Keycloak арқылы куәліктер федерациясын баптау

VK Cloud жүйесіне өзіңіздің куәландыру жеткізушіңізді (Identity Provider, IdP) қосуға болады. Бұл қызметкерлеріңізге куәландыру жеткізушісінің корпоративтік аутентификация деректерін пайдаланып, логин мен құпиясөзді енгізбей-ақ VK Cloud жүйесіне кіруге мүмкіндік береді. Мұндай режим куәліктер федерациясы деп аталады.

Федерация режимінде жұмыс істеу үшін куәландыру жеткізушісі SAML 2.0 стандартын қолдауы тиіс.

Әрі қарай VK Cloud жүйесіне кіру үшін куәліктер федерациясын Keycloak куәландыру жеткізушісі ретінде пайдаланып баптау көрсетіледі.

1. Егер бұл куәландыру жеткізушісін әлі пайдаланбасаңыз, Keycloak серверін орнатып, баптаңыз.

2. Keycloak метадеректерін алыңыз:

   1. Keycloak әкімші консоліне кірііңіз.
   2. Keycloak-та realm құрыңыз немесе барын пайдаланыңыз.
   3. Realm settings қойындысына өтіп, SAML 2.0 Identity Provider Metadata түймесін басыңыз. Keycloak метадеректері бар XML-файл жүктеледі.

VK Cloud куәлік федерацияларын тек рөлі жоба иесі болып табылатын пайдаланушылар ғана жасай алады.

1. Өтіңіз VK Cloud аккаунтына.

2. Куәлік федерациясы бөліміне, Федерациялар қойындысына өтіңіз.

3. Жасау батырмасын басыңыз.

4. IdP метадеректерін жүктеу батырмасын басыңыз.

5. Keycloak метадеректері бар XML файлын қосып, Жүктеу батырмасын басыңыз.

6. Федерация метадеректері бар XML файлын сақтау үшін Метадеректерді жүктеп алу батырмасын басыңыз. Кейін бұл файл relying party trust арқылы сенім қатынасын жасау үшін пайдаланылады.

Федерациялар қойындысында федерация деректері пайда болады:

• VK Cloud жеке кабинетіне федеративті пайдаланушылардың кіру URL мекенжайы, мысалы: https://cloud.vk.com/v1/federation/saml/54f0267b-31f6-XXXX-XXX-2a24c5f436fb/signin.
• Федерация ID-і, мысалы: 54f0267b-31f6-XXXX-XXX-2a24c5f436fb.

1. Keycloak әкімші консоліне кірііңіз.

2. Clients қойындысына өтіңіз.

3. Import client түймесін басып, федерацияны жасау кезінде алынған метадеректерді жүктеңіз. Параметрлерді өзгертпей қалдырыңыз:

   • Type: saml.
   • Encrypt assertions: On.
   • Client signature required: Off.

4. Save түймесін басыңыз.

5. Жасалған клиенттің Client scopes қойындысына өтіп, клиент үшін әдепкі бойынша жасалған scope-ты таңдаңыз.

6. Configure a new mapper түймесін басып, User Property таңдаңыз және параметрлерді толтырыңыз:

   • Name: email.
   • Property: email.
   • SAML Attribute Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress.
   • SAML Attribute NameFormat: URI Reference.

7. Group list таңдаңыз және тағы бір mapper қосыңыз:

   • Name: groups.
   • Group attribute name: http://schemas.xmlsoap.org/claims/Group.
   • SAML Attribute NameFormat: URI Reference.
   • Single Group Attribute: On.
   • Full group path: Off.

8. (Қосымша) Configure a new mapper түймесін басып, User Property таңдаңыз және пайдаланушы туралы ақпаратты жеке кабинетпен синхрондау үшін екі атрибут қосыңыз:

   • Пайдаланушының аты:

     • Name: firstName.
     • Property: firstName.
     • SAML Attribute Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name.
     • SAML Attribute NameFormat: URI Reference.

   • Пайдаланушының тегі:

     • Name: lastName.
     • User Attribute: lastName.
     • SAML Attribute Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname.
     • SAML Attribute NameFormat: URI Reference.

1. VK Cloud аккаунтына өтіңіз.

2. Куәліктер федерациясы бөліміне өтіңіз.

3. Топтар қойындысына өтіңіз.

4. Куәліктер федерациясы бапталатын жоба атауын басыңыз.

5. Keycloak-та пайдаланатын топтарды қосыңыз:

   1. Қосу түймесін басыңыз. Егер бетте бұрыннан жасалған топтар болса, Топ қосу түймесін басыңыз.

   2. Топты баптаңыз:

      • Топ атауы: топ атауын көрсетіңіз. Жасалатын топ атауы Keycloak-тағы топтың атауына сәйкес келуі тиіс.
      • Рұқсаттар:
        • Бір жоба шеңберінде топ пен рөлдерді байланыстыру үшін Жоба таңдаңыз. Әртүрлі жобаларда бір топты әртүрлі рөлдермен байланыстыруға болады, бұл федеративті пайдаланушының жобаларға қол жеткізу деңгейін шектеуге мүмкіндік береді.
        • Бір иенің барлық жобаларында топ пен рөлдерді байланыстырып, федеративті пайдаланушыға оларға бірдей қол жеткізу деңгейін беру үшін Домен таңдаңыз. Домен рұқсаты тек жоба иесіне қолжетімді.
      • Топ рөлдері: жасалатын топқа арналған қол жеткізу матрицаңызға сәйкес келетін рөлдерді VK Cloud таңдаңыз.

   3. Қосу түймесін басыңыз.

1. Keycloak-та пайдаланушы жасаңыз және оны қажетті топқа қосыңыз.
2. Браузер жолына федеративті пайдаланушыларға арналған кіру URL мекенжайын енгізіңіз. Сіз Keycloak аутентификация бетіне қайта бағытталасыз.
3. Пайдаланушының аутентификация деректерін енгізіңіз. Сәтті авторизациядан кейін VK Cloud жеке кабинетінің басты бетіне қайта бағытталасыз.
4. VK Cloud пайдаланушысына автоматты түрде тағайындалған рөл топты қосу кезінде таңдалған рөлге сәйкес келетінін тексеріңіз.