Настройка SAML федерации

Перед началом работы

• Действующий сертификат с типом Signing. Сертификат используется для подписи SAML-сообщений, которыми обмениваются доверенный поставщик удостоверений (IdP) и поставщик услуг — Cloud.ru. Подпись служит доказательством того, что сообщение является подлинным и в него не внесены изменения третьей стороной.

  Примечание

  Обратите внимание, сертификат с типом Encryption, использующийся для шифрования сообщений, для федераций не поддерживается. Для работы федерации обязательно должен быть загружен действующий сертификат с типом Signing.

• XML-файл с уникальными значениями подключаемого поставщика удостоверений. Файл метаданных группирует вместе все необходимые сведения связанные с SAML.

  Получить этот файл вы можете у своего поставщика удостоверений.

  См.также

  Получение метаданных AD FS

Создать SAML федерацию

1. Перейдите в раздел Администрирование, на вкладку Федерации.

2. Нажмите Создать федерацию.

3. Выберите тип протокола — SAML.

4. Загрузите XML-файл с метаданными от поставщика удостоверений.

   См.также

   Создание федерации с доменом AD FS

5. Заполните название и описание федерации.

6. Задайте длительность сессии — максимальное время жизни SSO сессии.

   Может быть установлено значение от 30 минут до 7 дней.

   Если пользователь не проявляет активности в течение заданного в параметре времени, сессия завершится, а пользователь должен будет заново пройти аутентификацию.

   Если пользователь активен, время сессии зависит от того, поддерживает ли настроенная федерация механизм refresh-токенов:

   • Если механизм refresh-токенов не поддерживается, то сессия будет завершена через время, указанное в параметре «Длительность сессии».

   • Если механизм refresh-токенов поддерживается, то при истечении access-токена приложение может использовать refresh-токен для получения нового access-токена. Так сессия пользователя может быть активна, пока не истечет время жизни refresh-токена — 7 дней.

7. Загрузите действующий сертификат с типом Signing.

   Если сертификат уже был в загруженном XML-файле от поставщика, его данные добавятся на форму автоматически.

   Вы можете загрузить несколько сертификатов — текущий и те, которые будут действовать после него. Это позволит избежать прерывания работы федерации, когда сертификат истечет.

8. Заполните параметры Single Logout Service:

   Параметр	Описание
   Default Binding	Метод, который используется для единого выхода.
   HTTP-POST URL	Адрес единого выхода поставщика удостоверений. Указывается при выборе метода POST.
   HTTP-Redirect URL	Адрес единого выхода поставщика удостоверений. Указывается при выборе метода Redirect.

9. Заполните параметры Single Sign-On Service:

   Параметр	Описание
   Default Binding	Метод, который используется для единого входа.
   HTTP-POST URL	Страница, на которую будет перенаправлен пользователь для аутентификации. Указывается при выборе метода POST.
   HTTP-Redirect URL	Страница, на которую будет перенаправлен пользователь для аутентификации. Указывается при выборе метода Redirect.

10. Нажмите Создать.

Настроить сервер поставщика удостоверений

Добавить федеративных пользователей

1. В разделе Пользователи откройте вкладку Федеративные пользователи.

2. В правом верхнем углу нажмите Добавить пользователя федерации.

3. Выберите федерацию, в которую нужно включить пользователя.

4. Укажите email сотрудника. Можно добавить сразу несколько пользователей, если ввести их email через запятую или пробел.

5. Наделите пользователя необходимыми правами на проекты и платформы. Подробнее о логике ролей смотрите в статье Роли пользователей.

6. Нажмите Добавить.

   Профиль пользователя появится на вкладке Федеративные пользователи.

   Пользователю также будет автоматически отправлено письмо со ссылкой на вход, ID федерации и инструкцией по входу.

7. Перейдите в раздел Администрирование, на вкладку Федерации.

8. Скопируйте ID федерации в строке с нужной федерацией. Передайте его пользователям, чтобы они смогли войти в личный кабинет.

Обновить сертификат

1. Перейдите в раздел Администрирование, на вкладку Федерации.

2. Нажмите на строку той федерации, для которой будете загружать сертификат.

3. В блоке Сертификаты нажмите Добавить сертификат и загрузите действующий сертификат с типом Signing.