Active Directory арқылы куәліктер федерациясын баптау

VK Cloud жүйесіне өзіңіздің куәландыру жеткізушіңізді (Identity Provider) қосуға болады. Бұл қызметкерлеріңізге куәландыру жеткізушісінің корпоративтік аутентификация деректерін пайдаланып, логин мен құпиясөзді енгізбей-ақ VK Cloud жүйесіне кіруге мүмкіндік береді. Мұндай режим куәліктер федерациясы деп аталады.

Федерация режимінде жұмыс істеу үшін куәландыру жеткізушісі SAML 2.0 стандартын қолдауы тиіс.

Әрі қарай VK Cloud жүйесіне кіру үшін куәліктер федерациясын Active Directory федерация қызметі (AD FS) мысалында баптау көрсетіледі.

1. AD FS-ті баптаңыз, пайдаланушылар мен топтарды жасаңыз.
2. AD FS метадеректері бар XML-файлды экспорттаңыз.

VK Cloud куәлік федерацияларын тек рөлі жоба иесі болып табылатын пайдаланушылар ғана жасай алады.

1. Өтіңіз VK Cloud аккаунтына.

2. Куәлік федерациясы бөліміне, Федерациялар қойындысына өтіңіз.

3. Жасау батырмасын басыңыз.

4. IdP метадеректерін жүктеу батырмасын басыңыз.

5. AD FS метадеректері бар XML файлын қосып, Жүктеу батырмасын басыңыз.

6. Федерация метадеректері бар XML файлын сақтау үшін Метадеректерді жүктеп алу батырмасын басыңыз. Кейін бұл файл relying party trust арқылы сенім қатынасын жасау үшін пайдаланылады.

Федерациялар қойындысында федерация деректері пайда болады:

• VK Cloud жеке кабинетіне федеративті пайдаланушылардың кіру URL мекенжайы, мысалы: https://cloud.vk.com/v1/federation/saml/54f0267b-31f6-XXXX-XXX-2a24c5f436fb/signin.
• Федерация ID-і, мысалы: 54f0267b-31f6-XXXX-XXX-2a24c5f436fb.

1. Федерация метадеректерінің көмегімен сенім қатынасын жасаңыз. Федерацияны жасау кезінде алынған метадеректері бар XML-файлды пайдаланыңыз.

2. Пайдаланушы атрибуттары мен AD FS шығыс мәлімдемелері түрлерінің (Claims Mapping) арасындағы сәйкестікті баптаңыз, ол үшін келесі ережелерді қосыңыз:

   • Кіріс мәлімдемесін түрлендіру (Transform an Incoming Claim):

     • Type: Transform an Incoming Claim.
     • Claim rule name: Name ID.
     • Incomming claim type: Windows account name.
     • Outgoing claim type: Name ID.
     • Outgoing name ID format: Windows Qualified Domain Name.

   • Пайдаланушы атрибуттарын жіберу (Send LDAP Attributes as Claims):

     • Type: Send LDAP Attributes as Claims.

     • Claim rule name: Attributes.

     • Attribute store: Active Directory.

     • Mapping of LDAP attributes to outgoing claim types: келесі сәйкестіктерді орнатыңыз:

       • E-Mail-Adresses → E-Mail Address.
       • SAM-Account-Name → Subject Name.
       • Given-Name → Name.
       • Surname → Surname.
       • Telephone-Number → phone_number.

   • Топтардағы мүшелікті жіберу (Send Group Membership as a Claim):

     • Type: Send Group Membership as a Claim.
     • Claim rule name: <НАЗВАНИЕ_ГРУППЫ> (мысалы, Domain Users).
     • User’s group: <ДОМЕН>\<НАЗВАНИЕ_ГРУППЫ>.
     • Outgoing claim type: Group.
     • Outgoing claim value: <НАЗВАНИЕ_ГРУППЫ>.

VK Cloud жүйесінде AD FS топтары мен рөлдері арасындағы байланысты баптау операциялары жеке кабинеттің келесі рөлдеріне ғана қолжетімді: иесіне, суперадминистраторға және пайдаланушылар әкімшісіне (IAM). Байланыстарды қарау жоба әкімшісі мен бақылаушыға да қолжетімді.

1. VK Cloud аккаунтына өтіңіз.

2. Куәліктер федерациясы бөліміне өтіңіз.

3. Топтар қойындысына өтіңіз.

4. Куәліктер федерациясы бапталатын жоба атауын басыңыз.

5. Active Directory-де пайдаланатын топтарды қосыңыз:

   1. Қосу түймесін басыңыз. Егер бетте бұрыннан жасалған топтар болса, Топ қосу түймесін басыңыз.

   2. Топты баптаңыз:

      • Топ атауы: пайдаланушы мүше болып табылатын Active Directory тобының атауын көрсетіңіз. Атауы бұрын бапталған AD FS ережелеріндегі Outgoing claim value өрісімен сәйкес келуі тиіс.
      • Рұқсаттар:
        • Бір жоба шеңберінде топ пен рөлдерді байланыстыру үшін Жоба таңдаңыз. Әртүрлі жобаларда бір топты әртүрлі рөлдермен байланыстыруға болады, бұл федеративті пайдаланушының жобаларға қол жеткізу деңгейін шектеуге мүмкіндік береді.
        • Бір иенің барлық жобаларында топ пен рөлдерді байланыстырып, федеративті пайдаланушыға оларға бірдей қол жеткізу деңгейін беру үшін Домен таңдаңыз. Домен рұқсаты тек жоба иесіне қолжетімді.
      • Топ рөлдері: жасалатын топқа арналған қол жеткізу матрицаңызға сәйкес келетін рөлдерді VK Cloud таңдаңыз.

   3. Қосу түймесін басыңыз.

1. VK Cloud аккаунтына өтіңіз.
2. Куәліктер федерациясы бөліміне өтіп, Федерациялар қойындысын ашыңыз.
3. Федеративті пайдаланушыларға арналған кіру URL параметрінің мәнін көшіріп алыңыз.
4. Алынған URL мекенжайын браузер жолына қойыңыз. Сіз AD FS аутентификация бетіне қайта бағытталасыз.
5. Өз корпоративтік аутентификация деректеріңізді енгізіңіз. Сәтті авторизациядан кейін VK Cloud жеке кабинетінің басты бетіне қайта бағытталасыз.
6. VK Cloud пайдаланушысына автоматты түрде тағайындалған рөл топты қосу кезінде таңдалған рөлге сәйкес келетінін тексеріңіз.