OneLogin IdP

Введение

Единый вход (Single Sign-on, SSO) — это технология, позволяющая пользователям входить в систему только один раз и затем получать доступ к нескольким приложениям и сервисам без повторной аутентификации.

Если веб-портал состоит из нескольких крупных независимых разделов (форум, чат, блоги и т. д.), пользователь может пройти аутентификацию в одном из сервисов и автоматически получить доступ ко всем остальным, не вводя учетные данные несколько раз.

Единый вход всегда обеспечивается совместной работой двух приложений: поставщика учетных записей и поставщика сервиса (их также называют «IdP» и «SP»). ONLYOFFICE SSO реализует только SP. В роли IdP могут выступать самые разные поставщики, но в этой статье рассматривается OneLogin.

Создание IdP в OneLogin

1. Зарегистрируйтесь в OneLogin, если вы еще не зарегистрированы.

2. Войдите в OneLogin как администратор.

3. Перейдите в меню Applications -> Applications -> Add App.

   

4. В поле поиска Find Application введите следующий текст: SAML Custom Connector (Advanced):

   

5. Выберите найденный вариант.

6. В открывшемся новом окне введите любое Display Name, например "IDP OneLogin Apps", чтобы отличать это приложение от других, и нажмите кнопку Save.

   

7. Перейдите в подменю Configuration и заполните поля в соответствии с таблицей ниже:

   Обратите внимание

   Укажите собственное доменное имя или публичный IP-адрес, на котором размещен ваш ONLYOFFICE SP, вместо myportal-address.com.

   Application Details
   RelayState	https://myportal-address.com
   Audience (EntityID)	https://myportal-address.com/sso/
   Recipient	https://myportal-address.com/sso/acs
   ACS (Consumer) URL Validator*	^https:\/\/myportal-address\.com\/sso\/acs$
   ACS (Consumer) URL*	https://myportal-address.com/sso/acs
   Single Logout URL	https://myportal-address.com/sso/slo/callback
   SAML initiator	Service Provider
   SAML nameID format	Email
   SAML issuer type	Specific
   SAML signature element	Assertion
   Encrypt assertion	✔ (установите этот флажок)
   SAML encryption method	AES-128-CBC
   Sign SLO Request	✔ (установите этот флажок)
   Sign SLO Response	✔ (установите этот флажок)

   

   

   

8. Нажмите кнопку Save и перейдите в подменю Parameters.

   

9. С помощью ссылки Add parameter создайте 3 параметра (givenName, sn, mail). Для каждого из них установите флажок Include in SAML assertion и укажите значение из списка Value, подходящее для выдачи из каталога полей LDAP-директории:

   

10. После того как вы заполните все необходимые поля для атрибутов SAML-утверждения в IdP, вы должны получить примерно такой же результат, как на рисунке ниже. Нажмите кнопку Save.

    

11. Перейдите в подменю SSO. Если у вас несколько сертификатов, выберите подходящий сертификат из списка, нажав ссылку Change. В поле SAML Signature Algorithm оставьте вариант SHA-1 и нажмите кнопку Save:

    

12. Скопируйте ссылку из поля Issuer URL (например, https://app.onelogin.com/saml/metadata/4d87973f-629d-4a52-812e-bde45eff92b8) и перейдите в свое рабочее пространство ONLYOFFICE, войдя как администратор. Откройте страницу Настройки -> Интеграция -> Единый вход.

Настройка ONLYOFFICE SP

1. 

   Включите SSO с помощью переключателя Включить аутентификацию с помощью технологии единого входа (SSO) и вставьте ссылку, скопированную из поля Issuer URL в OneLogin, в поле URL-адрес XML-файла метаданных.

   

2. Нажмите кнопку со стрелкой вверх, чтобы загрузить метаданные IdP, или воспользуйтесь кнопкой Выбрать файл, чтобы загрузить XML-файл метаданных. Форма Настройки поставщика сервиса ONLYOFFICE будет автоматически заполнена вашими данными из OneLogin IdP.

   

   

   

3. Теперь необходимо создать сертификат в разделе Сертификаты поставщика сервиса. Для этого нажмите кнопку Добавить сертификат в соответствующем разделе.

   

4. В открывшемся модальном окне нажмите ссылку Сгенерировать новый самоподписанный сертификат, выберите вариант Подпись и шифрование в списке Использовать для. Перед сохранением сертификата скопируйте текст Открытый сертификат в буфер обмена (он понадобится для OneLogin), затем нажмите кнопку ОК.

   

   

5. В разделе Сопоставление атрибутов убедитесь, что поля Имя, Фамилия и Адрес электронной почты содержат названия атрибутов, созданных в подменю Parameters OneLogin: givenName, sn и mail.

6. В разделе Тип пользователей выберите тип, который получат в рабочем пространстве все пользователи, добавленные через SSO. Параметры в разделе Дополнительные параметры ниже необязательны.

7. Нажмите кнопку Сохранить.

8. Должен открыться раздел Метаданные поставщика сервиса ONLYOFFICE.

   

9. Чтобы настроить шифрование, вернитесь в OneLogin, откройте свое приложение и перейдите в подменю Configuration. Прокрутите страницу вниз — должно появиться новое поле SAML Encryption для ввода ключа шифрования. Вставьте в это поле скопированный на шаге 4 этой инструкции текст Открытого сертификата и нажмите кнопку Save:

   

Создание пользователей в OneLogin и предоставление им доступа к ONLYOFFICE

Чтобы создать пользователей в OneLogin и предоставить им доступ к нашему ONLYOFFICE SP, выполните следующие действия:

1. перейдите на страницу Users в OneLogin, войдя как администратор,

   

2. создайте нового пользователя или отредактируйте существующего,

3. перейдите в подменю Applications и нажмите кнопку +,

4. выберите в списке только что созданное приложение и нажмите Continue,

   

5. в открывшемся новом окне добавьте недостающие данные и нажмите кнопку SAVE,

6. теперь пользователь может работать в ONLYOFFICE SP.

Проверка работы ONLYOFFICE SP с OneLogin IdP

Вход в ONLYOFFICE на стороне SP

1. Перейдите на страницу аутентификации ONLYOFFICE (например, https://myportal-address.com/Auth.aspx).

2. Нажмите кнопку Единый вход. Если кнопки нет, значит SSO не включен.

   

3. Если все параметры SP и IdP заданы правильно, вы будете перенаправлены на форму входа OneLogin IdP:

   

4. Введите логин и пароль пользователя, которому предоставлен доступ к ONLYOFFICE SP, и нажмите кнопку LOG IN.

5. Если учетные данные верны, вы будете перенаправлены на главную страницу рабочего пространства (пользователь будет создан автоматически, если его нет, или данные будут обновлены, если они изменились в IdP).