Вопросы и ответы для ИТ

Какие порты открыть? Только исходящий HTTPS (443) к app.trialix.ru (портал и ЛК) и api.trialix.ru (API и Trialix Connector). Коннектору дополнительно нужен доступ внутри сети к серверу каталога по 636 (LDAPS) или 389 (LDAP со StartTLS) и к KDC по 88, если используется Kerberos.

Нужно ли открывать входящие подключения? Нет. Ни портал, ни коннектор не требуют входящих подключений из интернета. Коннектор сам раз в минуту обращается в Trialix и забирает задания.

Коннектор работает через прокси? Да. Прокси задаётся при регистрации (enroll … --proxy http://proxy:3128) и в мастере setup. Без явной настройки коннектор использует переменные HTTPS_PROXY и NO_PROXY. Прокси с SSL-инспекцией должен пропускать api.trialix.ru без подмены сертификата.

Нужен ли белый список IP-адресов Trialix? Для коннектора и портала - нет, соединения исходящие. Если единый вход настроен по OpenID Connect, серверы Trialix сами обращаются к адресам провайдера (discovery, token endpoint, ключи), поэтому провайдер должен быть доступен из интернета. Для SAML это не нужно: ответ провайдера идёт через браузер сотрудника.

Где смотреть, работает ли Trialix? На странице состояния https://status.trialix.ru: компоненты «Сайт trialix.ru», «Портал и ЛК», «API», «Генерация ответов», «Синхронизация каталогов», «Коннекторы». Проверки раз в 5 минут, история за 90 дней, описания инцидентов и подписка на письма о сбоях.

Где хранятся данные? Серверы Trialix находятся в Москве. База данных, файлы и журналы не покидают Россию.

Что коннектор передаёт в Trialix? Белый список атрибутов: неизменяемый идентификатор, SID, DN, логин, почта, имя, фамилия, должность, отдел, телефон, руководитель, группы и признак отключения. Пароли, хеши, содержимое почты и файлов не читаются и не передаются. Проверить можно командой trialix-connector preview --json. Подробно - «Архитектура и безопасность».

Как хранится пароль сервисной учётной записи? На машине коннектора в зашифрованном виде: на Windows - DPAPI машины, на Linux - AES-256-GCM ключом, привязанным к машине. Скопированный файл конфигурации на другой машине не расшифруется. При входе по Kerberos пароль не хранится вовсе.

Сколько ресурсов нужно коннектору? Коннектор - один исполняемый файл около 8 МБ (пакет deb или rpm - около 3,5 МБ). В простое на Linux он занимает около 8 МБ оперативной памяти (наш замер), процессор почти не использует. Во время синхронизации снимок каталога держится в памяти, объём растёт с числом сотрудников и групп. Отдельная машина не нужна: коннектор можно поставить на существующий сервер, в том числе на контроллер домена.

Что будет, если коннектор отключится? Синхронизация остановится, учётные записи и отделы в Trialix останутся как были, сотрудники продолжат работать. Через сутки без связи администраторы компании получат письмо «Коннектор Trialix не в сети больше суток». После восстановления связи коннектор продолжит по расписанию.

Как отозвать токен коннектора? В ЛК, «Каталоги», карточка коннектора: «Перевыпустить токен» заменяет токен (старый действует до подтверждения нового коннектором), «Удалить коннектор» закрывает доступ сразу. Учётные записи сотрудников при удалении коннектора остаются.

Можно ли поставить несколько коннекторов? Да. В ЛК можно добавить несколько коннекторов, например для разных доменов или филиалов. У каждого свой токен, расписание, привязки групп и пороги. Не подключайте два коннектора к одним и тем же группам: они будут спорить за одни учётные записи.

Как обновлять коннектор? Вручную: trialix-connector update, затем перезапуск службы. Автообновления нет. Коннектор проверяет подпись Ed25519 и контрольную сумму до замены файла.

Коннектор может что-то изменить в каталоге? Нет. Он выполняет только поиск (чтение). Сервисной учётной записи достаточно прав на чтение.

Можно одновременно единый вход и синхронизацию каталога? Да, это обычная схема: каталог создаёт и отключает учётные записи, единый вход отвечает за вход. При включённом едином входе приглашения сотрудникам из каталога приходят как приветствие без кода.

Что происходит с уволенными? Если сотрудник отключён или удалён в каталоге, исключён из всех привязанных групп или отключён через SCIM, его учётная запись в Trialix деактивируется: сессии закрываются, личный ключ API отзывается, место освобождается. Данные хранятся заданный срок (по умолчанию 30 дней), в течение него учётную запись можно восстановить; потом данные удаляются автоматически.

Может ли синхронизация по ошибке отключить всех? Нет. Пустой или неполный ответ каталога отменяет прогон без изменений, а прогон с отключениями больше порога (большее из 5 человек и 10 % сотрудников, настраивается) останавливается до подтверждения администратора. Для SCIM действует ограничение на число отключений в час. Подробно - «Как работает синхронизация».

Как считаются места лицензии? Место занимает активный сотрудник или действующее приглашение. Новые сотрудники из каталога, SCIM и при первом входе через SSO получают места по режиму лицензии: место докупается автоматически или сотрудник ждёт свободного места («Ждём свободного места»). Деактивация освобождает место сразу, оно переходит первому в очереди. Число мест и режим видны в ЛК на странице «Лицензия и тариф».

Владельца компании могут отключить из каталога? Нет. Ни синхронизация, ни SCIM, ни Яндекс 360 владельца не деактивируют.

Если сотрудник уже заведён вручную, появится ли дубликат? Нет. Ручная учётная запись с той же почтой попадает в отчёт прогона в список «Можно связать с каталогом», администратор связывает её командой «Связать с каталогом». До этого синхронизация её не меняет.

Что если единый вход у провайдера сломался? У владельца остаётся аварийный вход кодом на почту с подтверждением TOTP, даже при правиле «Только SSO». Владелец может выключить SSO в ЛК, «Вход в компанию».

В каких тарифах есть единый вход, каталоги и SCIM? Единый вход, синхронизация каталога и SCIM входят в тарифы Бизнес и Корпорация, Яндекс 360 - во все тарифы. Расширить лицензию можно запросом на странице «Лицензия и тариф».