Подключение нового сервиса к SSO через SAML 2.0

Любой внутренний или внешний сервис с корпоративными данными подключается к единому входу. Самостоятельная база учётных записей в сервисе не допускается.

Что подготовить

• Метаданные поставщика услуги: EntityID, ACS URL, требуемые атрибуты.
• Ответственного владельца сервиса — он согласует состав передаваемых атрибутов.
• Перечень ролей и правило их сопоставления с группами каталога.

Порядок подключения

1. Подайте заявку на интеграцию с приложенными метаданными.
2. Получите метаданные поставщика удостоверений и загрузите их в сервис.
3. Проверьте связку в тестовом контуре: вход, выход, повторный вход после истечения сессии.
4. Согласуйте состав атрибутов со службой информационной безопасности.
5. Переведите сервис на продуктивный контур и отключите локальные пароли.

Типовые ошибки

• Расхождение EntityID между заявкой и конфигурацией сервиса.
• Просроченный сертификат подписи на стороне сервиса — срок жизни 12 месяцев.
• Часы сервера сервиса расходятся с эталонным временем более чем на 5 минут.
• Ожидание атрибута, который каталог не отдаёт — состав фиксирован и не расширяется под один сервис.