Перейти к основному содержимому

Последние входы

Актуально для: directory 0.27 · Проверено: 26.09.2026

Последние входы​

В портале /me на вкладке «Безопасность» есть карточка «Последние входы»: входы этой учётной записи за 30 дней, не больше 50 записей. Для каждого входа видно:

  • когда;
  • как: пароль, пароль и код, код восстановления, ключ доступа (с проверкой PIN-кодом или биометрией или без неё), вход через компанию (ADFS или другой поставщик), пароль каталога LDAP, привязка LDAP из приложения, пароль приложения для почты;
  • куда: приложение, в которое входили, или мессенджер, почта, LDAP;
  • откуда: адрес, с которого пришёл вход;
  • итог: вход выполнен, отказано с причиной (неверный пароль, неверный код, учётная запись заблокирована, адрес заблокирован и т. п.) или сбой (каталог недоступен).

Список берётся из журнала событий безопасности directory — того же, что выгружается в SIEM. Человек видит только свои входы. Текст ошибок и секреты в портал не попадают, только класс причины.

Рядом с кнопкой «Выйти везде» написано: «Это были не вы? Выйдите везде и смените пароль».

Адрес виден, когда его передаёт тот, кто проверяет вход: страница входа directory и сервер LDAP знают его сами, координатор передаёт его при проверке пароля, почта — при проверке пароля приложения.

Вход с нового устройства​

Когда учётная запись входит с устройства, которым не пользовалась 90 дней, человеку приходит уведомление на его устройства: «Новый вход в [приложение] из сети 203.0.113.0/24 (Firefox on Windows) — пароль, [время]. Это были не вы? Завершите сеансы и смените пароль» со ссылкой на вкладку «Безопасность» портала. Город не называется: базы GeoIP в поставке нет, поэтому указывается сеть.

«Устройство» — это сочетание приложения, сети (для IPv4 — /24, для IPv6 — /48) и семейства браузера, если оно известно. Cookie для этого не используются, адреса отдельно не хранятся. Уведомления нет:

  • при самом первом входе учётной записи и при первом входе после 90 дней без входов — сравнивать не с чем;
  • при входе с известного устройства;
  • чаще одного раза в сутки для одного и того же устройства;
  • при неудачном или незавершённом входе (пароль принят, но код ещё не введён).

Строка такого входа в «Последних входах» помечена «новое устройство», рядом — кнопка «Это был не я»: она завершает все сеансы и токены обновления учётной записи, помечает устройство как чужое и переводит к смене пароля. В консоли, в разделе «Пользователи → Люди», та же пометка видна на вкладке «Входы» карточки человека.

Администратор выключает уведомления в консоли: Политики → Требования ко входу → Сообщать человеку о входе с нового устройства, или полем signin_alerts: off политики учётных данных. По умолчанию они включены: уведомление получает только сам человек, порядок входа не меняется, а после обновления первый вход каждой учётной записи лишь запоминает её устройства. Пометка в списке входов остаётся и при выключенных уведомлениях.

Входы по LDAP и по паролям приложений уведомлений не вызывают.

Когда приложения теряют доступ​

С directory 0.44 токен доступа, выданный directory приложению (портал /me, консоль, корпоративные приложения, подключённые по OIDC), перестаёт действовать сразу, а не по истечении срока (час по умолчанию), если после его выдачи:

  • человек нажал «Выйти на всех устройствах» или «Это был не я» — кроме токена портала, из которого он это сделал: им он сразу меняет пароль;
  • служба поддержки завершила все сеансы человека или администратор нажал «Выйти всем» — здесь не остаётся ни одного;
  • человек сбросил пароль через «Забыли пароль?», учётная запись заблокирована или удалена.

Портал, консоль и /oauth/userinfo проверяют это сами. Приложение, которое проверяет токен только по подписи (JWKS), этого не видит до конца срока токена; чтобы видеть, оно спрашивает directory: POST /oauth/introspect (RFC 7662) с token=<токен>, аутентификация клиента — как на /oauth/token (client_secret_basic или client_secret_post). Спрашивать может только конфиденциальный клиент и только о своих токенах: о чужом, неизвестном, отозванном или истёкшем ответ один — {"active": false}. Адрес есть в discovery как introspection_endpoint.

Адреса человека и уведомления о них​

С directory 0.45 на вкладке «Профиль» портала есть карточка «Ваши адреса»: основной адрес (адрес учётной записи), другие адреса организации (алиасы — письма на них приходят в тот же ящик) и личный адрес для кодов входа с его состоянием. Тот же список отдаёт GET /v1/me/addresses для экрана настроек в приложениях.

Когда адрес добавляют или убирают, человеку приходит уведомление в SimpleTwo на устройства, где он вошёл, — на его языке, с адресом в замаскированном виде и ссылкой на портал:

  • организация добавила или убрала алиас;
  • подтверждён или удалён личный адрес для кодов входа. Пока адрес ждёт код подтверждения, уведомления нет: он ещё не стал адресом человека.

Уведомление — не письмо: письмо на новый адрес прочитал бы тот, кто его добавил. Записью остаётся журнал аудита (alias.put, alias.delete, email_factor.verify, email_factor.remove).

Кто может действовать за человека​

Доступ к чужому почтовому ящику и к чужому календарю directory не выдаёт. Это решают сами почта и календарь: доступ к ящику и календарю выдаётся людям и группам в их настройках.