Настройка SAML интеграции AmoCRM и MULTIFACTOR

Общая информация

В статье описывается настройка единого входа (Single Sign-On) в систему AmoCRM с многофакторной аутентификацией MULTIFACTOR.

Cтатья подготовлена для администраторов систем с целью повышения уровня безопасности корпоративных данных и упрощения доступа сотрудников.

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Telegram
• СМС
• Биометрия
• Аппаратные OTP токены
• Приложения OTP: Google Authenticator или Яндекс.Ключ

Поскольку MULTIFACTOR не запрашивает и не хранит пароли ваших пользователей, первым фактором аутентификации (логин и пароль) могут выступать следующие поставщики учётных записей:

• Active Directory
• Yandex
• Google
• Локальные пользователи MULTIFACTOR (только e-mail)
• Другие внешние SAML поставщики учётных записей

Вход в AmoCRM чаще всего привязан к почте

Схема работы

1. AmoCRM устанавливает доверие с MULTIFACTOR, получая его публичный сертификат и адрес единого входа (Single Sign-On).
2. При запросе на аутентификацию, AmoCRM переадресует пользователя на страницу MULTIFACTOR.
3. MULTIFACTOR отправляет пользователя на страницу поставщика учётных записей (Active Directory, Google, Яндекс, внешний SAML поставщик).
4. После подтверждения первого фактора, MULTIFACTOR запрашивает двухфакторную аутентификацию и возвращает подписанный запрос в AmoCRM.
5. AmoCRM предоставляет пользователю доступ к запрашиваемому ресурсу.

Настройка MULTIFACTOR

1. Зайдите в систему управления MULTIFACTOR, в разделе Ресурсы создайте новый Сайт → SAML приложение:

• Поле Название: укажите значение (рекомендуется указать AmoCRM).
• Поле Адрес: поле опционально, для AmoCRM его можно оставить пустым или указать адрес корпоративного портала.
• Поставщик учетных записей:
  
  
  • Active Directory — для учетных записей домена Active Directory;
  • Google — для использования учетных записей Google;
  • Yandex — для использования учетных записей Яндекса;
  • Только e-mail — для использования локальных учётных записей MULTIFACTOR (только e-mail, без пароля);
  • Другой — для использования учётных записей преднастроенных внешних поставщиков в разделе Настройки → Поставщики учетных записей;

• Адрес портала: если выбран поставщик учётных записей Active Directory, то укажите адрес (внешний или внутренний) предварительно настроенного портала самообслуживания MULTIFACTOR;

2. Сохраните настройки;
3. Обязательно скачайте файл или сохраните ссылку на него из поля Метаданные MULTIFACTOR — он понадобится для дальнейшей настройки;
4. Поле Поставщик услуг (Service Provider) пока оставьте пустым — заполнение этого поля будет выполнено после получения данных из AmoCRM.

Настройка AmoCRM

• Войдите в AmoCRM под учетной записью администратора.
• Перейдите в раздел Настройки → Пользователи.
• Нажмите на Ещё (три точки) в правом верхнем углу.
• Выберите Единый вход SSO и создайте новое подключение и задайте название этого подключения (например Multifactor).

1. Перейдите на вкладку Данные для amoCRM и задайте параметры подключения со стороны IdP:

• Укажите ранее созданное подключение и активируйте тумблер Использовать подключение.
• Заполните поля данными из панели MULTIFACTOR:
  • Ссылка на метаданные MULTIFACTOR из созданного ранее SAML ресурса в панели управления MULTIFACTOR.
    Пример значения: https://idp.multifactor.ru/rs_<identifier>;
  • URL Системы единого входа (Sign-in page URL):
    Ссылка на метаданные MULTIFACTOR из созданного ранее SAML ресурса в панели управления MULTIFACTOR + /login.
    Пример значения:
https://idp.multifactor.ru/rs_<identifier>/login
• В поле сертификата вставьте значение между тегами -----BEGIN CERTIFICATE----- и -----END CERTIFICATE----- из файла метаданных MULTIFACTOR.
  Пример PEM-сертификата:

-----BEGIN CERTIFICATE-----
<Закодированный в формате Base64 сертификат>
-----END CERTIFICATE-----

• Выберите Роль по-умолчанию для новых пользователей в amoCRM.
• Выберите Группы пользователей, которым разрешен вход в аккаунт через SSO. Или же оставьте Все.

2. Перейдите на вкладку «Данные для Identity Provider» — на ней сформированы технические параметры самой amoCRM, которые понадобятся для завершения настройки в MULTIFACTOR:

• Отправитель (Entity ID)
• SSO URL
• Сертификат
• URL метаданных

Скопируйте URL метаданных для дальнейшей настройки.

Конфигурация Service Provider 

Переходим обратно в настройки созданного SAML ресурса и нажимаем Обновить метаданные.

В зависимости от выбора формата (в данном случае URL) загружаем необходимые данные и нажимаем Upload

По завершению загрузки в разделе Service Provider ресурса появятся данные о amoCRM.
Сохраните изменения.

Сохранение и проверка подключения

Вернитесь в настройки подключения AmoCRM.

Нажмите кнопку Сохранить и проверить подключение в нижней части экрана. При успешной проверке появится соответствующее системное сообщение.

Нажмите «Сохранить и проверить подключение». При успешной проверке появится соответствующее сообщение.

Важно

В интерфейсе появляется кнопка Войти через SSO. Её могут использовать только пользователи, добавленные в аккаунт.

Как пригласить нового пользователя

1. Отправьте пользователю ссылку-приглашение (ее можно скопировать в настройках SSO AMOCRM).
2. Пользователь переходит по ссылке-приглашению и попадает на страницу MULTIFACTOR.
3. Пользователь проходит аутентификацию у выбранного поставщика учётных записей (например, вводит логин и пароль от Active Directory / почты).
4. MULTIFACTOR запрашивает подтверждение второго фактора (например, Push-уведомление в мобильном приложении, Telegram или OTP-код).
5. После успешного прохождения многофакторной аутентификации система возвращает подписанный токен в AmoCRM.
6. В аккаунте AmoCRM автоматически создается новый пользователь (с ролью по умолчанию и добавлением в разрешенную группу), после чего открывается рабочий интерфейс AmoCRM.

Особенности работы