OGOwnGate

· Команда OwnGate

Битрикс24 и корпоративный доступ: как подружить портал с единым входом

Штатный модуль AD/LDAP в «Битрикс24: Корпоративный портал» славится зависаниями при синхронизации и дублированием профилей при смене фамилий. Разбираем, как связать коробку Битрикса со шлюзом доступа и включить полноценный SSO со вторым фактором.

Интеграция коробочного Битрикс24 со шлюзом доступа OwnGate

В российском бизнесе «коробочный» Битрикс24 — это священная корова. В нём живёт всё: лиды, воронки продаж, чаты, задачи, согласование отпусков и реестры клиентских договоров.

Но спросите любого системного администратора, что он думает о штатном модуле «Интеграция с AD/LDAP» в Битриксе — и в ответ вы услышите пятиминутный монолог из ненормативной лексики.

Потому что классическая дружба Битрикс24 с доменным каталогом — это непрекращающаяся борьба с фантомными пользователями, зависшими агентами на кроне и оторванными от менеджеров сделками в CRM.

Давайте разберёмся, где зарыты главные грабли авторизации в Битрикс24, и как перевести его на цивилизованный шлюз доступа с единым входом и вторым фактором.

---

3 круга ада штатного модуля LDAP в Битрикс24

Круг 1. Фантомные дубликаты и потерянные сделки

Штатный модуль пытается привязать доменную учётку к внутренней таблице b_user.

Если сотрудница сменила фамилию, или админ поправил транслитерацию логина в Active Directory:

  • Битрикс не может связать новый логин со старым профилем;
  • При следующем входе он молча создаёт второго пользователя-клона;
  • Все привязанные к старому профилю открытые сделки на миллионы рублей, история переписок в CRM и текущие задачи остаются «висеть» на мертвом аккаунте.

Менеджер в панике: «У меня пропала вся клиентская база!». Сисадмин полночи вручную переносит ID в базе данных MySQL.

Круг 2. Зависшие PHP-агенты на кроне

Синхронизация структуры компании (отделы, подразделения, должности) реализована через периодические PHP-агенты в bitrix/modules/ldap.

Когда в компании больше 100 человек, агент синхронизации начинает выполнять тяжелые поисковые запросы к домену, упирается в таймаут выполнения скрипта (max_execution_time), падает на середине и блокирует выполнение остальных фоновых задач Битрикса.

Круг 3. Двухфакторка «на честном слове»

В коробочном Битриксе есть собственный модуль OTP. Но он живёт своей отдельной жизнью:

  • Чтобы сотрудник начал им пользоваться, его нужно вручную заставить зайти в профиль и включить тумблер;
  • Если сотрудник потерял телефон, сбросить 2FA через интерфейс часто невозможно без прав администратора всего портала (или прямого SQL-запроса в базу);
  • Никакой связи с общей корпоративной политикой безопасности компании.

---

Переводим Битрикс24 на SSO через шлюз OwnGate

Единственный способ перестать воевать с внутренними костылями Битрикса — перевести его на работу по современному протоколу федерации через внешний шлюз доступа (OwnGate).

Вместо того чтобы давать Битриксу логин и пароль сервисной учётки AD и пускать его в контроллер домена, мы включаем авторизацию через единый шлюз:


[Пользователь] ──► [Битрикс24 (Web / Desktop / Mobile)]

                            │

               (Редирект на шлюз авторизации)

                            ▼

                    [Шлюз OwnGate]

                            │

              (AD + Обязательный TOTP 2FA)

                            │

              (Возврат signed JWT / Claims)

                            ▼

               [Авторизован в Битрикс24]

Как это настраивается:

1. Единый идентификатор (Immutable Sub). Шлюз передаёт в Битрикс неизменяемый идентификатор сотрудника (ObjectGUID из домена или постоянный UUID). Теперь, как бы сотрудница ни меняла фамилию, логин или почту, Битрикс всегда безошибочно узнаёт её профиль. Никаких потерянных сделок и дубликатов.

2. Второй фактор до входа в портал. Пользователь даже не видит страницу логина Битрикса. Он аутентифицируется в защищённом шлюзе OwnGate, где подтверждает вход через приложение TOTP (Яндекс Ключ, Google Authenticator) или биометрию.

3. Мобильное и десктопное приложение. Десктопный клиент Битрикс24 и мобильное приложение на iOS/Android нативно поддерживают вход через внешний SSO-провайдер: при клике на «Войти через корпоративный аккаунт» открывается системный браузер, а после авторизации клиент получает безопасный токен сессии.

---

Главный профит: безопасность клиентской базы

В CRM-системе хранятся главные деньги компании. Самый частый сценарий утечки — менеджер по продажам перед уходом тихо копирует базу контактов себе.

С централизованным шлюзом OwnGate:

  • Увольнение сотрудника = мгновенная смерть сессии. Как только учетная запись блокируется в каталоге, шлюз моментально отзывает все выданные токены. Менеджер не сможет зайти в CRM ни из дома, ни с личного телефона, ни из мобильного приложения.
  • Полный аудит каждого клика. В журнале аудита OwnGate чётко зафиксировано: кто, когда, с какого IP-адреса и устройства заходил в портал.

Перестаньте латать штатный модуль LDAP в Битриксе. Подключение портала к шлюзу доступа превратит капризную «коробку» в защищённую корпоративную среду корпоративного уровня.

← Все статьи