Single Sign-On (SSO) — це технологія єдиного входу, яка суттєво поліпшує безпеку та дозволяє економити час на управління користувачами в різних системах та застосунках, які використовують різні команди компанії.
Економія часу: SSO дозволяє скоротити час, витрачений на вхід в систему, оскільки користувачі можуть отримати доступ до багатьох додатків та сервісів за допомогою єдиного облікового запису без необхідності багаторазового введення облікових даних.
Безпека: Однією з основних проблем є повторне використання однакових паролів в різних системах, що збільшує ризик витоку даних. SSO дозволяє краще контролювати доступ до систем та зменшує ймовірність втрати інформації через слабкі паролі або інші вразливості в системі аутентифікації.
Покращена безпека та управління доступом: При використанні SSO існує більш централізоване управління доступом до ресурсів, що полегшує адміністрування та підвищує безпеку системи.
Активація опції відбувається в розділі "Налаштування" - "SSO".
Для активації потрібно обрати варіант "Microsoft Entra" та заповнити відповідні поля (взяті з порталу Microsoft Entra) - Entra tenant ID, Entra client ID, Entra client secret, Entra redirect URLта натиснути на кнопку "Зберегти".
Після цього користувачам системи буде доступна авторизація за допомогою SSO на сторінці логіну.
Для підключення опції на порталі Microsoft Entra, потрібно перейти в розділ "App registrations" та натиснути на "New registrations".
Після цього потрібно:
в блоці "Supported account types" обрати хто може використовувати цей додаток, в залежності від правил вашої компанії;
в блоці "Redirect URI (optional)" обрати "Web" та вказати інформацію з поля "Entra redirect URL" з HURMA
натиснути на кнопку "Register".
Після того, як ми створили окремий додаток, нам потрібно надати HURMA дозвіл на його використання.
Для цього потрібно:
перейти в "API permissions";
натиснути на "Add permission" та обрати пункт "Microsoft Graph" -> "Delegated permissions"
в списку нам потрібно обрати пункти "email", "openid", "profile", "User.Read", "User.Read.All", "User.ReadBasic.All";
натиснути на кнопку "Add permissions".
Наступним кроком потрібно перейти в розділ "Certificates & secrets", відкрити вкладку "Client secrets" та провести наступні кроки:
натиснути на кнопку "New client secret";
заповнити поля "Description" та "Expires" та натиснути "Add";
скопіювати значення з поля "Value" та додати в поле Entra client secret в HURMA;
перейти на сторінку "Overview";
скопіювати значення з поля "Directory (tenant) ID" та додати в поле Entra tenant ID в HURMA;
скопіювати значення з поля "Application (client) ID" та додати в поле Entra client ID в HURMA;
натиснути на кнопку "Зберегти", після чого відобразиться повідомлення "SSO підключено".
Активація опції відбувається в розділі "Налаштування" - "SSO".
Для активації потрібно обрати один з варіантів:
"SAML2" та заповнити відповідні поля (взяті з порталу Microsoft Enta) - Metadata Url або Metadata XML, далі Callback method та натиснути на кнопку "Зберегти";
"SAML2 (Custom)" та заповнити відповідні поля (взяті з порталу Microsoft Entra) - Login URL, Identifier, завантажити сертифікат, Callback method та натиснути на кнопку "Зберегти".
Після цього користувачам системи буде доступна авторизація за допомогою SSO на сторінці логіну.
Для підключення опції на порталі Microsoft Entra, потрібно перейти в розділ "Enterprise applications" та натиснути на "New registrations".
Після цього потрібно:
натиснути "Create your own application";
ввести назву нового додатку, наприклад, "HURMA", обрати "Integrate any other application you don't find in the gallery (Non-gallery)" та зберегти;
після цього на сторінці "Overview" потрібно обрати "Single sign-on" та "SAML";
на наступній сторінці потрібно перейти в режим редагування блоку №1;
у формі додаємо інформацію до полів "Identifier (Entity ID)", "Reply URL (Assertion Consumer Service URL)" та "Sign on URL", використовуючи дані з одноіменних полів з системи HURMA, та зберігаємо;
наступним кроком потрібно перейти в режим редагування блоку №2;
після чого у формі встановити вказані відповідності в блоці "Additional claims";
email - user.userprincipalname
first_name - user.givenname
user.name - user.userprincipalname
second_name - user.surname
phone - user.mobilephone
phone_second - user.telephonenumber
display_name - user.displayname
наступним кроком потрібно та налаштувати список користувачів, які будуть мати доступ до цього додатку, використовуючи інструкцію нижче з п. "Надання обмеженому списку користувачів доступу до HURMA";
після цього повертаємось на сторінку "SAML-based Sign-on";
останнім кроком виконуємо підключення в HURMA, в залежності від обраної метадати чи способу.
На сторінці "SAML-based Sign-on" в Microsoft Entra копіюємо значення з поля "App Federation Metadata Url" та додаємо в HURMA в поле "Metadata Url", зберігаємо зміни.
На сторінці "SAML-based Sign-on" в Microsoft Entra завантажуємо файл з поля "Federation Metadata XML" та завантажуємо в HURMA, зберігаємо зміни.
На сторінці "SAML-based Sign-on" в Microsoft Entra копіюємо значення з полів "Login URL" та "Microsoft Entra Identifier" і додаємо в HURMA в поля "Login URL" та "Identifier".
Останнім кроком потрібно завантажити файл з поля "Certificate (Base64)" та додати до HURMA, після цього зберегти.
Після підключення SSO і переходу користувачів на сторінку логіну, їм буде доступна авторизація тільки за допомогою SSO.
Якщо користувач, який авторизовується в HURMA, вже існуючий співробітник - його профіль в HURMA не змінюється, при цьому акаунт у HURMA зв'язується з користувачем Microsoft.
Якщо користувач, який авторизовується в HURMA, є новим співробітником і його в системі ще не існувало - в HURMA створюється нова картка з роллю "Співробітник".
Щоб обмежити доступ до додатку, потрібно виконати наступні кроки:
1. перейти в Microsoft Entra -> Enterprise applications;
2. обрати потрібний додаток зі списку;
3. відкрити в меню пункт "Properties" та активувати пункт "Assignment required?"
4. додати користувачів або групи користувачів, які будуть мати доступ до додатку, ви можете на цій сторінці ж, в пункті "Users and groups"
Якщо в HURMA звільнити або видалити співробітника, проте залишити його активним в Active Directory, при його авторизації створюється нова картка з роллю "Співробітник".
Якщо в Active Directory у користувача не буде доступу до додатку HURMA, проте залишити його картку в системі HURMA, при його авторизації він отримає помилку про те, що доступ до системи заборонено.
