Администрирование SSO
Управляйте рабочими областями тенантов, регистрациями приложений, ролями, доменами, средствами аутентификации, сеансами и аудитом в пределах выданных полномочий.
- Откройте рабочую областьВыберите тенант или приложение, которым вам разрешено управлять.
- Проверьте состояниеИзучите жизненный цикл, версии, участников, политики и ожидающие согласования.
- Подготовьте изменениеУкажите значения в контексте тенанта, причину, владельца и срок действия; при наличии проверьте предварительный просмотр.
- Примените и проверьтеСохраните, опубликуйте или согласуйте изменение, затем проверьте состояние и запись аудита.
- Завершите работуОтзовите временный доступ и сохраните историю версий и аудита.
Рабочие области тенантов и приложений
В навигации сгруппированы тенанты, домены, приложения, федерация, синхронизация, права, проверки доступа, PIM, устройства, рабочие процессы, сеансы, ключи и аудит. Настройки тенанта относятся к уровню тенанта, а протокол и жизненный цикл задаются в редакторе приложения. Доступные действия зависят от действующей роли и делегированных прав. Для интеграций используйте сформированную спецификацию /api/auth/management/openapi.json.
- Выберите нужный тенант или приложение и проверьте владельца и состояние.
- Если действие недоступно, убедитесь, что соответствующее право делегировано вам.
- После сохранения проверьте отображаемое состояние, запись аудита или версию.
Роли и разрешения
Иерархия ролей позволяет менять родительские связи и сравнивать версии. Для фактических полномочий нужны активное членство и корректное делегирование в тенанте; доступ к соседним и вышестоящим областям запрещён. Не смешивайте платформенные роли и роли приложений. Назначение роли не отменяет требования к членству в тенанте, политике приложения и разделению обязанностей.
- Перед выдачей доступа изучите членство и текущую иерархию ролей.
- Выберите минимально необходимую роль и права; проверьте область действия и срок.
- При отказе изучите действующие права в тенанте, а не выдавайте более широкую платформенную роль.
Домены и регистрации
Прежде чем использовать домен для обнаружения или выпуска сертификатов, необходимо явно подтвердить право владения. В регистрации приложения отдельно задаются протокол, владелец, тенант, политика и жизненный цикл. Перед публикацией новой версии предварительно оцените влияние политики. Социальные провайдеры платформы настраиваются отдельно от подключённой личности пользователя.
- Добавьте точный домен тенанта и пройдите проверку владения.
- Зарегистрируйте приложение в интерфейсе управления нужным протоколом.
- Предварительно проверьте политику, опубликуйте её и убедитесь, что активна нужная версия.
Средства аутентификации и подключение
Администрирование аутентификации включает подключение факторов, коды восстановления, управление поддерживаемыми средствами аутентификации, временные пропуска доступа, действия с аппаратными OATH-устройствами и кампании подключения. Для этого нужны права управления аутентификацией. Для особо важных действий может также требоваться свежая повторная проверка, связанная с конкретным пользователем; общей роли администратора недостаточно.
- Перед запуском кампании проверьте политику тенанта и состояние подключения.
- Попросите пользователя пройти проверку и подтвердить работу средства аутентификации.
- Отзовите утерянный фактор или пропуск и выдайте замену через уполномоченный интерфейс.
Сеансы, ключи и социальные провайдеры
В инвентаре сеансов отображаются отслеживаемые сеансы браузера, OIDC, SAML, закрытые и привилегированные сеансы. Отзывайте доступ только в пределах своих полномочий: действия для всего пользователя могут затронуть несколько приложений, а централизованный отзыв сеанса браузера доступен только God. Пользователи могут самостоятельно отзывать токены подключённых приложений и доверенные устройства. Ключами подписи и социальными провайдерами управляют отдельно.
- Отфильтруйте сеансы по пользователю, тенанту, приложению и типу в пределах своих прав.
- Прежде чем отзывать один сеанс или несколько, проверьте последствия выбранного действия.
- После изменения ключа или провайдера проверьте состояние и тестовый вход.
Аудит, экспорт и устранение неполадок
Для аудита тенанта, свидетельств безопасности, хранения данных, юридических блокировок, назначения журналов и массового экспорта действуют отдельные ограничения доступа. Экспорт может содержать чувствительные записи; ограничивайте его минимально необходимой областью. Если данные недоступны или изменение не удалось, сохраните безопасное описание ошибки и проверьте текущее состояние перед повтором. При исправлении конфигурации сохраняйте историю, доступную только для добавления записей.
- Отфильтруйте аудит тенанта по доступным параметрам: инициатору, приложению или периоду.
- Экспортируйте только необходимые данные и храните их в разрешённом месте.
- Перед изменением или повторной отправкой проверьте срок хранения, юридические блокировки и состояние назначения; затем проверьте запись аудита.
Часто задаваемые вопросы
Почему действие администратора недоступно?
Возможно, оно не входит в ваши действующие права или делегирование. Проверьте активное членство и область тенанта.
Может ли роль приложения дать доступ к другому тенанту?
Нет. По-прежнему необходимы членство и права, ограниченные нужным тенантом.
Публикуется ли черновик сразу после сохранения?
Нет. Проверьте данные и опубликуйте нужную версию, затем убедитесь, что она активна.
Подтверждает ли домен личность пользователя?
Нет. Пользователь всё равно должен пройти аутентификацию и иметь разрешённое членство в тенанте.
Может ли делегат отозвать любой сеанс?
Только в пределах своих полномочий; для общего централизованного отзыва сеансов браузера нужны права God.
Где находится спецификация API управления?
Операции и требования безопасности описаны в /api/auth/management/openapi.json.