Интеграция Single Sign-On (SSO)

Что такое SSO

Single Sign-On (SSO) — технология единого входа, позволяющая пользователям авторизоваться один раз в корпоративном провайдере идентификации и получить доступ ко всем подключённым приложениям без повторного ввода пароля.

┌─────────────────────────────────────────────────────────────────────────┐
│                        СХЕМА РАБОТЫ SSO                                  │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                          │
│   ┌──────────────┐      1. Вход        ┌───────────────────────┐        │
│   │              │  ─────────────────► │                       │        │
│   │  Сотрудник   │                     │   Identity Provider   │        │
│   │              │  ◄───────────────── │   (Microsoft Entra,   │        │
│   └──────────────┘   2. SAML Token     │    Google, Okta)      │        │
│          │                             └───────────────────────┘        │
│          │                                        │                     │
│          │ 3. Доступ с токеном                    │ SCIM Sync           │
│          ▼                                        ▼                     │
│   ┌─────────────────────────────────────────────────────────────┐      │
│   │                    UniFi Identity Hub                        │      │
│   └─────────────────────────────────────────────────────────────┘      │
│          │                    │                    │                    │
│          ▼                    ▼                    ▼                    │
│   ┌────────────┐    ┌─────────────────┐    ┌─────────────┐            │
│   │   WiFi     │    │   VPN Access    │    │  SSO Apps   │            │
│   │  802.1X    │    │   WireGuard     │    │  SaaS       │            │
│   └────────────┘    └─────────────────┘    └─────────────┘            │
│                                                                          │
└─────────────────────────────────────────────────────────────────────────┘

Преимущества SSO

Протоколы SSO

Поддерживаемые провайдеры

UniFi Identity интегрируется с ведущими Identity Provider через стандартные протоколы SAML и SCIM.

Интеграция с Microsoft Entra ID (Azure AD)

Microsoft Entra ID — наиболее популярный корпоративный IdP. Интеграция включает SSO через SAML и автоматический provisioning через SCIM.

Требования

• Microsoft Entra ID (любой план, включая Free)
• Права Global Administrator или Application Administrator
• UniFi Identity Standard или Enterprise

Часть 1: Настройка SSO (SAML)

Часть 2: Настройка SCIM Provisioning

Интеграция с Google Workspace

Google Workspace (ранее G Suite) интегрируется с UniFi Identity через SAML SSO и автоматический provisioning.

Требования

• Google Workspace Business Starter или выше
• Права Super Admin в Google Admin Console
• UniFi Identity Standard или Enterprise

Настройка SSO

Настройка Auto-provisioning

1. В Google Admin Console откройте ваше SAML-приложение
2. Перейдите в Auto-provisioning
3. Нажмите Configure auto-provisioning
4. Введите SCIM URL и Token из Identity Hub
5. Выберите атрибуты для синхронизации
6. Включите provisioning

Интеграция с Okta

Okta — enterprise-grade IdP с расширенными возможностями интеграции. Требует UniFi Identity Enterprise.

Настройка SSO

SCIM Provisioning для Okta

1. В приложении Okta перейдите на вкладку Provisioning
2. Нажмите Configure API Integration
3. Включите Enable API integration
4. Введите:
   • SCIM connector base URL: из Identity Hub
   • API Token: Bearer token из Identity Hub
5. Нажмите Test API Credentials
6. Сохраните и настройте маппинг атрибутов
7. Включите нужные действия (Create Users, Update User Attributes, Deactivate Users)

Настройка Generic SAML

Для IdP, не имеющих встроенной интеграции, используйте Generic SAML. Это работает с любым SAML 2.0 совместимым провайдером.

Данные для конфигурации Service Provider

Entity ID:          https://identity.ui.com/saml/<your-org-id>
ACS URL:            https://identity.ui.com/saml/<your-org-id>/acs
SLO URL:            https://identity.ui.com/saml/<your-org-id>/slo
Name ID Format:     urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
Binding:            HTTP-POST

Требуемые атрибуты SAML Response

Настройка в Identity Hub

1. Перейдите в Settings → Identity Providers
2. Нажмите Add Provider → Custom SAML
3. Введите данные вашего IdP:
   • Name: название провайдера
   • SSO URL: URL для SAML-запросов
   • Entity ID: идентификатор IdP
   • Certificate: публичный сертификат для верификации подписи
4. Настройте маппинг атрибутов если необходимо
5. Сохраните и протестируйте подключение

SCIM Provisioning

SCIM (System for Cross-domain Identity Management) — стандартный протокол для автоматической синхронизации пользователей между системами.

Возможности SCIM

SCIM Endpoints

Base URL:           https://identity.ui.com/scim/v2/<org-id>

Users:
  GET    /Users                    # Список пользователей
  GET    /Users/{id}               # Получить пользователя
  POST   /Users                    # Создать пользователя
  PUT    /Users/{id}               # Обновить пользователя
  PATCH  /Users/{id}               # Частичное обновление
  DELETE /Users/{id}               # Удалить пользователя

Groups:
  GET    /Groups                   # Список групп
  GET    /Groups/{id}              # Получить группу
  POST   /Groups                   # Создать группу
  PUT    /Groups/{id}              # Обновить группу
  PATCH  /Groups/{id}              # Частичное обновление
  DELETE /Groups/{id}              # Удалить группу

Service Provider:
  GET    /ServiceProviderConfig    # Конфигурация
  GET    /Schemas                  # Схемы
  GET    /ResourceTypes            # Типы ресурсов

Аутентификация

SCIM API использует Bearer Token аутентификацию:

Authorization: Bearer <your-scim-token>

SSO для приложений

UniFi Identity может выступать Identity Provider для внешних SaaS-приложений, обеспечивая единый вход для сотрудников.

Поддерживаемые приложения

Identity включает готовые интеграции для популярных SaaS:

• Slack
• Zoom
• Salesforce
• Dropbox
• Box
• Atlassian (Jira, Confluence)
• GitHub Enterprise
• AWS Console
• И другие SAML/OIDC приложения

Добавление приложения

1. В Identity Hub перейдите в Applications
2. Нажмите Add Application
3. Выберите приложение из каталога или создайте Custom SAML/OIDC
4. Следуйте инструкциям по настройке
5. Назначьте приложение группам пользователей

Доступ пользователей

После настройки пользователи увидят назначенные приложения в:

• Identity Endpoint App — раздел Applications
• Браузерный портал — identity.ui.com/apps

Клик по приложению выполнит SSO-вход без ввода дополнительных паролей.

Устранение неполадок

Распространённые проблемы SSO

Диагностика

Для отладки SSO-проблем используйте:

1. SAML-tracer (расширение браузера) — для просмотра SAML-запросов
2. IdP Audit Logs — логи в Azure/Google/Okta
3. Identity Hub Logs — Settings → Logs

<saml:Assertion>
  <saml:Subject>
    <saml:NameID Format="emailAddress">
      user@company.com      <!-- Должен совпадать с email в Identity -->
    </saml:NameID>
  </saml:Subject>
  <saml:AttributeStatement>
    <saml:Attribute Name="email">
      <saml:AttributeValue>user@company.com</saml:AttributeValue>
    </saml:Attribute>
    <saml:Attribute Name="firstName">
      <saml:AttributeValue>John</saml:AttributeValue>
    </saml:Attribute>
  </saml:AttributeStatement>
</saml:Assertion>

Следующие шаги