Единый вход и управление учётными записями

Настройте вход, подключите приложения и ограничьте доступ к учётным записям нужной организацией и доменом.

Порядок работы

Выберите способ входаДля обычного входа используйте /login, для настроенного SSO и беспарольного входа — /sso/login.
Выберите тенантУкажите тенант, которому принадлежит приложение, и проверьте активное членство пользователя в нём.
Зарегистрируйте приложениеУкажите владельца, протокол и параметры провайдера в интерфейсе управления.
Проверьте доступДля разрешённой учётной записи проверьте личность, членство в тенанте, роль и применяемую политику.
Поддерживайте доступ в актуальном состоянииСледите за событиями аудита, отключайте неиспользуемые подключения и отзывайте устаревшие учётные данные.

Адреса входа и восстановление доступа

Используйте /login для обычного входа в учётную запись сайта, а /sso/login — для входа с учётом SSO. Регистрация, восстановление доступа и беспарольный вход доступны в разделе /sso. Старые страницы авторизации OAuth перенаправляют незавершённые процессы на актуальные страницы SSO. Наличие URL не означает, что провайдер включён: проверяйте состояние тенанта и приложения.

Откройте URL нужного способа входа.
Если провайдера нет в списке, попросите администратора тенанта проверить настройки.
При утере фактора или истечении срока действия пароля воспользуйтесь предложенными средствами восстановления SSO.

Тенанты, домены и учётные записи

Тенанту принадлежат приложения, домены, участники, политики и делегированные права. Поиск по подтверждённому домену помогает направить пользователя, но не подтверждает его личность и не даёт членства. Администраторы клиентов настраивают SAML или OIDC для организации. Сопоставляйте учётные записи по тенанту, издателю и неизменяемому идентификатору субъекта; одного адреса электронной почты недостаточно.

Выберите тенант перед изменением участника, провайдера или домена.
Пройдите показанную проверку владения доменом и убедитесь, что он имеет статус подтверждённого.
Разбирайте дубли учётных записей через утверждённый процесс управления тенантом.

Приложения и социальные провайдеры

Для каждого приложения отдельно регистрируются протокол, политика и жизненный цикл. Настройки социальных провайдеров платформы не связаны с подключённой личностью пользователя. После возврата от провайдера может потребоваться заполнить профиль, но успешный обратный вызов сам по себе не даёт доступа к приложению: также необходимы членство, назначение и разрешающая политика.

Зафиксируйте тенант, владельца, протокол и зарегистрированные адреса перенаправления или метаданные.
Настройте провайдера в соответствующем интерфейсе и защитите его учётные данные.
Проверьте вход и убедитесь, что решение для тенанта и приложения ожидаемое.

Роли и делегирование

Роли сайта и права в тенанте — разные уровни доступа. В разделе управления доступом можно задавать родительские организации, ограничения и делегировать административные права на ограниченный срок. Делегат получает выбранные разрешения только в одном тенанте; доступ к вышестоящим, соседним и посторонним областям запрещён. Учитываются активное членство, иерархия ролей и политика приложения.

Убедитесь, что у администратора есть активное членство в нужном тенанте.
Выдайте только необходимые права и задайте срок их действия.
После завершения работ отзовите делегирование и проверьте запись аудита.

MFA, ключи доступа и восстановление

При входе может требоваться MFA, ключ доступа или другая беспарольная проверка, а для особо защищённых действий — усиленная повторная аутентификация. Первичная настройка, проверка, подключение и восстановление — отдельные этапы; прохождение одного не заменяет проверку для последующего защищённого действия. Администратору нужны права управления аутентификацией, чтобы настраивать поддерживаемые средства проверки и кампании подключения в тенанте.

Войдите с ключом доступа либо подтвердите новый фактор при его подключении.
Восстановите доступ предложенным способом и замените скомпрометированные факторы.
При отказе запишите его причину и попросите уполномоченного администратора проверить политику.

Управление и жизненный цикл

Сформированная спецификация управления доступна по адресу /api/auth/management/openapi.json. В ней описаны схемы операций и требования безопасности. Для административных действий используйте защищённую рабочую область. Активация, приостановка, вывод из эксплуатации и откат изменений тенанта или приложения фиксируются в истории версий и аудита.

Откройте документ OpenAPI и найдите нужную операцию управления.
Проверьте требуемые права, контекст тенанта и описание входных данных.
После изменения жизненного цикла проверьте состояние и историю аудита.

Часто задаваемые вопросы

Какой адрес входа использовать?

Для обычного входа используйте /login, для входа с учётом SSO — /sso/login.

Даёт ли поиск по домену доступ?

Нет. По-прежнему требуются аутентификация, членство в тенанте, назначение приложения и проверка политики.

Можно ли автоматически связать учётные записи по электронной почте?

Нет. Для связывания используются тенант, издатель и субъект; конфликты разбираются в рамках уполномоченной проверки.

Почему я вошёл в систему, но не могу открыть приложение?

Вход не означает, что приложение назначено вам. Проверьте членство, иерархию ролей и политику приложения.

Где находится спецификация управления?

Актуальные операции и требования безопасности описаны в /api/auth/management/openapi.json.

Могут ли делегаты управлять любыми тенантами?

Нет. Делегирование ограничено одним тенантом, выбранными правами и сроком действия.