--- title: "Microsoft Active Directory Single Sign-on (OAuth | SAML2)" description: "Авторизація" url: https://support.hurma.work/uk/articles/8-microsoft-active-directory-single-sign-on-oauth-or-saml2 collection: "Авторизація" updated: 2026-06-12 language: uk alternates: [en] --- # Microsoft Active Directory Single Sign-on (OAuth | SAML2) Авторизація Single Sign-On (SSO) — це технологія єдиного входу, яка суттєво поліпшує безпеку та дозволяє економити час на управління користувачами в різних системах та застосунках, які використовують різні команди компанії. > **Info:** Функціонал «SSO» підключається окремо. > Для розрахунку та підключення можна звернутися за контактами - [hurma.work/contacts](https://hurma.work/contacts/) > **Info:** Можливість керувати цією опцією за замовчуванням доступна користувачам з ролями "Адміністратор" та "HR". ### Переваги використання 1. **Економія часу:** SSO дозволяє скоротити час, витрачений на вхід в систему, оскільки користувачі можуть отримати доступ до багатьох додатків та сервісів за допомогою єдиного облікового запису без необхідності багаторазового введення облікових даних. 2. **Безпека:** Однією з основних проблем є повторне використання однакових паролів в різних системах, що збільшує ризик витоку даних. SSO дозволяє краще контролювати доступ до систем та зменшує ймовірність втрати інформації через слабкі паролі або інші вразливості в системі аутентифікації. 3. **Покращена безпека та управління доступом:** При використанні SSO існує більш централізоване управління доступом до ресурсів, що полегшує адміністрування та підвищує безпеку системи. ## Microsoft Entra (OAuth) ### Підключення в HURMA (OAuth) Активація опції відбувається в розділі "⚙" - "SSO". ![](https://staticfiles.gleap.io/gattachments/AfWO6mh04sKKy7PMbiyo7Ozc4EjFzD1btOW3VZ1fZTQpiGz0DPibeYiahkAeQVrG5ZQsZregGLw.png) Для активації потрібно обрати варіант "Microsoft Entra" та заповнити відповідні поля (взяті з порталу Microsoft Entra) - `Entra tenant ID`, `Entra client ID`, `Entra client secret`, `Entra redirect URL`та натиснути на кнопку "Зберегти". ![](https://staticfiles.gleap.io/ghelparticle/qmZS1ryf8PtSEgDUbLjFPsojFRc79BnWAwt35d5hGbZmoBi7CbIXDI5Rv2FXl0UVK6pYxmqIbyp.png) Після цього користувачам системи буде доступна авторизація за допомогою SSO на сторінці логіну. ![](https://staticfiles.gleap.io/ghelparticle/UtFNpye18u26hDIa0n2PNrB2X2tNKasskLT8x2aNwBWjebpo8wdqgO1QDgzHMsvjVP0Kmc1ZnaJ.png) ### Підключення в Microsoft Entra (OAuth) Для підключення опції на порталі [Microsoft Entra](https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/Overview), потрібно перейти в розділ "App registrations" та натиснути на "New registrations". ![](https://staticfiles.gleap.io/ghelparticle/T9t0Z461pLTuZLKVMVU1cRK3MmXrMs3tsQKIKH0ygqROwNmiK6aA21HqHtUMwZUEV8rb0xx5upl.png) Після цього потрібно: 1. в блоці "Supported account types" обрати хто може використовувати цей додаток, в залежності від правил вашої компанії; 2. в блоці "Redirect URI (optional)" обрати "Web" та вказати інформацію з поля "Entra redirect URL" з HURMA ![](https://staticfiles.gleap.io/ghelparticle/qi7SO77vwVgvLSkP86rgXnDVXpjmnEWYARSxm0RJlORKv3IznXIcO4gTCDAYnk7g5fMyx3o4ebM.png)![](https://staticfiles.gleap.io/ghelparticle/HNJhszNHwnDqxY06v3ZfY3XZz3tU1OhK29FETN0DPql0eq84T4GXvMWbxHfi3ws6yskXBrQy3Jl.png) 3. натиснути на кнопку "Register". Після того, як ми створили окремий додаток, нам потрібно надати HURMA дозвіл на його використання. Для цього потрібно: 1. перейти в "API permissions"; 2. натиснути на "Add permission" та обрати пункт "Microsoft Graph" -> "Delegated permissions" ![](https://staticfiles.gleap.io/ghelparticle/h4kZXWcSwV2d2issJbZ6ngZRwA5gjlR5mBwAU7bzN9FimS18UoeUY77KDrV1zPop8y9onBqOTDP.png) 3. в списку нам потрібно обрати пункти "email", "openid", "profile", "User.Read", "User.Read.All", "User.ReadBasic.All"; 4. натиснути на кнопку "Add permissions". ![](https://staticfiles.gleap.io/ghelparticle/W9NI7yHX1aBIMFszpqKbpPTRUNBHirPAbQuMQAPULBVjAKaeCHuY6bXmK5yiDTTslInDQX5c2F1.png)![](https://staticfiles.gleap.io/ghelparticle/XXaCZYkmsmJfT26aBts0JB5nmyUKlE0wOuyxdUQ1IsbbypUQvyqZFjjIufQnmW2VdWj5Gjm1W60.png) Наступним кроком потрібно перейти в розділ "Certificates & secrets", відкрити вкладку "Client secrets" та провести наступні кроки: 1. натиснути на кнопку "New client secret"; 2. заповнити поля "Description" та "Expires" та натиснути "Add"; ![](https://staticfiles.gleap.io/ghelparticle/Yx7tcUR6ETnl46TbkXKy5LEiWkTbUQvoITNomQi7xDytNWhsz3HYjSYhOVdXiOWIA2EjpAlQ41o.png) 3. скопіювати значення з поля "Value" та додати в поле `Entra client secret` в HURMA; ![](https://staticfiles.gleap.io/ghelparticle/9QtFtRTsVVk7d0aTqCWWfack4hLn3CwqesWbjPC55jD69w4qgW07hSSoZT7Io5jgF5RpLFmr5ry.png)![](https://staticfiles.gleap.io/ghelparticle/cCG9UCHphqEP41Iqhi4iFMnGufIRql0hjwjpYVw8nfUfkcsX4O5zGZfH8e0QAVH1GW5w7s0LSQT.png) 4. перейти на сторінку "Overview"; 5. скопіювати значення з поля "Directory (tenant) ID" та додати в поле `Entra tenant ID` в HURMA; ![](https://staticfiles.gleap.io/ghelparticle/SSHLTJia9xROwPTJFg2P98GxmvuuKLT0m4IYlKJsVjBCNISzSvVrqTfP2F19nM3tRO2hmw40L0Z.png)![](https://staticfiles.gleap.io/ghelparticle/pmQNEyOVKgJRAxdLKVe8qEcYj5SCOmq9WMHwwUH6JRp2sZo9dF5W0iD8cOmMG5JX1ga94q1bmmA.png) 6. скопіювати значення з поля "Application (client) ID" та додати в поле `Entra client ID` в HURMA; ![](https://staticfiles.gleap.io/ghelparticle/7Tg5DQVjabbpX5zFj4w7HXN7qcRhGGQZjSObjaF4sCfiht9yhFmoNGASCDwhvMZnsiJmnny3TPu.png)![](https://staticfiles.gleap.io/ghelparticle/3cTD7nYWMLgERMZAgSQmqI1SS12XVTL41GpteabUFlO6DrZyC2pDnTI2AFTW74PwbIcBijD965M.png) 7. натиснути на кнопку "Зберегти", після чого відобразиться повідомлення "SSO підключено". ![](https://staticfiles.gleap.io/ghelparticle/S8aeolXvWNEVm9hKKCb7rQ8xi9QtUiHS8ktAB21DLBKwkLvD1yMuvdIvlhoKueJkqoMb4lHL4iC.png) ## Microsoft Entra (SAML2) ### Підключення в HURMA (SAML2) Активація опції відбувається в розділі "Налаштування" - "SSO". ![](https://staticfiles.gleap.io/ghelparticle/WwyGIBfhxkVVU3YPbziXWxTyHGyZFQs7SJeLWh0jVjedwuU7DzUi2p5hsLPB5uYKY9xAiRAGOI5.png) Для активації потрібно обрати один з варіантів: - "SAML2" та заповнити відповідні поля (взяті з порталу Microsoft Enta) - `Metadata Url` або `Metadata XML`, далі `Callback method` та натиснути на кнопку "Зберегти"; ![](https://staticfiles.gleap.io/ghelparticle/MAleQTkrua1E3CsprNPB138MNwHtDadzWLXqJYLxV4Dvx2T8dazInCqJfDO6lhnOFVzSfhoxsTN.png) - "SAML2 (Custom)" та заповнити відповідні поля (взяті з порталу Microsoft Entra) - `Login URL`, `Identifier`, завантажити сертифікат, `Callback method` та натиснути на кнопку "Зберегти". ![](https://staticfiles.gleap.io/ghelparticle/r4m80BIe4KpyjsMAcdQ9wCLJg45pCoK2iFwesF7TCrZaOJULBSV3s0C2uixjf5rmslZi0DryRfs.png) Після цього користувачам системи буде доступна авторизація за допомогою SSO на сторінці логіну. ![](https://staticfiles.gleap.io/ghelparticle/UtFNpye18u26hDIa0n2PNrB2X2tNKasskLT8x2aNwBWjebpo8wdqgO1QDgzHMsvjVP0Kmc1ZnaJ.png) ### Підключення в Microsoft Entra (SAML2) Для підключення опції на порталі [Microsoft Entra](https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/Overview), потрібно перейти в розділ "Enterprise applications" та натиснути на "New registrations". ![](https://staticfiles.gleap.io/ghelparticle/BGK430PsVeNx5ZHTgfuFnYJDKxx4S3p6rfKD0xxLcTR1kjlUS8DjMvd630Lyl7DTYlffIE0U5v0.png) ![](https://staticfiles.gleap.io/ghelparticle/UfNGDyWaHkgH5V8TicCmKMrQYc7tfXFa84y9Puz4PYnOkRoqK6uyFGtcogkHNlmR0eiji1fGoEj.png) Після цього потрібно: 1. натиснути "Create your own application"; ![](https://staticfiles.gleap.io/ghelparticle/7cXNJm9PWnAICBbWqdNgpaOokzb58EcP1xf5pEHWmcIJsl9nijhGb9x1ZvrlaBUb7wIH2yhTZjy.png) 2. ввести назву нового додатку, наприклад, "HURMA", обрати "Integrate any other application you don't find in the gallery (Non-gallery)" та зберегти; ![](https://staticfiles.gleap.io/ghelparticle/XsGNlOGFwFmCUm2ntBStlsTgqEnjVZewTIelIw3uB0m1oHWhCWQr6DoRZDs13qCrHmHLb1g35BR.png) 3. після цього на сторінці "Overview" потрібно обрати "Single sign-on" та "SAML"; ![](https://staticfiles.gleap.io/ghelparticle/Fxf5VEUnjfInDVcdE7obu5CTxL0dpEO1gXcP213wQuXUUj4zE1F3tKflNoYgMeMbfvUGhKeO93H.png)![](https://staticfiles.gleap.io/ghelparticle/YqcFIIQmrFHTm4XwpZ0F1pRvwsUeEuYSWOahD8UIKrvP93moOktUvNV028FsHCzC6GST51HZj07.png) 4. на наступній сторінці потрібно перейти в режим редагування блоку №1; ![](https://staticfiles.gleap.io/ghelparticle/7T6RBhkaPznrpuH6R3lyZn3Tzrg1yOggVVqHUbS0zcC5ICYAGy2tiNVk1xyXYPtL9dEL4gNTMI2.png) 5. у формі додаємо інформацію до полів "Identifier (Entity ID)", "Reply URL (Assertion Consumer Service URL)" та "Sign on URL", використовуючи дані з одноіменних полів з системи HURMA, та зберігаємо; ![](https://staticfiles.gleap.io/ghelparticle/l16WvRdmaLS3tkNj6cd4DhPTg1pZqs1mhL4ebiQrFTlJW8uuaPRUglvoLLkXVyNAKwfU65ibj5N.png)![](https://staticfiles.gleap.io/ghelparticle/3L3KHtDs2NpqdXNQ8wCCiRqgSD0vmUk0qHyTp5C609LuTb6NFDFuDK2cz0kSRpgGrFSkuofpjx0.png) 6. наступним кроком потрібно перейти в режим редагування блоку №2; ![](https://staticfiles.gleap.io/ghelparticle/FpQR8OJPEVEMHuAEOVduVo5wns7pFRf0QGYgetnmlrujIh9KReQUVuSmnPtUDk1fjPmJBIXyQhF.png) 7. після чого у формі встановити вказані відповідності в блоці "Additional claims"; - email - user.userprincipalname - first\_name - user.givenname - user.name - user.userprincipalname - second\_name - user.surname - phone - user.mobilephone - phone\_second - user.telephonenumber - display\_name - user.displayname ![](https://staticfiles.gleap.io/ghelparticle/pnCxjPOWK290i9AHOuKDD5xchYjo57xVKrMGoLxVGaZzMYIvjYwooG0vK5fI6ZeY8tgOQNWsw6r.png) 8. наступним кроком потрібно та налаштувати список користувачів, які будуть мати доступ до цього додатку, використовуючи інструкцію нижче з п. "Надання обмеженому списку користувачів доступу до HURMA"; 9. після цього повертаємось на сторінку "SAML-based Sign-on"; 10. останнім кроком виконуємо підключення в HURMA, в залежності від обраної метадати чи способу. ### URL На сторінці "SAML-based Sign-on" в Microsoft Entra копіюємо значення з поля "App Federation Metadata Url" та додаємо в HURMA в поле "Metadata Url", зберігаємо зміни. ![](https://staticfiles.gleap.io/ghelparticle/VDuY6hhBCMOK2sUyr2cRCyshA1vrAQ1lU8iAt5CKcV4dxaJAgy8Mi5Utgj9whHyFc3b2hYOpuoD.png)![](https://staticfiles.gleap.io/ghelparticle/uVS2aJyBMPdnbrGfX4IaeqDKgXuX6CuC289xj6NY6n5wfIPES3W0iPTzVKowVDKYMEeYJkCW1b1.png) ### XML На сторінці "SAML-based Sign-on" в Microsoft Entra завантажуємо файл з поля "Federation Metadata XML" та завантажуємо в HURMA, зберігаємо зміни. ![](https://staticfiles.gleap.io/ghelparticle/QHEz6nYNXIRDlCqq2VV22nyF11xm5n26pygPRvxyYLOPffX66Y6mV6gOLUD8GGLDLx7WUhgYuTY.png)![](https://staticfiles.gleap.io/ghelparticle/YGC1bIJv11g3Or9tRfUrDkQCk12pt3lMXCdSFvEd2dxIONOP9oN0aUJdD2IYmmknRKtbosPoTuH.png) ### Custom На сторінці "SAML-based Sign-on" в Microsoft Entra копіюємо значення з полів "Login URL" та "Microsoft Entra Identifier" і додаємо в HURMA в поля "Login URL" та "Identifier". ![](https://staticfiles.gleap.io/ghelparticle/T5UlLqpekyZbhfaQW5q41dj9vat0CnkobMVyW4e8aB8OItLuhzOXlNfPvZpASUTi9kCwA8fSDuP.png)![](https://staticfiles.gleap.io/ghelparticle/SDaV1J4jhNYk4rJ2GjWPTwUqLTGt16FBhsfklMK3aZEm55uzIlOlwCUvhKAnVEm0yCaoQDGe36m.png) Останнім кроком потрібно завантажити файл з поля "Certificate (Base64)" та додати до HURMA, після цього зберегти. ![](https://staticfiles.gleap.io/ghelparticle/mU7PeqArjWZZO2pGsG67tFwWYQPX7PWr9pfdKFZx3EHTXKtL3HqKf4tgBMwODdq8cDvPchGrskz.png)![](https://staticfiles.gleap.io/ghelparticle/AmSethYYj3j9J1GUHfRxBsJUQpQhkmH11vWGyTANFXgR36Xq69JIgAxdg5Q3C1v2YHy7JWjlaRW.png) ## Авторизація в HURMA Після підключення SSO і переходу користувачів на сторінку логіну, їм буде доступна авторизація тільки за допомогою SSO. ![](https://staticfiles.gleap.io/ghelparticle/S2glKuMxMcJEdVFVuEiJalkq3fqbyW6CrO3dfd9NKbucdeIYA6waXjSd0j33BvEAGmVWNmF7Gyr.png) Якщо користувач, який авторизовується в HURMA, вже **існуючий співробітник** - його профіль в HURMA не змінюється, при цьому акаунт у HURMA зв'язується з користувачем Microsoft. Якщо користувач, який авторизовується в HURMA, **є новим співробітником** і його в системі ще не існувало - в HURMA створюється **нова картка з роллю "Співробітник"**. ## Надання обмеженому списку користувачів доступу до HURMA Щоб обмежити доступ до додатку, потрібно виконати наступні кроки: 1\. перейти в [Microsoft Entra](https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/Overview) -> Enterprise applications; ![](https://staticfiles.gleap.io/ghelparticle/OA3lK0QfBYy3a3qFZcXXSt2A37H7HQjVfxE1ZIsDLftuTvLVs1AYgEuyrDgqzMPc6vim2Uv2s3B.png) 2\. обрати потрібний додаток зі списку; ![](https://staticfiles.gleap.io/ghelparticle/FQ2MZ5YybtNHHZO2xZC5F3tKLw0xOdpU5nLxPBBMwqDvozPWZgTp4R6h84PiBAlq6hBeiRt1LhB.png) 3\. відкрити в меню пункт "Properties" та активувати пункт "Assignment required?" ![](https://staticfiles.gleap.io/ghelparticle/n0Axghe1uqJPi2RKRbYKyx8Vq9M3TQsH6tcEOD16G1mplGvrCFkwsGs7PnHYNiPOU6NOTvS97tB.png) 4\. додати користувачів або групи користувачів, які будуть мати доступ до додатку, ви можете на цій сторінці ж, в пункті "Users and groups" ![](https://staticfiles.gleap.io/ghelparticle/FDZF3Pd0YnpVYoajWoooFtzJNlZKgE9dZjxd8leGzkYOJORq7z4i4r73dTHilgwYuWMgzzxgg0g.png) ## Звільнення/видалення користувачів Якщо **в HURMA звільнити або видалити співробітника**, проте залишити його **активним в Active Directory**, при його авторизації створюється **нова картка з роллю "Співробітник"**. Якщо в **Active Directory** у користувача **не буде доступу** до додатку HURMA, проте **залишити** його картку **в системі HURMA**, при його авторизації він отримає помилку про те, що **доступ до системи заборонено**.