Доступ

Настройки → Доступ — как сотрудники попадают в консоль и откуда берутся их учётные записи. Три вкладки: Домен, Каталог AD и SSO.

Домен

Поддомен на web.teamwfa.net

Собственный адрес входа организации: https://<метка>.web.teamwfa.net.

1. Введите Метку поддомена и сохраните.
2. Адрес появится в поле Адрес входа — раздайте его сотрудникам.

Записи DNS для поддомена не нужны, сертификат выпускается автоматически. Метку можно менять не чаще раза в сутки.

Доступ: вкладка «Домен»

Примечание

Кнопка корпоративного входа вашей организации видна только на её адресе входа. На общем адресе web.teamwfa.net её нет.

Собственное доменное имя

Вход по вашему домену, например remote.example.ru. Недоступно на тарифах Гость, Гость+ и Самозанятый.

1. Укажите Полное доменное имя и сохраните.
2. Консоль сформирует записи CNAME и TXT — скопируйте их имя и значение в панель DNS у регистратора вашего домена.
3. Нажмите Проверить. Когда записи найдутся, платформа сама выпустит сертификат; его состояние видно в блоке Сертификаты.

Каталог AD

Выгрузка пользователей и групп из Active Directory в организацию. Работает через агент на сервере Windows в вашем домене. Доступно на тарифах выше «Стартап».

1. API ключ → Создать. Ключ и адрес API показываются один раз — сохраните их.
2. Скачайте Агент Windows (MSI) и установите его на сервер Windows в домене, указав ключ.
3. Выберите Политику деактивации — что делать, если пользователь исчез из каталога при очередной выгрузке:
   • Отключить вход в организацию;
   • Снять членство в организации;
   • Только зафиксировать в отчёте.

Блок Последний прогон показывает итог выгрузки: сколько пользователей создано, обновлено, отключено и пропущено (пропускаются записи без почты). Ключ можно Перевыпустить или Отозвать.

Доступ: вкладка «Каталог AD»

Каталог AD и единый вход — независимые функции: работают вместе или по отдельности.

SSO

Единый вход через корпоративный поставщик удостоверений по протоколу OpenID Connect. Доступно на тарифах выше «Стартап».

Подключение

1. Включите Включён.
2. Укажите Адрес discovery, Идентификатор клиента и Секрет клиента из настроек вашего поставщика удостоверений. Секрет хранится на сервере в зашифрованном виде.
3. Задайте Подпись кнопки на странице входа и при желании Значок кнопки — эскиз показывает, как кнопка будет выглядеть.

Доступ: вкладка «SSO»

Кого пускать

• Домены электронной почты — если ограничение включено, в консоль пустят только адреса из перечисленных доменов. Поддомены не наследуются: example.ru не разрешает user@sales.example.ru.
• Роль по умолчанию — какую роль получает новый сотрудник при первом входе через SSO.
• Сопоставление групп IdP с ролями — какой роли соответствует группа корпоративного каталога. Роль владельца через SSO не назначается. Настраивает только владелец.

Политика входа

Только корпоративный вход — запретить вход паролем TeamWFA, оставив только SSO. Перед включением консоль проверяет, что адрес входа, DNS и сертификат в порядке. Для владельца остаётся Аварийный вход паролем — на случай сбоя поставщика удостоверений. Включать и выключать политику может только владелец.

Пример

Организация входит через корпоративный каталог. Администратор задаёт метку acme, подключает SSO, ограничивает вход доменом acme.ru и сопоставляет группу «IT-Support» с ролью Оператор. Сотрудники открывают https://acme.web.teamwfa.net и входят корпоративной учётной записью. Затем владелец включает Только корпоративный вход.

Кто что может

Действие	Кто по умолчанию
Видеть настройки	Все роли консоли
Менять адрес входа, SSO, ключи каталога	Владелец, администратор
Сопоставление групп с ролями, политика входа	Только владелец