Единый вход

Единый вход (SSO) позволяет входить в рабочее пространство с учётной записью, которую организация уже выдала. CommonLynk никогда не видит пароль. Пока SSO включён, пароли продолжают работать, а владелец рабочего пространства всегда может войти со своим паролем.

Перед началом

CommonLynk включает SSO для рабочего пространства по запросу. После этого владелец находит его в разделе «Настройки», «Единый вход». Только владелец может добавить поставщика, заявить домен или включить поставщика. Администраторы могут смотреть настройки и запускать проверку.

1. Нажмите «Добавить поставщика», выберите свою систему входа и передайте показанные значения ИТ-отделу.
2. ИТ-отдел создаёт приложение у себя и присылает значения, которые запрашивает CommonLynk.
3. В разделе «Домены» добавьте почтовый домен, опубликуйте показанную рядом запись DNS TXT и нажмите «Проверить».
4. Нажмите «Проверить подключение». Вы по-настоящему входите у поставщика, а страница показывает, что произойдёт.
5. Нажмите «Включить».

Microsoft Entra ID

В центре администрирования Microsoft Entra откройте «Регистрации приложений» и зарегистрируйте приложение только для учётных записей этого каталога организации. Добавьте показанный URI перенаправления как веб-перенаправление. Скопируйте идентификатор приложения (клиента) и идентификатор каталога (клиента Azure), создайте секрет клиента в разделе «Сертификаты и секреты». Издатель — https://login.microsoftonline.com/, затем идентификатор клиента Azure и /v2.0. Укажите дату истечения секрета: CommonLynk предупредит за 30 и за 7 дней.

Для SAML создайте вместо этого корпоративное приложение с SAML, вставьте идентификатор и URL-адрес ответа, показанные CommonLynk, и передайте CommonLynk URL-адрес метаданных федерации. CommonLynk узнаёт людей по идентификатору объекта, а не по адресу почты.

Google Workspace

В консоли Google Cloud своей организации создайте клиент OAuth типа «Веб-приложение» и добавьте показанный URI перенаправления. Укажите и домен Google Workspace: без него войти мог бы любой аккаунт Google, поэтому CommonLynk не сохраняет такого поставщика.

Okta

В консоли администратора Okta создайте интеграцию приложения OIDC типа «Веб-приложение», добавьте URI перенаправления и скопируйте идентификатор клиента, секрет клиента и адрес Okta — это и есть издатель. Для SAML вставьте URL единого входа и аудиторию, показанные CommonLynk, и передайте CommonLynk URL метаданных.

Keycloak

В своём realm создайте клиент OpenID Connect с включённой аутентификацией клиента, добавьте URI перенаправления как допустимый и скопируйте секрет на вкладке «Credentials». Издатель — адрес Keycloak, затем /realms/ и имя realm. Если Keycloak работает в вашей частной сети, попросите CommonLynk разрешить его адрес.

Кто входит

Человек входит через SSO, если его адрес почты относится к одному из подтверждённых доменов. В первый раз CommonLynk создаёт учётную запись без роли и без доступа к записям, если владелец не выбрал роль для поставщика; затем администратор даёт нужное. Можно вместо этого пускать только приглашённых. Существующая учётная запись связывается с рабочей при первом входе; если поставщик не подтверждает адрес, CommonLynk сначала отправляет на него код.

Тех, кто входит через SSO, CommonLynk не просит о втором шаге: это делает вход вашей организации. Страница настроек сообщит, если поставщик не сообщает о двухэтапном входе. Пока SSO включён, владельцу нужна двухэтапная проверка для собственного пароля.

Если SSO перестал работать

На странице входа всегда есть ссылка «Вход владельца», открывающая форму пароля. Если секрет истёк или поставщик недоступен, владелец входит там и выключает поставщика или вводит новый секрет. Выключение поставщика завершает все сеансы, открытые через него.