# Як налаштувати автентифікацію та управління доступом?

Автентифікація та управління доступом дозволяють налаштувати способи входу користувачів у систему та централізоване управління доступами. ConnectiveOne підтримує SSO (Single Sign-On) через Google та інтеграцію з Microsoft Active Directory.

## Коли знадобиться

- Потрібно налаштувати вход через Google для користувачів.
- Треба інтегрувати систему з Microsoft Active Directory для централізованого управління доступами.
- Потрібно спростити процес авторизації для користувачів.
- Треба централізовано керувати ролями та правами доступу.

## Що важливо знати

- **SSO (Single Sign-On)** — технологія, яка дозволяє користувачам використовувати одну пару облікових даних для доступу до системи.
- **Microsoft Active Directory (AD)** — інструмент для централізованого управління обліковими записами користувачів через LDAP.
- Налаштування SSO та AD виконуються технічною підтримкою.
- SSO не створює нових користувачів автоматично — користувач повинен бути попередньо створений та активований.

## Перед початком

- [x] Ви увійшли в систему з правами адміністратора.
- [x] Ви маєте доступ до технічної підтримки або менеджера для налаштування.
- [x] Для AD: у вас є Enterprise пакет підтримки.

## SSO авторизація Google

### Що таке SSO?

SSO (Single Sign-On) — це технологія, яка дозволяє користувачам використовувати одну пару облікових даних (логін та пароль) для доступу до декількох систем або додатків. Це спрощує процес авторизації, підвищує зручність та безпеку.

### Підтримуваний метод SSO

На даний момент система підтримує лише один метод SSO — **Google**. Це означає, що користувачі можуть використовувати свій обліковий запис Google для входу в систему.

### Логіка роботи

**Існуючий користувач (активований):**
- Якщо користувач вже зареєстрований у системі та його обліковий запис активований, він може увійти двома способами:
  - Через стандартний вхід (логін/пароль)
  - Через SSO, використовуючи облікові дані Google

**Новий користувач або неактивований обліковий запис:**
- Якщо облікового запису немає у системі або він неактивний, авторизація буде заблокована, навіть через SSO.

> ⚠️ **Важливо:** SSO не створює нових користувачів автоматично. Користувач повинен бути попередньо створений та активований в системі.

### Приклади зовнішнього вигляду сторінки логіну

**SSO є основним методом входу:**
- На сторінці відображається великий і яскравий елемент для входу через Google SSO
- Додатково вказана кнопка для стандартного входу за логіном і паролем
- Пріоритетно підкреслюється зручність і швидкість входу через Google

**Стандартний вхід є основним методом:**
- Спочатку відображається форма входу за логіном і паролем
- Google SSO доступний як додатковий варіант з менш виразною візуальною ієрархією

### Налаштування SSO

> 💡 **Примітка:** Для налаштування SSO зверніться до технічної підтримки або до вашого менеджера.

Налаштування SSO виконується технічною підтримкою та включає:
- Налаштування OAuth 2.0 з Google
- Конфігурацію redirect URI
- Налаштування маппінгу email адрес
- Тестування авторизації

### Обмеження SSO

- Підтримується тільки Google SSO
- Користувач повинен бути попередньо створений та активований в системі
- Email в Google акаунті повинен співпадати з email в ConnectiveOne
- SSO не створює нових користувачів автоматично

### Переваги SSO

- Зручність — один логін для всіх систем
- Безпека — централізоване управління доступом
- Швидкість — швидший вхід без введення пароля
- Менше паролів — зменшення ризику втрати паролів

## Microsoft Active Directory (AD) для управління доступом

### Що таке Active Directory?

LDAP (Lightweight Directory Access Protocol) — це протокол доступу до інформації про користувачів та ресурси, яка зберігається у каталозі корпорації, наприклад, Microsoft Active Directory (AD).

Active Directory — це інструмент Microsoft для централізованого управління обліковими записами користувачів, їх правами та доступами до ресурсів організації.

### Логіка роботи з Active Directory (AD)

У ConnectiveOne можливості Active Directory використовується для управління авторизацією співробітників. Управління користувачами повністю здійснюється через AD, і авторизація базується на перевірці даних через LDAP.

**Перевірка користувача:**
- Якщо в AD знайдено email користувача, то йому надається можливість увійти до системи
- Якщо email не знайдено в AD, вхід буде заблокований

**Оновлення даних користувача:**
- При кожній спробі входу система оновлює роль користувача відповідно до тієї, що передана з AD
- Також оновлюються інші дані, що синхронізуються через LDAP (наприклад, ім'я, посада тощо)

**Блокування доступу:**
- Якщо користувач видалений з AD або його обліковий запис деактивовано, вхід до системи буде неможливий

### Налаштування та підключення

Підключення до Active Directory та налаштування синхронізації через LDAP здійснюється технічною підтримкою.

> ⚠️ **Важливо:** Доступність цієї функції передбачена лише в рамках **Enterprise пакету підтримки**.

**Налаштування включає:**
- Вказання адреси AD-сервера (LDAP URL)
- Конфігурацію синхронізації ролей та даних користувача
- Перевірку коректності доступу та прав
- Налаштування періодичності синхронізації (якщо необхідно)

### Особливості інтеграції

Даний підхід дозволяє централізовано керувати доступами та ролями співробітників, що зменшує адміністративне навантаження.

Зміни у правах доступу користувача в AD автоматично оновлюються в нашій системі при наступній авторизації.

### Помилки при авторизації

У разі помилки ви отримуєте опис проблеми.

**Типові помилки:**
- **"User not found in AD"** — користувач не знайдений в Active Directory
- **"LDAP connection failed"** — помилка підключення до AD сервера
- **"Invalid credentials"** — некоректні облікові дані
- **"Account disabled"** — обліковий запис деактивовано в AD

### Обмеження AD

- Функція доступна тільки для Enterprise клієнтів
- Необхідна налаштування технічною підтримкою
- Email користувача повинен співпадати в AD та ConnectiveOne
- Зміни в AD відображаються при наступній авторизації (не в реальному часі)

### Переваги AD

- Централізоване управління користувачами
- Автоматична синхронізація ролей та прав
- Зменшення адміністративного навантаження
- Підвищення безпеки через централізоване управління доступом

## Що відбувається після

Після налаштування SSO або Active Directory користувачі можуть використовувати нові способи входу в систему. При використанні AD зміни в правах доступу автоматично синхронізуються при наступній авторизації.

## Як переконатися, що все вдалось

- Перевірте, що SSO або AD налаштовано технічною підтримкою.
- Протестуйте вхід через SSO або AD з тестовим користувачем.
- Переконайтеся, що користувачі мають правильні права доступу.
- Перевірте, що синхронізація ролей працює коректно (для AD).

## Пов'язані матеріали

- [Налаштувати загальні налаштування](/uk/settings/how-to/configure-system-settings.md)
- [Вимоги до сервера](/uk/settings/reference/server-requirements.md)
- [Посібник адміністратора](/uk/settings/admin-hub.md)