обновлено 05.07.2026Подключение к LDAP / Active Directory избавляет от локальных паролей: сотрудники входят доменной учетной записью. При первом входе профиль создается автоматически. Единый вход через внешнего провайдера по OpenID Connect настраивается отдельно в разделе OIDC SSO.Параметры подключения

**Адрес сервера** - ldap://host:389 или ldaps://host:636; для ldap:// можно включить STARTTLS, для самоподписанных сертификатов - отключить проверку.

**Корень поиска** и **фильтр поиска пользователя** - в фильтре {username} подставляется введенный логин (подходит для AD, OpenLDAP, FreeIPA).

**Учетная запись для поиска** (bind) - служебный аккаунт и его пароль (если требуется).

**Маппинг атрибутов** - какие поля каталога класть в карточку: логин, email, ФИО, отдел, телефон, должность.

**Роль по умолчанию** - назначается при автосоздании (по умолчанию минимальная «Пользователь»).

**Резерв на локальный вход** - если каталог недоступен, разрешить вход по локальному паролю (рекомендуется оставить, чтобы не запереть систему).

Автосоздание пользователяПри первом успешном входе создается сотрудник с привязкой к каталогу и без локального пароля; данные берутся из маппинга и обновляются при каждом входе. Расширенные роли назначаются вручную после первого входа - по умолчанию у новичка минимальный доступ.Без email пользователь не создается. Если выключить резерв на локальный вход и каталог станет недоступен - войти будет нельзя.Доступ по членству в группеМожно пускать только членов заданной группы каталога: включите проверку членства и укажите группу доступа. Учитывается прямое членство; вложенные группы не разворачиваются.Единый вход (Kerberos)Поверх LDAP включается прозрачный вход по Kerberos: на странице входа появляется кнопка входа доменной учетной записью без ввода пароля. Для этого задается имя службы (SPN) и keytab, согласованные с настройкой в домене.Проверка и доступЕсть тест соединения и тест входа конкретного пользователя без сохранения - показывает, какие атрибуты вернул каталог. Раздел доступен только администратору системы.Соответствует версии продукта 0.9.0. Дата проверки: 2026-06-24.

Интеграции и REST API

Безопасность и закрытый контур