Связаться с экспертомПопробовать бесплатно

Создать OIDC-приложение в Yandex Identity Hub для интеграции с Selectel

Статья создана
Открыть в Markdown

Важно

Часть ресурсов, необходимых для прохождения практического руководства, доступны только в регионе Россия.

Чтобы пользователи вашей организации могли входить в Selectel по стандарту OpenID Connect (OIDC), создайте OIDC-приложение в Yandex Identity Hub и настройте интеграцию с Selectel.

Управлять OIDC-приложениями может пользователь, которому назначена роль organization-manager.oauthApplications.admin или выше.

Чтобы настроить единый вход в Selectel:

  1. Создайте приложение.
  2. Настройте интеграцию.
  3. Проверьте работу единого входа.

Создайте приложение

  1. Войдите в сервис Yandex Identity Hub.
  2. На панели слева выберите Приложения.
  3. Нажмите Создать приложение и в открывшемся окне:
    1. Выберите метод единого входа OIDC (OpenID Connect).

    2. В поле Тип приложения выберите тип Web Application.

      OIDC-приложения типа Web Application оптимально подходят для аутентификации пользователей во внешних веб-приложениях, имеющих серверную часть (бэкенд), в которой может безопасно храниться секрет приложения. Подробнее о типах OIDC-приложений читайте в разделе Типы OIDC-приложений в Yandex Identity Hub.

    3. В поле Имя задайте имя приложения: selectel-oidc.
    4. В поле Каталог выберите каталог, в котором будет создан OAuth-клиент для приложения.
    5. (Опционально) В поле Описание задайте описание приложения.
    6. Нажмите Создать приложение.

Настройте интеграцию

Получите учетные данные приложения

  1. Откройте созданное OIDC-приложение.
  2. На вкладке Обзор в блоке Конфигурация поставщика удостоверений (IdP) разверните секцию Дополнительные атрибуты и скопируйте значение поля ClientID.

  3. Создайте секрет приложения (действие доступно только для приложений типа Web Application).

    Для этого в блоке Секреты приложения нажмите кнопку Добавить секрет и в открывшемся окне:

    1. (Опционально) Добавьте произвольное описание создаваемого секрета.

    2. Нажмите Создать.

      В окне отобразится сгенерированный секрет приложения. Сохраните полученное значение.

      Важно

      После обновления или закрытия страницы с информацией о приложении посмотреть секрет будет невозможно.

    Если вы закрыли или обновили страницу, не сохранив сгенерированный секрет, используйте кнопку Добавить секрет, чтобы создать новый.

    Чтобы удалить секрет, в списке секретов на странице OIDC-приложения в строке с нужным секретом нажмите значок и выберите Удалить.

Создайте федерацию в Selectel

Примечание

Создать федерацию в Selectel может владелец аккаунта или пользователь с ролью iam.admin.

Чтобы настроить федерацию:

  1. Войдите в панель управления Selectel.

  2. В верхнем меню выберите IAM и перейдите в раздел Федерации.

  3. Нажмите Добавить федерацию и выберите OpenID Connect (OIDC).

  4. В блоке Настройки федерации:

    1. В поле Имя задайте имя федерации, например identity-hub-oidc.
    2. (Опционально) В поле Описание задайте описание федерации.
    3. В поле Время жизни сессии задайте время жизни сессии или оставьте значение по умолчанию — 24 часа.

  5. В блоке Настройки IDP укажите параметры интеграции:

    • IdP Issuer — https://kz.auth.yandex.cloud.
    • Client ID — значение поля ClientID, скопированное на предыдущем этапе.
    • Client secret — секрет приложения, сохраненный на предыдущем этапе.
    • Auth URL — https://kz.auth.yandex.cloud/oauth/authorize.
    • Token URL — https://kz.auth.yandex.cloud/oauth/token.
    • JWKS URI — https://kz.auth.yandex.cloud/oauth/jwks/keys.

  6. Отключите опцию Автосоздание пользователей, если она включена.

  7. Нажмите Создать федерацию.

  8. На странице созданной федерации скопируйте ее идентификатор из поля ID.

Настройте приложение в Yandex Identity Hub

  1. Вернитесь в Yandex Identity Hub, выберите раздел Приложения и откройте приложение selectel-oidc.
  2. Справа сверху нажмите Редактировать и в открывшемся окне:

    1. В поле Redirect URI укажите адрес:

      https://api.selectel.ru/v1/auth/federations/oidc/<идентификатор_федерации>/callback

      Где <идентификатор_федерации> — идентификатор федерации, созданной в Selectel на предыдущем этапе.

    2. В блоке Безопасность OAuth/OIDC в поле Authentication methods оставьте выбранными оба способа передачи секрета: Client secret basic и Client secret post.

    3. В блоке Безопасность OAuth/OIDC отключите опцию Требовать PKCE.

      Внимание

      Для интеграции с Selectel приложение Yandex Identity Hub не должно требовать использования расширения безопасности PKCE при обмене данными.

    4. В поле Scopes выберите атрибуты openid, email и profile.

    5. Нажмите Сохранить.

Добавьте пользователей

Добавьте пользователей в OIDC-приложение Yandex Identity Hub и в федерацию Selectel.

Примечание

Управлять пользователями и группами, добавленными в OIDC-приложение, может пользователь с ролью organization-manager.oauthApplications.userAdmin или выше.

Добавьте пользователей в OIDC-приложение

Совет

Если вы хотите более тонко настроить аутентификацию пользователей в приложениях, в том числе разрешить аутентификацию только с определенных IP-адресов, используйте политики аутентификации.

Политики аутентификации — это инструмент Yandex Identity Hub, позволяющий гибко настраивать доступ к приложениям, запрещая или разрешая аутентификацию определенным пользователям в определенных приложениях и/или с определенных IP-адресов. Подробнее читайте в разделе Политики аутентификации в Yandex Identity Hub.

Чтобы добавить пользователей:

  1. Откройте приложение selectel-oidc в Yandex Identity Hub.
  2. Перейдите на вкладку Пользователи и группы.
  3. Нажмите Добавить пользователей.
  4. В открывшемся окне выберите пользователя или группу пользователей.
  5. Нажмите Добавить.

Добавьте пользователей в Selectel

Чтобы добавить пользователя в федерацию Selectel:

  1. Получите идентификатор пользователя в Yandex Identity Hub.
  2. В панели управления Selectel в верхнем меню выберите IAM и перейдите в раздел Пользователи панели.
  3. Нажмите Добавить пользователя панели.
  4. В блоке Данные пользователя:
    1. В поле Способ входа выберите Федерация (<имя_федерации>).
    2. В поле External ID укажите ID пользователя, полученный на первом шаге.
    3. В поле Почта укажите адрес электронной почты пользователя.
  5. В блоке Настройки доступа выберите область доступа и назначьте пользователю необходимые разрешения.
  6. Нажмите Добавить пользователя.

Проверьте работу единого входа

Чтобы проверить интеграцию, выполните вход в Selectel от имени пользователя, добавленного в OIDC-приложение:

  1. Откройте страницу входа в Selectel.
  2. Если вы уже вошли в Selectel, выйдите из учетной записи.
  3. Нажмите Войти с помощью SSO.
  4. Введите идентификатор созданной федерации Selectel и нажмите Войти по SSO.
  5. На странице аутентификации Yandex Cloud войдите в учетную запись пользователя. Пользователь должен быть добавлен в OIDC-приложение или состоять в группе, добавленной в приложение.
  6. Если при первом входе Selectel запросит ФИО, укажите его и нажмите Войти по SSO.
  7. Убедитесь, что вы вошли в Selectel.
Предыдущая
SAML
Следующая
Sentry