Режимы входа
«Выключено», «По выбору» и «Обязательный SSO» — что меняется для участников, гостей, ботов и владельца.
Политика входа пространства задаётся в карточке «Политика входа» и бывает трёх видов. Сервер проверяет её везде: в REST, при доставке событий в реальном времени (включая повтор после переподключения), в ссылках на файлы и в звонках.
Три режима
| Режим | В интерфейсе | Что значит |
|---|---|---|
IDENTITY_POLICY_MODE_OFF | «Выключено» | Корпоративный вход не требуется. Все входят как обычно, паролем личного аккаунта |
IDENTITY_POLICY_MODE_OPTIONAL | «По выбору» | Сотрудник может войти через SSO, но может и паролем. Удобно для пилота |
IDENTITY_POLICY_MODE_ENFORCED | «Обязательный SSO» | В пространство можно попасть только со свежим подтверждением SSO. Пароль, сброс пароля, приглашение или старая сессия его не заменяют |
Кнопка «Войти через SSO» появляется у пространства, как только у него есть активное проверенное подключение и действует тариф. Режим определяет только, обязателен ли такой вход.
Что меняется для людей
| «Выключено» / «По выбору» | «Обязательный SSO» | |
|---|---|---|
| Вход паролем личного аккаунта | Даёт доступ в пространство | Пускает в аккаунт, но в это пространство — только после «Подтвердить корпоративный вход» |
| Вход через SSO | Корпоративная сессия, только это пространство | То же |
| Срок подтверждения SSO | 1 час для корпоративной сессии | 1 час для любой сессии; потом — повторный вход в IdP |
| Личные сообщения, заметки, другие пространства | Доступны из личного аккаунта | Доступны из личного аккаунта; корпоративная сессия их не видит |
| Приглашение в пространство | Работает как обычно | Человек завершает регистрацию и привязку, но данные пространства увидит только после SSO |
Если подтверждение SSO истекло, приложение показывает «Для этого пространства нужен свежий корпоративный вход. Другие пространства и личные сообщения остаются доступны.» Другие пространства человека это не затрагивает.
Корпоративная сессия ограничена
Сессия, полученная входом через SSO, работает только в своём пространстве. Ей недоступны:
- другие пространства и список пространств человека;
- личные сообщения и личные заметки;
- смена пароля, email, управление сессиями;
- создание новых пространств и функции суперадминистратора.
Для них нужно войти в личный аккаунт (в приложении — «Войти в личный аккаунт»). Обновление корпоративной сессии не продлевает подтверждение SSO и не расширяет её область.
Гости
Гостевой доступ несовместим с обязательным SSO: при включении режима гости пространства теряют доступ, а гостевые ссылки и приглашения гостей перестают работать. Гости не проходят корпоративный вход и не могут привязать корпоративную учётную запись.
Боты
Боты не входят через SSO и не получают корпоративных сессий. Они работают по своим токенам и правам ролей — см. боты. Политика входа на ботов не распространяется; приостановка пространства — распространяется.
Владелец
Владелец управляет подключением и политикой только из личного аккаунта с подтверждённым паролем (вход не старше 5 минут). При обязательном SSO для изменения подключения, политики, каталога, recovery kit или OAuth-клиентов дополнительно нужно подтверждение SSO не старше 5 минут. Подробно — повторная аутентификация.
Включение обязательного режима
Calab не даст включить «Обязательный SSO», пока не выполнено всё сразу:
- Есть активное подключение, проверенное входом в браузере.
- Корпоративная учётная запись владельца привязана к его аккаунту.
- Владелец подтвердил пароль и прошёл SSO — оба не старше 5 минут.
- Создан действующий recovery kit и отмечено «Recovery kit сохранён».
Выключение и понижение
- Перейти с «Обязательный SSO» на «По выбору» или «Выключено» можно явным действием владельца: подтверждённый пароль плюс свежий SSO либо сессия восстановления по recovery kit. Действие записывается в журнал аудита.
- Сломанный IdP или понижение тарифа не снимают обязательный режим. Пространство переходит в состояние блокировки («Для корпоративных функций нужен действующий Business или Enterprise. Обязательный SSO остаётся включённым.»), а владелец чинит политику через recovery.
- При понижении тарифа данные, привязки и согласия сохраняются; новые входы через SSO, выдача OAuth-токенов и синхронизация каталога останавливаются.
Изменения применяются сразу
Смена политики, подключения, бан, удаление участника, отключение в каталоге отзывают доступ адресно: открытые соединения реального времени и звонки закрываются, а не дожидаются следующего запроса. Для страховки на случай потери связи между серверами положительное решение кешируется не дольше 30 секунд.