В инструкции описано, как запустить Суперапп (ранее — VK Teams) для использования Почты VK WorkSpace без функциональности мессенджера. Вы сможете пользоваться Почтой и Календарем через приложение, снизив при этом нагрузку на серверы.
-
Установите и настройте IdP (провайдер аутентификации), совместимый с протоколом OIDC (OpenID Connect), например, Keycloak. Создайте изолированную область (в Keycloak — Realm) и клиентское приложение. На уровне сетевой конфигурации необходимо разрешить входящие HTTPS-запросы.
-
Установите Почту VK WorkSpace версии 26.1 или выше по инструкции в зависимости от типа вашей инсталляции:
-
Откройте веб-интерфейс установщика.
-
Нажмите на кнопку
в правом верхнем углу, выберите пункт Продукты. -
Перейдите на вкладку Администрирование.
-
Включите продукт Single sign-on-аутентификация.
-
Внизу страницы нажмите Сохранить.
-
Перейдите на главную страницу веб-интерфейса установщика и запустите автоматическую установку. Если после установки остались роли помеченные желтым, запустите автоматическую установку еще раз.
-
Перейдите в расширенную панель администратора по адресу
https://biz.<ваш_домен>/admin/features/?name=ssoи проверьте что включена фичаsso-enabled. -
Скопируйте и сохраните URL для обратного редиректа:
- В панели адмнистратора VK WorkSpace перейдите в раздел Конфигурация → Настройки → Способы аутентификации.
- В блоке SSO – технология единого входа нажмите на кнопку Изменить настройки.
- Отобразится форма SSO аутентификация. Скопируйте и сохраните URL из поля URL для обратного редиректа. Заполнять форму пока не нужно, вы вернетесь к ее заполнению позже.
-
Перейдите в раздел Clients и нажмите на кнопку Create client.
-
В поле Client type выберите
OpenID Connect, в поле Client ID укажите любой удобный вам идентификатор.
Остальные поля (необязательные) заполните по желанию и нажмите на кнопку Next.
-
Откроется раздел Capability config:
- Включите опции Client authentication, Authorization.
- В блоке Authentication flow отметьте галочками
Standard flowиDirect access grants. - Нажмите на кнопку Next.
-
Откроется раздел Login settings:
- в полях Root URL и Home URL укажите адрес сервера, на котором расположен Keycloack;
- в поле Valid redirect URIs укажите URL для обратного редиректа из настроек SSO в панели администратора.
- поле Valid post logout redirect URIs оставьте пустым;
- в поле Web origins укажите ваш домен для основных сервисов.
Нажмите на кнопку Save.
-
Перейдите на вкладку Credentials, скопируйте и сохраните ключ-секрет из поля Client Secret.
-
Перейдите в раздел Realm settings. На вкладке General, в блоке Endpoints, нажмите на OpenID Endpoint Configuration.
-
Откроется страница с конфигурационными данными. Скопируйте и сохраните следующие URL-адреса:
authorization_endpoint,token_endpoint,introspection_endpointиuserinfo_endpoint.
Перейдите в раздел настройки SSO в панели администратора (Конфигурация → Настройки → Способы аутентификации) и заполните форму. В полях укажите данные, а также URL-адреса и идентификаторы, которые вы сохранили на предыдущих шагах:
- URL для корпоративной авторизации —
authorization_endpoint. - URL для user info —
userinfo_endpoint. - URL получения токена —
token_endpoint. - URL для валидации токена (token introspection) —
introspection_endpoint. - Client ID — идентификатор, который вы придумали и сохранили при создании клиента в OIDC-провайдере.
- Client Secret — ключ-секрет из интерфейса OIDC-провайдера.
Вернитесь в интерфейс администрирования Keycloak.
Если нужно, чтобы в системе и адресной книге отображалась дополнительная информация о пользователе, создайте соответствующие атрибуты в Keycloak. Все доступные атрибуты перечислены в таблице:
Название атрибута | Описание | Включить опцию Multivalued |
|---|---|---|
related_emails | Связанные почтовые ящики | да |
job_title | Должность | нет |
department | Подразделение | нет |
company | Организация | нет |
phone | Рабочий номер телефона | да |
phone_fax | Факс | да |
phone_home | Домашний номер телефона | да |
phone_mobile | Мобильный номер телефона | да |
phone_other | Дополнительный номер телефона | да |
address | Адрес. Данный атрибут может быть передан как с типом | нет |
comment | Примечание / комментарий | нет |
boss | ФИО руководителя | нет |
Перейдите в раздел Realm settings, на вкладке User profile нажмите на кнопку Create attribute и заполните форму:
- в полях Attribute [Name] и Display name введите название нужного атрибута, например
related_emails; - если нужно, включите опцию Multivalued (см. в таблице выше);
- остальные настройки/поля оставьте без изменений;
Нажмите на кнопку Create. Повторите действия и создайте все нужные атрибуты.
В разделе Client scopes заведите записи для созданных атрибутов.
2.1. Нажмите на кнопку Create client scope и заполните форму:
- в полях Name и Description укажите название нужного атрибута, например
related_emails; - в поле Type выберите
default; - в поле Protocol выберите
OpenID Connect;
Нажмите на кнопку Save.
2.2. Перейдите на вкладку Mappers и нажмите на кнопку Configure a new mapper. Откроется окно со списком — найдите в списке User attribute и нажмите на него. Заполните форму:
- в полях Name и Token Claim Name укажите название нужного атрибута, например
related_emails; - в поле User attribute выберите из списка соответствующее название атрибута, например
related_emails; - если нужно, включите опцию Multivalued (см. в таблице выше).
Остальные настройки оставьте без изменений. Нажмите на кнопку Save. Повторите действия для всех нужных вам атрибутов.
Перейдите в раздел Clients и выберите ранее созданного клиента. На вкладке Client scopes выполните следующие действия:
-
Найдите в списке параметр
emailи убедитесь, что у него задан типDefaultи указаноOpenID Connect built-in scope: email.
-
Нажмите на кнопку Add client scope и в открывшемся окне отметьте галочками все созданные атрибуты. По умолчанию в окне отображается 10 записей, поэтому если вы создали больше десяти атрибутов, воспользуйтесь опцией перехода, чтобы отметить все атрибуты. Затем нажмите Add → Default.
На этом настройка SSO в Keycloak завершена.
Перейдите в интерфейс настроек SSO в панели администратора VK Workspace (Конфигурация → Настройки → Способы аутентификации) и включите вход через SSO:
- Авторизуйтесь в любом сервисе VK WorkSpace через учетную запись, заведенную в панели администратора.
- Авторизуйтесь в любом сервисе VK WorkSpace через учетную запись, заведенную в Keycloack и отсутствующую в панели администратора. Проверьте, что сотрудник появился в списке пользователей после успешной авторизации (раздел Пользователи в меню панели администратора).
Суперапп будет доступен для скачивания на лендинге по адресу https://dl.<сайт_компании>.
После запуска Супераппа вы можете управлять безопасностью Супераппа для мобильных устройств — контролировать, защищать и управлять мобильными приложениями, установленными на устройствах сотрудников, обеспечивая безопасность корпоративных данных и предотвращая несанкционированный доступ.
Управление осуществляется через файл конфигурации /opt/mailOnPremise/dockerVolumes/superapp-nginx1/public/myteam-config.json.
Начиная с версии 26.1 Суперапп может работать без инсталляции Мессенджера VK WorkSpace, но в таком случае групповые политики не будут доступны. Если вам необходимы групповые политики — запустите Суперапп по инструкции.
Технический писатель: Белова Ирина