5.3.2. Управление SAML-приложениями

Avanpost FAM реализует функциональность SAML Identity Provider и предоставляет возможность управления приложениями, использующими набор HTTP-методов в соответствии с протоколом SAML 2.0.

Добавление SAML-приложения

Первичная настройка SAML-приложения осуществляется при добавлении нового приложения. Для этого следует нажать кнопку "Добавить приложение" сервиса "Приложения" и перейти на вкладку добавления приложения.

Шаг 1. Основные настройки

На данном шаге продукт предлагает ввести следующие параметры.

Для перехода к следующему шагу требуется нажать "Далее" после установки параметров. Для отказа от создания приложения следует нажать "Отмена". 

Шаг 2. Настройки интеграции

На данном шаге продукт предлагает ввести следующие параметры.

Для перехода к следующему шагу требуется нажать "Далее" после установки параметров, для отказа от создания приложения - "Отмена", для возврата к предыдущему шагу - "Назад".

Шаг 3. Настройки аутентификации

На данном шаге требуется настроить сценарий аутентификации приложения.

Avanpost FAM предлагает следующие вариант:

• создать новый сценарий аутентификации для данного приложения;
• выбрать существующий сценарий аутентификации.

Для установки существующего сценария аутентификации следует выбрать один из сценариев в выпадающем списке поля "Выберите процесс аутентификации или создайте новый". Шаги аутентификации, настроенные для выбранного сценария, отобразятся в поле "Шаги" без возможности редактирования.

Для установки нового сценария аутентификации следует выбрать "Новый процесс аутентификации" в выпадающем списке поля "Выберите процесс аутентификации или создайте новый" и настроить количество шагов аутентификации и использующиеся на них факторы.

Путем включения/выключения переключателей есть возможность подключить/отключить для SAML-приложения следующие факторы:

• Факторы:
  • Идентификация пользователя;
  • Внешний провайдер (доступно при установке переключателя "Идентификация пользователя");
  • Script;
  • Вход по QR-коду;
  • Password;
  • TOTP;
  • Avanpost Authenticator;
  • OTP via Email;
  • SMS;
  • Telegram;
  • Сертификат;
• Окружение:
  • Kerberos.

Для добавления второго и последующего шагов следует нажать "Добавить шаг".

В каждом шаге должен быть хотя бы один фактор аутентификации. Для продолжения настройки приложения с новым сценарием аутентификации должен быть выбран хотя бы один фактор хотя бы на одном шаге в настраиваемом сценарии.

После создания приложения новому сценарию аутентификации присваивается наименование созданного приложения. Изменение сценария можно осуществить на вкладке "Настройка процессов аутентификации" режима "Сервис"

Для перехода к следующему шагу после настройки сценария требуется нажать "Далее" после установки параметров, для отказа от создания приложения - "Отмена", для возврата к предыдущему шагу - "Назад".

Шаг 4. Завершение

На данном шаге доступен чекбокс "Сделать приложение активным":

• при установленном флажке приложение включается сразу после создания;
• при выключенном флажке приложение выключено после создания: для включения потребуется нажать в профиле приложения.

Для сохранения приложения требуется нажать "Сохранить", для отказа от создания приложения - "Отмена", для возврата к предыдущему шагу - "Назад".

Настройка приложения Discovery-методом

Допускается произведения настройки приложения Discovery-методом при загрузке файла по адресу https://${baseUrl}/.well-known/samlidp.xml, где ${baseURL} -  базовый адрес сервера Системы. Для настройки данным способом следует получить файл SAML IdP Metadata XML следующего вида:

<?xml version="1.0" encoding="UTF-8"?>
<md:EntityDescriptor validUntil="2024-08-13T07:37:40.675Z" entityID="https://test.my.company.com" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata"> 
<md:IDPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol" WantAuthnRequestsSigned="false"> 
<md:KeyDescriptor use="signing"> <ds:KeyInfo> 
<ds:X509Data> 
<ds:X509Certificate>encoded_certificate</ds:X509Certificate> 
</ds:X509Data> </ds:KeyInfo> 
</md:KeyDescriptor> <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat> 
<md:SingleLogoutService Location="https://test.my.company.com/adfs/ls/IDPLogout" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"/> 
<md:SingleSignOnService Location="https://test.my.company.com/idp/endpoint/HttpRedirect" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"/> 
</md:IDPSSODescriptor>
</md:EntityDescriptor>

После этого приложение автоматически настраивает параметры интеграции.

Настройка SAML-приложения

Настройка созданного SAML-приложения доступна доступна в его профиле (графическое обозначение  в реестре приложений). В профиле осуществляется управление параметрами, общими для всех приложений (описаны в разделе Управление приложениями). Также в профиле осуществляется управление специфическими параметрами SAML-приложений во вкладках "Настройки" и "Attributes".

Вкладка "Настройки"

Вкладка позволяет осуществлять редактировать настраиваемые атрибуты SAML-приложений и содержит следующие разделы:

• Настройки интеграции;
• Настройки безопасности;
• Настройки регистрации.

Для внесения изменений в параметры того или иного раздела необходимо нажать  в соответствующем разделе. Для сохранения изменений следует нажать "Сохранить" в соответствующем разделе, для отмены изменений - "Отмена".

Вкладка "Настройки" позволяет просматривать и управлять следующими настраиваемыми атрибутами.

Вкладка "Attributes"

Вкладка позволяет управлять атрибутами, используемыми SAML-приложением. Данная вкладка нужна для сопоставления и синхронизации атрибутов пользователя, существующих в Avanpost FAM, и атрибутов пользователя, необходимых для работы внешнего SAML-приложения. Вкладка содержит реестр атрибутов со следующей информацией и возможностями:

• Наименование - Название атрибута;
• Тип - Тип атрибута;
• Кнопка "Изменить" - Изменить параметры выбранного атрибута;  
• Кнопка "Удалить" - Удалить выбранный атрибут.

Для добавления нового атрибута требуется нажать . В открывшейся форме необходимо ввести следующие данные.

Для сохранения нового атрибута следует нажать "Сохранить", для отмены действия - "Отмена".

Проверка работы

Для проверки интеграции следует использовать путь прохождения аутентификации в приложение.

Для этого пользователь должен иметь доступ к приложению (доступ к приложениям в Системе выдаётся посредством групп), и у него должны быть указаны корректные значения атрибутов профиля пользователя в соответствии с требованиями подключаемого приложения и выполненными интеграционными настройками.

Приложение А. Endpoint'ы SAML 2.0 

Доступные IdP endpoint'ы протокола SAML 2.0, предоставляемые Avanpost FAM: