Создать OIDC-приложение в Yandex Identity Hub

1. Выберите метод единого входа OIDC (OpenID Connect).

2. В поле Имя задайте имя создаваемого приложения. Имя должно быть уникальным в пределах организации и соответствовать требованиям:

   • длина — от 1 до 63 символов;
   • может содержать строчные буквы латинского алфавита, цифры и дефисы;
   • первый символ — буква, последний — не дефис.

3. В поле Каталог выберите каталог, в котором будет создан OAuth-клиент для приложения.

   OAuth-клиент является необходимым компонентом при создании OIDC-приложения, создается и удаляется одновременно с OIDC-приложением и неразрывно с ним связан.

4. (Опционально) В поле Описание задайте описание приложения.

5. (Опционально) Добавьте метки:

   1. Нажмите Добавить метку.
   2. Введите метку в формате ключ: значение.
   3. Нажмите Enter.

6. Нажмите кнопку Создать приложение.

Войдите в сервис Yandex Identity Hub.

На панели слева выберите Приложения и выберите нужное OIDC-приложение.

На вкладке Обзор в блоке Конфигурация поставщика удостоверений (IdP) разверните секцию Дополнительные атрибуты и скопируйте значения параметров, которые необходимо задать на стороне поставщика услуг:

• ClientID — уникальный идентификатор приложения.
• Authorization endpoint — адрес в Yandex Cloud, на который поставщик услуг будет перенаправлять пользователя для прохождения аутентификации.
• Token endpoint — адрес, на который от внешнего приложения поступает запрос на получение ID-токена и токена доступа.
• Userinfo endpoint — адрес, по которому внешнее приложение может получить атрибуты пользователя.

В блоке Секреты приложения нажмите кнопку Добавить секрет и в открывшемся окне:

1. (Опционально) Добавьте произвольное описание создаваемого секрета.
2. Нажмите Создать.

В окне отобразится сгенерированный секрет приложения. Сохраните полученное значение.

Если вы закрыли или обновили страницу, не сохранив сгенерированный секрет, используйте кнопку Добавить секрет, чтобы создать новый.

Чтобы удалить секрет, в списке секретов на странице OIDC-приложения в строке с нужным секретом нажмите значок и выберите Удалить.

На стороне поставщика услуг настройте интеграцию с OIDC-приложением Identity Hub, указав скопированные параметры и сгенерированный секрет. При необходимости обратитесь к документации или в службу поддержки вашего поставщика услуг.

Справа сверху нажмите кнопку Редактировать и в открывшемся окне:

1. В поле Redirect URI укажите полученный у поставщика услуг адрес.

   Используйте кнопку Добавить URI, чтобы указать одновременно несколько адресов Redirect URI.

2. В поле Scopes выберите набор атрибутов пользователей, которые будут доступны поставщику услуг:

   • openid (идентификатор пользователя) — идентификатор пользователя. Обязательный параметр.

   • email (адрес электронной почты) — адрес электронной почты пользователя.

   • profile (полное имя, имя, фамилия, аватар и др.) — дополнительная информация о пользователе.

   • groups (группы пользователя в организации) — группы пользователей организации, участником которых является аутентифицирующийся пользователь. Возможные значения:

     • Все группы — поставщику услуг будут переданы все группы, в которые входит пользователь.

       Максимальное количество передаваемых групп — 1 000. Если количество групп, в которые входит пользователь, превышает это число, на сторону поставщика услуг будет передана только первая тысяча групп.

     • Только назначенные группы — из всех групп, в которые входит пользователь, поставщику услуг будут переданы только те группы, которые явно заданы на вкладке Пользователи и группы OIDC-приложения.

3. Нажмите кнопку Сохранить.

Войдите в сервис Yandex Identity Hub.

На панели слева выберите Приложения и выберите нужное OIDC-приложение.

Перейдите на вкладку Пользователи и группы.

Чтобы добавить в приложение пользователя или группу пользователей:

1. Нажмите кнопку Добавить пользователей.
2. В открывшемся окне выберите нужного пользователя или группу пользователей.
3. Нажмите кнопку Добавить.

Чтобы удалить пользователя или группу пользователей из приложения:

1. В списке пользователей и групп в строке с нужным пользователем или группой нажмите значок и выберите Удалить.
2. Подтвердите удаление.