Okta IdP

Введение

Единый вход (Single Sign-on, SSO) — это технология, позволяющая пользователям входить в систему только один раз и затем получать доступ к нескольким приложениям и сервисам без повторной аутентификации.

Если веб-портал состоит из нескольких крупных независимых разделов (форум, чат, блоги и т. д.), пользователь может пройти аутентификацию в одном из сервисов и автоматически получить доступ ко всем остальным, не вводя учетные данные несколько раз.

Единый вход всегда обеспечивается совместной работой двух приложений: поставщика учетных записей и поставщика сервиса (их также называют «IdP» и «SP»). ONLYOFFICE SSO реализует только SP. В роли IdP могут выступать самые разные поставщики, но в этой статье рассматривается Okta.

Создание IdP в Okta

1. Зарегистрируйтесь в Okta.

2. Перейдите в меню Applications -> Applications.

   

3. Нажмите кнопку Create App Integration:

   

4. Выберите вариант SAML 2.0 и нажмите кнопку Next.

   

5. В поле App name введите любое название, например "IDP Okta Apps", чтобы отличать это приложение от других, и нажмите кнопку Next.

   

6. Заполните поля в соответствии с таблицей ниже:

   Обратите внимание

   Укажите собственное доменное имя или публичный IP-адрес, на котором размещен ваш ONLYOFFICE SP, вместо myportal-address.com.

   Application Details
   Single sign-on URL	https://myportal-address.com/sso/acs
   Audience URI (SP Entity ID)	https://myportal-address.com/sso/
   Default RelayState	https://myportal-address.com
   Name ID format	EmailAddress
   Application username	Email
   Update application username on	Create and Update
   Response	Signed
   Assertion Signature	Signed
   Signature Algorithm	RSA-SHA256
   Digest Algorithm	SHA256
   Assertion Encryption	Encrypted
   Encryption Algorithm	AES128-CBC
   Key Transport Algorithm	RSA-OAEP
   Authentication context class	X.509 Certificate

   

   

   

7. В форме Attribute Statements нажмите Add Another и создайте 3 параметра (givenName, sn, mail), указав значение из списка Value, подходящее для выдачи из каталога полей LDAP-директории.

   

8. Перейдите в свое рабочее пространство и войдите как администратор. Откройте страницу Настройки -> Интеграция -> Единый вход.

9. Включите SSO с помощью переключателя Включить аутентификацию с помощью технологии единого входа (SSO).

10. Теперь необходимо создать сертификат в разделе Сертификаты поставщика сервиса. Для этого нажмите кнопку Добавить сертификат в соответствующем разделе.

    

11. В открывшемся модальном окне нажмите ссылку Сгенерировать новый самоподписанный сертификат, выберите вариант Подпись и шифрование в списке Использовать для. Перед сохранением сертификата скопируйте текст Открытый сертификат в буфер обмена (он понадобится для Okta), затем нажмите кнопку ОК.

    

12. Откройте любой редактор, вставьте скопированный текст и сохраните файл с расширением .pem.

    

13. Вернитесь к форме создания приложения в Okta. В поле Encryption Certificate выберите только что созданный открытый ключ.

    

14. Нажмите кнопку Next в конце формы.

    

15. Нажмите кнопку Finish.

    

16. В открывшемся описании приложения скопируйте ссылку из поля Metadata URL.

    

17. Вернитесь на страницу Единый вход в вашем рабочем пространстве. Вставьте скопированную ссылку в поле для загрузки XML-файла метаданных.

    

    Укажите надпись для кнопки входа.

    

18. Нажмите кнопку Сохранить.

19. Должен открыться раздел Метаданные поставщика сервиса ONLYOFFICE с кнопкой Загрузить XML-файл метаданных поставщика сервиса.

    

20. Чтобы настроить выход из системы, вернитесь к настройкам Okta. В поле Signature Certificate укажите сертификат, например из шага 12. Заполните поля Single Logout URL и SP Issuer согласно примеру ниже.

    

21. Чтобы создать пользователей в Okta и предоставить им доступ к нашему ONLYOFFICE SP, выполните следующие действия:

    1. перейдите в подменю Okta Directory -> People,

       

    2. нажмите кнопку Add person,

       

    3. заполните форму и нажмите Save,

       

    4. перейдите в меню Applications -> Applications и нажмите на созданное приложение,

       

    5. нажмите Assign -> Assign to People. В открывшемся окне выберите нужных пользователей и нажмите Assign. Закройте окно, нажав Done.

       

Проверка работы ONLYOFFICE SP с Okta IdP

Вход в ONLYOFFICE на стороне SP

1. Перейдите на страницу аутентификации ONLYOFFICE (например, https://myportal-address.com/Auth.aspx).

2. Нажмите кнопку Единый вход. Если кнопки нет, значит SSO не включен.

   

3. Если все параметры SP и IdP заданы правильно, вы будете перенаправлены на форму входа Okta IdP:

   

4. Введите логин и пароль пользователя, которому предоставлен доступ к ONLYOFFICE SP, и нажмите кнопку LOG IN.

5. Если учетные данные верны, вы будете перенаправлены на главную страницу вашего рабочего пространства (пользователь будет создан автоматически, если его нет, или данные будут обновлены, если они изменились в IdP).