Доступно для: тариф Бизнес, тариф Корпоративный
Необходимая роль: Администратор Пространства
Как работает SAML SSO
Когда пользователь пытается войти в Holst через единую систему входа (SSO), Holst отправляет SAML-запрос (Security Assertion Markup Language) поставщику идентификационных данных (IdP).
Поставщик идентификационных данных проверяет учетные данные пользователя и возвращает ответ в Holst, подтверждая личность пользователя.
Holst обрабатывает ответ и предоставляет доступ к аккаунту пользоваля.
Настройка SSO
Настройка IdP
Перейдите в раздел конфигурации вашего поставщика идентификационных данных и следуйте его инструкциям для настройки единого входа (SSO).
Добавьте следующие метаданные. Рекомендуем пропустить все необязательные поля и оставить значения по умолчанию без изменений.
Protocol | SAML 2.0 |
Binding | HTTP Redirect из SP в IdP |
The service URL (SP-initiated URL) Также известен как Launch URL, Reply URL, Relying Party SSO Service URL, Target URL, SSO Login URL, Identity Provider Endpoint, и т.д. |
|
Assertion Consumer Service URL
Также известен как Allowed Callback URL, Custom ACS URL, Reply URL |
|
Entity ID
Также известен как Identifier, Relying Party Trust Identifier |
|
Default Relay State | должен быть пустым |
Signing Requirement | Неподписанный SAML Response и подписанный Assertion
Assertion всегда должен быть подписан |
SubjectConfirmation Method | "urn:oasis:names:tc:SAML:2.0:cm:bearer" |
⚠️ Шифрование и Единый выход (SLO) не поддерживаются.
Учетные данные пользователя
Обязательные поля
NameID (должен быть равен адресу почты пользователя)
<NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">
Опциональные поля
"FirstName", "GivenName" или "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname"
"LastName", "Surname" или "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname"
В качестве имени пользователя используется "DisplayName" и аналоги при наличии, либо "FirstName" + "LastName" при наличии.
Настройка Пространства
Перейдите к настройкам Пространства
(Участники & Настройки) > Единый вход (SSO)
Включите SSO
Заполните поле SAML Sign-in URL (в большинстве случаев это страница вашего поставщика идентификационных данных, где конечные пользователи должны ввести свои учетные данные)
Key x.509 Certificate (публичный сектификат, выданный вашим поставщиком идентификационных данных)
Далее необходимо добавить и верифицировать домены, по которым будет происходить авторизация пользователей. Подробнее в Управление доменами.