Каталоги и Trialix Connector

Коннектор ставится на машину в вашей сети с доступом к каталогу. Он ходит только наружу по HTTPS на api.trialix.ru, входящих портов нет. Подробно - «Trialix Connector: архитектура и безопасность». Раз в минуту коннектор отправляет пульс и забирает задания: обновить список групп, предпросмотр, синхронизация. Расписание, привязки групп и пороги живут в ЛК.

В Trialix уходит только белый список атрибутов: идентификатор, логин, почта, имя, фамилия, должность, отдел, телефон, руководитель, членство в группах и признак отключённой учётной записи. Пароли и хеши коннектор не читает.

1. «Каталоги», «Добавить коннектор» - одноразовый код подключения (действует час) и команды установки.
2. На машине в сети: установить пакет (Linux) или exe (Windows), enroll <код>, setup, doctor, service install. Пошагово: Windows, Linux.
3. В карточке коннектора - «в сети». «Обновить список групп».
4. Привяжите группы каталога к отделам Trialix: к существующему или новому. Вложенные группы учитываются.
5. «Синхронизировать сейчас». Первый прогон - всегда предпросмотр: проверьте список «Создать», «Обновить», «Отключить» и нажмите «Применить».

Настройка каталогов: Active Directory, Samba AD, РЕД АДМ, Альт Домен, FreeIPA, ALD Pro, OpenLDAP, произвольный LDAP. Тексты ошибок - «Диагностика ошибок».

• Новые сотрудники привязанных групп получают учётные записи по правилам мест лицензии (докуп или «ожидает места»).
• Вышедшие из всех привязанных групп и отключённые в каталоге деактивируются, место сразу переходит первому в очереди.
• Имя, почта и отдел берутся из каталога: ручные правки этих полей перезаписываются при следующем прогоне.
• Ручные учётные записи не меняются, пока их не связали с каталогом («Связать с каталогом» в меню сотрудника) или отметили «Не трогать при синхронизации».

• Сопоставление по неизменяемому идентификатору, затем по SID, DN, логину и почте.
• Пересозданная группа (новый идентификатор при том же имени) - «требует подтверждения», отключений по ней нет.
• Прогон, который собирается отключить больше порога, останавливается до подтверждения. Порог - большее из двух чисел: 5 человек и 10 % активных сотрудников (оба числа в настройках коннектора).
• Пустой или неполный ответ каталога, расхождение часов больше 5 минут - прогон отменяется без изменений.
• Деактивированного можно восстановить, пока данные хранятся.

Подробно - «Как работает синхронизация».

«Кто отправляет приглашения новым сотрудникам»: администратор пакетно (по умолчанию), автоматически при появлении (после первого прогона) или руководитель отдела. При включённом SSO письмо - приветствие без кода.