Настройка SSO через Active Directory Federation Service

Интеграция с ADFS по протоколу OIDC (OpenID Connect) предоставляет безопасный способ аутентификации, при котором пользователи могут использовать свои корпоративные учетные записи для доступа к VK WorkSpace без необходимости повторного ввода пароля.

1. Установите и настройте Active Directory Federation Service (ADFS) на сервере в вашей организации.

   ADFS должна быть настроена с SSL-сертификатом и подключена к домену Active Directory. На уровне сетевой конфигурации необходимо разрешить входящие HTTPS-запросы с IP-адресов из диапазона 95.163.133.4/30.

2. В интерфейсе ADFS откройте раздел Группы приложений и нажмите на Добавить группу приложений.

   

3. Укажите имя группы, описание (опционально), выберите шаблон Серверное приложение и нажмите на кнопку Далее.

   

4. Откроется шаг Приложение сервера. Скопируйте данные из поля Идентификатор клиента в буфер обмена.

   

1. В панели администратора перейдите в раздел Конфигурация → Настройки → Способы аутентификации.

2. В блоке SSO – технология единого входа нажмите на кнопку Настройки.

3. Заполните форму:

   
   • В поле Client ID вставьте идентификатор клиента, которы вы скопировали в интерфейсе ADFS.
   • Из поля URL для обратного редиректа скопируйте URL в буфер обмена.

   Вернитесь в интерфейс ADFS.

В интерфейсе ADFS:

1. Вставьте URL для обратного редиректа в поле Перенаправить URI, нажмите на кнопку Добавить, затем на кнопку Далее.

   

2. Откроется шаг Настроить учетные данные приложения. Отметьте галочкой Создать общий секрет и скопируйте его в буфер обмена.

   

   Нажмите Далее → Далее → Закрыть.

Перейдите в интерфейс настроек SSO в панели администратора VK WorkSpace. Вставьте ключ-секрет в поле Client Secret и нажмите на кнопку Сохранить.

Перейдите в интерфейс ADFS и дважды нажмите на ранее созданную группу:

1. В открывшемся окне нажмите на кнопку Добавить приложение.

   

2. Выберите шаблон Веб-интерфейс API и нажмите на кнопку Далее.

   

3. Впишите в поле Идентификатор значение myteam.vmailru.net, нажмите на кнопку Добавить, затем на кнопку Далее.

   

4. Выберите политику управления доступом:

   • Если вы хотите, чтобы все пользователи каталога могли авторизоваться в продуктах VK Workspace с помощью SSO, то необходимо использовать политику Разрешение для каждого.

   • Если хотите ограничить список пользователей, то используйте Разрешение для определенной группы.

   

   После выбора политики нажмите на кнопку Далее.

5. В разделе Разрешенные области необходимо отметить галочками:

   • allatclaims
   • email
   • openid
   • profile
   • user_impersonation
   

   Нажмите Далее -> Далее -> Закрыть.

Выполните эти настройки, если нужно, чтобы в системе и адресной книге отображалась дополнительная информация о пользователе.

1. Откройте свойства созданной группы, выберите добавленный на предыдущем шаге веб-интерфейс API и нажмите на кнопку Изменить.

   

2. Откройте вкладку Правила преобразования выдачи и нажмите на кнопку Добавить правило.

   

3. Выберите шаблон Отправка атрибутов LDAP как утверждений и нажмите на кнопку Далее.

   

4. Задайте имя для правила, выберите Active Directory в качестве хранилища атрибутов и для атрибутов LDAP пропишите соответствующие утверждения:

   Тип утверждения	Описание
   related_emails	Связанные почтовые ящики. Если корпоративная учетная запись Active Directory привязана к нескольким адресам электронной почты, то необходимо добавить их в атрибут Proxy-Addresses и сопоставить с утверждением related_emails
   email	Почтовый ящик. Если корпоративная учетная запись Active Directory отличается от привязанного к ней адреса электронной почты, то необходимо сопоставить атрибут E-Mail-Addresses с утверждением email
   given_name	Имя
   family_name	Фамилия
   job_title	Должность
   department	Подразделение
   company	Организация
   phone	Рабочий номер телефона
   phone_fax	Факс
   phone_home	Домашний номер телефона
   phone_mobile	Мобильный номер телефона
   phone_other	Дополнительный номер телефона
   address	Адрес
   comment	Примечание / комментарий
   boss	ФИО руководителя

   Пример сопоставления атрибутов LDAP и утверждений в интерфейсе ADFS:

   

Нажмите на кнопку Готово, затем на кнопку OK.

Перейдите в интерфейс настроек SSO в панели администратора VK Workspace (Конфигурация → Настройки → Способы аутентификации) и включите вход через SSO:

• Авторизуйтесь в любом сервисе VK WorkSpace через учетную запись, заведенную в панели администратора.
• Авторизуйтесь в любом сервисе VK WorkSpace через учетную запись, заведенную в ADFS и отсутствующую в панели администратора. Проверьте, что сотрудник появился в списке пользователей после успешной авторизации (раздел Пользователи в меню панели администратора).

1. ADFS должен быть доступен только из внутреннего периметра / корпоративного VPN, либо должны использоваться дополнительные средства защиты.

2. Рекомендуется использовать двухфакторную аутентификацию и включать её:

   • через клиентские сертификаты (см. документацию Microsoft);

   • через аппаратные токены / аутентификаторы (расширение для ADFS обычно поставляется производителем токена).