Единый вход

Введение

Раздел Единый вход позволяет включить стороннюю аутентификацию через SAML, предоставляя пользователям более быстрый, простой и безопасный способ доступа к рабочему пространству.

В SaaS-версии это платная функция (доступна только на платном тарифе Business).

В целом технология единого входа позволяет пользователям входить в систему только один раз и затем получать доступ к нескольким приложениям и сервисам без повторной аутентификации. Например, если веб-сервис состоит из нескольких крупных независимых разделов (форум, чат, блоги и т. д.), пользователь может пройти аутентификацию в одном из сервисов и автоматически получить доступ ко всем остальным, не вводя учетные данные несколько раз.

Поставщик учетных записей (Identity Provider, IdP) — это сервис, который создает, хранит и обрабатывает информацию об учетных данных пользователей и обеспечивает аутентификацию пользователей для других поставщиков сервисов в рамках федерации. В роли поставщиков учетных записей выступают такие сервисы, как OneLogin, ADFS и т. д. Поставщик сервиса (Service Provider, SP) — это организация, предоставляющая веб-сервисы и полагающаяся на доверенного поставщика учетных записей для аутентификации пользователей. В нашем случае поставщиком сервиса является ONLYOFFICE Apps.

Вы можете включить SSO на основе SAML для обмена данными аутентификации и авторизации между поставщиком учетных записей и поставщиком сервиса:

• SAML (Security Assertion Markup Language) — стандарт на основе XML, позволяющий передавать данные аутентификации и авторизации пользователей между поставщиком учетных записей и поставщиком сервиса с помощью маркеров безопасности, содержащих утверждения.

Повышенная безопасность обеспечивается тем, что ONLYOFFICE Apps не хранит пароли пользователей, а использует результаты аутентификации на стороне поставщика учетных записей. Вся необходимая информация о пользователе передается в маркере аутентификации. Если информация о пользователе изменится на стороне поставщика учетных записей, она будет автоматически обновлена в вашем рабочем пространстве при следующей аутентификации через SSO (обратите внимание, что данные можно синхронизировать только в одном направлении: от поставщика учетных записей к ONLYOFFICE Apps).

После взаимной настройки поставщика учетных записей и ONLYOFFICE Apps для обеспечения SSO процесс аутентификации пользователя через SSO будет выполняться на стороне поставщика учетных записей. ONLYOFFICE Apps получит маркер аутентификации (SAML) от поставщика учетных записей. После проверки маркера (с помощью цифровых подписей и срока действия маркера) ONLYOFFICE Apps разрешает пользователю доступ к рабочему пространству.

Включение SSO

Чтобы включить и настроить аутентификацию SSO для вашего рабочего пространства, выполните следующие действия:

Проверьте конфигурацию поставщика учетных записей, прежде чем настраивать поставщика сервиса.

1. Нажмите меню в левом нижнем углу и выберите пункт Настройки.
2. В настройках рабочего пространства откройте раздел Интеграция слева.
3. Перейдите на вкладку Единый вход.
4. Включите переключатель Включить аутентификацию с помощью технологии единого входа (SSO).
5. В разделе Настройки поставщика сервиса ONLYOFFICE нажмите Показать и заполните необходимые поля. Необходимую информацию можно указать несколькими способами:
   • Введите URL-адрес файла метаданных. Если метаданные вашего IdP доступны извне по ссылке, вставьте ссылку в поле URL-адрес XML-файла метаданных поставщика учетных записей и нажмите кнопку , чтобы загрузить данные. После загрузки данных все необходимые параметры автоматически отобразятся в расширенной форме.
   • Загрузите файл метаданных. Если ваш IdP предоставляет файл метаданных, воспользуйтесь кнопкой Выбрать файл, чтобы найти файл на вашем локальном компьютере. После загрузки файла все необходимые параметры автоматически отобразятся в расширенной форме.
   • Укажите необходимые параметры вручную. Если файл метаданных недоступен, введите необходимые параметры вручную. Чтобы получить необходимые значения, обратитесь к администратору вашего IdP.

Доступны следующие параметры:

• Идентификатор сущности поставщика учетных записей (обязательное поле) — идентификатор или URL-адрес поставщика учетных записей, который будет использоваться поставщиком сервиса для однозначной идентификации IdP.

  https://example.com/idp/shibboleth

  где example.com — доменное имя вашего сервиса SSO

• URL-адрес конечной точки единого входа поставщика учетных записей (обязательное поле) — URL-адрес, используемый для единого входа на стороне поставщика учетных записей. Это адрес конечной точки в вашем IdP, на который SP отправляет запросы аутентификации.

  Задайте нужный тип Привязки, выбрав один из соответствующих переключателей. Привязки определяют способ передачи запросов и ответов аутентификации между IdP и SP по базовому транспортному протоколу: с помощью привязки HTTP POST или HTTP Redirect.

• URL-адрес конечной точки единого выхода поставщика учетных записей — URL-адрес, используемый для единого выхода на стороне поставщика сервиса. Это адрес конечной точки в вашем IdP, на который SP отправляет запросы и ответы на выход.

  Задайте нужный тип Привязки, выбрав один из соответствующих переключателей. Привязки определяют способ передачи запросов и ответов на выход между IdP и SP по базовому транспортному протоколу: с помощью привязки HTTP POST или HTTP Redirect.

• Формат NameID — параметр NameID позволяет SP идентифицировать пользователя. Выберите один из доступных форматов в списке.

Обратите внимание

На странице аутентификации ONLYOFFICE Apps можно настроить кнопку, используемую для входа в рабочее пространство с помощью сервиса единого входа. Для этого воспользуйтесь полем Пользовательская надпись для кнопки входа в разделе Настройки поставщика сервиса ONLYOFFICE.

Вы также можете добавить сертификаты IdP и SP.

Открытые сертификаты поставщика учетных записей

Раздел Открытые сертификаты поставщика учетных записей позволяет добавить открытые сертификаты поставщика учетных записей, используемые SP для проверки запросов и ответов от IdP.

Если вы загрузили метаданные IdP, эти сертификаты будут добавлены в ваше рабочее пространство автоматически. В противном случае сертификаты можно найти в вашей учетной записи IdP. Чтобы добавить сертификат вручную, нажмите кнопку Добавить сертификат. Откроется окно Новый сертификат. Введите сертификат в поле Открытый сертификат и нажмите кнопку ОК.

Используйте ссылку Отобразить расширенные настройки, чтобы показать дополнительные параметры, затем задайте их, установив соответствующие флажки. Используйте ссылку Скрыть расширенные настройки, чтобы снова свернуть раздел.

Укажите, подписи каких запросов и ответов, отправляемых от IdP к SP, необходимо проверять:

• Проверять подпись ответов аутентификации — проверять подписи ответов аутентификации SAML, отправляемых SP.
• Проверять подпись запросов выхода — проверять подписи запросов выхода SAML, отправляемых SP.
• Проверять подпись ответов выхода — проверять подписи ответов выхода SAML, отправляемых SP.

Выберите нужный алгоритм в списке Алгоритм проверки подписи по умолчанию: rsa-sha1, rsa-sha256 или rsa-sha512.

Обратите внимание

Настройки по умолчанию используются только в тех случаях, если в метаданных IdP не указано, какой алгоритм следует использовать.

Вы можете отредактировать или удалить добавленные сертификаты с помощью соответствующей ссылки.

Сертификаты поставщика сервиса

Раздел Сертификаты поставщика сервиса позволяет добавить сертификаты поставщика сервиса, используемые для подписи и шифрования запросов и ответов от SP.

Если ваш IdP требует, чтобы входные данные были подписаны и (или) зашифрованы, создайте или добавьте соответствующие сертификаты в этом разделе.

Нажмите кнопку Добавить сертификат. Откроется окно Новый сертификат. Вы можете сгенерировать самоподписанный сертификат или добавить существующий сертификат в поле Открытый сертификат и соответствующий закрытый ключ в поле Закрытый ключ. В списке Использовать для выберите один из доступных вариантов: signing, encrypt, signing and encrypt. Когда все будет готово, нажмите кнопку ОК.

В зависимости от назначения сертификата, выбранного в списке Использовать для при загрузке или генерации сертификата, указываются дополнительные параметры сертификата. Следующие параметры определяют, какие запросы и ответы, отправляемые от SP к IdP, должны быть подписаны:

• Подписывать запросы аутентификации — чтобы SP подписывал запросы аутентификации SAML, отправляемые IdP.
• Подписывать запросы выхода — чтобы SP подписывал запросы выхода SAML, отправляемые IdP.
• Подписывать ответы на запросы выхода — чтобы SP подписывал ответы на запросы выхода SAML, отправляемые IdP.

Если в списке Использовать для вы выбрали вариант encrypt или signing and encrypt, также устанавливается параметр Расшифровка утверждений. Расшифровка выполняется с помощью соответствующего Закрытого ключа.

Выберите нужные алгоритмы в списках:

• Алгоритм подписи: rsa-sha1, rsa-sha256 или rsa-sha512.
• Стандартный алгоритм расшифровки: aes128-cbc, aes256-cbc или tripledes-cbc.

Вы можете отредактировать или удалить добавленные сертификаты с помощью соответствующей ссылки.

Сопоставление атрибутов

Раздел Сопоставление атрибутов позволяет задать соответствие полей в разделе Контакты атрибутам пользователя, которые будут возвращены от IdP. Когда пользователь входит в ONLYOFFICE Apps с учетными данными SSO, поставщик сервиса получает необходимые атрибуты и заполняет поля полного имени и адреса электронной почты в учетной записи пользователя значениями, полученными от IdP. Если пользователя нет в разделе Контакты, он будет создан автоматически. Если информация о пользователе была изменена на стороне IdP, она также будет обновлена в SP.

Доступны следующие атрибуты:

• Имя (обязательное поле) — атрибут в записи пользователя, соответствующий имени пользователя.
• Фамилия (обязательное поле) — атрибут в записи пользователя, соответствующий фамилии пользователя.
• Адрес электронной почты (обязательное поле) — атрибут в записи пользователя, соответствующий адресу электронной почты пользователя.

Тип пользователей

Все пользователи будут добавлены в рабочее пространство с выбранным типом (Пользователь, Администратор комнаты, Полный администратор). По умолчанию выбран тип Пользователь. Пользователи могут получать доступ только к комнатам, в которые их пригласили администраторы, и не могут создавать комнаты или ИИ-агентов. Выберите другой тип, чтобы предоставить больше прав. В противном случае вы можете изменить тип вручную в разделе Контакты.

Дополнительные параметры

Параметр Скрыть страницу аутентификации позволяет скрыть страницу аутентификации по умолчанию и автоматически перенаправлять на сервис SSO.

Важно

Если вам нужно восстановить страницу аутентификации по умолчанию (чтобы иметь доступ к рабочему пространству в случае сбоя сервера IdP), вы можете добавить ключ /login?skipssoredirect=true после доменного имени вашего рабочего пространства в адресной строке браузера.

Установите флажок Отключить проверку электронной почты, если хотите отключить активацию электронной почты для пользователей SSO. Если этот флажок установлен, пользователям SSO не нужно будет подтверждать свой адрес электронной почты после первой авторизации в рабочем пространстве.

Когда все настройки указаны, нажмите кнопку Сохранить. Откроется раздел Метаданные поставщика сервиса ONLYOFFICE. Чтобы отменить текущую конфигурацию и вернуть каждое поле в исходное состояние, используйте кнопку Настройки по умолчанию рядом с кнопкой Сохранить.

Регистрация ONLYOFFICE в качестве доверенного поставщика сервиса в вашем поставщике учетных записей

Теперь необходимо добавить ONLYOFFICE Apps в качестве доверенного поставщика сервиса в вашу учетную запись IdP, указав в IdP метаданные поставщика сервиса.

Чтобы получить необходимые данные, обратитесь к разделу Метаданные поставщика сервиса ONLYOFFICE на странице Единый вход. Убедитесь, что данные SP общедоступны. Для этого нажмите кнопку Загрузить XML-файл метаданных поставщика сервиса. Содержимое XML-файла будет отображено в новой вкладке браузера. Сохраните данные в виде XML-файла, чтобы загрузить его в IdP.

Кроме того, вы можете скопировать отдельные параметры вручную, нажав кнопку в соответствующих полях.

Доступны следующие параметры:

• Идентификатор сущности поставщика сервиса (ссылка на XML-файл метаданных) — URL-адрес XML-файла поставщика сервиса. Файл можно скачать, и он будет использоваться поставщиком учетных записей, чтобы однозначно идентифицировать SP. По умолчанию файл находится по адресу http://example.com/sso/metadata, где example.com — доменное имя или публичный IP-адрес вашего рабочего пространства.
• URL-адрес поставщика сервиса, по которому он получает утверждения (поддерживаются привязки POST и Redirect) — URL-адрес поставщика сервиса, по которому он получает и обрабатывает утверждения от поставщика учетных записей. По умолчанию используется следующий адрес: http://example.com/sso/acs, где example.com — доменное имя или публичный IP-адрес вашего рабочего пространства.
• URL-адрес единого выхода поставщика сервиса (поддерживаются привязки POST и Redirect) — URL-адрес, используемый для единого выхода на стороне поставщика учетных записей. Это адрес конечной точки в вашем SP, по которому он получает и обрабатывает запросы и ответы на выход от поставщика учетных записей. По умолчанию используется следующий адрес: http://example.com/sso/slo/callback, где example.com — доменное имя или публичный IP-адрес вашего рабочего пространства.

Обратите внимание

Эти параметры и содержимое XML зависят от конфигурации вашего рабочего пространства, например, если вы укажете доменное имя, параметры также изменятся, и вам потребуется перенастроить ваш IdP.

Вход в ONLYOFFICE Apps

После включения и настройки SSO процесс входа выполняется следующим образом:

1. Пользователь запрашивает доступ к ONLYOFFICE Apps, нажав кнопку Единый вход (надпись может отличаться, если вы указали собственный текст при настройке поставщика сервиса) на странице аутентификации ONLYOFFICE Apps (SSO, инициируемый SP).
2. Если все настройки IdP и SP заданы правильно, ONLYOFFICE Apps отправляет запрос аутентификации в IdP и перенаправляет пользователя на страницу IdP, где у него запрашиваются учетные данные.
3. Если пользователь еще не вошел в IdP, он вводит учетные данные в IdP.
4. IdP создает ответ аутентификации, содержащий данные пользователя, и отправляет его в ONLYOFFICE Apps.
5. ONLYOFFICE Apps получает ответ аутентификации от поставщика учетных записей и проверяет его.
6. Если ответ прошел проверку, ONLYOFFICE Apps разрешает пользователю войти (пользователь будет создан автоматически, если его нет, или данные будут обновлены, если они изменились в IdP).

Также можно воспользоваться страницей входа на стороне поставщика учетных записей (SSO, инициируемый IdP), ввести учетные данные и затем получить доступ к рабочему пространству без повторной аутентификации.

Выход из ONLYOFFICE Apps

Выйти можно двумя способами:

1. Из рабочего пространства с помощью меню Выйти (в этом случае запрос на выход будет отправлен от IdP). Пользователь также должен автоматически выйти из IdP, если он вышел из всех остальных приложений, к которым ранее получал доступ через аутентификацию SSO.
2. Со страницы выхода IdP.

Редактирование профилей пользователей, созданных с помощью SSO

Пользователи, созданные с помощью аутентификации SSO, отмечены значком SSO в списке пользователей для администратора рабочего пространства.

Возможность редактирования таких профилей пользователей в разделе Контакты ограничена. Поля профиля пользователя, созданные с помощью аутентификации SSO, отключены для редактирования из раздела Контакты. Данные пользователя можно изменить только на стороне IdP.