Настройка SSO (единой системы входа)

Сервис Контур.Толк позволяет интегрировать пространство с единой системой входа компании (Single-Sign-On, SSO). Аутентификация пользователей для входа в пространство в данном случае будет происходить на стороне организации, регистрация учётной записи в системе Контур.Толка не потребуется. Система входа должна работать по протоколу OpenId Connect.

При использовании технологии единого входа (SSO, Single Sign-On) пользователь может переходить без повторной аутентификации из одного раздела портала в другой или из одной системы в другую, не связанную с первой системой.

Единая система входа (SSO) на базе OpenID Connect

Это безопасный механизм, позволяющий приложению связаться со службой идентификации для получения необходимых данных о пользователе и затем вернуть их обратно в приложение, что позволяет обеспечить полную защиту данных.

Чтобы подключить SSO:

В поставщике аутентификации на стороне организации нужно создать отдельное приложение, которое будет работать через поток Implicit Flow. Потребуется указать разрешенные адреса для перенаправления:
После входа:

• https://%SPACE%.ktalk.ru/system/authorize
• https://%SPACE%.ktalk.ru/assets/silent_renew.html

После выхода:

• https://%SPACE%.ktalk.ru/system/logout

%SPACE% — адрес вашего пространства.

2. После прохождения аутентификации Толк автоматически создаст профиль пользователя в пространстве. Для этого необходимо, чтобы поставщик аутентификации предоставил Толку следующие данные о пользователе (claims):

• id (обязательный) — уникальный идентификатор пользователя в системе организации,
• email — адрес электронной почты пользователя,
• family_name— имя,
• given_name — фамилия,
• phone — мобильный номер телефона,
• title — должность,
• picture — URL фотографии пользователя,
• profile_url — URL страницы профиля сотрудника на корпоративном портале организации.

Active Directory Federated Services (ADFS)

Компания Microsoft разработала данное программное обеспечение для операционной системы Windows. Оно предоставляет пользователям единый вход для всех точек доступа и приложений во всей организации. Это следует за доступом на основе утверждений о предоставлении пользователю полного доступа с помощью единого входа, сохраняя при этом безопасность и федеративную идентификацию.

Чтобы выполнить настройку:

1. Создайте группу (Application Group → Add Application Group).
2. Укажите название группы (например, KTalk) и выберите шаблон Native application accessing a web API. Нажмите Next.
3. Добавьте разрешенные адреса для перенаправления:
   • https://%SPACE%.ktalk.ru/system/authorize
   • https://%SPACE%.ktalk.ru/assets/silent_renew.html
   • https://%SPACE%.ktalk.ru/system/loguot
     ​где %SPACE% — адрес вашего пространства в Толке.
4. Скопируйте сгенерированное значение из поля Client Identifier и нажмите Next.
5. Вставьте скопированное значение в поле Identifier. Нажмите Next.
6. Укажите настройки политики доступа и нажмите Next.
7. В списке Permitted Scopes отметьте: openid + allatclaims. Нажмите Next.
8. Проверьте корректность заполненных данных и нажмите Next.
9. Группа создана. Нажмите на нее правой кнопкой мыши и выберите Properties.
10. В открывшемся окне выберите созданный WebAPI и нажмите на кнопку Edit.
11. Выберите вкладку Issuance Transform Rules и нажмите на кнопку Add Rule. 
12. Выберите шаблон Send LDAP Attributes as Claim. Нажмите Next.
13. Выберите атрибуты, которые нужно передать в Толк:
    • E-Mail-Address — mail,
    • Surname — surname,
    • GivenName — given_name,
    • Title — title.
14. Нажмите Finish.
15. В окне Web API Properties нажмите Apply.