Налаштування SSO через SAML або OpenID Connect

Єдиний вхід (SSO) дає учасникам змогу входити в Klang через корпоративного постачальника посвідчень, а не з кодом, надісланим на ел. пошту, і не через Google чи Microsoft. Klang підтримує SAML 2.0 і OpenID Connect.

Для цього потрібно бути адміністратором робочого простору, а Klang має спершу ввімкнути для нього налаштування SSO. Якщо ви не бачите розділу, описаного нижче, зверніться до Klang.

Додавання підключення

Відкрийте Налаштування → Робочий простір → Безпека і знайдіть розділ Єдиний вхід (SSO).

1. Натисніть Додати підключення SSO
2. Заповніть поле Назва. Учасники бачитимуть цю назву на кнопці входу
3. У полі Протокол виберіть SAML 2.0 або OpenID Connect
4. Скопіюйте адреси, які показує Klang, у налаштування постачальника посвідчень
5. Введіть дані від постачальника в поля під ними
6. У розділі Робочі простори виберіть робочі простори, для яких призначене це підключення
7. Натисніть Зберегти

Klang резервує адреси одразу, щойно ви відкриваєте це вікно, тож їх можна зареєструвати в постачальника ще до завершення налаштування. Резервування діє одну годину. Нічого не створюється, доки ви не натиснете Зберегти, а Скасувати залишає налаштування без змін.

Що потрібно постачальнику посвідчень

Для SAML зареєструйте Service Provider Entity ID та ACS URL. Якщо постачальнику зручніше працювати з файлом метаданих, натисніть Завантажити метадані SP. Налаштуйте постачальника так, щоб він надсилав підписане твердження (assertion), незмінний NameID і справжню адресу електронної пошти користувача. У розділі Розширені налаштування можна ввімкнути підписані запити автентифікації та зашифровані твердження, задати формат NameID і додати другий сертифікат на час, поки постачальник змінює сертифікати. Зашифровані твердження мають використовувати транспортування ключа RSA-OAEP з MGF1 і SHA-1 (профіль XML Encryption 1.0). Профіль RSA-OAEP з XML Encryption 1.1 не підтримується, і з ним вхід не працюватиме.

Для OpenID Connect зареєструйте Redirect URI, який показує Klang, а потім введіть Issuer URL, Client ID і Client secret від свого постачальника.

Ці адреси можна будь-коли знову відкрити в розділі Дані підключення.

Перевірка перед увімкненням

Для SAML натисніть Перевірити вхід через SAML у розділі Дані підключення. Так буде перевірено весь обмін даними з постачальником без створення облікового запису й без зміни чийогось способу входу. Тому перевірку можна безпечно виконати ще до того, як учасники почнуть користуватися підключенням.

Як надати підключення учасникам

Збереження підключення ще нікого на нього не переводить. Щоб зробити його доступним, перейдіть до розділу Дозволені способи входу, позначте підключення й натисніть Зберегти.

Новим учасникам, як і раніше, потрібне запрошення до робочого простору. Klang не створює облікові записи з вашого каталогу автоматично, а вхід через постачальника не підтверджує адресу електронної пошти учасника поза цим робочим простором. Наявні учасники зберігають свій поточний спосіб входу, доки самі не змінять його у власних налаштуваннях входу.

Варто знати

• Зміна дозволених способів входу не виводить поточних учасників з облікового запису
• Починайте вхід із Klang. Відкриття Klang з плитки на порталі постачальника не підтримується
• Єдиний вихід (Single Logout) і автоматичне створення облікових записів учасників не підтримуються
• Щоб відключити робочий простір, спершу вилучіть підключення з дозволених способів входу цього робочого простору