Ограничения
Чего нет в корпоративном входе и каталоге Calab — SAML, SCIM, автосоздание аккаунтов и другое — и чем это заменить.
Корпоративный вход сознательно сделан узким: каждая возможность, которой нет, — это способ, которым чужой IdP или ошибка конфигурации не смогут открыть лишнее. Ниже — что не поддерживается и как обойтись.
Не поддерживается
| Чего нет | Почему | Чем заменить |
|---|---|---|
| SAML 2.0 | Только OpenID Connect | Большинство IdP (Entra ID, AD FS 2019+, Okta, Keycloak) умеют OIDC — подключите через него |
| SCIM и автоматическое создание/удаление участников | Нет входящего API провижининга | Приглашения в пространство + каталог для закрытия доступа |
| JIT-создание аккаунтов при первом входе через SSO | Аккаунт Calab создаётся только обычной регистрацией | Пригласите сотрудника; он регистрируется, затем привязывает учётную запись IdP |
| Объединение аккаунтов по email | Email из IdP не считается доказательством | Явная привязка: «Привязать корпоративный вход» с подтверждением пароля |
| Назначение ролей по группам IdP или AD | Группы только фильтруют допуск | Роли назначаются в Calab вручную или ботом с правом MANAGE_ROLES |
| Несколько активных подключений в одном пространстве | Одно активное OIDC-подключение на пространство | Один IdP-брокер (например, Keycloak) перед несколькими источниками |
| Единый выход (SLO) | Выход из IdP не завершает сессии Calab, и наоборот | Подтверждение SSO истекает за 1 час; при обязательном режиме нужен новый вход |
| Обычный LDAP, StartTLS, произвольные фильтры | Только LDAPS на порту 636 со встроенным фильтром | Включите LDAPS на контроллере домена |
| Каталоги кроме Active Directory | Синхронизация читает атрибуты AD (objectGUID, userAccountControl, memberOf) | — |
| Облачный коннектор к закрытой сети | Каталог и внутренний IdP должны быть доступны серверу Calab напрямую | Собственная установка Calab внутри сети или разрешение оператора на адреса |
| Импорт паролей AD | Пароли AD никогда не попадают в Calab | Вход через IdP |
| SSO для гостей и ботов | Гостевой доступ несовместим с обязательным SSO; боты работают по токенам | Гостей — только в пространствах без обязательного SSO; ботов — см. боты |
Что стоит знать
- SSO-сессия ограничена пространством. Личные сообщения, заметки и другие пространства — только из личного аккаунта. Это граница защиты, а не недоработка.
- Ротация секрета — с повторным входом. Смена секрета или issuer отзывает текущие подтверждения SSO; бесшовной ротации нет.
- Задержка отзыва в каталоге. Отключение в AD действует со следующей синхронизацией — в пределах 5 минут, а не мгновенно.
- Отказ при неизвестном состоянии. Если Calab не может проверить доступ (недоступна база или каталог не синхронизировался больше часа), он закрывает доступ, а не открывает его.
- Восстановление без пароля и кодов — вручную. Если владелец потерял и пароль, и recovery kit, помочь может только поддержка или оператор.
- Совместимость. Подключение Entra ID и AD FS проверено на соответствие спецификациям; если ваш IdP ведёт себя иначе, начните с режима «По выбору» и диагностики.