Перейти к основному содержимому

Authentik IdP

Введение​

Единый вход (Single Sign-on, SSO) — это технология, позволяющая пользователям входить в систему только один раз и затем получать доступ к нескольким приложениям и сервисам без повторной аутентификации.

Если веб-портал состоит из нескольких крупных независимых разделов (форум, чат, блоги и т. д.), пользователь может пройти аутентификацию в одном из сервисов и автоматически получить доступ ко всем остальным, не вводя учетные данные несколько раз.

Единый вход всегда обеспечивается совместной работой двух приложений: поставщика учетных записей и поставщика сервиса (их также называют «IdP» и «SP»). ONLYOFFICE SSO реализует только SP. В роли IdP могут выступать самые разные поставщики, но в этой статье рассматривается Authentik.

Создание IdP в Authentik​

  1. Войдите в панель администратора Authentik (https://authentik.yourdomain.com/if/admin/).

  2. Перейдите в раздел Customization -> Property Mappings.

  3. Нажмите Create -> SAML Provider Property Mapping.

  4. Таким образом создайте 3 Property Mappings со следующими параметрами:

    NameSAML Attribute NameExpression
    SAML givenName MappinggivenNamereturn user.attributes["first_name"]
    SAML sn Mappingsnreturn user.attributes["last_name"]
    SAML mail Mappingmailreturn user.email

    Это сопоставление свойств необходимо настроить, если у пользователей в Authentik заданы атрибуты. Если атрибуты другие, замените их на нужные; если атрибутов нет, настройка не требуется.

    Как настроить ONLYOFFICE SP и Authentik IdP

  5. Перейдите в раздел Providers -> Create.

  6. Выберите тип SAML.

    Как настроить ONLYOFFICE SP и Authentik IdP

  7. Заполните следующие поля:

    NameApps SAML
    Authorization flowdefault-provider-authorization-implicit-consent (Authorize Application)
    ACS URLhttps://docspace.example.com/sso/acs
    Issuerhttps://docspace.example.com/sso/metadata
    Service Provider BindingPOST
    Sign assertionstrue
    Sign responsestrue
    Signing CertificateДля первого раза можно указать authentik Self-signed Certificate или заменить его собственным сертификатом
    Property mappingsЕсли вы настроили атрибуты на шаге 4, добавьте их из левого столбца в правый, выбрав их и нажав стрелку вправо

    Как настроить ONLYOFFICE SP и Authentik IdP

    Как настроить ONLYOFFICE SP и Authentik IdP

  8. Нажмите Finish.

  9. Перейдите в раздел Applications -> Create.

  10. Заполните следующие поля:

    NameApps SAML
    Slugdocspace
    ProviderВыберите Docspace SAML
    Policy engine modeany

  11. Нажмите Create.

    Как настроить ONLYOFFICE SP и Authentik IdP

  12. Перейдите к созданному SAML Provider.

  13. Найдите ссылку Metadata URL (обычно это https://authentik.example.com/application/saml/docspace/metadata.xml)

  14. Скопируйте эту ссылку или скачайте XML-файл.

    Как настроить ONLYOFFICE SP и Authentik IdP

Настройка ONLYOFFICE SP​

Убедитесь, что вы вошли в рабочее пространство ONLYOFFICE Apps как администратор, перейдите в меню Настройки, выберите раздел Интеграция и откройте вкладку Единый вход.

Как настроить ONLYOFFICE SP и Authentik IdP

  1. Включите SSO с помощью переключателя Включить аутентификацию с помощью технологии единого входа (SSO) и вставьте скопированную ссылку в поле URL-адрес XML-файла метаданных.

  2. Нажмите кнопку со стрелкой вверх, чтобы загрузить метаданные IdP. Форма Настройки поставщика сервиса ONLYOFFICE будет автоматически заполнена данными из Authentik IdP.

  3. Если у пользователей не настроены атрибуты и шаг 4 раздела «Создание IdP в Authentik» не выполнялся, в разделе Сопоставление атрибутов необходимо указать следующие параметры:

    Имяhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
    Фамилияhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
    Адрес электронной почтыhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

    Как настроить ONLYOFFICE SP и Authentik IdP

  4. Создайте сертификат в разделе Сертификаты поставщика сервиса. Для этого нажмите кнопку Добавить сертификат в соответствующем разделе.

    Как настроить ONLYOFFICE SP и Authentik IdP

  5. В открывшемся модальном окне нажмите ссылку Сгенерировать новый самоподписанный сертификат и выберите вариант Подпись и шифрование в списке Использовать для. Перед сохранением сертификата скопируйте текст Открытый сертификат в буфер обмена и сохраните его в файл (он понадобится для Authentik), затем нажмите кнопку ОК.

    Как настроить ONLYOFFICE SP и Authentik IdP

    Как настроить ONLYOFFICE SP и Authentik IdP

  6. Нажмите кнопку Сохранить.

  7. Должен открыться раздел Метаданные поставщика сервиса ONLYOFFICE с кнопкой Загрузить XML-файл метаданных поставщика сервиса.

    Как настроить ONLYOFFICE SP и Authentik IdP

  8. Вернитесь в Authentik, чтобы добавить скопированный сертификат. Перейдите в раздел System -> Certificates -> Create.

  9. Введите произвольное имя и вставьте скопированный сертификат.

    Как настроить ONLYOFFICE SP и Authentik IdP

  10. Укажите этот сертификат в настройках провайдера.

    Как настроить ONLYOFFICE SP и Authentik IdP

    Если требуется шифрование, то на шаге 8 необходимо создать сертификат с закрытым ключом и указать этот сертификат в поле Encryption Certificate.

Проверка работы ONLYOFFICE SP с Authentik IdP​

  1. Перейдите на страницу аутентификации ONLYOFFICE Apps (например, https://myportal-address.com/login).

    Как настроить ONLYOFFICE SP и Authentik IdP

  2. Нажмите кнопку Единый вход. Если кнопки нет, значит SSO не включен.

  3. Если все параметры SP и IdP заданы правильно, вы будете перенаправлены на форму входа Authentik IdP.

  4. Введите логин и пароль пользователя Authentik и нажмите кнопку Sign In.

  5. Если учетные данные верны, вы будете перенаправлены на главную страницу рабочего пространства (пользователь будет создан автоматически, если его нет, или данные будут обновлены, если они изменились в IdP).