Настройка аутентификации с единым входом (Single Sign-On)
Администраторы Enterprise Server могут настроить и включить единый вход (SSO) для вашего сервера. Серверная система настройки позволяет администраторам настраивать, тестировать, включать и отключать SSO для пользователей сервера. Вариант входа через SSO доступен при входе в браузерный интерфейс Enterprise Server. После настройки SSO пользователи могут удобно входить на сервер с теми же учетными данными, которые используются в корпоративных системах.
Дополнительные сведения о доступе к браузерному интерфейсу Enterprise Server см. на странице Знакомство с браузерным интерфейсом.
Единый вход на основе SAML
После настройки и включения в Enterprise Server система SSO подтверждает удостоверения пользователей через выбранного вашей компанией поставщика удостоверений (IdP), например Okta, OneLogin и т. д. Обмен утверждениями об удостоверениях основан на стандартизированном языке разметки утверждений безопасности (SAML 2.0). Если интерфейс входа через SSO для вашей компании еще не создан, его обычно создают на основе шаблона или примера, предоставленного IdP. Этот интерфейс инициирует обмен утверждениями аутентификации на основе SAML и обеспечивает доступ к корпоративным сервисам.
Когда в раскрывающемся списке SSO на странице Администрирование – Настройки – Аутентификация браузерного интерфейса выбран вариант SAML, на странице отображаются предварительно настроенные URL-адреса службы SSO Enterprise Server (Altium Metadata Configuration), а также возможность загрузить или вручную ввести данные подключения для авторизации у вашего IdP (SAML Identity Provider Configuration).
Метаданные конфигурации IdP должны быть доступны у вашего поставщика удостоверений после настройки его интеграции с корпоративными сервисами — см. примеры интеграции с IdP ниже. Чтобы настроить систему SSO на основе SAML в Enterprise Server (если это еще не сделано), нажмите кнопку 
, чтобы найти и загрузить XML-файл конфигурации SAML IdP, созданный поставщиком удостоверений вашей компании. Система анализирует загруженный XML-файл IdP и извлекает основные поля конфигурации (X509 Certificate, URL-адрес Identity Provider Issuer и IdP Single Sign-On URL). Кроме того, можно вручную добавить отдельные элементы конфигурации (сертификат безопасности и URL-адреса) в соответствующие поля.
SSO не включается до проведения проверки интеграции, запускаемой кнопкой 
. Эта проверка позволяет убедиться в корректной работе процесса подтверждения удостоверений через SSO и входа через корпоративную систему SSO. После успешной проверки конфигурации можно сохранить настройки, нажав кнопку 
(
), тем самым применив их к Enterprise Server.
-
Если впоследствии SSO будет отключен вручную или вследствие изменения конфигурации, станет доступна кнопка
, позволяющая повторить проверку.
-
При необходимости значение поля Entity ID в настройках Altium Metadata Configuration можно изменить (например, чтобы различать два экземпляра сервера).
-
При настройке SSO убедитесь, что имя пользователя, предоставляемое поставщиком удостоверений, точно совпадает со значением Username соответствующего существующего пользователя в Enterprise Server (независимо от того, какой тип аутентификации настроен для пользователя: Built-in или Windows). При сопоставлении имен пользователей учитывается регистр.
Примеры интеграции с поставщиками удостоверений
Разверните раздел ниже, чтобы ознакомиться с пошаговым примером интеграции с OneLogin в качестве поставщика удостоверений.
Интеграция с OneLogin
-
Войдите в OneLogin с правами администратора.
-
Выберите Applications, затем Add Apps.
-
Выполните поиск по запросу «SAML» и выберите приложение IdP SAML Test Connector (Advanced).
-
Укажите имя приложения (Display Name). Оно используется только для отображения.
-
Нажмите кнопку Save.
-
Скопируйте (
) значения Entity ID и Single Sign-On URL (Assertion Consumer Service — служба приема утверждений) со страницы Admin – Settings – Authentication браузерного интерфейса Enterprise Server в поля, указанные ниже.
В настройках приложения OneLogin:
-
Вставьте указанное выше значение Entity ID (имя поставщика услуг) в качестве URL-адреса Audience (EntityID).
-
Вставьте указанное выше значение Single Sign-On URL (Assertion Consumer Service) в поле ACS (Consumer) URL Validator.
-
Также вставьте значение Single Sign-On URL (Assertion Consumer Service) в поле ACS (Consumer) URL.
-
Поля RelayState, Recipient, Single Logout URL и Login URL можно оставить пустыми.
-
-
Убедитесь, что для параметра SAML nameID format установлено значение Email, а для SAML signature element — Both. Нажмите кнопку Save, чтобы подтвердить настройки.
-
Нажмите кнопку More Actions, затем выберите пункт меню SAML Metadata, чтобы скачать метаданные SAML поставщика удостоверений в виде XML-файла.
-
Этот файл метаданных нужно будет загрузить на странице Admin – Settings – Authentication браузерного интерфейса Enterprise Server для настройки службы SSO OneLogin — см. ниже.
-
Если вы предпочитаете настроить службу SSO OneLogin в Enterprise Server вручную, необходимые параметры можно найти, выбрав пункт меню SSO в интерфейсе приложения OneLogin.
-
-
Затем необходимо добавить пользователей и назначить им приложение.
Разверните раздел ниже, чтобы ознакомиться с пошаговым примером интеграции с Okta в качестве поставщика удостоверений.
Интеграция с Okta
-
Войдите в Okta с правами администратора.
-
Нажмите ссылку/кнопку Admin, а затем кнопку Add Application в разделе компании Applications.
-
Нажмите кнопку Create New App.
-
Выберите SAML 2.0 в качестве Sign-on method.
-
Укажите App name. Это значение используется только для отображения.
-
Обратите внимание на поля Single Sign On URL (служба обработки утверждений — Assertion Consumer Service) и Entity ID на странице Admin – Settings – Authentication веб-интерфейса Enterprise Server.
-
Скопируйте (
) значение поля Single Sign-On URL в Enterprise Server и вставьте его в поле Single sign on URL настроек SAML в Okta.
-
Скопируйте (
) значение поля Entity ID в Enterprise Server и вставьте его в поле Audience URI настроек SAML в Okta.
Заполнять поле Default RelayState не требуется.
-
Задайте значения остальных полей следующим образом:
-
Для Name ID format укажите
EmailAddress. -
Для Application username укажите (Okta)
Email. -
В разделе ATTRIBUTE STATEMENTS задайте для поля Name значение:
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, а для Value — значение:user.email
-
-
Нажмите кнопку Next и выберите вариант ..Okta customer adding an internal app.
-
Нажмите кнопку Finish.
-
Нажмите ссылку Identity Provider metadata и сохраните XML-файл метаданных на компьютере или нажмите кнопку View Setup Instructions, чтобы перейти к параметрам ручной настройки.
-
В разделе SAML Identity Provider configuration на странице Admin – Settings – Authentication веб-интерфейса Enterprise Server загрузите сохраненный XML-файл метаданных или настройте отдельные разделы вручную — см. выше.
-
Разверните раздел ниже, чтобы просмотреть пошаговый пример интеграции с Microsoft Entra ID в качестве поставщика удостоверений.
Интеграция с Microsoft Entra ID
-
Войдите в центр администрирования Microsoft Entra.
-
Выберите Identity, а затем вариант Enterprise applications.
-
Создайте собственное приложение.
-
Выберите Users and groups, а затем Add user/group.
-
Выберите Single sign-on, Step 1, а затем Edit.
-
Скопируйте (
) Entity ID и Single Sign-On URL со страницы Admin – Settings – Authentication веб-интерфейса Enterprise Server. Вставьте скопированные строки в поля Entity ID и Assertion Consumer Service URL в области настройки SAML приложения Microsoft Entra. Убедитесь, что для этих полей установлены флажки Default, а затем сохраните конфигурацию.
-
Скачайте созданный XML-файл метаданных федерации.
-
Загрузите XML-файл метаданных федерации на странице Admin – Settings – Authentication веб-интерфейса Enterprise Server, а затем проверьте подключение через SAML — см. выше.
Разверните раздел ниже, чтобы просмотреть пошаговый пример интеграции с JumpCloud в качестве поставщика удостоверений.
Интеграция с JumpCloud
-
В интерфейсе JumpCloud выберите SSO в дереве навигации, а затем нажмите кнопку Add New Application на странице SSO.
-
Введите «
saml» в поле поиска окна настройки, чтобы найти и установить Custom SAML App.
-
Задайте имя экземпляра Custom SAML App — в этом примере используется имя
Altium.
-
Перейдите на вкладку SSO в интерфейсе настройки JumpCloud и введите параметры Entity/URL со страницы Admin – Settings – Authentication веб-интерфейса Enterprise Server, как показано на рисунке.
-
Введите адрес конечной точки JumpCloud IDP URL и включите параметр Declare Redirect Endpoint.
-
Используйте команду Export Metadata, чтобы скачать полученный XML-файл метаданных SAML.
-
Загрузите XML-файл метаданных на странице Admin – Settings – Authentication веб-интерфейса Enterprise Server, а затем проверьте подключение через SAML — см. выше.
Разверните раздел ниже, чтобы просмотреть пошаговый пример интеграции с Microsoft Administrative Domain Federated Services (AD FS) в качестве поставщика удостоверений.
Интеграция с Microsoft AD FS
-
Откройте приложение AD FS Management (обычно Start → Windows Administrative Tools → AD FS Management).
-
Перейдите в Relying Party Trusts и выберите Add Relying Party Trust... (1).
-
Во всплывающем окне убедитесь, что выбран вариант Claims aware (2), и нажмите Start (3).
-
На шаге Select Data Source выберите Enter data about the relying party manually (1) и нажмите Next (2).
-
Укажите отображаемое имя отношения доверия. В этом примере используется отображаемое имя
AltiumLive.
-
В зависимости от конфигурации безопасности можно указать необязательный сертификат шифрования токенов. В рамках этого руководства он не используется.
-
На шаге Configure URL убедитесь, что выбран вариант Enable support for the SAML 2.0 WebSSO protocol (1), и вставьте Single Sign-On URL, скопированное со страницы Admin – Settings – Authentication веб-интерфейса Enterprise Server, в поле Relying party SAML 2.0 SSO service URL: (2). Нажмите Next (3).
-
На шаге Configure Identifiers укажите идентификатор этого отношения доверия в поле ввода (1). Идентификатор необходимо взять из поля Entity ID в области Altium Metadata Configuration на странице Admin – Settings – Authentication веб-интерфейса Enterprise Server. Обязательно нажмите кнопку Add (2).
Результат должен выглядеть следующим образом. Нажмите Next.
-
В зависимости от конфигурации безопасности на следующем шаге можно выбрать дополнительные политики управления доступом. В этом примере мы не будем выбирать дополнительные политики и продолжим с вариантом
Permit everyone.
-
Проверьте конфигурацию и выберите Next.
-
При создании отношения доверия доступны не все параметры. Чтобы разрешить использование
SHA-1в качестве алгоритма безопасного хеширования, щелкните правой кнопкой мыши имя только что добавленного Relying Party Trust и выберите Properties.
-
В окне свойств перейдите на вкладку Advanced (1) и выберите
SHA-1в качестве алгоритма безопасного хеширования (2). Нажмите OK, чтобы сохранить изменения.
-
Вернитесь в окно управления AD FS, выберите добавленное отношение доверия проверяющей стороны и выберите команду Edit Claim Issuance Policy....
-
В окне Edit Claim Issuance Policy выберите Add Rule...
-
На шаге Choose Rule Type мастера убедитесь, что выбран вариант Send LDAP Attributes as Claims, затем нажмите Next.
-
Укажите Claim rule name (1), выберите
Active Directoryв качестве Attribute store (2) и выберите LDAP Attribute (3) из идентификатора, содержащего имя пользователя Enterprise Server. Этот атрибут необходимо сопоставить с Name ID в Outgoing Claim Type (3). Нажмите Finish (4).
Important Note: В этом примере мы настроили сопоставление так, чтобы Surname или Last name содержали требуемое значение. Ваша конфигурация может отличаться.
-
Сохраните политику выдачи утверждений, нажав OK.
-
Загрузите файл
FederationMetadata.xmlс соответствующего сервера. -
Загрузите XML-файл метаданных на страницу Admin – Settings – Authentication веб-интерфейса Enterprise Server, а затем проверьте подключение интеграции SAML — см. выше.
Разверните раздел ниже, чтобы просмотреть пошаговый пример процесса интеграции с AWS IAM Identity Center в качестве поставщика удостоверений:
Интеграция с AWS IAM Identity Center
-
Перейдите в IAM Identity Center и добавьте пользовательское приложение SAML 2.0 (Add Application).
-
Заполните настройки URL метаданных AWS, используя данные со своей страницы Altium SSO. Подтвердите настройки, нажав Submit.
-
Скачайте файл метаданных из области IAM Identity Center metadata.
-
Перейдите в Edit attribute mappings.
-
Укажите атрибут, который будет содержать имя пользователя Enterprise Server, и выберите
unspecifiedдля Format. -
Создайте новых пользователей в AWS и назначьте приложение созданным пользователям или группе.
-
Убедитесь, что одни и те же пользователи существуют как на стороне Altium, так и на стороне IAM.
-
Загрузите XML-файл метаданных на страницу Admin – Settings – Authentication веб-интерфейса Enterprise Server, а затем проверьте подключение интеграции SAML — см. выше.
Единый вход OAuth / OIDC
Единый вход (SSO) для Enterprise Server также можно настроить с использованием стандарта OAuth / OIDC. Если в раскрывающемся списке SSO на странице Администрирование — Настройки — Аутентификация веб-интерфейса выбран вариант OAuth / OIDC, на этой странице можно ввести данные, предоставленные выбранным поставщиком удостоверений (IdP).
-
Application Credentials:
-
Client ID — идентификатор приложения, полученный от IdP.
-
Client Secret — секрет приложения, полученный от IdP.
-
-
Configuration:
-
Scopes to Request — области доступа определяют уровень доступа, который приложение запрашивает у пользователя.
-
Authentication Endpoint — эта конечная точка обрабатывает аутентификацию пользователя и получение его согласия. Приложение перенаправляет пользователей на эту конечную точку для входа и предоставления разрешений.
-
Token Endpoint — эта конечная точка используется для обмена кода авторизации или токена обновления на токен доступа. Это защищенный канал обмена данными между приложением и сервером авторизации.
-
User Profile Endpoint — эта конечная точка получает информацию профиля пользователя (например, имя и адрес электронной почты) с помощью токена доступа. Возвращаемые данные зависят от областей доступа, предоставленных при авторизации.
-
-
Mappings — в поле Mapped Attribute таблицы введите атрибут, который будет сопоставлен с именем пользователя на стороне Enterprise Server.
Единый вход не включается до выполнения проверки интеграции, запускаемой кнопкой . При этом проверяются процесс идентификации SSO и вход через SSO вашей компании. После успешной проверки конфигурации можно сохранить настройки, нажав кнопку (
), тем самым применив их к Enterprise Server.
Если впоследствии единый вход будет отключен вручную или в результате изменения конфигурации, станет доступна кнопка , позволяющая повторить проверку.
Локализовано с помощью ИИ