Связаться с экспертомПопробовать бесплатно

Создать SAML-приложение в Yandex Identity Hub для интеграции с МТС Линк

Статья создана
Открыть в Markdown

Важно

Часть ресурсов, необходимых для прохождения практического руководства, доступны только в регионе Россия.

МТС Линк — платформа для онлайн-встреч, вебинаров и обучения. Вы можете настроить единый вход в МТС Линк по стандарту SAML: Yandex Identity Hub будет выступать поставщиком удостоверений (IdP), а МТС Линк — поставщиком услуг (SP).

Чтобы пользователи вашей организации могли входить в МТС Линк с помощью учетных записей Yandex Identity Hub:

  1. Перед началом работы.
  2. Создайте SAML-приложение.
  3. Настройте поставщика удостоверений в МТС Линк.
  4. Настройте приложение в Yandex Identity Hub.
  5. Добавьте пользователей в приложение.
  6. Подтвердите домен и включите SSO в МТС Линк.
  7. Проверьте единый вход.

Перед началом работы

Для настройки интеграции вам понадобятся:

  • Организация в Yandex Identity Hub. Если у вас еще нет организации, создайте ее.
  • Учетная запись с доступом к настройкам SSO организации в МТС Линк.
  • Домен электронной почты вашей организации, который вы сможете подтвердить в МТС Линк.
  • Тестовый пользователь в Yandex Identity Hub с адресом электронной почты в этом домене. Если в организации нет подходящего пользователя, добавьте его. Проверьте, что в профиле пользователя заполнены адрес электронной почты, имя и фамилия.

Управлять SAML-приложениями может пользователь, которому назначена роль organization-manager.samlApplications.admin или выше.

Создайте SAML-приложение

  1. Войдите в сервис Yandex Identity Hub и выберите нужную организацию.

  2. На панели слева выберите Приложения.

  3. Нажмите Создать приложение.

  4. Выберите метод единого входа SAML (Security Assertion Markup Language).

  5. В поле Имя задайте имя приложения: mts-link-saml.

  6. Нажмите Создать приложение.

  7. На странице созданного приложения в блоке Конфигурация поставщика удостоверений (IdP) скопируйте и сохраните значения полей:

    • Issuer / IdP EntityID;
    • Login URL;
    • Logout URL.

  8. В блоке Сертификат приложения нажмите Скачать сертификат.

Сохраненные значения и сертификат понадобятся на следующем шаге — при настройке поставщика удостоверений в МТС Линк.

Настройте поставщика удостоверений в МТС Линк

  1. Войдите в МТС Линк с учетной записью, у которой есть доступ к настройкам SSO организации.

  2. Откройте раздел Настройки SSO в настройках организации МТС Линк. Если организация размещена на отдельном поддомене, откройте адрес https://<поддомен_организации>.mts-link.ru/business/sso-settings, в остальных случаях — https://my.mts-link.ru/business/sso-settings.

  3. В блоке Выбор протокола и настройки провайдера идентификации выберите:

    • Протокол — SAML.
    • SSO провайдер — Active Directory. Этот вариант используется для настройки интеграции с Yandex Identity Hub.

  4. Заполните поля значениями, которые вы сохранили при создании SAML-приложения:

    Поле в МТС Линк

    Значение из Yandex Identity Hub

    Идентификатор объекта (Identity Provider (IdP) Entity ID)

    Issuer / IdP EntityID

    URL Системы единого входа (Sign-in page URL)

    Login URL

    URL Системы единого выхода (Sign-out page URL)

    Logout URL

    Сертификат (Identity provider certificate)

    Полное содержимое скачанного сертификата, включая строки -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----

  5. Сохраните настройки. В блоке Введите эти данные в провайдер SSO появятся параметры МТС Линк. Скопируйте и сохраните значения:

    • Идентификатор объекта (Entity ID);
    • URL ACS;
    • URL SLS.

Скопируйте значения целиком, включая все параметры URL. Они понадобятся на следующем шаге.

Настройте приложение в Yandex Identity Hub

Укажите параметры поставщика услуг

  1. В Yandex Identity Hub откройте раздел Приложения и выберите приложение mts-link-saml.

  2. Справа сверху нажмите Редактировать.

  3. В блоке Конфигурация поставщика услуг (SP) укажите значения, скопированные из МТС Линк:

    Поле в Yandex Identity Hub

    Значение из МТС Линк

    SP EntityID

    Идентификатор объекта (Entity ID)

    ACS URL

    URL ACS

    SP Logout URL

    URL SLS

  4. В поле Режим подписи выберите Assertions and Response.

    Важно

    Для интеграции с МТС Линк необходимо подписывать и SAML-ответ, и содержащиеся в нем утверждения. Используйте режим Assertions and Response.

  5. В этой интеграции оставьте выключенными опции Принимать только подписанные запросы и Шифровать assertion в ответе.

  6. Нажмите Сохранить.

Настройте атрибуты пользователей

МТС Линк получает данные пользователя из атрибутов SAML. Настройте их в приложении:

  1. На странице приложения mts-link-saml перейдите на вкладку Атрибуты.

  2. Приведите атрибуты к следующему виду:

    Атрибут

    Значение

    NameID (обязательный)

    SubjectClaims.preferred_username

    fullname

    SubjectClaims.name

    emailAddress

    SubjectClaims.email

    firstName

    SubjectClaims.given_name

    secondName

    SubjectClaims.family_name

    Чтобы изменить существующий атрибут, нажмите на строку с атрибутом, укажите имя и значение из таблицы и нажмите Обновить. Имя обязательного атрибута NameID менять не нужно.

    Чтобы добавить отсутствующий атрибут, нажмите Добавить атрибут, заполните поля Имя атрибута и Значение, затем нажмите Добавить.

Соблюдайте регистр в именах атрибутов. Если в приложении уже есть атрибут emailaddress, переименуйте его в emailAddress. Атрибут secondName должен передавать фамилию пользователя, а не отчество.

Добавьте пользователей в приложение

Чтобы разрешить пользователям вход в МТС Линк, явно добавьте их или их группы в SAML-приложение.

Примечание

Управлять пользователями и группами, добавленными в SAML-приложение, может пользователь, которому назначена роль organization-manager.samlApplications.userAdmin или выше.

  1. На странице приложения mts-link-saml перейдите на вкладку Пользователи и группы.
  2. Нажмите Добавить пользователей.
  3. Выберите нужных пользователей или группы. Для проверки добавьте тестового пользователя.
  4. Нажмите Добавить.

Подтвердите домен и включите SSO в МТС Линк

  1. Вернитесь в раздел Настройки SSO в МТС Линк. На странице с параметрами поставщика услуг нажмите Далее.

  2. В блоке Укажите домен электронной почты введите домен корпоративной почты пользователей и нажмите Добавить.

  3. Подтвердите домен по инструкции МТС Линк. Убедитесь, что рядом с доменом появился статус Подтвержден.

  4. Включите опцию Использовать SSO для входа в личный кабинет.

    При первом входе через SSO МТС Линк автоматически зарегистрирует сотрудника, добавит его в организацию и подключит к тарифному плану компании.

  5. При необходимости включите дополнительные ограничения:

    • Регистрировать пользователей с подтвержденными доменами моей организации только через SSO — чтобы пользователи с такими доменами регистрировались только через единый вход.
    • Использовать SSO для ограничения доступа к курсам и вебинарам для всех аккаунтов организации — чтобы вход на курсы и вебинары организации был доступен только через SSO.

    Совет

    Включайте дополнительные ограничения после проверки единого входа тестовым пользователем, чтобы ошибка в настройках не помешала работе сотрудников.

Проверьте единый вход

  1. Перейдите на страницу входа в МТС Линк: https://my.mts-link.ru/ или на страницу вашей организации на поддомене. Если вы уже вошли в МТС Линк, выйдите из профиля.
  2. Для входа укажите адрес электронной почты тестового пользователя с подтвержденным доменом.
  3. Убедитесь, что МТС Линк перенаправил вас на страницу аутентификации Yandex Identity Hub.
  4. Пройдите аутентификацию под учетной записью тестового пользователя, которого вы добавили в SAML-приложение.
  5. Убедитесь, что после аутентификации вы вернулись в МТС Линк и получили доступ к личному кабинету нужной организации. Проверьте имя, фамилию и адрес электронной почты в профиле.

Если вход не работает, проверьте, что:

  • Домен почты подтвержден в МТС Линк, а опция входа в личный кабинет через SSO включена.
  • Пользователь или его группа добавлены в SAML-приложение.
  • Параметры поставщика услуг и поставщика удостоверений скопированы без изменений, а сертификат соответствует созданному приложению.
  • Выбран режим подписи Assertions and Response.
  • Имена и значения атрибутов совпадают с таблицей, а в профиле пользователя заполнен адрес электронной почты.

Полезные ссылки

Организация — это высший ресурс в иерархии ресурсной модели Yandex Cloud, который объединяет ресурсы всех остальных сервисов, а также используется для управления пользователями и параметрами их аутентификации и авторизации. Подробнее читайте в разделе Организация.

Предыдущая
Zabbix
Следующая
Пассворк