Яндекс 360: вход через Яндекс ID и каталог организации

• Права администратора организации в Яндекс 360 для бизнеса (для каталога).
• Подтверждённый в Trialix домен почты компании: ЛК, «Вход в компанию», «Домены компании».
• Яндекс 360 входит во все тарифы Trialix.

Приложения на стороне Яндекса заводит Trialix. Компании создавать своё приложение в oauth.yandex.ru не нужно.

1. ЛК, «Вход в компанию», «Правила входа».
2. Отметьте «Вход через Яндекс ID для почты на подтверждённых доменах» и нажмите «Сохранить правила».
3. На странице входа Trialix сотрудник вводит рабочую почту и нажимает «Войти через Яндекс». Яндекс спросит согласие на доступ к почте и имени.

Как это устроено:

Войти можно только с почтой на подтверждённом домене компании, у которой включён вход через Яндекс. Кнопка «Войти через Яндекс» на странице входа появляется только при включённом переключателе. Если учётной записи нет, она создаётся при первом входе только при включённом правиле «Создавать учётную запись при первом входе» (по умолчанию выключено) и при свободном месте по лицензии. Когда подключён каталог Яндекс 360, по умолчанию выбран режим «Только тем, кто есть в каталоге Яндекс 360»: учётная запись создаётся, только если почта есть среди активных сотрудников организации. Иначе сотрудник увидит «Учётной записи с этой почтой нет. Попросите приглашение у администратора компании.», а попытка попадёт в журнал «Попытки входа без учётной записи», откуда её можно пригласить одной кнопкой.

Признак многофакторного входа Яндекс не передаёт: владелец и администраторы, входящие через Яндекс, подтверждают вход своим TOTP.

1. ЛК, «Вход в компанию», карточка «Яндекс 360», «Подключить Яндекс 360».
2. Войдите в Яндекс учётной записью администратора организации и подтвердите доступ.
3. Trialix сразу выполнит пробную синхронизацию без изменений. Сообщение «Яндекс 360 подключён. Проверьте, что будет создано, и запустите синхронизацию».
4. «Что синхронизировать»: «Только выбранные отделы и группы» (по умолчанию для нового подключения) или «Всю организацию (отделы один к одному)». В первом режиме отметьте в таблице отделы и группы Яндекс 360 и для каждого выберите отдел Trialix: «Новый отдел» с тем же названием, существующий отдел или «Не менять отдел». Выбранный отдел включает свои подотделы; сотрудник, который есть и в отделе, и в группе, попадает по отделу.
5. Отметьте нужные правила:
   • «Создавать учётные записи для новых сотрудников каталога (по правилам мест лицензии)»;
   • «Деактивировать уволенных и отключённых в каталоге».
6. «Проверить без изменений» показывает поимённо, кто будет создан, отключён и пропущен и почему, и сколько будет новых отделов.
7. «Синхронизировать» применяет изменения.

Права приложения каталога:

Адрес возврата: https://app.trialix.ru/connectors/yandex/callback.

Что читает Trialix из API Яндекс 360 (https://api360.yandex.net):

• GET /directory/v1/org - организации, где пользователь токена администратор (оттуда ID организации);
• GET /directory/v1/org/{orgId}/users - сотрудники: почта, имя, отдел, isEnabled, isDismissed, isRobot;
• GET /directory/v1/org/{orgId}/departments - отделы;
• GET /directory/v1/org/{orgId}/groups - группы.

Страницы по 1000 записей. Токен и токен обновления хранятся зашифрованными ключом компании и в интерфейсе не показываются; за сутки до истечения токен обновляется автоматически. «Отключить» в карточке удаляет токены.

• Отделы Яндекс 360 создаются в Trialix, переименования переносятся. Корневой отдел «Все сотрудники» не переносится.
• Роботы (isRobot) не переносятся. Служебные ящики без имени и фамилии (info, noreply, sales, support и подобные) пропускаются с пометкой «похоже на служебный ящик»; нужный ящик включается кнопкой «Всё равно синхронизировать» в предпросмотре, вернуть в пропускаемые - щелчком по нему в списке под предпросмотром.
• В режиме «Только выбранные» сотрудники вне выбранных отделов и групп пропускаются с пометкой «не входит в выбранные отделы и группы». Уволенные (isDismissed) и отключённые (isEnabled: false) деактивируются, если отмечено правило деактивации.
• Сотрудники с почтой не на подтверждённом домене пропускаются.
• Новые учётные записи создаются по правилам мест лицензии. На тарифах по лицензиям число учётных записей не ограничено: с моделями работает сотрудник, которому назначена лицензия. На пилоте 5 мест, дальше сотрудник ждёт свободного места.
• Владелец компании и учётные записи с отметкой «Не трогать при синхронизации» не меняются.
• Защита: если каталог вдруг отдал на 30 % меньше активных сотрудников, чем было синхронизировано раньше (и раньше их было больше пяти), отключения не выполняются, а в результате появляется предупреждение «Каталог отдал N активных вместо M - отключение пропущено, проверьте источник».
• Синхронизация Яндекс 360 запускается кнопкой «Синхронизировать»; расписания у неё пока нет.

Общие правила и защита для всех источников - в разделе «Как работает синхронизация».