Перейти к содержимому
CalabДокументация

Recovery kit

Одноразовые коды восстановления — как владельцу вернуть контроль над политикой, если IdP недоступен.

Обязательный SSO означает, что без IdP в пространство не попасть — в том числе владельцу. Если IdP сломался, истёк секрет или удалили приложение, нужен запасной путь. Это recovery kit: 10 одноразовых кодов, которые позволяют владельцу ослабить политику входа и починить подключение.

Что даёт код

Кто может использоватьТолько владелец, который создал набор, и только из своего личного аккаунта с паролем
Что даётСессию восстановления на 10 минут
Что можно в этой сессииТолько переключить политику на «По выбору» или «Выключено»
Чего нельзяЧитать чаты, видеть участников, выпускать OAuth-токены, включать «Обязательный SSO»
Срок кодов365 дней с момента создания (по часам сервера)
Повторное использованиеНет: каждый код одноразовый

В приложении сессия восстановления отмечена: «Режим восстановления: доступен только ремонт политики, без чатов и приложений.» Каждое использование кода и каждая смена политики записываются в журнал аудита.

Создать набор

  1. Настройки пространства → «Настройка SSO» → «Политика входа» → раздел «Восстановление доступа».
  2. Нажмите «Создать recovery kit». Calab попросит подтвердить пароль; при уже включённом обязательном SSO — ещё и пройти SSO (оба не старше 5 минут).
  3. Сохраните 10 кодов сразу: «Сохраните сейчас. Эти данные показаны только один раз и не сохраняются в приложении.» Рядом указан срок — «Действует до».
  4. Отметьте «Recovery kit сохранён». Без этого нельзя включить «Обязательный SSO».

Повторное создание набора отзывает все прежние коды. Обновите набор до истечения срока: после 365 дней старые коды не работают.

Восстановить политику

Когда пространство заблокировано и SSO не проходит:

  1. Войдите в личный аккаунт владельца паролем («Войти в личный аккаунт»).
  2. На экране заблокированного пространства выберите «Восстановить политику».
  3. Подтвердите пароль и введите «Код восстановления».
  4. В течение 10 минут переключите «Политику входа» на «По выбору» или «Выключено».
  5. Почините подключение (новый секрет, исправленный issuer), проверьте и активируйте его, создайте новый recovery kit и только потом снова включите «Обязательный SSO».

Через API шаги 3–4 — это POST /api/auth/sso/workspaces/{workspace_id}/recover с телом {"recoveryCode": "…"} (ответ — токены сессии восстановления), затем PUT /api/workspaces/{workspace_id}/identity/policy с {"version": "…", "mode": "IDENTITY_POLICY_MODE_OPTIONAL"}.

Если потеряны и пароль, и коды

Сброс пароля по email не создаёт подтверждения SSO и не обходит обязательный режим. Если владелец потерял и пароль личного аккаунта, и recovery kit, самостоятельного пути нет: в облаке обратитесь в поддержку Calab, в собственной установке — к оператору. Процедура ручная и проходит с проверкой и записью в аудит.