Сопоставление групп пользователей в Microsoft Entra ID

Вы можете использовать сервис Microsoft Entra ID (бывший Azure Active Directory) для аутентификации пользователей в организации.

Чтобы настроить сопоставление (mapping) групп пользователей в Entra ID и групп пользователей в федерации удостоверений:

1. Начните настройку приложения в Azure.
2. Создайте федерацию в Yandex Cloud Organization.
3. Добавьте SAML-сертификат приложения в федерацию.
4. Завершите настройку приложения.
5. Настройте сопоставление групп на стороне приложения.
6. Настройте сопоставление групп на стороне федерации.
7. Проверьте работу аутентификации.

Перед началом работыПеред началом работы

Убедитесь, что у вас есть доступ к следующим службам на портале Azure:

• Корпоративные приложения.
• Microsoft Entra ID.

Начните настройку приложения в AzureНачните настройку приложения в Azure

В роли поставщика удостоверений (IdP) выступает приложение в Microsoft Azure с настроенной технологией единого входа (Single Sign-On, SSO). Чтобы создать приложение и начать его настройку:

1. Перейдите на портал Azure.

2. В разделе Службы Azure выберите Корпоративные приложения.

3. На панели слева выберите раздел Корпоративные приложения → Все приложения.

4. Нажмите кнопку Новое приложение.

5. На странице Обзор коллекции Microsoft Entra нажмите кнопку Создайте собственное приложение.

6. В открывшемся окне:

   1. Введите название приложения, например yandex-cloud-saml.
   2. Выберите опцию Интеграция с любыми другими приложениями, которых нет в коллекции (вне коллекции).
   3. Нажмите кнопку Создать.

   После создания приложения откроется его страница.

7. На панели слева выберите раздел Единый вход.

8. Выберите режим единого входа SAML.

   Откроется страница Вход на основе SAML.

9. Скачайте SAML-сертификат приложения, который используется для подписи сообщений от Entra ID:

   1. Найдите блок Сертификаты SAML → Сертификат для подписи маркера.
   2. Скачайте сертификат по ссылке в поле Сертификат (Base64).

10. Сохраните реквизиты, которые потребуются в дальнейшем при настройке федерации удостоверений:

    1. Найдите блок Настройка yandex-cloud-saml.

       Если вы выбрали другое имя приложения, то имя блока будет отличаться от приведенного.

    2. Сохраните необходимые реквизиты:

       • URL-адрес входа следующего вида:

         https://login.microsoftonline.com/<идентификатор_тенанта>/saml2
         

       • Идентификатор Microsoft Entra следующего вида:

         https://sts.windows.net/<идентификатор_тенанта>/
         

Создайте федерацию Yandex Cloud OrganizationСоздайте федерацию Yandex Cloud Organization

Добавьте SAML-сертификат приложения Azure в федерациюДобавьте SAML-сертификат приложения Azure в федерацию

Чтобы при аутентификации сервис Cloud Organization мог проверить SAML-сертификат приложения, добавьте сертификат в федерацию:

Завершите настройку приложения AzureЗавершите настройку приложения Azure

1. Перейдите на вкладку браузера, в которой выполнялась настройка входа на основе SAML для приложения yandex-cloud-saml.

2. Укажите URL для перенаправления:

   1. Найдите блок Базовая конфигурация SAML.

   2. Нажмите кнопку Изменить в блоке.

   3. Укажите один и тот же URL для перенаправления в полях Идентификатор (сущности) и URL-адрес ответа (URL-адрес службы обработчика утверждений).

      URL для перенаправления имеет вид:

      https://console.cloud.yandex.ru/federations/<идентификатор_федерации>
      

      Как получить идентификатор федерации

      1. Войдите в сервис Yandex Cloud Organization.
      2. На панели слева выберите Федерации.
      3. Выберите нужную федерацию и на странице с информацией о ней скопируйте значение поля Идентификатор.

   4. Нажмите кнопку Сохранить на панели справа.

3. (Опционально) Если при создании федерации в Yandex Cloud Organization вы включили опцию Подписывать запросы аутентификации, то добавьте скачанный ранее SAML-сертификат Yandex Cloud в приложение:

   1. Найдите блок Сертификаты SAML → Сертификаты для проверки (необязательно) и нажмите кнопку Изменить.

   2. Включите опцию Требовать сертификаты для проверки.

   3. Нажмите кнопку Отправить сертификат.

   4. Загрузите нужный сертификат в формате PEM.

      Если вы не скачивали SAML-сертификат при создании федерации, вы можете скачать его на странице сведений о федерации в Yandex Cloud Organization, нажав кнопку Скачать сертификат в поле Подписывать запросы аутентификации.

   5. Нажмите кнопку Сохранить на панели справа.

4. Нажмите кнопку Сохранить.

Настройте сопоставление групп на стороне приложения AzureНастройте сопоставление групп на стороне приложения Azure

Создайте пользователяСоздайте пользователя

1. Перейдите на портал Azure.

2. В разделе Службы Azure выберите Microsoft Entra ID.

3. На панели слева выберите раздел Пользователи → Все пользователи.

4. Нажмите кнопку Новый пользователь. Выберите пункт Создание нового пользователя из выпадающего меню.

5. Перейдите на вкладку Основные сведения.

6. В поле Имя субъекта-пользователя укажите логин пользователя (например az_demo_user) в комбинации с доменом (например example.com).

7. В поле Псевдоним почты укажите адрес электронной почты. По умолчанию псевдоним совпадает с именем пользователя.

   Вы можете указать другой псевдоним:

   1. Отключите опцию Сформировать на основе имени субъекта-пользователя.
   2. Укажите нужный псевдоним.

   Например можно использовать псевдоним ivan_ivanov для пользователя az_demo_user@example.com.

8. В поле Отображаемое имя укажите имя пользователя, которое будет отображаться в интерфейсе, например Ivan Ivanov.

9. В поле Пароль укажите пароль пользователя, который будет использоваться при первом входе. По умолчанию пароль генерируется автоматически.

   Вы можете указать пароль вручную:

   1. Отключите опцию Автоматическое создание пароля.
   2. Укажите нужный пароль.

10. Убедитесь, что опция Учетная запись включена на вкладке Основные сведения включена.

11. Нажмите кнопку Проверить и создать.

Создайте группу и добавьте в нее пользователяСоздайте группу и добавьте в нее пользователя

1. Перейдите на портал Azure.

2. В разделе Службы Azure выберите Microsoft Entra ID.

3. Создайте группу:

   1. На панели слева выберите раздел Группы → Все группы.
   2. Нажмите кнопку Создать группу.
   3. Из выпадающего списка Тип группы выберите пункт Группа безопасности.
   4. В поле Имя группы укажите имя группы, например az_demo_group.
   5. В поле Члены нажмите ссылку Нет выбранных участников.
   6. В открывшемся окне отметьте пользователя az_demo_user@example.com и нажмите кнопку Выбрать.
   7. Нажмите кнопку Создать.

4. Получите идентификатор созданной группы:

   1. На панели слева выберите раздел Группы → Все группы.

   2. Найдите в списке группу az_demo_group и скопируйте ее идентификатор из столбца ИД объекта.

      Идентификатор имеет вид XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX.

Настройте доступы для группыНастройте доступы для группы

Настройте приложение так, чтобы созданная группа имела к нему доступ:

1. Перейдите на портал Azure.
2. В разделе Службы Azure выберите Корпоративные приложения.
3. На панели слева выберите раздел Корпоративные приложения → Все приложения.
4. Выберите созданное ранее приложение yandex-cloud-saml.
5. На панели слева выберите Пользователи и группы.
6. Нажмите Добавить пользователя или группу.
7. В поле Группы нажмите Не выбрано.
8. В открывшемся окне отметьте группу az_demo_group и нажмите кнопку Выбрать.
9. Нажмите кнопку Назначить.
10. Нажмите кнопку Сохранить.

Настройте сопоставление группНастройте сопоставление групп

1. Перейдите на портал Azure.

2. В разделе Службы Azure выберите Корпоративные приложения.

3. На панели слева выберите раздел Корпоративные приложения → Все приложения.

4. Выберите созданное ранее приложение yandex-cloud-saml.

5. На панели слева выберите раздел Единый вход.

6. Найдите блок Атрибуты и утверждения и нажмите кнопку Изменить. Далее будут настроены нужные утверждения (claims).

7. Нажмите кнопку Добавить утверждение о группе.

8. В блоке Какие группы, связанные с пользователем, следует возвратить в утверждении? выберите опцию Группы безопасности.

9. Из выпадающего списка Атрибут источника выберите пункт Идентификатор группы.

10. Раскройте блок Дополнительные параметры и измените параметры:

    1. Включите опцию Изменение имени утверждения группы.
    2. В поле Имя (необязательно) введите member.

11. Нажмите кнопку Сохранить на панели справа.

12. Нажмите кнопку Сохранить.

Настройте сопоставление групп на стороне федерацииНастройте сопоставление групп на стороне федерации

Проверьте работу аутентификацииПроверьте работу аутентификации

1. Откройте браузер в гостевом режиме или режиме инкогнито.

2. Перейдите по URL для входа в консоль:

   https://console.cloud.yandex.ru/federations/<идентификатор_федерации>
   

   Как получить идентификатор федерации

   1. Войдите в сервис Yandex Cloud Organization.
   2. На панели слева выберите Федерации.
   3. Выберите нужную федерацию и на странице с информацией о ней скопируйте значение поля Идентификатор.

   Если все настроено правильно, браузер перенаправит вас на страницу аутентификации в Entra ID.

3. Введите реквизиты пользователя az_demo_user@example.com, созданного ранее в Entra ID, и нажмите кнопку Sign in.

   После успешной аутентификации IdP-сервер перенаправит вас по URL https://console.cloud.yandex.ru/federations/<идентификатор_федерации>, который вы указали в настройках SAML для приложения Azure, а после — на главную страницу консоли управления.

4. Убедитесь, что пользователь, от имени которого был выполнен вход, входит в группу yc-demo-group и у него есть права на просмотр ресурсов в соответствии с ролью, назначенной для группы.