Протоколы федерации и автоматическое управление учётными записями

OIDC, OAuth и PKCE

Зарегистрированные клиенты OIDC используют авторизацию в браузере, выбор учётной записи, согласие и принятие условий, если это настроено. Авторизация устройства — отдельный интерфейс, а не замена регистрации клиента. Поддержка PKCE и повышенного уровня проверки зависит от политики клиента и тенанта. PAR, JWT с закрытым ключом, mTLS, DPoP и профили FAPI применяются при определённых условиях: их наличие в исходном коде не означает, что они включены.

1. Зарегистрируйте точные параметры издателя, перенаправления и ответа для клиента.
2. Пройдите согласие и выберите учётную запись; проверьте личность и аудиторию.
3. Уточните в политике поддержку PKCE и нужного уровня проверки; не ослабляйте проверку, чтобы обойти отказ.

SAML и удалённый выход

Маршруты SAML для поставщика услуг и поставщика удостоверений предоставляют метаданные и сценарии обмена утверждениями в браузере. Настраивайте подключение через управление SAML. Вместе с партнёром проверьте издателя, аудиторию, адрес ответа, подпись и временные ограничения. Выход выполняется отдельно: локальный отзыв не доказывает, что очищены все cookie и сеансы у доверяющих сторон.

1. Сверьте с партнёром метаданные подключения, ключ подписи и конечные точки.
2. Проверьте подписанное утверждение, тенант, субъект, членство и срок действия.
3. Используйте поддерживаемые средства выхода и различайте локальный отзыв и завершение сеанса у партнёра.

SCIM и синхронизация каталога

Автоматическое создание и обновление учётных записей отличается от интерактивной федерации. Схемы SCIM и сверка данных работают вместе с коннекторами каталогов, использующими подключённый агент на стороне клиента. Импорт сохраняет сведения о происхождении из тенанта, а конфликтные записи помещает в карантин; одного адреса электронной почты недостаточно для связывания учётных записей. Бинарный файл клиентского агента сервер не поставляет.

1. Зарегистрируйте целевой тенант и сопоставьте поддерживаемые атрибуты и неизменяемые идентификаторы.
2. Выполните контролируемую синхронизацию, изучите результат и разберите карантинные записи в рабочей области тенанта.
3. Отдельно установите и подключите совместимый агент, прежде чем ставить задачи коннектору в очередь.

CAS, WS-Federation и RADIUS

Для CAS требуется явное включение. WS-Federation и WS-Trust отключены, если их не разрешает регистрация или политика; проверки области, аудитории, адреса ответа, членства, подписи и срока действия обязательны. Для RADIUS используется дополнительный подписанный агент, а не сервер, принимающий подключения напрямую. В актуальной справке предпочтителен RADIUS/1.1 поверх TLS или DTLS; устаревший UDP предназначен только для совместимости в частной сети.

1. Перед проверкой CAS или WS-Federation убедитесь, что протокол включён и клиент зарегистрирован.
2. Для RADIUS проверьте клиентский агент, коннектор тенанта и разрешённый транспорт.
3. Если протокол отключён или агент не подключён, настройте их, а не переключайтесь на другой протокол в обход политики.

Регистрация и учётные данные

Регистрация клиента должна оставаться в тенанте-владельце и относиться к нужному приложению. Упоминания динамической регистрации, JWT с закрытым ключом, mTLS и FAPI описывают условные возможности, а не гарантированное включение. Закрытые ключи остаются у владельца; меняйте или отзывайте учётные данные через соответствующие средства управления. Ключи агента не являются учётными данными клиента OAuth.

1. Подготовьте сведения о владельце, тенанте, перенаправлении или метаданных, областях доступа и типе учётных данных.
2. Безопасно сохраните полученный секрет; меняйте или отзывайте его через интерфейс управления.
3. Для подключения агента создайте закрытый ключ на стороне клиента и отправьте его CSR.

Спецификация и устранение неполадок

Актуальные операции управления, поля и требования безопасности описаны в /api/auth/management/openapi.json. В актуальных заметках по протоколам разобраны отдельные особенности коннекторов и уровней проверки. Частые причины ошибок: неверный тенант, незарегистрированный адрес перенаправления, устаревшие метаданные или сертификат, отключённый профиль, неверная подпись, запись SCIM в карантине или отозванный агент. Исправляйте соответствующую границу доверия, не отключая проверку.

1. Проверьте схему OpenAPI и требования безопасности нужной операции.
2. Сверьте безопасные сведения об ошибке с актуальными метаданными провайдера и зарегистрированными параметрами.
3. Повторно проверьте контролируемый сценарий и подтвердите личность или состояние синхронизации до развёртывания.

Часто задаваемые вопросы

Связанные страницы

• Единый вход и управление учётными записями
• Администрирование SSO
• Управление доступом и привилегиями
• Доступ к закрытым приложениям