Настройка интеграции Битрикс24 с LDAP/Active Directory
В компании на 200 сотрудников кадровик добавляет нового человека в Active Directory, потом отдельно создаёт ему учётку в Битрикс24, потом вручную добавляет в нужный отдел и группы. При увольнении — то же самое в обратном порядке. Через полгода в Б24 висят 30 «мёртвых» аккаунтов, а новый менеджер вторую неделю работает без доступа к CRM, потому что заявку на создание учётки потеряли. Интеграция с LDAP решает это: один источник правды — Active Directory, Битрикс24 синхронизируется автоматически.
Требования и ограничения
LDAP-интеграция доступна только для коробочной версии Битрикс24 (on-premise). Облачный Б24 не поддерживает прямое подключение к LDAP — для облака используются SSO-решения (SAML, OAuth).
Что нужно для подключения:
| Параметр | Значение |
|---|---|
| Сервер LDAP | IP или FQDN контроллера домена |
| Порт | 389 (LDAP) или 636 (LDAPS) |
| Base DN | DC=company,DC=local |
| Bind DN | Сервисная учётка с правами чтения каталога |
| Протокол | LDAP v3 |
| Шифрование | LDAPS (порт 636) или STARTTLS |
Сервисная учётка не должна быть доменным администратором. Достаточно прав на чтение объектов в нужных OU.
Настройка LDAP-коннектора
В админке Битрикс24: Настройки → LDAP-серверы → Добавить. Параметры подключения:
- Сервер — адрес контроллера домена. Для отказоустойчивости можно указать несколько через пробел.
- Base DN — корневой контейнер для поиска пользователей. Если пользователи в нескольких OU — настраивается несколько LDAP-подключений или используется Base DN на уровень выше.
-
Фильтр пользователей — LDAP-фильтр для выборки:
(&(objectClass=user)(objectCategory=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))— активные пользователи, исключая заблокированные учётки. -
Маппинг полей — соответствие атрибутов LDAP полям Б24:
sAMAccountName→ логин,mail→ email,displayName→ имя,department→ отдел,telephoneNumber→ рабочий телефон.
Синхронизация групп и отделов
LDAP-группы маппятся на группы Битрикс24. Пользователь, добавленный в группу Sales в AD, автоматически попадает в группу «Отдел продаж» в Б24. Маппинг задаётся в настройках LDAP-сервера: поле группы → memberOf, привязка к группам Б24 → по названию или ID.
Отделы синхронизируются по атрибуту department или по OU-структуре. Если в AD есть OU OU=Marketing,OU=Users,DC=company,DC=local — пользователи из этого контейнера попадают в отдел «Маркетинг» в Б24.
Автоматическая деактивация
Ключевая задача — вовремя блокировать доступ уволенного сотрудника. При синхронизации LDAP-коннектор проверяет статус учётки в AD:
- Учётка заблокирована (флаг
ACCOUNTDISABLEвuserAccountControl) → пользователь деактивируется в Б24. - Учётка удалена из AD → пользователь деактивируется в Б24 при следующей синхронизации.
- Учётка перемещена в OU уволенных → если OU не входит в Base DN, пользователь также деактивируется.
Синхронизация запускается по расписанию через cron-агент модуля LDAP. Рекомендуемый интервал — каждые 15-30 минут. Для критичных случаев (увольнение с немедленным блокированием) — ручной запуск синхронизации или прямая деактивация в Б24.
Что настраиваем
- Подключение LDAP-сервера с шифрованием (LDAPS/STARTTLS)
- Маппинг атрибутов AD на поля профиля Битрикс24
- Фильтры для выборки нужных пользователей и исключения сервисных учёток
- Синхронизация групп AD с группами и отделами Б24
- Автоматическая деактивация при блокировке/удалении в AD
- Настройка cron-расписания синхронизации