Как настроить SSO через SAML или OpenID Connect

Единый вход (SSO) позволяет участникам входить в Klang через корпоративного поставщика удостоверений, а не по коду из письма, через Google или Microsoft. Klang поддерживает SAML 2.0 и OpenID Connect.

Для настройки нужны права администратора рабочего пространства. Кроме того, команда Klang должна сначала включить настройку SSO для вашего рабочего пространства. Если вы не видите описанный ниже раздел, свяжитесь с Klang.

Как добавить подключение

Откройте Настройки → Рабочее пространство → Безопасность и найдите раздел Единый вход (SSO).

1. Нажмите Добавить SSO-подключение
2. Введите Имя. Участники увидят его на кнопке входа
3. Выберите Протокол: SAML 2.0 или OpenID Connect
4. Скопируйте адреса, которые показывает Klang, в настройки поставщика удостоверений
5. Введите данные поставщика в поля под ними
6. В разделе Рабочие пространства выберите рабочие пространства, для которых будет работать это подключение
7. Нажмите Сохранить

Klang резервирует адреса сразу, как только вы открываете окно, поэтому их можно зарегистрировать у поставщика еще до завершения настройки. Резерв действует один час. Пока вы не нажмете Сохранить, ничего не создается, а кнопка Отмена оставляет настройки без изменений.

Что нужно поставщику удостоверений

Для SAML зарегистрируйте Entity ID поставщика услуг и URL-адрес ACS. Если поставщику удобнее файл метаданных, нажмите Скачать метаданные SP. Настройте поставщика так, чтобы он отправлял подписанное утверждение (assertion), постоянный NameID и настоящий адрес электронной почты пользователя. В разделе Дополнительные настройки можно включить подпись запросов аутентификации и шифрование утверждений, задать формат NameID и добавить второй сертификат на время, пока поставщик меняет сертификаты. Для зашифрованных утверждений нужен транспорт ключа RSA-OAEP с MGF1 и SHA-1 (профиль XML Encryption 1.0). Профиль RSA-OAEP из XML Encryption 1.1 не поддерживается, и вход с ним не работает.

Для OpenID Connect зарегистрируйте URI перенаправления, который показывает Klang, а затем введите URL издателя (issuer), идентификатор клиента и секрет клиента от поставщика.

Эти адреса всегда можно снова открыть в окне Данные подключения.

Проверьте подключение перед включением

Для SAML нажмите Проверить вход по SAML в окне Данные подключения. Проверка проходит весь обмен данными с поставщиком, но не создает аккаунт и не меняет ничей способ входа. Поэтому ее можно спокойно запускать до того, как участники начнут пользоваться подключением.

Как открыть подключение участникам

Сохраненное подключение ни у кого не меняет способ входа. Чтобы сделать его доступным, перейдите в раздел Разрешенные способы входа, отметьте подключение и нажмите Сохранить.

Новым участникам по-прежнему нужно приглашение в рабочее пространство. Klang не создает аккаунты из вашего каталога автоматически, а вход через поставщика не подтверждает адрес электронной почты участника за пределами этого рабочего пространства. Текущие участники сохраняют свой способ входа, пока сами не сменят его в своих настройках входа.

Полезно знать

• Изменение разрешенных способов входа не завершает сеансы текущих участников
• Начинайте вход из Klang. Открывать Klang с плитки на портале поставщика нельзя
• Единый выход (Single Logout) и автоматическое создание участников не поддерживаются
• Чтобы отключить рабочее пространство, сначала уберите подключение из разрешенных способов входа этого рабочего пространства