Управление учетными записями из кадровых приказов 1C при помощи OpenIDM13.01.2025 09:15

Введение

Онбординг сотрудников может занимать довольно длительное время, особенно при трудоустройстве в большую компанию. Не раз и не два встречалась ситуация, что новые сотрудники буквально неделями ждут необходимых доступов. Компания теряет деньги, а сотрудники — мотивацию. OpenIDM поможет автоматизировать процесс онбординга и сократить время на выделение доступов. В статье рассмотрим случай, когда OpenIDM читает кадровые приказы из 1С, создает учетные записи и назначает им соответствующие роли. При создании учетной записи, генерирует новый пароль и отправляет на электронную почту. При кадровом переводе — назначает новую роль, а при увольнении — удаляет учетную запись.

Подготовка 1С

Для интеграции с OpenIDM будем использовать HTTP сервис, который будет возвращать JSON данные по сотрудникам и кадровым приказам. Данные по сотрудникам нужны для первоначальной синхронизации, а данные по приказам нужны, для того, чтобы выполнять синхронизацию итеративно, не затрагивая все учетные записи.

HTTP Сервис 1С

Исходный текст HTTP сервиса, разработанного для 1С Бухгалтерия приведен в листинге ниже:

HTTPIDMСервис

Функция ШаблонURLСотрудникиПолучить(Запрос) 
    Массив = ПолучитьСписокСотрудниковНаТекущуюДату();
    СтрокаJSON = ПолучитьJSON(Массив);
    
    Ответ = ПолучитьHTTPСервисОтвет();
    Ответ.УстановитьТелоИзСтроки(СтрокаJSON);
    
    Возврат Ответ;
КонецФункции

Функция ШаблонURLПриказыПолучить(Запрос)  
    getLatest = Запрос.ПараметрыЗапроса.Получить("getLatest");
    ПолучитьПоследнийПриказ = getLatest = "true";
    date = Запрос.ПараметрыЗапроса.Получить("date");
    ДатаПоследнегоПриказа = Дата("00010101");
    Если ЗначениеЗаполнено(date) Тогда
        ДатаПоследнегоПриказа = ПрочитатьДатуJSON(date, ФорматДатыJSON.ISO);	
    КонецЕсли;
                              
    Массив = ПолучитьСписокПриказов(ПолучитьПоследнийПриказ, ДатаПоследнегоПриказа);
    СтрокаJSON = ПолучитьJSON(Массив);
    
    Ответ = ПолучитьHTTPСервисОтвет();
    Ответ.УстановитьТелоИзСтроки(СтрокаJSON);
    
    Возврат Ответ;
КонецФункции        

Функция ПолучитьСписокПриказов(ПолучитьПоследнийПриказ, ДатаПоследнегоПриказа) 
    Запрос = Новый Запрос;                  
    Лимит = "";
    Порядок = "";
    Если ПолучитьПоследнийПриказ Тогда
        Лимит = " ПЕРВЫЕ 1 ";
        Порядок = "УБЫВ";
    КонецЕсли;
    
    Запрос.Текст = "ВЫБРАТЬ РАЗРЕШЕННЫЕ " + Лимит + "
                   |	КадроваяИсторияСотрудников.Период КАК Период,
                   |	КадроваяИсторияСотрудников.Регистратор КАК Регистратор,
                               |	КадроваяИсторияСотрудников.ВидСобытия КАК ВидСобытия,
                   |	КадроваяИсторияСотрудников.Сотрудник.Ссылка КАК СотрудникСсылка,
                   |	КадроваяИсторияСотрудников.ФизическоеЛицо.Фамилия КАК ФизическоеЛицоФамилия,
                   |	КадроваяИсторияСотрудников.ФизическоеЛицо.Имя КАК ФизическоеЛицоИмя,
                   |	КадроваяИсторияСотрудников.ФизическоеЛицо.Отчество КАК ФизическоеЛицоОтчество,
                   |	КадроваяИсторияСотрудников.Должность КАК Должность
                   |ИЗ
                   |	РегистрСведений.КадроваяИсторияСотрудников КАК КадроваяИсторияСотрудников
                               |ГДЕ    
                               | Период > &МаксДата
                               |
                   |УПОРЯДОЧИТЬ ПО
                   |	Период " + Порядок;
    Запрос.Параметры.Вставить("МаксДата", ДатаПоследнегоПриказа);
    
    Выборка = Запрос.Выполнить().Выбрать();
    Массив = Новый Массив;
    Пока Выборка.Следующий() Цикл
        Структура = Новый Структура("date, type, user, newPosition");
        Структура.date = Выборка.Период;
        Структура.type = Строка(Выборка.ВидСобытия);
        
        СтруктураПользователь = Новый Структура("uid, name, surname, patronymic");
        СтруктураПользователь.uid = Строка(Выборка.СотрудникСсылка.УникальныйИдентификатор());  
        СтруктураПользователь.name = Выборка.ФизическоеЛицоИмя;  
        СтруктураПользователь.surname = Выборка.ФизическоеЛицоФамилия;  
        СтруктураПользователь.patronymic = Выборка.ФизическоеЛицоОтчество; 
        
        Структура.user = СтруктураПользователь;
        
        Если ЗначениеЗаполнено(Выборка.Должность) Тогда
            Структура.newPosition = Выборка.Должность.Наименование;  
        Иначе
            Структура.newPosition = "";  	
        КонецЕсли;
        
        Массив.Добавить(Структура);
    КонецЦикла;
    Возврат Массив;	

КонецФункции

Функция ПолучитьСписокСотрудниковНаТекущуюДату() 
    Запрос = Новый Запрос;
    Запрос.Текст = "ВЫБРАТЬ РАЗРЕШЕННЫЕ
                   |	СправочникСотрудники.Ссылка КАК Ссылка,
                   |	СправочникСотрудники.Код КАК Код,
                   |	СправочникСотрудники.Наименование КАК Наименование,
                   |	СправочникСотрудники.ФизическоеЛицо КАК ФизическоеЛицо,
                   |	СправочникСотрудники.ФизическоеЛицо.Фамилия КАК ФизическоеЛицоФамилия,
                   |	СправочникСотрудники.ФизическоеЛицо.Имя КАК ФизическоеЛицоИмя,
                   |	СправочникСотрудники.ФизическоеЛицо.Отчество КАК ФизическоеЛицоОтчество,
                   |	СправочникСотрудники.ГоловнаяОрганизация КАК ГоловнаяОрганизация,
                   |	ЕСТЬNULL(КадроваяИсторияСотрудниковИнтервальный.Подразделение, ЗНАЧЕНИЕ(Справочник.ПодразделенияОрганизаций.ПустаяСсылка)) КАК ТекущееПодразделение,
                   |	ЕСТЬNULL(КадроваяИсторияСотрудниковИнтервальный.Должность, ЗНАЧЕНИЕ(Справочник.Должности.ПустаяСсылка)) КАК ТекущаяДолжность
                   |ИЗ
                   |	Справочник.Сотрудники КАК СправочникСотрудники
                   |		ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.КадроваяИсторияСотрудниковИнтервальный КАК КадроваяИсторияСотрудниковИнтервальный
                   |		ПО СправочникСотрудники.Ссылка = КадроваяИсторияСотрудниковИнтервальный.Сотрудник
                   |			И (КадроваяИсторияСотрудниковИнтервальный.ДатаНачала В
                   |				(ВЫБРАТЬ
                   |					МАКСИМУМ(Т.ДатаНачала)
                   |				ИЗ
                   |					РегистрСведений.КадроваяИсторияСотрудниковИнтервальный КАК Т
                   |				ГДЕ
                   |					СправочникСотрудники.Ссылка = Т.Сотрудник
                   |					И &МаксимальнаяДатаНачалоДня МЕЖДУ Т.ДатаНачала И Т.ДатаОкончания))
                   |ГДЕ
                                 |	СправочникСотрудники.ПометкаУдаления = ЛОЖЬ";
    Запрос.Параметры.Вставить("МаксимальнаяДатаНачалоДня", ТекущаяДата());
    
    Выборка = Запрос.Выполнить().Выбрать(); 
    Массив = Новый Массив;
    Пока Выборка.Следующий() Цикл
        Структура = Новый Структура("uid, name, surname, patronymic, position");
        Структура.uid = Строка(Выборка.Ссылка.УникальныйИдентификатор());  
        Структура.name = Выборка.ФизическоеЛицоИмя;  
        Структура.surname = Выборка.ФизическоеЛицоФамилия;  
        Структура.patronymic = Выборка.ФизическоеЛицоОтчество;  
        Если ЗначениеЗаполнено(Выборка.ТекущаяДолжность) Тогда
            Структура.position = Выборка.ТекущаяДолжность.Наименование;  
        Иначе
            Структура.position = "";  	
        КонецЕсли;
        
        Массив.Добавить(Структура);
    КонецЦикла;
    Возврат Массив;	
КонецФункции      

Функция ПолучитьJSON(Данные)
    ЗаписьJSON = Новый ЗаписьJSON;
    ЗаписьJSON.УстановитьСтроку();  
    ЗаписатьJSON(ЗаписьJSON, Данные); 
    Возврат ЗаписьJSON.Закрыть();
КонецФункции

Функция ПолучитьHTTPСервисОтвет()  
    Ответ = Новый HTTPСервисОтвет(200);   
    Ответ.Заголовки.Вставить("Content-Type","application/json; charset=utf-8");
    Возврат Ответ;
КонецФункции

Создайте в 1С служебную учетную запись, которая будет иметь право читать данные, нужные для сервиса и с которой OpenIDM будет ходить в сервис для получения данных.

Как создавать HTTP сервисы 1С более подробно описано по ссылкам:

https://infostart.ru/1c/articles/1293341/

https://infostart.ru/1c/articles/842751/

Настройка OpenIDM.

Если OpenIDM у вас еще не установлен, установите его, как описано в статье.

Настройка подключения к 1С.

В каталог conf OpenIDM добавьте файл конфигурации коннектора к 1С

provisioner.openicf-scriptedrest.json

{
    "name" : "scriptedrest",
    "connectorRef" : {
        "connectorHostRef" : "#LOCAL",
        "connectorName" : "org.forgerock.openicf.connectors.scriptedrest.ScriptedRESTConnector",
        "bundleName" : "org.openidentityplatform.openicf.connectors.groovy-connector",
        "bundleVersion" : "[1.4.0.0,2)"
    },
    "poolConfigOption" : {
        "maxObjects" : 10,
        "maxIdle" : 10,
        "maxWait" : 150000,
        "minEvictableIdleTimeMillis" : 120000,
        "minIdle" : 1
    },
    "operationTimeout" : {
        "CREATE" : -1,
        "UPDATE" : -1,
        "DELETE" : -1,
        "TEST" : -1,
        "SCRIPT_ON_CONNECTOR" : -1,
        "SCRIPT_ON_RESOURCE" : -1,
        "GET" : -1,
        "RESOLVEUSERNAME" : -1,
        "AUTHENTICATE" : -1,
        "SEARCH" : -1,
        "VALIDATE" : -1,
        "SYNC" : -1,
        "SCHEMA" : -1
    },
    "resultsHandlerConfig" : {
        "enableNormalizingResultsHandler" : true,
        "enableFilteredResultsHandler" : true,
        "enableCaseInsensitiveFilter" : false,
        "enableAttributesToGetSearchResultsHandler" : true
    },
    "configurationProperties" : {
        "serviceAddress" : "http://localhost:8090",
        "proxyAddress" : null,
        "username" : "idm",
        "password" : "passw0rd",
        "defaultAuthMethod" : "BASIC_PREEMPTIVE",
        "defaultRequestHeaders" : [
            null
        ],
        "defaultContentType" : "application/json",
        "scriptExtensions" : [
            "groovy"
        ],
        "sourceEncoding" : "UTF-8",
        "customizerScriptFileName" : "CustomizerScript.groovy",
        "searchScriptFileName" : "SearchScript.groovy",
        "syncScriptFileName" : "SyncScript.groovy",
        "recompileGroovySource" : false,
        "minimumRecompilationInterval" : 100,
        "debug" : false,
        "verbose" : false,
        "warningLevel" : 1,
        "tolerance" : 10,
        "disabledGlobalASTTransformations" : null,
        "targetDirectory" : null,
        "scriptRoots" : [
            "&{launcher.project.location}/tools"
        ]
    },
    "objectTypes" : {
        "account" : {
            "$schema" : "http://json-schema.org/draft-03/schema",
            "id" : "__ACCOUNT__",
            "type" : "object",
            "nativeType" : "__ACCOUNT__",
            "properties" : {
                "uid" : {
                    "type" : "string",
                    "nativeName" : "__NAME__",
                    "nativeType" : "string",
                    "flags" : [
                        "NOT_UPDATEABLE",
                        "NOT_CREATEABLE"
                    ]
                },
                "name" : {
                    "type" : "string",
                    "nativeName" : "name",
                    "nativeType" : "string",
                    "required" : true
                },
                "surname" : {
                    "type" : "string",
                    "nativeName" : "surname",
                    "nativeType" : "string"
                },
                "patronymic" : {
                    "type" : "string",
                    "nativeName" : "patronymic",
                    "nativeType" : "string"
                },
                "position" : {
                    "type" : "string",
                    "nativeName" : "position",
                    "nativeType" : "string"
                }
            }
        }
    }
}

Измените свойства объекта configurationProperties в соттветствии с настройками подключения к HTTP сервису вашей информационной базы 1С.

В каталог tools добавьте скрипты, которые будут обращаться к API 1C:

CustomizerScript.groovy — скрипт, который отвечает за начальную настройку HTTP клиента

import groovyx.net.http.RESTClient
import groovyx.net.http.StringHashMap
import org.apache.http.HttpHost
import org.apache.http.auth.AuthScope
import org.apache.http.auth.UsernamePasswordCredentials
import org.apache.http.client.ClientProtocolException
import org.apache.http.client.CredentialsProvider
import org.apache.http.client.HttpClient
import org.apache.http.client.config.RequestConfig
import org.apache.http.client.protocol.HttpClientContext
import org.apache.http.conn.routing.HttpRoute
import org.apache.http.impl.auth.BasicScheme
import org.apache.http.impl.client.BasicAuthCache
import org.apache.http.impl.client.BasicCookieStore
import org.apache.http.impl.client.BasicCredentialsProvider
import org.apache.http.impl.client.HttpClientBuilder
import org.apache.http.impl.conn.PoolingHttpClientConnectionManager
import org.forgerock.openicf.connectors.scriptedrest.ScriptedRESTConfiguration
import org.forgerock.openicf.connectors.scriptedrest.ScriptedRESTConfiguration.AuthMethod
import org.identityconnectors.common.security.GuardedString

// must import groovyx.net.http.HTTPBuilder.RequestConfigDelegate
import groovyx.net.http.HTTPBuilder.RequestConfigDelegate

/**
 * A customizer script defines the custom closures to interact with the default implementation and customize it.
 */
customize {
    init { HttpClientBuilder builder ->

        //SETUP: org.apache.http
        def c = delegate as ScriptedRESTConfiguration

        def httpHost = new HttpHost(c.serviceAddress?.host, c.serviceAddress?.port, c.serviceAddress?.scheme);

        PoolingHttpClientConnectionManager cm = new PoolingHttpClientConnectionManager();
        // Increase max total connection to 200
        cm.setMaxTotal(200);
        // Increase default max connection per route to 20
        cm.setDefaultMaxPerRoute(20);
        // Increase max connections for httpHost to 50
        cm.setMaxPerRoute(new HttpRoute(httpHost), 50);

        builder.setConnectionManager(cm)

        // configure timeout on the entire client
        RequestConfig requestConfig = RequestConfig.custom().build();
        builder.setDefaultRequestConfig(requestConfig)

        if (c.proxyAddress != null) {
            builder.setProxy(new HttpHost(c.proxyAddress?.host, c.proxyAddress?.port, c.proxyAddress?.scheme));
        }

        switch (ScriptedRESTConfiguration.AuthMethod.valueOf(c.defaultAuthMethod)) {
            case ScriptedRESTConfiguration.AuthMethod.BASIC_PREEMPTIVE:
            case ScriptedRESTConfiguration.AuthMethod.BASIC:
                // It's part of the http client spec to request the resource anonymously
                // first and respond to the 401 with the Authorization header.
                final CredentialsProvider credentialsProvider = new BasicCredentialsProvider();

                c.password.access(
                        {
                            credentialsProvider.setCredentials(new AuthScope(httpHost.getHostName(), httpHost.getPort()),
                                    new UsernamePasswordCredentials(c.username, new String(it)));
                        } as GuardedString.Accessor
                );

                builder.setDefaultCredentialsProvider(credentialsProvider);
                break;
            case ScriptedRESTConfiguration.AuthMethod.NONE:
                break;
            default:
                throw new IllegalArgumentException();
        }

        c.propertyBag.put(HttpClientContext.COOKIE_STORE, new BasicCookieStore());
    }

    /**
     * This Closure can customize the httpClient and the returning object is injected into the Script Binding.
     */
    decorate { HttpClient httpClient ->

        //SETUP: groovyx.net.http

        def c = delegate as ScriptedRESTConfiguration

        def authCache = null
        if (AuthMethod.valueOf(c.defaultAuthMethod).equals(AuthMethod.BASIC_PREEMPTIVE)){
            authCache = new BasicAuthCache();
            authCache.put(new HttpHost(c.serviceAddress?.host, c.serviceAddress?.port, c.serviceAddress?.scheme), new BasicScheme());

        }

        def cookieStore = c.propertyBag.get(HttpClientContext.COOKIE_STORE)

        RESTClient restClient = new InnerRESTClient(c.serviceAddress, c.defaultContentType, authCache, cookieStore)

        Map defaultRequestHeaders = new StringHashMap