SSO и каталог
Корпоративный вход через OpenID Connect и допуск по Active Directory — что это даёт пространству и как устроено.
Calab умеет пускать сотрудников в пространство через корпоративного провайдера идентификации (IdP) и сверять доступ с Active Directory. Эта глава — для владельцев пространств, которые настраивают вход, и для операторов, которые разворачивают Calab у себя.
Что входит
| Возможность | Что делает | Протокол |
|---|---|---|
| Корпоративный вход (SSO) | Сотрудник входит в пространство через IdP организации; при обязательном режиме — только так | OpenID Connect, Authorization Code + PKCE S256 |
| Каталог (AD) | Раз в 5 минут сверяет, кому организация ещё разрешает доступ; отключённые и удалённые учётные записи теряют доступ | LDAPS (только чтение) |
| Восстановление | Набор одноразовых кодов, чтобы владелец мог починить политику, если IdP сломался | — |
Поддерживаемые IdP: любой OpenID Connect-провайдер (generic OIDC), Microsoft Entra ID и AD FS 2019+. SAML не поддерживается — см. ограничения.
Граница доверия — пространство
Всё, что связано с корпоративным входом, принадлежит одному пространству: подключение к IdP, политика, каталог, привязки сотрудников. Ответ вашего IdP открывает доступ только в ваше пространство:
- сессия, полученная через SSO, работает только в этом пространстве — без личных сообщений, личных заметок, других пространств и управления паролем;
- аккаунты не объединяются по email: корпоративная учётная запись привязывается к аккаунту Calab только явно, после подтверждения пароля этого аккаунта;
- данные из IdP (claims) не делают человека владельцем, администратором или суперадминистратором.
Так администратор чужого IdP не может, подставив совпадающий email, получить доступ к чужим данным.
Термины
| Термин | Что значит |
|---|---|
| IdP | Провайдер идентификации организации: Entra ID, AD FS, Keycloak, Okta и т. п. |
| SSO-подключение | Настройки IdP в пространстве: issuer, Client ID, секрет. Одно активное на пространство |
| Внешняя идентичность | Пара «подключение + sub из ID token», явно привязанная к аккаунту Calab |
| Личный аккаунт | Обычный аккаунт Calab с паролем. Его сессия видит все пространства человека |
| Корпоративная сессия | Сессия, полученная входом через SSO. Ограничена одним пространством |
| Подтверждение SSO (assurance) | Отметка «эта сессия недавно прошла корпоративный вход». Действует 1 час |
| Подтверждение пароля | Свежий ввод пароля личного аккаунта. Для управления действует 5 минут |
| Recovery kit | 10 одноразовых кодов восстановления политики, срок — 365 дней |
| Каталог | Подключение к Active Directory по LDAPS для проверки статуса сотрудников |
Требования
- Тариф. Business в облаке или Enterprise в собственной установке. На Free и Team, при истёкшем тарифе вкладка заблокирована.
- Сервер. Оператор установки задал переменные
IDENTITY_*(см. для операторов). Если нет — в настройках видно «Корпоративный вход и OAuth не настроены на этом сервере». - Кто настраивает. Только владелец пространства, вошедший в личный аккаунт. Перед каждым изменением Calab попросит подтвердить пароль (вход не старше 5 минут).
Где это в приложении
Настройки пространства → «Настройка SSO». На вкладке — карточки «Корпоративный вход» (ваш статус), «SSO-подключение», «Проверка и активация», «Политика входа», «Восстановление доступа» и «Active Directory».
Порядок внедрения
- Зарегистрируйте приложение в IdP и создайте «SSO-подключение» — generic, Entra или AD FS.
- Привяжите свою корпоративную учётную запись и «Проверьте вход в браузере», затем «Активируйте проверенное подключение».
- Включите политику «По выбору» и дайте сотрудникам привязать учётные записи — см. режимы.
- При необходимости подключите каталог.
- Создайте и сохраните recovery kit.
- Переключите политику на «Обязательный SSO».
Что дальше
- Режимы входа — что меняется для участников, гостей и ботов.
- Повторная аутентификация — какие подтверждения и когда требуются.
- Диагностика — типовые ошибки и что с ними делать.