Единый вход (SSO)

SSO выполняет вход людей в консоль. Он не заменяет API-ключи для приложений: ключи аутентифицируют машины, SSO — людей.

Что настраивается, а что нет

Провайдеры идентификации настраиваются на уровне развёртывания оператором, а не для организации в консоли. Владельцу организации доступны видимость и один переключатель:

• увидеть, какие провайдеры включены (OIDC, Google, GitHub);
• скопировать callback URL, чтобы зарегистрировать AACSearch как клиента;
• включить или выключить Обязательный SSO.

Кнопки Google и GitHub появляются только тогда, когда оператор задал для них учётные данные. Нативный SAML не поддерживается — SAML-провайдер подключается через OIDC-мост (свой OIDC-эндпоинт или брокер вроде Keycloak или Dex перед ним).

Зарегистрируйте AACSearch в провайдере

Откройте Настройки → SSO и скопируйте показанный callback URL в провайдера идентификации. Он имеет вид:

https://api.aacsearch.com/auth/callback/<providerId>

<providerId> — настроенный в развёртывании идентификатор провайдера (по умолчанию oidc). Провайдеру нужен именно этот URL как redirect URI.

Проверка: статусные бейджи показывают OIDC · on (с идентификатором провайдера), когда развёртывание настроено. Бейдж off означает, что оператор ещё не задал учётные данные.

Обязательный SSO

Владелец организации может включить Обязательный SSO после настройки провайдера.

После включения вход по паролю для участников этой организации отклоняется с сообщением:

Your organization requires single sign-on. Sign in through your identity provider.

Проверьте это в отдельной сессии браузера до широкого включения и держите согласованный с администратором развёртывания процесс восстановления: при неверной настройке провайдера участники не смогут войти по паролю.

Автоматическое участие по домену почты

Оператор может сопоставить проверенные домены почты с организациями (SSO_ORG_DOMAIN_MAP, например {"example.com": "<organizationId>"}). Человек, вошедший через провайдера с проверенным адресом на сопоставленном домене, автоматически присоединяется к этой организации с ролью участника.

Регистрация по паролю для такого сопоставления не подходит — только учётные записи провайдера с проверенным адресом. Убедитесь в консоли (Команда), что новые люди приходят с ожидаемой ролью.

Для операторов развёртывания

Обязательная конфигурация: SSO_OIDC_ISSUER, SSO_OIDC_CLIENT_ID и SSO_OIDC_CLIENT_SECRET. Документ discovery читается из issuer, поэтому issuer должен отдавать стандартный OIDC discovery. SSO_OIDC_PROVIDER_ID по умолчанию oidc. Храните клиентский секрет в секретах развёртывания, а не в репозитории.

Диагностика

При сбоях фиксируйте время и имя провайдера — никогда не отправляйте в поддержку клиентские секреты или токены входа.

Далее

• Управление пользователями через SCIM — половина настройки, отвечающая за состав.
• Аутентификация в консоли — сессии, пароли и приглашения.