Перейти к основному содержимому

Включение единого входа (SSO) в облачной версии

Введение​

Если ваш тарифный план облачной версии включает такую возможность, раздел Единый вход позволяет включить аутентификацию с помощью SAML через доверенную третью сторону, предоставляя пользователям более быстрый, простой и безопасный способ доступа на портал.

В общих чертах, технология единого входа позволяет пользователям осуществлять вход в систему только один раз, а затем получать доступ ко множеству приложений/сервисов без повторной аутентификации. Например, если на веб-портале существует несколько обширных независимых разделов (форум, чат, блоги и т. д.), пользователь может пройти процедуру аутентификации в одном из сервисов и автоматически получить доступ ко всем остальным, не вводя учетные данные несколько раз.

Регистрация поставщика учетных записей в поставщике сервиса ONLYOFFICE​

Поставщик учетных записей (англ. Identity Provider, IdP) — это провайдер идентификации, который создает, поддерживает и управляет информацией об идентификации пользователей и обеспечивает аутентификацию пользователей для других поставщиков сервиса внутри объединения. Поставщиками учетных записей являются такие сервисы, как OneLogin, AD FS и другие. Поставщик сервиса (англ. Service Provider, SP) — это организация, предоставляющая веб-сервисы и полагающаяся на доверенного поставщика учетных записей для аутентификации пользователей. В данном случае поставщиком сервиса является ONLYOFFICE.

Вы можете включить SSO на базе стандарта SAML для обмена данными об аутентификации и авторизации между поставщиком учетных записей и поставщиком сервиса:

  • SAML (Security Assertion Markup Language, язык разметки декларации безопасности) — стандарт на базе языка XML, позволяющий передавать данные об аутентификации и авторизации между поставщиком учетных записей и поставщиком сервиса через токены безопасности, содержащие утверждения.

Повышенный уровень безопасности обеспечивается за счет того, что ONLYOFFICE не хранит пароли пользователей, а использует результаты аутентификации на стороне поставщика учетных записей. Вся необходимая информация о пользователе передается в аутентификационном токене. При изменении информации о пользователе на стороне поставщика учетных записей данные автоматически обновятся на портале при последующей аутентификации с помощью SSO (обратите внимание, что данные синхронизируются только в одном направлении: от поставщика учетных записей к ONLYOFFICE Workspace).

После взаимной настройки поставщика учетных записей и ONLYOFFICE Workspace для обеспечения работы SSO процесс аутентификации пользователей с помощью SSO будет выполняться на стороне поставщика учетных записей. ONLYOFFICE Workspace будет получать аутентификационный токен (SAML) от поставщика учетных записей. После проверки токена (с использованием цифровых подписей и срока действия токена) ONLYOFFICE Workspace разрешает пользователю доступ к порталу.

Включение SSO​

Чтобы включить и настроить на портале аутентификацию с помощью SSO, действуйте следующим образом:

Прежде чем настраивать поставщика сервиса, проверьте настройки поставщика учетных записей.

  1. Нажмите значок Значок Настройки в правом верхнем углу, чтобы открыть раздел Настройки.
  2. В разделе Интеграция на левой боковой панели нажмите Единый вход.
  3. Включите переключатель Включить аутентификацию с помощью технологии единого входа под заголовком Единый вход.
  4. Заполните требуемые поля в разделе Настройки поставщика сервиса ONLYOFFICE. Нужную информацию можно указать несколькими разными способами:
    • Введите URL-адрес файла метаданных. Если метаданные поставщика учетных записей доступны извне по ссылке, вставьте эту ссылку в поле URL-адрес XML-файла метаданных IdP и нажмите кнопку со стрелкой, чтобы загрузить данные. Когда данные будут загружены, все требуемые параметры автоматически отобразятся в расширенной форме.
    • Загрузите файл метаданных. Если поставщик учетных записей предоставляет файл метаданных, нажмите Выбрать файл, чтобы найти файл на вашем компьютере. Когда файл будет загружен, все требуемые параметры автоматически отобразятся в расширенной форме.
    • Укажите требуемые параметры вручную. Если файл метаданных недоступен, введите нужные параметры вручную. Для получения нужных значений обратитесь к администратору вашего поставщика учетных записей.

Доступны следующие параметры:

  • Идентификатор сущности поставщика учетных записей (обязательное поле) — идентификатор поставщика учетных записей или URL-адрес, который будет использоваться поставщиком сервиса, чтобы однозначно идентифицировать поставщика учетных записей.

    примечание

    Например, https://example.com/idp/shibboleth

    где example.com — это доменное имя вашего SSO-сервиса.

  • URL-адрес конечной точки единого входа IdP (обязательное поле) — URL-адрес, используемый для единого входа на стороне поставщика учетных записей. Это адрес конечной точки в вашем поставщике учетных записей, на который поставщик сервиса отправляет запросы аутентификации.

    Задайте нужный тип Привязки, выбрав одну из соответствующих радиокнопок. Привязки определяют, каким образом запросы и ответы аутентификации передаются между поставщиком учетных записей и поставщиком сервиса по стандартному транспортному протоколу: с помощью привязки HTTP POST или привязки HTTP Redirect.

  • URL-адрес конечной точки единого выхода IdP — URL-адрес, используемый для единого выхода на стороне поставщика сервиса. Это адрес конечной точки в вашем поставщике учетных записей, на который поставщик сервиса отправляет запросы и ответы выхода.

    Задайте нужный тип Привязки, выбрав одну из соответствующих радиокнопок. Привязки определяют, каким образом запросы и ответы выхода передаются между поставщиком учетных записей и поставщиком сервиса по стандартному транспортному протоколу: с помощью привязки HTTP POST или привязки HTTP Redirect.

  • Формат NameId — параметр NameID позволяет поставщику сервиса идентифицировать пользователя. Выберите в списке один из доступных форматов.

примечание

Вы можете настроить кнопку, используемую для входа на портал с помощью сервиса единого входа, на странице аутентификации ONLYOFFICE. Это можно сделать с помощью поля Пользовательская надпись для кнопки входа в разделе Настройки поставщика сервиса ONLYOFFICE.

Можно также добавить сертификаты поставщика учетных записей и поставщика сервиса.

Открытые сертификаты поставщика учетных записей​

В разделе Открытые сертификаты поставщика учетных записей можно добавить открытые сертификаты поставщика учетных записей, используемые поставщиком сервиса для проверки запросов и ответов от поставщика учетных записей.

Если вы загрузили метаданные поставщика учетных записей, эти сертификаты будут автоматически добавлены на портал. В противном случае сертификаты можно найти в вашей учетной записи поставщика учетных записей. Чтобы добавить сертификат вручную, нажмите кнопку Добавить сертификат. Откроется окно Новый сертификат. Вставьте сертификат в поле Открытый сертификат и нажмите кнопку OK.

Задайте дополнительные параметры для сертификатов, поставив соответствующие галочки.

Укажите, подписи каких запросов/ответов, отправляемых от поставщика учетных записей поставщику сервиса, следует проверять:

  • Проверять подпись ответов аутентификации — чтобы проверять подписи ответов аутентификации SAML, отправляемых поставщику сервиса.
  • Проверять подпись запросов выхода — чтобы проверять подписи запросов выхода SAML, отправляемых поставщику сервиса.
  • Проверять подпись ответов выхода — чтобы проверять подписи ответов выхода SAML, отправляемых поставщику сервиса.

Выберите нужный алгоритм из списка Стандартный алгоритм проверки подписи: rsa-sha1, rsa-sha256 или rsa-sha512.

примечание

Настройки по умолчанию используются только в тех случаях, если в метаданных поставщика учетных записей не указано, какой алгоритм должен использоваться.

Добавленные сертификаты можно редактировать или удалить, используя соответствующую ссылку.

Сертификаты поставщика сервиса​

В разделе Сертификаты поставщика сервиса можно добавить сертификаты поставщика сервиса, используемые для подписи и шифрования запросов и ответов от поставщика сервиса.

Если ваш поставщик учетных записей требует, чтобы входящие данные были подписаны и/или зашифрованы, создайте или добавьте соответствующие сертификаты в этом разделе.

Нажмите кнопку Добавить сертификат. Откроется окно Новый сертификат. Вы можете сгенерировать самоподписанный сертификат или добавить уже имеющийся сертификат в поле Открытый сертификат, а соответствующий ему закрытый ключ — в поле Закрытый ключ. В списке Использовать для выберите один из доступных вариантов: signing, encrypt, signing and encrypt. Когда все будет готово, нажмите кнопку OK.

В зависимости от предназначения сертификата, выбранного в списке Использовать для при загрузке/генерации сертификата, указываются дополнительные параметры сертификата. Следующие параметры определяют, какие запросы/ответы, отправляемые от поставщика сервиса поставщику учетных записей, следует подписывать:

  • Подписывать запросы аутентификации — чтобы поставщик сервиса подписывал запросы аутентификации SAML, отправляемые поставщику учетных записей.
  • Подписывать запросы выхода — чтобы поставщик сервиса подписывал запросы выхода SAML, отправляемые поставщику учетных записей.
  • Подписывать ответы выхода — чтобы поставщик сервиса подписывал ответы выхода SAML, отправляемые поставщику учетных записей.

Если вы выбрали опцию encrypt или signing and encrypt в списке Использовать для, также будет отмечен параметр Расшифровывать утверждения. Расшифровка осуществляется с помощью соответствующего Закрытого ключа.

Выберите нужные алгоритмы из списков:

  • Алгоритм подписи: rsa-sha1, rsa-sha256 или rsa-sha512.
  • Стандартный алгоритм расшифровки: aes128-cbc, aes256-cbc или tripledes-cbc.

Вы можете редактировать или удалить добавленные сертификаты, используя соответствующую ссылку.

Сопоставление атрибутов​

В разделе Сопоставление атрибутов можно указать соответствие полей модуля Люди ONLYOFFICE атрибутам пользователя, которые будут возвращаться из поставщика учетных записей. Когда пользователь осуществляет вход в поставщик сервиса ONLYOFFICE с использованием учетных данных SSO, поставщик сервиса ONLYOFFICE получает требуемые атрибуты и заполняет полное имя и адрес электронной почты для учетной записи пользователя значениями, полученными от поставщика учетных записей. Если такого пользователя нет в модуле «Люди», он будет создан автоматически. Если информация о пользователе была изменена на стороне поставщика учетных записей, данные также обновятся в поставщике сервиса.

Доступны следующие атрибуты:

  • Имя (обязательное поле) — атрибут в записи пользователя, соответствующий имени пользователя.
  • Фамилия (обязательное поле) — атрибут в записи пользователя, соответствующий фамилии пользователя.
  • Электронная почта (обязательное поле) — атрибут в записи пользователя, соответствующий адресу электронной почты пользователя.
  • Местоположение — атрибут в записи пользователя, соответствующий местоположению пользователя.
  • Должность — атрибут в записи пользователя, соответствующий должности пользователя.
  • Телефон — атрибут в записи пользователя, соответствующий номеру телефона пользователя.

Дополнительные параметры​

Настройка Скрыть страницу аутентификации позволяет скрыть страницу аутентификации по умолчанию и автоматически перенаправлять на сервис SSO.

Важно

Если вам необходимо восстановить страницу аутентификации по умолчанию (чтобы иметь доступ к порталу, если ваш сервер IdP выйдет из строя), можно добавить ключ /Auth.aspx?skipssoredirect=true после доменного имени портала в адресной строке браузера.

Когда все параметры будут указаны, нажмите Сохранить. Откроется раздел Метаданные поставщика сервиса ONLYOFFICE.

Регистрация ONLYOFFICE в качестве проверенного поставщика сервиса в поставщике учетных записей​

Добавьте ONLYOFFICE в качестве проверенного поставщика сервиса в вашу учетную запись поставщика учетных записей, указав в поставщике учетных записей метаданные поставщика сервиса ONLYOFFICE.

Для получения нужных данных обратитесь к разделу Метаданные поставщика сервиса ONLYOFFICE на странице SSO. Убедитесь, что данные поставщика сервиса доступны публично. Для этого нажмите Скачать XML-файл метаданных поставщика сервиса. Содержимое XML-файла отобразится в новой вкладке браузера. Сохраните данные как XML-файл, чтобы можно было загрузить его в поставщик учетных записей.

Можно также вручную скопировать отдельные параметры, нажав Копировать в буфер обмена в соответствующих полях.

Доступны следующие параметры:

  • Идентификатор сущности поставщика сервиса (ссылка на XML-файл метаданных) — URL-адрес XML-файла поставщика сервиса. Файл можно скачать, и он будет использоваться поставщиком учетных записей, чтобы однозначно идентифицировать поставщика сервиса. По умолчанию файл размещается по следующему адресу: http://example.com/sso/metadata, где example.com — это доменное имя или публичный IP-адрес вашего портала ONLYOFFICE.
  • URL-адрес службы обработчика утверждений поставщика сервиса (поддерживаются привязки POST и Redirect) — URL-адрес поставщика сервиса, по которому он получает и обрабатывает утверждения от поставщика учетных записей. По умолчанию используется следующий адрес: http://example.com/sso/acs, где example.com — это доменное имя или публичный IP-адрес вашего портала ONLYOFFICE.
  • URL-адрес единого выхода поставщика сервиса (поддерживаются привязки POST и Redirect) — URL-адрес, используемый для единого выхода на стороне поставщика учетных записей. Это адрес конечной точки в вашем поставщике сервиса, по которому он получает и обрабатывает запросы и ответы выхода от поставщика учетных записей. По умолчанию используется следующий адрес: http://example.com/sso/slo/callback, где example.com — это доменное имя или публичный IP-адрес вашего портала ONLYOFFICE.
примечание

Эти параметры и содержимое XML-файла различаются в зависимости от настроек вашего портала, например, если вы переключите портал на HTTPS или укажете доменное имя, эти параметры тоже изменятся и потребуется заново настраивать поставщик учетных записей.

Вход в поставщик сервиса ONLYOFFICE​

После того как единый вход включен и настроен, процесс входа осуществляется следующим образом:

  1. Пользователь запрашивает доступ к ONLYOFFICE, нажав на кнопку Single Sign-on (название кнопки может отличаться, если вы указали свой вариант при настройке поставщика сервиса ONLYOFFICE) на странице аутентификации портала ONLYOFFICE (единый вход, инициированный поставщиком сервиса).
  2. Если все настройки поставщика учетных записей и поставщика сервиса заданы верно, ONLYOFFICE отправляет запрос аутентификации поставщику учетных записей и перенаправляет пользователя на страницу поставщика учетных записей, где запрашиваются учетные данные.
  3. Если пользователь еще не вошел в поставщик учетных записей, он вводит свои учетные данные на стороне поставщика учетных записей.
  4. Поставщик учетных записей создает ответ аутентификации, содержащий данные пользователя, и отправляет его в ONLYOFFICE.
  5. ONLYOFFICE получает ответ аутентификации от поставщика учетных записей и проверяет его подлинность.
  6. Если подлинность ответа подтверждена, ONLYOFFICE разрешает пользователю доступ к порталу. Учетная запись пользователя будет создана автоматически, если ее еще нет, или обновлена, если данные были изменены в поставщике учетных записей.

Можно также использовать страницу входа на стороне поставщика учетных записей (единый вход, инициированный поставщиком учетных записей), ввести учетные данные и получить доступ к порталу ONLYOFFICE без повторной аутентификации.

Выход из поставщика сервиса ONLYOFFICE​

Выход можно осуществить двумя способами:

  1. С портала ONLYOFFICE, используя пункт меню Выйти (в этом случае поставщику учетных записей отправляется запрос на выход). Пользователь также должен автоматически выйти из поставщика учетных записей, если он вышел из всех остальных приложений, к которым ранее получил доступ с помощью SSO.
  2. Со страницы выхода поставщика учетных записей.

Редактирование профилей пользователей, созданных с помощью SSO​

Пользователи, созданные с помощью SSO-аутентификации, отмечены в списке пользователей значком SSO для администратора портала.

Редактирование профилей этих пользователей в модуле Люди ограничено. Поля профиля пользователя, заполненные через SSO-аутентификацию, нельзя редактировать в модуле Люди. Информацию о таких пользователях можно изменить только на стороне поставщика учетных записей.