Интеграции TeamHero
Подключите корпоративный вход, передавайте сотрудников и структуру из кадровой системы, а для остальных задач используйте отдельные API-ключи.
Екатерина ИвановаАдминистраторСхема подключения
Протокол входа, кадровый API и файл решают разные задачи. Их можно использовать вместе или подключать по мере запуска.
Корпоративный каталог
OIDC или SAML
1С и HRIS
Внешний API
Файл сотрудников
CSV
Данные пространства изолированы. Секреты SSO хранятся в зашифрованном виде, а каждому подключению выдаётся свой ключ.
Запуск
Сначала проверьте вход и импорт на тестовой группе, затем сделайте SSO обязательным для всей компании.
Администратор заводит в админке подключение к вашему провайдеру идентификации по OIDC или SAML. Дальше сотрудники входят той же учётной записью, что и в почту.
JIT provisioning: человек, которого нет в портале, создаётся в момент первого успешного входа через SSO. Отдельного шага «заведите пользователей» нет.
Импорт из 1С через внешний API либо загрузка CSV. Повторный запуск обновляет существующие записи, а не плодит дубли.
Когда всё проверено, ИТ включает enforce_sso, и вход по паролю перестаёт работать. Отзыв доступа с этого момента живёт на стороне компании — уволили в каталоге, доступ закрылся везде.
Отсутствия из HRIS, внешние данные для расчётов, выгрузка в вашу аналитику. API-ключ выдаётся под конкретную задачу, а не как общий доступ ко всему.
Возможности
Администратор видит подключения, состояние синхронизации и ключи в одном разделе.
Вход подключается к корпоративному провайдеру идентификации: Яндекс 360, Keycloak, Okta, Azure AD и другие, говорящие на SAML или OIDC. Отдельных паролей сотрудники не заводят.
Секреты подключения — client_secret и сертификаты SAML — шифруются на стороне сервиса (Fernet/AES-256), а не лежат в настройках открытым текстом.
Пользователь создаётся автоматически при первом входе, а вход по паролю можно отключить совсем. Две настройки, которые превращают портал из отдельной системы с отдельным списком людей в продолжение корпоративного каталога.
enforce_sso — переключатель в настройках пространства, а не индивидуальная доработка.
Синхронизация через внешний API: кадровая система отдаёт сотрудников, портал раскладывает их по отделам и руководителям. Оргструктура и справочник обновляются вместе.
Эндпойнты `/ext/v1/employees/import/*` — часть продукта, а не скрипт под конкретного заказчика.
Отпуска и больничные, уже согласованные в HRIS или ERP, приезжают в портал и видны команде. Портал при этом не становится системой согласования — решение принимается там, где принималось всегда.
Отдельный контур `/ext`: данные только приходят, обратной записи в кадровую систему нет.
Если кадровая система не отдаёт данные наружу, сотрудников можно загрузить файлом. Это не «временное решение до интеграции» — для компании, где структура меняется несколько раз в год, файл честнее постоянной синхронизации.
Каждая интеграция получает свой ключ с ограниченным набором прав. Отозвать один ключ можно, не трогая остальные, и понятно, что именно перестанет работать.
Подключения видны в одном месте: кто подключён, когда синхронизировалось, что пошло не так. Не нужно спрашивать разработчиков, работает ли импорт.
Настройка и ограничения
SSO и отзыв доступа
Повторный импорт
Права API-ключей
SCIM и границы контура
Назовите провайдера SSO и кадровую систему — на демо покажем подключение и второй запуск импорта, а не только первый.
