Создать SAML-приложение в Yandex Identity Hub для интеграции с Пассворк

Пассворк — это корпоративная платформа, предназначенная для безопасного и надежного хранения секретов (паролей, ключей, токенов и т.п.), управления секретами, а также автоматизации доступа сотрудников организации к секретам. Пассворк поддерживает SAML-аутентификацию для обеспечения безопасного единого входа пользователей организации.

Чтобы пользователи вашей организации могли аутентифицироваться в Пассворк с помощью технологии единого входа по стандарту SAML, создайте SAML-приложение в Yandex Identity Hub и настройте его на стороне Yandex Identity Hub и на стороне Пассворк.

Управлять SAML-приложениями может пользователь, которому назначена роль organization-manager.samlApplications.admin или выше.

Чтобы предоставить пользователям вашей организации доступ в Пассворк:

1. Создайте SAML-приложение в Yandex Identity Hub.
2. Настройте интеграцию Yandex Identity Hub с Пассворк.
3. Убедитесь в корректной работе приложения.

Создайте приложениеСоздайте приложение

Сохраните настройки поставщика удостоверенийСохраните настройки поставщика удостоверений

На открывшейся странице с информацией о вновь созданном SAML-приложении passwork-app скопируйте и сохраните настройки, необходимые для установления отношений доверия между поставщиком удостоверений и поставщиком услуг на стороне Пассворк:

1. В блоке Конфигурация поставщика удостоверений (IdP) скопируйте и сохраните значения следующих полей:

   • Issuer / IdP EntityID;
   • Login URL;
   • Logout URL.

2. В блоке Сертификат приложения нажмите кнопку Скачать сертификат, чтобы скачать сертификат вашего SAML-приложения.

Сохраненные значения понадобятся позднее при настройке интеграции на стороне Пассворк.

Настройте интеграциюНастройте интеграцию

Чтобы настроить интеграцию Пассворк с созданным SAML-приложением в Yandex Identity Hub, выполните настройки на стороне Пассворк и на стороне Yandex Identity Hub.

Настройте SAML-приложение на стороне ПассворкНастройте SAML-приложение на стороне Пассворк

1. Аутентифицируйтесь в аккаунте Пассворк от имени владельца или администратора.

2. В верхней части экрана нажмите Настройки и пользователи и в появившемся списке выберите Настройки SSO. В открывшемся окне:

   • В блоке Общие настройки включите опции:

     • Включить SSO;
     • Автоматически подтверждать новых пользователей из SSO.

   • В блоке Атрибуты пользователя укажите имена атрибутов пользователей:

     • в поле Атрибут для электронной почты — emailaddress;
     • в поле Атрибут для полного имени — fullname.

   • В блоке Поставщик удостоверений → Пассворк укажите скопированные ранее (в приложении passwork-app) и сохраненные значения настроек:

     • в поле Идентификатор (Entity ID) укажите значение из поля Issuer / IdP EntityID приложения passwork-app;
     • в поле URL ответа (URL службы обработчика утверждений) — значение из поля Login URL;
     • в поле URL выхода — значение из поля Logout URL;
     • в поле Сертификат вставьте содержимое скачанного в приложении passwork-app сертификата.

3. В блоке Пассворк → Поставщик удостоверений скопируйте и сохраните значения настроек, необходимые для установления отношений доверия между поставщиком удостоверений и поставщиком услуг на стороне Yandex Identity Hub:

   • Идентификатор (Entity ID);
   • URL ответа (URL службы обработчика утверждений);
   • URL выхода.

4. Нажмите кнопку Сохранить настройки, чтобы сохранить заданные параметры единого входа.

Настройте SAML-приложение на стороне Yandex Identity HubНастройте SAML-приложение на стороне Yandex Identity Hub

Добавьте пользователей в SAML-приложение Yandex Identity HubДобавьте пользователей в SAML-приложение Yandex Identity Hub

Чтобы пользователи вашей организации могли аутентифицироваться в Пассворк с помощью SAML-приложения Yandex Identity Hub, необходимо явно добавить в это приложение нужных пользователей и/или группы пользователей:

Убедитесь в корректной работе приложенияУбедитесь в корректной работе приложения

Чтобы убедиться в корректной работе SAML-приложения и интеграции с Пассворк, выполните аутентификацию в Пассворк от имени одного из добавленных в приложение пользователей. Для этого:

1. В браузере перейдите по адресу вашего экземпляра Пассворк (например, https://my-domain.passwork-cloud.ru).

2. Если вы уже авторизованы в Пассворк, выйдите из профиля.

3. На странице аутентификации Пассворк нажмите Войти через SSO.

4. На странице аутентификации Yandex Cloud укажите адрес электронной почты и пароль пользователя. Пользователь должен быть добавлен в приложение или состоять в группе, добавленной в приложение.

   Если вы аутентифицируетесь от имени пользователя с аккаунтом на Яндексе, пройдите аутентификацию в Яндекс ID удобным вам способом.

5. Задайте мастер-пароль для нового пользователя, добавляемого в Пассворк.

6. Убедитесь, что вы аутентифицировались в Пассворк. В результате новый пользователь появится в настройках вашего экземпляра Пассворк, и вы сможете настраивать для него права на просмотр и управление секретами.