Изменить SAML-приложение в Yandex Identity Hub

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды CLI для изменения SAML-приложения:

   yc organization-manager idp application saml application update --help
   

2. Выполните команду:

   yc organization-manager idp application saml application update \
     --id <идентификатор_приложения> \
     --new-name <имя_приложения> \
     --description <описание_приложения> \
     --labels <ключ>=<значение>[,<ключ>=<значение>]
   

   Где:

   • --id — идентификатор SAML-приложения. Обязательный параметр.

   • --new-name — новое имя SAML-приложения. Имя должно быть уникальным в пределах организации и соответствовать требованиям:

     • длина — от 1 до 63 символов;
     • может содержать строчные буквы латинского алфавита, цифры и дефисы;
     • первый символ — буква, последний — не дефис.

   • --description — новое описание SAML-приложения.

   • --labels — новый список меток. Можно указать одну или несколько меток через запятую в формате <ключ1>=<значение1>,<ключ2>=<значение2>.

   Результат:

   id: ek0o663g4rs2********
   name: saml-app
   organization_id: bpf2c65rqcl8********
   group_claims_settings:
     group_distribution_type: NONE
   status: ACTIVE
   created_at: "2025-10-21T10:51:28.790866Z"
   updated_at: "2025-10-21T12:37:19.274522Z"
   

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Опишите в конфигурационном файле новые параметры SAML-приложения:

   resource "yandex_organizationmanager_idp_application_saml_application" "saml_app" {
     organization_id = "<идентификатор_организации>"
     name            = "<новое_имя_приложения>"
     description     = "<новое_описание_приложения>"
     labels          = {
       "<ключ>" = "<значение>"
     }
   }
   

   Где:

   • name — новое имя SAML-приложения. Имя должно быть уникальным в пределах организации и соответствовать требованиям:

     • длина — от 1 до 63 символов;
     • может содержать строчные буквы латинского алфавита, цифры и дефисы;
     • первый символ — буква, последний — не дефис.

   • description — новое описание SAML-приложения.

   • labels — новые метки.

   Подробнее о параметрах ресурса yandex_organizationmanager_idp_application_saml_application читайте в документации провайдера.

2. Примените изменения:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Проверить изменения ресурсов и их настройки можно в интерфейсе Cloud Center.

Воспользуйтесь методом REST API Application.Update для ресурса Application или вызовом gRPC API ApplicationService/Update.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды CLI для изменения конфигурации поставщика услуг:

   yc organization-manager idp application saml application update --help
   

2. Выполните команду:

   yc organization-manager idp application saml application update \
     --id <идентификатор_приложения> \
     --sp-entity-id <идентификатор_поставщика_услуг> \
     --acs-urls <URL>[,<URL>] \
     --signature-mode <режим_подписи>
   

   Где:

   • --id — идентификатор SAML-приложения. Обязательный параметр.
   • --sp-entity-id — уникальный идентификатор поставщика услуг (Service Provider). Значение должно совпадать на стороне поставщика услуг и на стороне Yandex Identity Hub.
   • --acs-urls — URL-адрес или несколько адресов через запятую, на которые Yandex Identity Hub будет отправлять SAML-ответ. ACS URL должен соответствовать схеме https. Использовать протокол без шифрования допускается только в целях тестирования на локальном хосте (значения http://127.0.0.1 и http://localhost).
   • --signature-mode — элементы SAML-ответа, которые будут подписываться электронной подписью. Возможные значения:
     • assertion_only — только передаваемые атрибуты пользователя;
     • response_only — весь SAML-ответ целиком;
     • response_and_assertion — целиком весь SAML-ответ и (отдельно) передаваемые атрибуты.

   Результат:

   id: ek0o663g4rs2********
   name: saml-app
   organization_id: bpf2c65rqcl8********
   sp_entity_id: https://example.com/saml
   acs_urls:
     - url: https://example.com/saml/acs
   signature_mode: RESPONSE_AND_ASSERTION
   group_claims_settings:
     group_distribution_type: NONE
   status: ACTIVE
   created_at: "2025-10-21T10:51:28.790866Z"
   updated_at: "2025-10-21T12:37:19.274522Z"
   

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Опишите в конфигурационном файле новые параметры конфигурации поставщика услуг:

   resource "yandex_organizationmanager_idp_application_saml_application" "saml_app" {
     organization_id = "<идентификатор_организации>"
     name            = "<имя_приложения>"
   
     service_provider = {
       entity_id = "<идентификатор_поставщика_услуг>"
       acs_urls  = [
         {
           url = "URL"
         }
       ]
       security_settings = {
         signature_mode = "RESPONSE_AND_ASSERTIONS"
       }
   }
   

   Где:

   • entity_id — новый уникальный идентификатор поставщика услуг (Service Provider). Значение должно совпадать на стороне поставщика услуг и на стороне Yandex Identity Hub.
   • acs_urls — новые URL-адреса, на которые Yandex Identity Hub будет отправлять SAML-ответ. ACS URL должен соответствовать схеме https. Использовать протокол без шифрования допускается только в целях тестирования на локальном хосте (значения http://127.0.0.1 и http://localhost).
   • signature_mode — новые элементы SAML-ответа, которые будут подписываться электронной подписью. Возможные значения:
     • ASSERTION_ONLY — только передаваемые атрибуты пользователя;
     • RESPONSE_ONLY — весь SAML-ответ целиком;
     • RESPONSE_AND_ASSERTION — целиком весь SAML-ответ и (отдельно) передаваемые атрибуты.

   Подробнее о параметрах ресурса yandex_organizationmanager_idp_application_saml_application читайте в документации провайдера.

2. Примените изменения:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Проверить изменения ресурсов и их настройки можно в интерфейсе Cloud Center.

Воспользуйтесь методом REST API Application.Update для ресурса Application или вызовом gRPC API ApplicationService/Update.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды CLI для создания нового сертификата:

   yc organization-manager idp application saml signature-certificate create --help
   

2. Создайте новый сертификат:

   yc organization-manager idp application saml signature-certificate create \
     --application-id <идентификатор_приложения>
   

   Где:

   • --application-id — идентификатор SAML-приложения.

   Результат:

   id: ajeq9jfrmc5t********
   application_id: ek0o663g4rs2********
   created_at: "2025-10-21T10:14:17.861652377Z"
   

   Сохраните идентификатор сертификата — он потребуется для активации сертификата.

3. Посмотрите список сертификатов приложения:

   yc organization-manager idp application saml signature-certificate list \
     --application-id <идентификатор_приложения>
   

4. Активируйте новый сертификат:

   yc organization-manager idp application saml signature-certificate update \
     --id <идентификатор_сертификата> \
     --active true
   

   Где:

   • --id — идентификатор сертификата, полученный при создании.
   • --active — установите true для активации сертификата.

   Важно

   В SAML-приложении активным может быть только один сертификат: при активации нового сертификата текущий сертификат становится неактивным. После активации нового сертификата не забудьте загрузить его в настройки интеграции приложения на стороне поставщика услуг.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Опишите в конфигурационном файле ресурс для создания нового сертификата:

   resource "yandex_organizationmanager_idp_application_saml_signature_certificate" "cert" {
     application_id = "<идентификатор_приложения>"
     name           = "<имя_сертификата>"
   }
   

   Где:

   • application_id — идентификатор SAML-приложения.
   • name — имя сертификата.

   Подробнее о параметрах ресурса yandex_organizationmanager_idp_application_saml_signature_certificate читайте в документации провайдера.

2. Создайте ресурс:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

3. Чтобы активировать новый сертификат, добавьте его в конфигурацию SAML-приложения, указав идентификатор сертификата в описании ресурса yandex_organizationmanager_idp_application_saml_application в блоке signature_certificate_ids.

4. Примените изменения:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Проверить изменения ресурсов и их настройки можно в интерфейсе Cloud Center.

Воспользуйтесь методом REST API SignatureCertificate.Create для ресурса SignatureCertificate или вызовом gRPC API SignatureCertificateService/Create.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды CLI для добавления атрибута:

   yc organization-manager idp application saml attribute create --help
   

2. Чтобы добавить атрибут пользователя, выполните команду:

   yc organization-manager idp application saml attribute create \
     --application-id <идентификатор_приложения> \
     --name <имя_атрибута> \
     --value <значение_атрибута>
   

   Где:

   • --application-id — идентификатор SAML-приложения.

   • --name — имя атрибута, уникальное для вашего приложения.

   • --value — значение атрибута. Возможные значения:

     • SubjectClaims.sub — идентификатор пользователя. Значение поля соответствует значению, отображаемому в поле Идентификатор в списке пользователей организации в интерфейсе Yandex Identity Hub в Cloud Center. Например: aje0fapf84ofj57q1r0b.
     • SubjectClaims.preferred_username — уникальный логин пользователя. Значение поля соответствует значению, отображаемому в поле Имя пользователя в списке пользователей организации в интерфейсе Yandex Identity Hub в Cloud Center. Например: ivanov@example-federation.ru.
     • SubjectClaims.name — полное имя пользователя. Значение поля соответствует значению, отображаемому в поле Пользователь в списке пользователей организации в интерфейсе Yandex Identity Hub в Cloud Center. Например: Иванов Иван.
     • SubjectClaims.given_name — имя. Значение поля соответствует значению, отображаемому в поле Имя в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: Иван.
     • SubjectClaims.family_name — фамилия. Значение поля соответствует значению, отображаемому в поле Фамилия в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: Иванов.
     • SubjectClaims.email — адрес электронной почты. Значение поля соответствует значению, отображаемому в поле Электронная почта на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: ivanov@example-company.ru.
     • SubjectClaims.phone_number — номер телефона. Значение поля соответствует значению, отображаемому в поле Номер телефона в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: +74951234567.
     • SubjectClaims.company_name — название компании. Значение поля соответствует значению, отображаемому в поле Название компании в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: ООО «Праздник».
     • SubjectClaims.department — название подразделения. Значение поля соответствует значению, отображаемому в поле Подразделение в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: Отдел АСУ.
     • SubjectClaims.job_title — название должности. Значение поля соответствует значению, отображаемому в поле Должность в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: Разработчик.
     • SubjectClaims.employee_id — цифровой код пользователя из кадровой системы компании. Значение поля соответствует значению, отображаемому в поле Табельный номер в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: 08012.

     Примечание

     Любое из этих значений атрибутов вы можете добавлять более одного раза под разными именами.

3. Чтобы добавить атрибут групп пользователей, выполните команду:

   yc organization-manager idp application saml attribute create \
     --application-id <идентификатор_приложения> \
     --name <имя_атрибута_групп> \
     --value <значение_атрибута_групп>
   

   Где:

   • --name — имя атрибута групп пользователей. Имя атрибута должно быть уникальным для вашего приложения.

   • --value — значение атрибута групп. Возможные значения:

     • Все группы — в SAML-ответе в значение данного поля будут включены все группы, в которые входит пользователь.

       Максимальное количество передаваемых в этом поле групп — 1 000. Если количество групп, в которые входит пользователь, превышает это число, на сторону поставщика услуг будет передана только первая тысяча групп.

     • Только назначенные группы — в SAML-ответе в значение данного поля из всех групп, в которые входит пользователь, будут включены только те группы, которые явно заданы на вкладке Пользователи и группы SAML-приложения.

4. Чтобы изменить атрибут, выполните команду:

   yc organization-manager idp application saml attribute update \
     --id <идентификатор_атрибута> \
     --name <новое_имя_атрибута> \
     --value <новое_значение_атрибута>
   

5. Чтобы удалить атрибут, выполните команду:

   yc organization-manager idp application saml attribute delete <идентификатор_атрибута>
   

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Опишите в конфигурационном файле атрибуты SAML-приложения:

   resource "yandex_organizationmanager_idp_application_saml_application" "saml_app" {
     organization_id = "<идентификатор_организации>"
     name            = "<имя_приложения>"
   
     attribute_mapping = {
       name_id  = {
         format = "EMAIL"
       }
   
       attributes = [{
         name  = "email"
         value = "SubjectClaims.email"
       }, {
         name  = "firstName"
         value = "SubjectClaims.given_name"
       }, {
         name  = "lastName"
         value = "SubjectClaims.family_name"
       }]
     }
   
     group_claims_settings = {
       group_attribute_name    = "<имя_атрибута_групп>"
       group_distribution_type = "ALL_GROUPS"
     }
   }
   

   Где:

   • organization_id — идентификатор организации, в которой нужно создать SAML-приложение. Обязательный параметр.

   • name — имя SAML-приложения. Обязательный параметр.

   • attributes — список атрибутов, которые будут передаваться из Yandex Identity Hub поставщику услуг. Каждый атрибут содержит:

     • name — имя атрибута, уникальное для вашего приложения.

     • value — значение атрибута. Возможные значения:

       • SubjectClaims.sub — идентификатор пользователя. Значение поля соответствует значению, отображаемому в поле Идентификатор в списке пользователей организации в интерфейсе Yandex Identity Hub в Cloud Center. Например: aje0fapf84ofj57q1r0b.
       • SubjectClaims.preferred_username — уникальный логин пользователя. Значение поля соответствует значению, отображаемому в поле Имя пользователя в списке пользователей организации в интерфейсе Yandex Identity Hub в Cloud Center. Например: ivanov@example-federation.ru.
       • SubjectClaims.name — полное имя пользователя. Значение поля соответствует значению, отображаемому в поле Пользователь в списке пользователей организации в интерфейсе Yandex Identity Hub в Cloud Center. Например: Иванов Иван.
       • SubjectClaims.given_name — имя. Значение поля соответствует значению, отображаемому в поле Имя в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: Иван.
       • SubjectClaims.family_name — фамилия. Значение поля соответствует значению, отображаемому в поле Фамилия в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: Иванов.
       • SubjectClaims.email — адрес электронной почты. Значение поля соответствует значению, отображаемому в поле Электронная почта на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: ivanov@example-company.ru.
       • SubjectClaims.phone_number — номер телефона. Значение поля соответствует значению, отображаемому в поле Номер телефона в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: +74951234567.
       • SubjectClaims.company_name — название компании. Значение поля соответствует значению, отображаемому в поле Название компании в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: ООО «Праздник».
       • SubjectClaims.department — название подразделения. Значение поля соответствует значению, отображаемому в поле Подразделение в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: Отдел АСУ.
       • SubjectClaims.job_title — название должности. Значение поля соответствует значению, отображаемому в поле Должность в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: Разработчик.
       • SubjectClaims.employee_id — цифровой код пользователя из кадровой системы компании. Значение поля соответствует значению, отображаемому в поле Табельный номер в разделе Персональная информация на странице с информацией о пользователе в интерфейсе Yandex Identity Hub в Cloud Center. Например: 08012.

       Примечание

       Любое из этих значений атрибутов вы можете добавлять более одного раза под разными именами.

   • group_claims_settings — параметры атрибутов групп пользователей:

     • group_attribute_name — имя атрибута групп пользователей. Имя атрибута должно быть уникальным для вашего приложения.
     • group_distribution_type — значение атрибута групп. Возможные значения:

       • ASSIGNED_GROUPS — в SAML-ответе в значение данного поля из всех групп, в которые входит пользователь, будут включены только те группы, которые явно заданы на вкладке Пользователи и группы SAML-приложения.

       • ALL_GROUPS — в SAML-ответе в значение данного поля будут включены все группы, в которые входит пользователь.

         Максимальное количество передаваемых в этом поле групп — 1 000. Если количество групп, в которые входит пользователь, превышает это число, на сторону поставщика услуг будет передана только первая тысяча групп.

   Подробнее о параметрах ресурса yandex_organizationmanager_idp_application_saml_application читайте в документации провайдера.

2. Примените изменения:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Проверить изменения ресурсов и их настройки можно в интерфейсе Cloud Center.

Воспользуйтесь методом REST API Application.Update для ресурса Application или вызовом gRPC API ApplicationService/Update.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Получите идентификатор пользователя или группы пользователей.

2. Чтобы добавить в приложение пользователя или группу пользователей:

   1. Посмотрите описание команды CLI для добавления пользователей в приложение:

      yc organization-manager idp application saml application add-assignments --help
      

   2. Выполните команду:

      yc organization-manager idp application saml application add-assignments \
        --id <идентификатор_приложения> \
        --subject-id <идентификатор_пользователя_или_группы>
      

      Где:

      • --id — идентификатор приложения.
      • --subject-id — идентификатор нужного пользователя или группы пользователей.

      Результат:

      assignment_deltas:
        - action: ADD
          assignment:
            subject_id: ajetvnq2mil8********
      

3. Чтобы удалить пользователя или группу пользователей из приложения:

   1. Посмотрите описание команды CLI для удаления пользователей из приложения:

      yc organization-manager idp application saml application remove-assignments --help
      

   2. Выполните команду:

      yc organization-manager idp application saml application remove-assignments \
        --id <идентификатор_приложения> \
        --subject-id <идентификатор_пользователя_или_группы>
      

      Где:

      • --id — идентификатор SAML-приложения.
      • --subject-id — идентификатор нужного пользователя или группы пользователей.

      Результат:

      assignment_deltas:
        - action: REMOVE
          assignment:
            subject_id: ajetvnq2mil8********
      

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Опишите в конфигурационном файле параметры SAML-приложения с пользователями и группами:

   resource "yandex_organizationmanager_idp_application_saml_application_assignment" "example_assignment" {
     application_id = "<идентификатор_SAML-приложения>"
     subject_id     = "<идентификатор_пользователя_или_группы>"
   }
   

   Где:

   • application_id — идентификатор SAML-приложения.
   • subject_id — идентификатор пользователя или группы пользователей, которые будут иметь доступ к SAML-приложению. Чтобы получить идентификатор пользователя, воспользуйтесь инструкцией. Чтобы получить идентификатор группы пользователей, воспользуйтесь инструкцией.

   Подробнее о параметрах ресурса yandex_organizationmanager_idp_application_saml_application_assignment читайте в документации провайдера.

2. Примените изменения:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Проверить изменения ресурсов и их настройки можно в интерфейсе Cloud Center.

Воспользуйтесь методом REST API Application.UpdateAssignments для ресурса Application или вызовом gRPC API ApplicationService/UpdateAssignments.