Налаштування протоколу SAML
Hideez Enterprise Server – Протокол SAML
Сервер Hideez Enterprise Server (HES) підтримує стандарт SAML 2.0 (Security Assertion Markup Language) для автентифікації користувачів.
Сервер HES — це IdP (Identity Provider), який дозволяє використовувати Систему Єдиного Входу (SSO) для всіх вебдодатків (які своєю чергою іменуються як SP, Service Provider), що підтримують SAML. Оскільки HES підтримує безпарольну авторизацію FIDO2, постачальники послуг автоматично отримують можливість авторизуватися за допомогою апаратних ключів безпеки без необхідності створювати та вводити паролі.
Параметри входу які підтримуються на сервері HES:
Ім'я користувача + пароль (не рекомендовано)
Ім'я користувача + пароль + другий фактор (ключ безпеки - апаратні ключі або платформенна автентифікація, одноразовий пароль (OTP), мобільний автентифікатор)
Безпарольна автентифікація
Ім'я користувача + ключ безпеки (апаратний ключ або платформа)
Без імені користувача і без пароля
Ключ безпеки (апаратний ключ або платформа)
Identity Provider та Service Provider повинні обмінюватися сертифікатами публічних ключів (асиметричне шифрування), адресами для запитів та іншими параметрами для встановлення згоди між ними.
To set up Hideez Server as an IdP, follow these steps:
Коли користувач входить у програму через SAML, Hideez (як IdP) передає запит SAML у браузер користувача, яке потім пересилається до веб-програми ( Сервіс провайдра, SP). Потім Hideez Server автентифікує користувача.
Налаштування сервера Hideez як постачальника ідентифікаційної інформації (IdP)
Сервер Hideez (IdP) і постачальники послуг (SP, тобто веб-додатки) повинні обмінюватися сертифікатами відкритих ключів або метаданими.
Для того, щоб отримати метадані IdP, які будуть використовуватися для налаштування SAML на стороні Сервіс Провайдера (SP):
Перейдіть до Параметри → Налаштування → SAML
Тут ви можете отримати необхідні дані, які ви повинні надати своєму постачальнику послуг (SP):
Завантажити метадані
Переглянути метадані
Завантажити сертифікат
Додавання Постачальника послуг (SP, Service Provider)
Натисніть Додати постачальника послуг
У відкритому файлі вкладки відповідні поля:
Емітент – випадкове унікальне ім’я SP, яке потрібно скопіювати з налаштувань SP або витягти з файлу метаданих.
Ствердження споживчої служби - адреса логіну на стороні постачальника послуг. Переспрямування здійснюється на цю адресу після успішного входу через службу адреса входу на стороні постачальника послуг. Переспрямування здійснюється на цю адресу після успішного входу через службу IdP.
Служба єдиного виходу - адреса для виходу з акаунта. Якщо ви виходите з IdP, ця URL-адреса відкривається в циклі для всіх SP. Public x509 Certificate - публічний сертифікат постачальника послуг Також ви можете змінити ці параметри або видалити постачальника послуг. Просто виберіть потрібного постачальника послуг і натисніть відповідну кнопку Редагувати або Видалити.
Деякі постачальники послуг надають користувачам файли метаданих.
У цьому випадку всі необхідні поля будуть заповнені автоматично після імпорту файлу метаданих. В іншому випадку ви можете налаштувати параметри вручну.
Тоді налаштування залежать від конкретного постачальника послуг.
Ви можете завантажити файли метаданих зі свого комп’ютера:
Оскільки Identity Provider і Service Provider можуть використовувати різні ідентифікатори для користувачів, потрібен механізм зіставлення цих ідентифікаторів.
Це потрібно для того, щоб встановити однозначну відповідність між користувачами в обох службах. Ідентифікатором користувача (логіном) у HES є його електронна адреса, хоча в інших системах це може бути щось інше (наприклад, комбінація імені та прізвища користувача).
Відображення атрибутів
Коли користувач аутентифікується за допомогою SAML, Hideez Server генерує SAML-твердження, яке містить інформацію про користувача (наприклад, його ім'я, електронну пошту, ролі тощо). Відображення атрибутів визначає, як ці атрибути зіставляються і передаються від Hideez Server (IdP) до SP, і як вони згодом використовуються SP для авторизації та контролю доступу.
NameID формат - Формат поля, яке ідентифікує користувача. NameID значення - вибір поля, звідки можна взяти ідентифікатор користувача.
Атрибути твердження
Ці атрибути надаються сервером Hideez (IdP) в SAML-затвердженні постачальнику послуг (SP) під час процесу автентифікації. Постачальник послуг використовує ці атрибути для прийняття рішень щодо авторизації та персоналізації роботи користувача в додатку.
Імена та формати атрибутів зазвичай визначаються та узгоджуються між Hideez Server (IdP) та SP під час конфігурації інтеграції SAML. Це забезпечує безперебійний обмін інформацією між двома організаціями.
Відображення атрибутів і атрибути твердження можуть бути налаштовані автоматично після завантаження файлу метаданих.
Після заповнення та збереження всіх налаштувань ви можете перевірити інтеграцію, увійшовши до постачальника послуг. Ви повинні будете перенаправлені на сторінку автентифікації HES, де вам потрібно буде ввести своє ім’я користувача (електронну адресу) і пройти перевірку ключа безпеки.
Будь ласка, ознайомтеся з деякими прикладами налаштувати Hideez як IdP у вебсервісах:
Нижче наведено список вебдодатків (SP), де Hideez Server можна використовувати як постачальник ідентифікаційної інформації (IdP):
Dropbox business DDropbox Businessropbox businesshttps://www.googleadservices.com/pagead/aclk?sa=L&ai=DChcSEwiR6OXayK-CAxXQBKIDHVrnOA8YABAAGgJsZQ&gclid=Cj0KCQiAuqKqBhDxARIsAFZELmLzMG2aMp1UMyIR60wF83b-leTmkt4gzOuvoMnBrPnD9E3sTAhF6kQaAlFpEALw_wcB&ei=-vVIZZ3dJM_XwPAPrNul4AM&ohost=www.google.com&cid=CAESVuD2AYTCfZVi341CIplY57k9Pfv8RI7Jt0BBVBh4E6zpTnLFMHkCeFAlkiDqmvZqfRJutawE1FPyzaZDw5L1SOgW5238rc8gcS9mqMWWwM87JH31XTy-&sig=AOD64_2_M0P1LIu40mOOL4uhMZ1ZCv1-ng&q&sqi=2&adurl&ved=2ahUKEwidwtzayK-CAxXPKxAIHaxtCTwQ0Qx6BAgIEAE
