Конфигурация SSO с MULTIFACTOR

осторожно

Перед настройкой SSO убедитесь, что в config.env параметр APP_URL соответствует текущему домену Пассворка, пример — APP_URL=https://passwork.example.com.

Также сервер Пассворка должен работать по протоколу HTTPS.

Для примера используются следующие адреса:

• Провайдер (IDP) — idp.multifactor.ru
• Портал самообслуживания MULTIFACTOR (SSP) — ssp.example.com
• Сервер Пассворка (SP) — passwork.example.com

Создание SAML приложения в MULTIFACTOR

Авторизоваться в личном кабинете MULTIFACTOR, перейти и создать Ресурсы → Добавить ресурс → Сайт → SAML приложение:

Заполнить параметры приложения:

• Название — Пассворк;
• Список URL через точку с запятой — https://passwork.example.com (необязательно);
• Поставщик удостоверений — Active Directory;
• Адрес портала — адрес настроенного MULTIFACTOR SSP;
• Регистрировать новых пользователей — включить, если пользователи должны регистрироваться в MULTIFACTOR при первом входе;
• При подключении без настроенного второго фактора выбрать необходимое действие:
  • Включить самостоятельную настройку;
  • Запретить доступ.

к сведению

Если пользователи должны входить с логином и паролем, нужно использовать Active Directory и MULTIFACTOR SSP. Поставщик Только e-mail использует локальные учётные записи MULTIFACTOR и не выполняет проверку пароля через Active Directory.

Настройка правил обработки запросов от SP (Пассворка) в IDP (MULTIFACTOR)

осторожно

В зависимости от требуемого вида логина пользователя в Пассворке можно настроить следующие форматы:

• username
• username@example.com

Перед началом эксплуатации выберите необходимый формат. Значения username и username@example.com будут восприняты Пассворком как разные пользователи.

Формат логина при использовании Active Directory определяется настройками MULTIFACTOR SSP.

Настройка для формата username@example.com

Для передачи UPN включить формирование идентификатора пользователя в UPN-формате:

xml

<ActiveDirectorySettings
  requiresUserPrincipalName="true"
  useUpnAsIdentity="true">
</ActiveDirectorySettings>

Настройка для формата username

Для передачи короткого логина использовать атрибут sAMAccountName:

xml

<ActiveDirectorySettings
  requiresUserPrincipalName="false"
  useUpnAsIdentity="false">
  <UseAttributeAsIdentity>sAMAccountName</UseAttributeAsIdentity>
</ActiveDirectorySettings>

осторожно

Перед изменением конфигурации существующего SSP нужно учитывать влияние формата идентификатора на другие подключённые приложения.

Настройка правил обработки дополнительных атрибутов для передачи в SP

Перейти в Редактирование SAML приложения Пассворк в MULTIFACTOR. В разделе Маппинг атрибутов добавить следующие значения:

SAML Attribute	Active Directory Attribute
displayName	displayName
emailAddress	mail

Настройка и заполнение параметров единого входа (SSO) в Пассворке

Заполнение значений «Атрибуты пользователя»

Авторизоваться в веб-интерфейсе Пассворка, перейти в — Настройки и пользователи → Настройки SSO и заполнить атрибуты сопоставления:

• Атрибут электронной почты — emailAddress;
• Атрибут полного имени — displayName.

Заполнение значений «Поставщик удостоверений → Пассворк»

В SAML приложении Пассворк перейти в — Метаданные Мультифактора → Открыть ссылку:

В открывшемся XML-файле скопировать URL-адреса:

xml

entityID="https://idp.multifactor.ru/rs_<идентификатор>"

<SingleLogoutService
  Location="https://idp.multifactor.ru/rs_<идентификатор>/logout" />

<SingleSignOnService
  Location="https://idp.multifactor.ru/rs_<идентификатор>/login" />

И заполнить в Пассворке:

• Идентификатор (Entity ID) — значение атрибута entityID;
• URL-адрес входа — значение Location элемента SingleSignOnService;
• URL-адрес выхода — значение Location элемента SingleLogoutService.

Заполнение значения «Сертификат»

Также скопировать значение элемента X509Certificate из секции KeyDescriptor use="signing". Поместить сертификат в соответствующее поле — Настройки и пользователи → Настройки SSO:

base64

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

Загрузка метаданных Пассворка в MULTIFACTOR

После настройки SSO в Пассворке открыть созданное SAML приложение в MULTIFACTOR. В разделе Service Provider → Обновить метаданные:

Пассворк расположен в публичной сети

В поле Service Provider Metadata указать адрес метаданных Пассворка:

Metadata URL

https://passwork.example.com/api/v1/sso/metadata

Пассворк расположен в закрытой сети

Сохранить метаданные Пассворка в файл с компьютера, которому доступен Пассворк:

shell

curl https://passwork.example.com/api/v1/sso/metadata \
  --output passwork-sp.xml

В поле Service Provider Metadata выбрать файл passwork-sp.xml и Загрузить.

После загрузки в поле Service Provider должен отображаться Entity ID Пассворка:

Entity ID

https://passwork.example.com/api/v1/sso/metadata

Открыть окно авторизации в веб-интерфейсе Пассворка и выполнить вход через SSO для проверки корректной настройки:

Версия для LLM