Для чего нужен раздел
Настройте вход через корпоративную систему учётных записей, права участников и журнал действий. SSO поддерживает SAML и OIDC. SCIM используется для автоматического создания и обновления пользователей. Роли определяют доступные действия, а журнал помогает проверить, кто и когда их выполнял.
Когда использовать
- Когда организация требует SSO для всех внутренних инструментов.
- Когда нужно автоматически создавать и отключать доступ сотрудников через корпоративную систему учётных записей.
- Когда нужно проверить изменения доступа или подготовить данные для аудита.
Первые шаги
- 1Создайте организацию и укажите её домен.
- 2Настройте SSO значениями из вашего провайдера идентификации: entity ID, SSO URL и сертификат для SAML либо client ID, secret и issuer для OIDC.
- 3При настройке SAML сгенерируйте ссылку входа и проверьте её на обычной учётной записи, прежде чем включать доступ всей организации.
- 4Создайте токен SCIM с нужными правами, сразу сохраните его в хранилище секретов и подключите синхронизацию пользователей.
- 5Опишите роли с явными правами и назначьте их участникам.
Настройки
| Настройка | Что делает | Как настроить | Типичная ошибка |
|---|---|---|---|
| Настройка SSO | Связывает аутентификацию с вашим провайдером идентификации. | Проверяйте сгенерированную ссылку на обычном пользователе, а не только на администраторе, до того как включать. | Включить SSO без проверки и заблокировать всех участников, включая того, кто его настраивал. |
| Токен SCIM | Аутентифицирует ваш провайдер идентификации для автоматического заведения пользователей. | Положите его в менеджер секретов сразу после создания: он показывается ровно один раз. | Закрыть окно, не скопировав токен, — придётся создавать новый и перенастраивать провайдера. |
| Роли и права | Задаёт разрешённые действия для каждой роли. | Выдавайте права, необходимые для работы участника. Добавляйте остальные только при появлении задачи, которая их требует. | Назначить всем права администратора вместо отдельных ролей по задачам. |
| Журнал аудита | Записывает пользователя, действие, объект и время событий, связанных с безопасностью. | Используйте фильтры по действию и проверяйте журнал после изменений SSO, ролей или синхронизации пользователей. | Считать настройку завершённой, не проверив, что нужные события появились в журнале. |
Пример использования
Ситуация: Безопасность требует SSO и автоматическое отключение доступов в течение квартала.
- 1Настройте SSO, сгенерируйте ссылку для входа по SAML и проверьте её на пилотной группе.
- 2Создайте токен SCIM с нужными правами и подключите провижининг в провайдере идентификации.
- 3Опишите роли, назначьте их текущим участникам и включите SSO для всей организации.
- 4Проверьте создание и отключение тестового пользователя и соответствующие записи журнала.
Что станет понятно: Вы проверили корпоративный вход, назначение прав и синхронизацию пользователей; действия отражаются в журнале.
Частые вопросы
Я потерял токен SCIM. Можно посмотреть его снова?
Нет, токен показывается только при создании. Отзовите потерянный токен, создайте новый и обновите его в корпоративной системе учётных записей.
Могут ли SSO и вход по паролю работать вместе?
Это зависит от того, как вы настроите. Оставьте хотя бы одного администратора, способного войти без SSO, пока не убедитесь, что интеграция работает.
Какие права давать роли?
Только те, которыми её носители пользуются. Права — это явные строки вроде org:admin, audit:read и sso:manage, так что роль можно сделать сколь угодно узкой.
Практические советы
- Проверьте SSO на пользователе без административных прав, чтобы проверить обычный путь входа.
- Отзывайте неиспользуемые SCIM-токены и сохраняйте действующие в хранилище секретов.