Увійдіть із командою через SSO

Що ви створите

Наприкінці цього посібника у вас буде:

SAML-з’єднання між вашим сервером Control Center і провайдером ідентичності (як приклад беремо Okta),
один користувач, автоматично підготовлений під час першого входу, і
політика членства в робочому просторі, яку ви обрали свідомо.

Вам знадобиться сервер, яким ви адмініструєте (власник сервера — оператор цієї інсталяції), і застосунок IdP, який ви можете налаштувати. Заплануйте 20 хвилин.

1. Відкрити налаштування єдиного входу

Увійдіть у Control Center, а потім перейдіть до Налаштування → Сервер → Єдиний вхід. Екран перемикається між SAML і OpenID Connect, а також має картку Підготовка користувачів (SCIM). Залиштеся на SAML.

Усе на цьому екрані діє на весь сервер: один IdP автентифікує всіх людей у кожному робочому просторі, тож редагувати це може лише власник сервера.

2. Вставити метадані IdP

В Okta відкрийте вкладку Sign On свого застосунку та скопіюйте XML метаданих (або завантажте його й вставте вміст файлу). Повернувшись у Control Center, вставте його в поле XML метаданих IdP і натисніть Перевірити з’єднання.

Спливаюче сповіщення показує кінцеву точку входу IdP — доказ, що метадані розібрано, сертифікат прочитано, і сервер може побудувати на їх основі запит на вхід (перевірка задіює все, крім обміну через браузер). Якщо вона не вдається, XML не був повним EntityDescriptor (вкладка SAML в Okta називає це «Metadata URL»; відкрийте URL і скопіюйте те, що він віддає). Та сама кнопка на OpenID Connect натомість перевіряє discovery-документ вашого видавця. Щоб також виявити сертифікат, термін дії якого спливає, і побачити, чи IdP розпізнає Control Center, скористайтеся інструментом перевірки з кроку 6.

3. Зареєструвати Control Center в IdP

Натисніть Копіювати метадані SP і передайте їх тому, хто налаштовує бік Okta (або прочитайте два значення, які він попросить):

URL ACS: https://<your-server>/saml/acs
Entity ID: https://<your-server>/saml

URL-адреси виводяться з джерела, за яким браузери ваших користувачів дістаються сервера. Якщо сервер працює за тунелем або зворотним проксі, переконайтеся, що джерело стабільне (Налаштування → Сервер → Підключення та стан → Надати доступ до цього сервера показує публічний URL) — або закріпіть entity ID явно в полі Entity ID SP.

Вхід через SAML не потребує публічної IP-адреси чи домену: IdP ніколи не підключається до вашого сервера — обмін виконує браузер користувача, тож localhost, LAN, VPN, Tailscale або тунель — усе працює. Дві речі, які слід пам’ятати:

джерело, яке використовує браузер, має збігатися з URL ACS / entity ID, зареєстрованими в IdP (закріпіть entity ID, якщо користувачі дістаються сервера за більш ніж одним джерелом),
підготовка через SCIM — це виняток — IdP звертається до вашого сервера напряму, тож їй потрібен тунель або публічний URL (налаштувати користувачів через SCIM).

4. Вибрати, що надає вхід

Дві політики визначають, що робить перший вхід:

Додавати користувачів до кожного робочого простору під час першого входу — залиште ввімкненим для розгортання в межах однієї команди, де SSO дорівнює довірі. Вимкніть його, коли кілька команд або клієнтів користуються одним сервером: тоді кожен новачок потребує явного запрошення до робочого простору; це безпечніший варіант за замовчуванням.
Створювати невідомих користувачів під час першого входу — увімкнено типово; вимкніть, щоб відхиляти всіх, чийого облікового запису ще не існує.

За бажанням зіставте атрибут із назвами груп (в Okta це зазвичай groups) і перетворіть групи на ролі за допомогою цієї мапи — наприклад, {"platform-leads": "admin"}. SSO ніколи не може надати роль власника.

5. Увімкнути та виконати вхід

Увімкніть Використовувати SAML для входу, натисніть Зберегти з’єднання, а потім відкрийте вікно браузера в приватному режимі за адресою https://<your-server>/saml/login. Увійдіть в Okta, і ви повернетеся до вебклієнта — з виконаним входом, створеним обліковим записом і наданим членством згідно з обраною політикою.

Той самий вхід з’являється на екрані підключення у вебверсії (Увійти через SAML) щойно ви введете адресу сервера — форма адаптується до того, що пропонує сервер (для OpenID Connect показується Увійти через OpenID Connect). Кнопка відкриває вхід у новій вкладці; коли обмін завершується, вкладка, що чекала, автоматично підхоплює сеанс. Настільний екран налаштування сервера робить те саме: введіть URL сервера, з’явиться кнопка Увійти через SAML, яка відкриває ваш браузер, і застосунок виконує вхід, коли обмін завершується.

6. Перевірити це з цієї сторінки

Перш ніж розгортати SSO або коли вхід не вдається, перевірте складники тут. Інструмент перевірки працює повністю у вашому браузері: він читає метадані, які ви вставляєте на цій вкладці, і застосовує ті самі правила, що й сервер. Отримавши адресу вашого сервера, він також запитує в цього сервера, чи ввімкнено вхід через SAML.

Він виявляє те, чого не бачить Перевірити з’єднання у застосунку: сертифікат підпису, термін дії якого наближається до завершення, IdP, який наполягає на підписаних запитах, і, завдяки тестовому входу, чи IdP узагалі розпізнає Control Center.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

Наступні кроки

Дайте своєму IdP керування життєвим циклом: налаштувати й скасувати підготовку користувачів через SCIM.
Ваш IdP розмовляє OpenID Connect, а не SAML? Підключити провайдер OpenID Connect.
Цікаво, що насправді перевіряє обмін через браузер? Як працює єдиний вхід.