Настройка SAML-аутентификации

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:

export IAM_TOKEN="<IAM-токен>"

Воспользуйтесь методом Cluster.UpdateAuthSettings и выполните запрос, например, с помощью cURL:

curl \
    --request PUT \
    --header "Authorization: Bearer $IAM_TOKEN" \
    --header "Content-Type: application/json" \
    --url 'https://mdb.api.yandexcloud.kz/managed-opensearch/v1/clusters/<идентификатор_кластера>/auth' \
    --data '{
                "settings": {
                    "saml": {
                        "enabled": "<включить_SSO:_true_или_false>",
                        "idpEntityId": "<идентификатор_эмитента_IdP>",
                        "idpMetadataFile": "<файл_с_метаданными>",
                        "spEntityId": "<URI_приложения_SP_Entity_ID>",
                        "dashboardsUrl": "<URL_хоста_Dashboards>",
                        "rolesKey": "<параметр_с_ролями_в_ответе_SAML>",
                        "subjectKey": "<параметр_с_темой_в_ответе_SAML>",
                        "jwtDefaultExpirationTimeout": "<срок_жизни_сессии>"
                    }
                }
            }'

Где settings — набор настроек SSO. Содержат блок saml со следующими параметрами:

• enabled — включение SSO.

• idpEntityId — идентификатор эмитента провайдера аутентификации (Identity Provider Issuer), который был получен при настройке провайдера идентификации.

• idpMetadataFile — путь к файлу с метаданными в формате Base64.

• spEntityId — URI приложения SP Entity ID (Audience URI). URI должен соответствовать указанному при настройке провайдера идентификации.

• dashboardsUrl — URL хоста с ролью DASHBOARDS.

• rolesKey — имя параметра в ответе SAML, в котором хранятся роли. Ответ SAML приходит от провайдера идентификации. Если параметр не настроен, роли не используются.

• subjectKey — имя параметра в ответе SAML, в котором хранится тема. Ответ SAML приходит от провайдера идентификации. Если параметр не настроен, используется параметр NameID.

• jwtDefaultExpirationTimeout — срок жизни сессии в минутах. Укажите его, если провайдер идентификации не установил свой таймаут.

  Если значение отсутствует или указан 0, срок жизни сессии не ограничен (значение по умолчанию).

Идентификатор кластера можно запросить со списком кластеров в каталоге.

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:

export IAM_TOKEN="<IAM-токен>"

Клонируйте репозиторий cloudapi:

cd ~/ && git clone --depth=1 https://github.com/yandex-cloud/cloudapi

Далее предполагается, что содержимое репозитория находится в директории ~/cloudapi/.

Воспользуйтесь вызовом ClusterService.UpdateAuthSettings и выполните запрос, например, с помощью gRPCurl:

grpcurl \
  -format json \
  -import-path ~/cloudapi/ \
  -import-path ~/cloudapi/third_party/googleapis/ \
  -proto ~/cloudapi/yandex/cloud/mdb/opensearch/v1/cluster_service.proto \
  -rpc-header "Authorization: Bearer $IAM_TOKEN" \
  -d '{
        "settings": {
            "saml": {
                "enabled": "<включить_SSO:_true_или_false>",
                "idp_entity_id": "<идентификатор_эмитента_IdP>",
                "idp_metadata_file": "<файл_с_метаданными>",
                "sp_entity_id": "<URI_приложения_SP_Entity_ID>",
                "dashboards_url": "<URL_хоста_Dashboards>",
                "roles_key": "<параметр_с_ролями_в_ответе_SAML>",
                "subject_key": "<параметр_с_темой_в_ответе_SAML>",
                "jwt_default_expiration_timeout": "<срок_жизни_сессии>"
            }
        }
    }' \
mdb.api.yandexcloud.kz:443 \
yandex.cloud.mdb.opensearch.v1.ClusterService.UpdateAuthSettings

Где settings — набор настроек SSO. Содержат блок saml со следующими параметрами:

• enabled — включение SSO.

• idp_entity_id — идентификатор эмитента провайдера аутентификации (Identity Provider Issuer), который был получен при настройке провайдера идентификации.

• idp_metadata_file — путь к файлу с метаданными в формате Base64.

• sp_entity_id — URI приложения SP Entity ID (Audience URI). URI должен соответствовать указанному при настройке провайдера идентификации.

• dashboards_url — URL хоста с ролью DASHBOARDS.

• roles_key — имя параметра в ответе SAML, в котором хранятся роли. Ответ SAML приходит от провайдера идентификации. Если параметр не настроен, роли не используются.

• subject_key — имя параметра в ответе SAML, в котором хранится тема. Ответ SAML приходит от провайдера идентификации. Если параметр не настроен, используется параметр NameID.

• jwt_default_expiration_timeout — срок жизни сессии в минутах. Укажите его, если провайдер идентификации не установил свой таймаут.

  Если значение отсутствует или указан 0, срок жизни сессии не ограничен (значение по умолчанию).

Идентификатор кластера можно запросить со списком кластеров в каталоге.

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.