С помощью функционала внешней авторизации вы можете использовать различные внешние сервисы для авторизации ваших пользователей в системе EnDocs.

Вводная часть

SSO (Single Sign-On) — это технология единого входа, которая позволяет пользователю пройти аутентификацию один раз и получить доступ ко всем разрешённым связанным сервисам без повторного ввода логина и пароля.

Авторизация с помощью Entra ID

Для использования облачной службы Microsoft Entra ID:

1. Перейдите на портал Azure.
2. В разделе Службы Azure выберите Microsoft Entra ID.
3. На панели слева выберите Корпоративные приложения.
4. Нажмите Новое приложение.
5. На странице Обзор коллекции Microsoft Entra нажмите Создайте собственное приложение.
6. В открывшемся окне:
   1) Введите название приложения (например EnDocs_Entra).
   2) Выберите вариант Integrate any other application you don't find in the gallery (Non-gallery).
   3) Нажмите кнопку Создать.
7. На открывшейся странице Обзор на панели слева выберите Единый вход.
8. Выберите метод единого входа SAML.
9. На странице Вход на основе SAML в разделе 3. Сертификат подписи SAML скачайте сертификат (Base64). С помощью него поставщик удостоверений подписывает сообщение о том, что пользователь прошел аутентификацию.
10. В разделе Базовая конфигурация SAML укажите сведения об EnDocs, выступающем в роли поставщика услуг. Для этого в полях Идентификатор (сущности) и URL-адрес ответа (URL-адрес службы обработчика утверждений) укажите ACS URL https://ecm.endocs.cloud/api/Auth/ExternalCallbackSaml

Добавьте пользователей на IdP-сервер:

1. Перейдите на страницу Корпоративные приложения.
2. Выберите созданное SAML-приложение.
3. На панели слева выберите Пользователи и группы.
4. Нажмите Добавить пользователя или группу.
5. В поле Пользователи нажмите Не выбрано.
6. В открывшемся окне отметьте пользователей, которые будут иметь доступ к EnDocs и нажмите кнопку Выбрать.
7. Нажмите кнопку Назначить.

Перейдите в сервис EnDocs для подключения внешней авторизации:

1. Откройте вкладку «Настройки» и выберите пункт «Безопасность»
2. В разделе «Внешняя авторизация» нажмите кнопку «Добавить» и выберите вариант «SAML»
3. Введите идентификатор SAML провайдера (аналогично указанному в п 6.1 например EnDocs_Entra)
4. В поле Entity ID вставьте ссылку, которая указана в поле Идентификатор Microsoft Entra на странице Вход на основе SAML в Entra ID. Формат ссылки: https://sts.windows.net/<идентификатор_SAML-приложения>/
5. В поле SSO URL вставьте ссылку, которая указана в поле URL-адрес входа на странице Вход на основе SAML в Entra ID. Формат ссылки: https://login.microsoftonline.com/<идентификатор_SAML-приложения>/saml2
6. В поле «Сертификат» вставьте текст содержимого сертификата
7. Нажмите кнопку «Сохранить»

Авторизация с помощью Keycloak

Для использования сервиса авторизации KeyCloack:

1. Войдите в аккаунт администратора Keycloak
2. В разделе Realm Settings выберите вкладку Keys.
3. В строке RS256 нажмите Certificate и скопируйте значение сертификата.
4. Сохраните сертификат в текстовом файле в следующем формате:

-----BEGIN CERTIFICATE-----
<значение_сертификата>
-----END CERTIFICATE-----

1. На панели слева выберите Clients. Нажмите кнопку Create client.
2. В поле Client ID укажите ACS URL https://ecm.endocs.cloud/api/Auth/ExternalCallbackSaml
3. В поле Client type(Client Protocol) выберите вариант saml.
4. Нажмите Save.

Настройте параметры SAML-приложения на вкладке Settings

1. Укажите ACS URL для перенаправления в полях:
   • Home URL;
   • Valid Redirect URIs;
   • IDP Initiated SSO Relay State
2. В поле Signature Algorithm выберите RSA_SHA256.
3. В поле SAML Signature Key Name выберите CERT_SUBJECT.
4. В качестве Name ID Format выберите подходящий вариант из списка. Чтобы выбранный вариант передавался вне зависимости от настроек EnDocs, включите опцию Force Name ID format.
5. Нажмите кнопку Save.

Перейдите в сервис EnDocs для подключения внешней авторизации:

1. Откройте вкладку «Настройки» и выберите пункт «Безопасность»
2. В разделе «Внешняя авторизация» нажмите кнопку «Добавить» и выберите вариант «SAML»
3. Введите идентификатор SAML провайдера (например EnDocs_Keycloack)
4. В поле Entity ID вставьте ссылку IdP Issuer вашего Keycloack. Формат ссылки: http://<хост>:8080/realms/master
5. В поле SSO URL вставьте ссылку URL-адрес входа вашего Keycloack. Формат ссылки: http://<хост>:8080/realms/master/protocol/saml
6. В поле «Сертификат» вставьте текст содержимого сертификата
7. Нажмите кнопку «Сохранить»

После настройки внешней авторизации ваши пользователи на странице входа EnDocs должны будут пользоваться пунктом «Внешняя авторизация». После ввода email, они будут перенаправлены на страницу внешней системы и после успешной авторизации в ней будут залогинены в EnDocs.