Единая точка входа Passwork

Общие сведения

В статье описывается настройка единого входа (Single Sign-On) и двухфакторной аутентификации для системы управления паролями Passwork.

Приложение поддерживает федеративную аутентификацию по протоколу SAML, которая совместно с MULTIFACTOR позволяет использовать единую базу пользователей и централизованно управлять доступом с мультифакторной аутентификацией

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Telegram
• СМС
• Биометрия
• Аппаратные OTP токены
• Приложения OTP: Google Authenticator или Яндекс.Ключ

Поскольку MULTIFACTOR не запрашивает и не хранит пароли ваших пользователей, первым фактором аутентификации (логин и пароль), в зависимости от настройки, могут быть:

• Active Directory

Схема работы

1. Passwork и MULTIFACTOR устанавливают взаимное доверие путем обмена публичными сертификатами и настройкой единого адреса входа (Single Sign-On).
2. При запросе на аутентификацию Passwork переадресует пользователя на страницу MULTIFACTOR.
3. MULTIFACTOR отправляет пользователя на страницу поставщика учетных записей (Яндекс, Google или Active Directory).
4. После подтверждения первого фактора MULTIFACTOR запрашивает двухфакторную аутентификацию и возвращает подписанный запрос обратно в Passwork.

Настройка MULTIFACTOR

1. Зайдите в личный кабинет, в разделе Ресурсы создайте новый Сайт → SAML-приложение:

• Название: Пассворк
• Адрес: [опционально] https://passwork.example.com
• Поставщик учетных записей:
  • Active Directory — для учетных записей домена Active Directory;
• Адрес портала:
  • поскольку поставщик учетных записей Active Directory, то укажите адрес (внешний или внутренний) предварительно настроенного портала самообслуживания MULTIFACTOR;

2. Сохраните настройки;
3. Сохраните или откройте по ссылке файл из поля Метаданные MULTIFACTOR, он понадобится для дальнейшей настройки.

Настройка Passwork

В созданном SAML-ресурсе откройте метаданные Мультифактора (ссылкой или файлом). Из XML скопируйте и заполните в Passwork (Настройки → Настройки SSO) следующие обязательные значения:

1. Идентификатор (Entity ID) — атрибут entityID, пример   https://idp.multifactor.ru/rs_....
2. Url-адрес входа — SingleSignOnService → Location (…/login)
3. Url-адрес выхода — SingleLogoutService → Location (…/logout)
4. Сертификат — значение внутри <X509Certificate>

Убедитесь, что в конфигурационном файле config.env Passwork параметр APP_URL совпадает с адресом в метаданных (тот же домен и схема HTTPS).

https://passwork.example.com/api/v1/sso/metadata

curl   https://passwork.example.com/api/v1/sso/metadata --output passwork-sp.xml

После загрузки в поле Service Provider должен отображаться Entity ID Passwork:

  https://passwork.example.com/api/v1/sso/metadata

Сохраните Entity ID и загрузите его в поле Поставщик услуг в панели управления MULTIFACTOR, в настройках созданного ранее SAML ресурса;

Смотрите также:

Настройка двухфакторной аутентификации Passwork