Связаться с экспертомПопробовать бесплатно
Создавайте контент и получайте гранты!Готовы написать своё руководство? Участвуйте в контент-программе и получайте гранты на работу с облачными сервисами!
Подробнее о программе
Проект Яндекса
© 2026 ООО «Яндекс.Облако»

Создать SAML-приложение в Yandex Identity Hub для интеграции с Time

Статья создана
Обновлена 4 августа 2026 г.
Открыть в Markdown

Time — корпоративный мессенджер с поддержкой единого входа по стандарту SAML.

Чтобы пользователи вашей организации могли аутентифицироваться в Time с помощью технологии единого входа по стандарту SAML, создайте SAML-приложение в Yandex Identity Hub и настройте его на стороне Yandex Identity Hub и на стороне Time.

Управлять SAML-приложениями может пользователь, которому назначена роль organization-manager.samlApplications.admin или выше.

Чтобы дать доступ пользователям вашей организации в Time:

  1. Сгенерируйте ключ и сертификат.
  2. Создайте приложение.
  3. Настройте интеграцию.
  4. Добавьте пользователей.
  5. Убедитесь в корректной работе приложения.

Сгенерируйте ключ и сертификат

Для шифрования и подписи SAML-ответов Time нужен сертификат и закрытый ключ поставщика услуг (SP). Сгенерируйте его с помощью утилиты openssl:

openssl req -x509 -newkey rsa:2048 \
  -keyout private.key \
  -out certificate.crt \
  -days 365 -nodes \
  -subj "/CN=<имя_инстанса>.time‑messenger.ru"

Где <имя_инстанса> — имя инстанса Time (поддомена на time‑messenger.ru).

В результате будут созданы два файла: private.key — закрытый ключ и certificate.crt — сертификат. Сохраните их — они понадобятся при настройке SAML в Time.

Создайте приложение

  1. Войдите в сервис Yandex Identity Hub.
  2. На панели слева выберите Приложения.
  3. Нажмите Создать приложение и в открывшемся окне:
    1. Выберите метод единого входа SAML (Security Assertion Markup Language).
    2. В поле Имя задайте имя создаваемого приложения: time‑saml‑app.
    3. (Опционально) Добавьте описание и метки приложения.
    4. Нажмите Создать приложение.
  4. На вкладке Обзор в блоке Сертификат приложения нажмите Скачать сертификат и сохраните сертификат созданного приложения time‑saml‑app.cer — он понадобится при настройке SAML в Time.

Настройте интеграцию

Чтобы настроить интеграцию Time с созданным SAML-приложением в Yandex Identity Hub, выполните настройки на стороне Yandex Identity Hub и на стороне Time.

Настройте эндпоинты и загрузите сертификат поставщика услуг

Укажите данные вашего инстанса Time. Чтобы узнать значения эндпоинтов, перейдите в системную консоль Time по адресу https://<имя_инстанса>.time‑messenger.ru/admin_console/authentication/saml и скопируйте значения полей Entity ID и ACS URL из настроек SAML.

  1. Войдите в сервис Yandex Identity Hub.
  2. На панели слева нажмите Приложения и выберите SAML-приложение time‑saml‑app.
  3. Справа сверху нажмите Редактировать и в открывшемся окне:
    1. В блоке Конфигурация поставщика услуг (SP):

      1. В поле SP EntityID укажите Entity ID — уникальный идентификатор поставщика услуг.

      2. В поле ACS URL укажите ACS URL — адрес, на который поставщик услуг будет отправлять запросы для аутентификации пользователя.

      3. (Опционально) При необходимости добавьте еще ACS URL, нажав Добавить URL.

      4. (Опционально) В поле SP Logout URL добавьте адрес, по которому поставщик удостоверений отправляет SAML-ответ после успешного выхода пользователя из системы.

      5. В поле Режим подписи выберите, для каких частей SAML-ответа будет сформирована подпись:

        • Assertions — подписываются только утверждения о пользователе (идентификатор, атрибуты, время аутентификации).
        • Response — подписывается весь SAML-ответ целиком.
        • Assertions and Response — подписываются и утверждения, и весь ответ.
    2. (Опционально) Чтобы принимать только запросы, подписанные одним из добавленных сертификатов, включите Принимать только подписанные запросы и добавьте сертификат с помощью кнопки Добавить сертификат.
    3. Чтобы SAML-ответ был зашифрован с помощью выбранного сертификата, включите опцию Шифровать assertion в ответе и добавьте ранее созданный сертификат с помощью кнопки Добавить сертификат.
    4. В списке Алгоритм шифрования данных выберите RSA-OAEP-SHA256 (рекомендуется).
    5. В списке Алгоритм шифрования ключа выберите RSA-OAEP-SHA1.
    6. Нажмите Сохранить.

Настройте атрибуты пользователей

  1. Войдите в сервис Yandex Identity Hub.

  2. На панели слева нажмите Приложения и выберите SAML-приложение time‑saml‑app.

  3. Перейдите на вкладку Атрибуты.

  4. Добавьте атрибут для передачи имени пользователя. Справа сверху нажмите Добавить атрибут и в открывшемся окне:

    • В поле Имя атрибута введите username.
    • В поле Значение выберите значение SubjectClaims.preferred_username.

    Примечание

    Чтобы изменять значение атрибутов перед отправкой в приложение (например, привести текст к нижнему регистру, удалить пробелы или извлечь часть строки) — используйте трансформации. Они применяются последовательно, сверху вниз.

    • Нажмите Добавить трансформацию и выберите тип трансформации ExtractBefore, в поле Подстрока укажите @. Она извлечет часть адреса электронной почты до символа @. Это значение будет использоваться как имя пользователя в Time.
    • Нажмите Добавить.

Настройте SAML-аутентификацию на стороне Time

  1. Войдите в системную консоль Time по адресу https://<имя_инстанса>.time‑messenger.ru/admin_console/authentication/saml.
  2. В разделе Аутентификация:

    1. Включите опцию Включить вход через SAML 2.0.

    2. В поле URL метаданных провайдера идентификации укажите адрес, по которому Time отправляет запрос на получение метаданных.

      Как узнать адрес файла с метаданными приложения
      1. Войдите в сервис Yandex Identity Hub.
      2. На панели слева выберите Приложения и выберите SAML-приложение time‑saml‑app.
      3. В блоке Конфигурация поставщика удостоверений (IdP) скопируйте значение поля Metadata URL.

    3. В поле SAML SSO URL укажите адрес, на который Time отправляет SAML-запрос для запуска последовательности входа.

      Как узнать адрес для запросов аутентификации
      1. Войдите в сервис Yandex Identity Hub.
      2. На панели слева выберите Приложения и выберите SAML-приложение time‑saml‑app.
      3. В блоке Конфигурация поставщика удостоверений (IdP) скопируйте значение поля Login URL.

    4. В поле URL-адрес издателя поставщика учетных записей укажите адрес, который используется для SAML-запросов.

      Как узнать адрес издателя поставщика учетных записей
      1. Войдите в сервис Yandex Identity Hub.
      2. На панели слева выберите Приложения и выберите SAML-приложение time‑saml‑app.
      3. В блоке Конфигурация поставщика удостоверений (IdP) скопируйте значение поля Issuer / IdP EntityID.

    5. В блоке Публичный сертификат удостоверяющего центра загрузите файл сертификата приложения time‑saml‑app.cer.

    6. Включите опцию Проверка подписи.

    7. В поле Адрес входа через поставщика услуг укажите адрес вида: https://<имя_инстанса>.time‑messenger.ru/login/sso/saml. Продублируйте этот адрес в поле Идентификатор поставщика услуг.

    8. Включите опцию Включить шифрование.

    9. В блоке Закрытый ключ поставщика услуг загрузите файл закрытого ключа private.key.

    10. В блоке Публичный сертификат поставщика услуг загрузите файл сертификата certificate.crt.

    11. В списке Алгоритм подписи выберите алгоритм RSAwithSHA512 для подписания запроса.

    12. В списке Алгоритм канонизации выберите Exclusive XML Canonicalization 1.0 (пропустить комментарии).

    13. В поле Атрибут электронной почты укажите emailaddress.

    14. В поле Атрибут имени пользователя укажите username.

    15. (Опционально) В поле Атрибут имени укажите givenname — атрибут для заполнения имени пользователя в Time.

    16. (Опционально) В поле Атрибут фамилии укажите surname — атрибут для заполнения фамилии пользователя в Time.

    17. (Опционально) В поле Текст кнопки входа укажите текст, который будет отображаться на кнопке входа на странице авторизации. По умолчанию — Используя SAML.

  3. Нажмите Сохранить.

Добавьте пользователей

Для аутентификации в Time, добавьте в SAML-приложение Yandex Identity Hub нужных пользователей и/или группы пользователей.

Примечание

Управлять пользователями и группами, добавленными в SAML-приложение, может пользователь, которому назначена роль organization-manager.samlApplications.userAdmin или выше.

Чтобы добавить пользователей в SAML-приложение:

  1. Войдите в сервис Yandex Identity Hub.
  2. На панели слева выберите Приложения и выберите нужное приложение.
  3. Перейдите на вкладку Пользователи и группы.
  4. Нажмите Добавить пользователей.
  5. В открывшемся окне выберите нужных пользователей.
  6. Нажмите Добавить.

Совет

Если вы хотите более тонко настроить аутентификацию пользователей в приложениях, в том числе разрешить аутентификацию только с определенных IP-адресов, используйте политики аутентификации.

Политики аутентификации — это инструмент Yandex Identity Hub, позволяющий гибко настраивать доступ к приложениям, запрещая или разрешая аутентификацию определенным пользователям в определенных приложениях и/или с определенных IP-адресов. Подробнее читайте в разделе Политики аутентификации в Yandex Identity Hub.

Убедитесь в корректной работе приложения

Чтобы убедиться в корректной работе SAML-приложения и интеграции с Time, выполните вход в Time под учетной записью одного из добавленных пользователей. Для этого:

  1. В браузере откройте страницу входа вашего инстанса Time: https://<имя_инстанса>.time‑messenger.ru.
  2. Выберите вход Используя SAML.
  3. Аутентифицируйтесь в Yandex Cloud с учетной записью пользователя из вашей организации.
  4. Убедитесь, что после успешной аутентификации вы вошли в Time.
Предыдущая
SonarQube
Следующая
OpenID Connect