10.9. Разработка скрипта восстановления доступа

// Получение контекста запроса
var req = context.GetRequest();

// Проверка: устройство существует в системе и его статус не "Active"
if (req.Device != null && req.Device.ExistsInTheSystem && req.Device.Status != 'Active') {
    // Прерывание процесса с выводом сообщения пользователю
    context.StopProcess("Устройство заблокировано, обратитесь к администратору!");
    return;
}

// Если проверка пройдена — процесс продолжается
// (далее следует логика добавления шагов аутентификации)

// Получение объекта пользователя
var user = context.GetUser();

// Проверка имени пользователя на совпадение с привилегированными учетными записями
// Допускается использование строгого сравнения (===) или регулярных выражений
if (user.Name === "superuser" || user.Name === "superadmin") {
    context.StopProcess("Для вашей учетной записи самостоятельное восстановление пароля запрещено, обратитесь в службу безопасности!");
    return;
}

// Если пользователь не входит в список исключений — процесс продолжается

// Получение объектов пользователя и запроса
var user = context.GetUser();
var req = context.GetRequest();

// Проверка: пользователь имеет атрибут IsVIP и подключается из доверенной подсети
// Метод InSubNet поддерживает запись в формате CIDR
if (context.InSubNet(req.IPAddress, '::1/128') && user.Attributes["IsVIP"] === 'true') {
    // Добавление шага с выбором из двух упрощенных факторов
    context.AddStep(
        [
            { factor: "telegram" },   // Push-уведомление в Telegram
            { factor: "qrsignin" }    // Вход по сканированию QR-кода
        ]
    );
    // Завершение скрипта — шаг добавлен, процесс передан пользователю
    return;
}

// Если условия не выполнены — скрипт не добавляет шаг.

// Выполнение синхронного HTTP-запроса к внешней системе
// Важно: внешние запросы рекомендуется выполнять в начале сценария, сразу после идентификации
var hrResponse = context.Send({
    method: "GET",
    url: "https://httpbin.org/ip",
    headers: {
        "Authorization": "Bearer XXXTOKEN",
        "Accept": "application/json"
    }
});

// Обработка успешного ответа (код статуса 200)
if (hrResponse.statusCode === 200) {
    // Парсинг JSON-ответа
    var data = JSON.parse(hrResponse.body);
    
    // Проверка: совпадает ли источник запроса с ожидаемым значением
    if (data.origin === "176.193.198.27") {
        // Сохранение результатов проверки в объект сессии для дальнейшего использования
        var session = context.GetSession();
        session.SetValue("hr_my_ip", data.origin);
        session.SetValue("hr_verification_ok", "true");
        session.SetValue("hr_check_timestamp", new Date().toISOString());
        // Проверка пройдена — процесс продолжается
    } else {
        // Сотрудник не найден в активном штате — блокировка восстановления
        context.StopProcess("Сотрудник не числится в активном штате. Восстановление запрещено, обратитесь к администратору!");
        return;
    }
}

// Обработка ошибок внешней системы
if (hrResponse.statusCode !== 200) {
    context.StopProcess("Ошибка проверки в HR-системе. Попробуйте позже.");
    return;
}

// Получение объекта пользователя
var user = context.GetUser();

// Вариант 1: Проверка наличия пользователя в разрешающих группах
var hasRecoveryAccess = user.Groups.some(function(g) {
    return g.Name === 'RestorePasswordAvailable_Group1' || 
           g.Name === 'RestorePasswordAvailable_Group2';
});
if (!hasRecoveryAccess) {
    context.StopProcess("Самостоятельное восстановление запрещено вашими групповыми политиками(1), обратитесь к администратору!");
    return;
}

// Вариант 2: Проверка отсутствия пользователя в запрещающих группах
// (может использоваться отдельно или в комбинации с Вариантом 1)
for (var i = 0; i < user.Groups.length; i++) {
    if (user.Groups[i].Name === 'Restore_Password_FORBIDDEN') {
        context.StopProcess("Самостоятельное восстановление запрещено вашими групповыми политиками(2), обратитесь к администратору!");
        return;
    }
}

// Если все проверки пройдены — процесс продолжается

// Получение списка включенных аутентификаторов пользователя
var authenticators = context.GetEnabledAuthenticators();

// Определение приоритетов факторов (от наиболее безопасного к наименее)
// Порядок элементов в массиве определяет приоритет выбора
var priorityMap = [
    "hardware",      // Аппаратный токен
    "cert",          // Электронная подпись
    "authenticator", // Avanpost Authenticator (Push/TOTP)
    "totp",          // Программный TOTP
    "sms",           // SMS OTP
    "email"          // Email OTP
];

var selectedFactor = null;

// Поиск первого доступного фактора из списка приоритетов
for (var i = 0; i < priorityMap.length; i++) {
    var currentPriority = priorityMap[i];
    
    // Проверка: есть ли у пользователя включенный аутентификатор данного типа
    var hasAuth = authenticators.some(function(a) {
        return a.MethodFactor === currentPriority;
    });
    
    if (hasAuth) {
        selectedFactor = currentPriority;
        break; // Первый найденный приоритетный фактор — выбираем его
    }
}

// Добавление шага аутентификации с выбранным фактором
if (selectedFactor) {
    // Особая обработка для фактора "authenticator" (алиас "push")
    if (selectedFactor == "authenticator") {
        context.AddStep([{ factor: "push" }]);
    } else {
        context.AddStep([{ factor: selectedFactor }]);
    }
} else {
    // Ни один из приоритетных факторов не доступен — блокировка процесса
    context.StopProcess("Нет доступных аутентификаторов, обратитесь к администратору!");
    return;
}

// Получение уровня риска пользователя
var risk = context.GetUserRisk();

// Предположим, что на предыдущем шаге уже выбран фактор "sms"
var selectedFactor = "sms";

// Если выбран SMS и уровень риска ниже порога (39),
// добавляем второй фактор (telegram) для многофакторной проверки
if (selectedFactor == "sms" && risk < 39) {
    context.AddStep([{ factor: "telegram" }]);
}

// Примечание: данный фрагмент должен быть частью более крупного сценария,
// где selectedFactor определен на предыдущих шагах