Единый вход (OpenID Connect)
Люди могут входить через провайдер удостоверений вашей компании вместо пароля. Сеансы такие же, как при входе по паролю. SAML и SCIM не поддерживаются, а вход по паролю остаётся доступным.
Добавление провайдера
Откройте Администрирование > Единый вход и добавьте провайдера (до 10 на компанию). Нужно право settings:write.
| Тип | Что вводится |
|---|---|
| Microsoft 365 | Идентификатор каталога (tenant) вашего Entra ID. Значения common, organizations и consumers отклоняются. |
| Ничего больше. | |
| Generic OpenID Connect | URL издателя (issuer) именно так, как его называет провайдер, например realm Keycloak. |
Для каждого провайдера также введите идентификатор клиента (client ID), секрет клиента (client secret; он только для записи и больше не показывается), разрешённые домены e-mail (точное совпадение, поэтому acme.com не разрешает sub.acme.com) и адреса перенаправления (только https). Укажите тот же адрес перенаправления у провайдера: веб-клиент использует https://<your address>/login.
В Microsoft Entra ID добавьте в регистрацию приложения необязательные утверждения токена ID email и xms_edov. Адрес e-mail, который каталог не подтвердил, никогда не используется.
Кто может войти
Единый вход никогда не создаёт учётные записи. Человек входит, если активный пользователь компании имеет тот же подтверждённый адрес e-mail и домен разрешён. Учётная запись затем связывается с провайдером. Отклоняются: отключённые пользователи, пользователи приостановленных компаний и пользователи с системной ролью.
Двухфакторный вход
Политика двухфакторного входа компании применяется к входам по паролю. При едином входе применяется собственная многофакторная аутентификация провайдера.
Смена издателя провайдера удаляет сохранённый секрет, поэтому введите секрет заново. Ошибки перечислены в разделе Коды ошибок.