OIDC / SSO — сәйкестендіру провайдері арқылы кіру

Бұл бетте пайдаланушылардың SSO-сы сипатталады: адамдардың Omniscol-ға Сіздің сәйкестендіру провайдеріңіз арқылы кіруі. Кері жағдай — Omniscol үшінші тарап қызметтері қосылатын OAuth2 / OIDC сервері болғанда, клиенттерді басқару экранымен бірге — OAuth2 / OIDC (провайдер) бетінде қарастырылады.

Қолдау көрсетілетін провайдерлер

Omniscol мыналарды қолдайды:

• Google Workspace,
• Microsoft Entra ID (бұрынғы Azure AD),
• Keycloak,
• issuer / discovery URL арқылы жалпы OIDC провайдері (OIDC стандартына сәйкес кез келген провайдер).

Omniscol жағында баптау

Әкімшілік → Параметрлер бөлімінің Қауіпсіздік секциясында Баптау батырмасы OIDC баптау экранын ашады, онда провайдерді жариялауға болады:

• Көрсетілетін атау — кіру батырмасында көрінетін жазба (мысалы, Google арқылы жалғастыру).
• Провайдер түрі — Google, Microsoft Entra ID (Azure AD), Keycloak немесе жалпы OIDC.
• Tenant / issuer — Entra ID үшін Microsoft tenant, ал Keycloak және жалпы OIDC провайдерлері үшін issuer URL мекенжайы. OIDC метадеректерін содан кейін қолданба өзі табады.
• Client ID және Client secret — провайдер жағында қолданба құру арқылы алынады (провайдердің құжаттамасын қараңыз).
• Scopes — әдепкі бойынша openid profile email. Қажет болса, провайдерге тән scope-тарды қосыңыз.
• Рұқсат етілген домендер — SSO арқылы кіру кезінде қабылданатын пошта домендерінің міндетті емес тізімі; бос қалдырылса, домен бойынша сүзгі қолданылмайды.
• Бағыттау URL мекенжайы — Omniscol провайдер жағындағы баптауға көшіруге арналған нақты мәнді береді (провайдер сұраса, шығудан кейінгі бағыттау URL мекенжайын да).
• Тек SSO арқылы кіру — SSO расталғаннан кейін бұл опция Omniscol құпиясөзімен кіруді қабылдамайды, төменде сипатталған резервтік есептік жазбалардан басқасын.

Ағымдағы SSO баптауы мектеп есептік жазбасы деңгейінде анықталады.

Резервтік қолжетімділік (break-glass)

Тек SSO арқылы кіру режимінде Omniscol құпиясөзімен кіру қабылданбайды: барлығы сәйкестендіру провайдері арқылы өтеді. Егер бұл провайдер жұмыс істемесе — іркіліс, құпия мәннің мерзімі өтуі, баптау қатесі — Omniscol-ға қол жеткізу барлығына бұғатталар еді.

Резервтік есептік жазба (« break-glass ») — осы бұғаттаудан қорғайтын тетік: тек SSO режимі белсенді болғанда да Omniscol құпиясөзімен кіруге рұқсат етілген администратор есептік жазбасы.

• Администратор есептік жазбасының карточкасында Тек SSO арқылы кіру опциясы белсенді болғанда Резервтік қолжетімділік (тек SSO) құсбелгісі пайда болады. Оны белгілеу сәйкестендіру провайдері жұмыс істемесе, осы есептік жазбаға құпиясөзбен кіруге рұқсат береді. Тек администратор есептік жазбалары ғана резервтік бола алады.
• Omniscol қолдау қызметінде, бұдан бөлек, тәуелсіз резервтік қолжетімділік сақталады.

Тек SSO режимін қосудан бұрын кемінде бір резервтік есептік жазбаны белгілеңіз және оның құпиясөзін сенімді жерде сақтаңыз: сәйкестендіру провайдері істен шықса, бұл — Сіздің сақтық құралыңыз.

Провайдер жағында баптау (мысалдар)

Google Workspace

1. Google Cloud консолі > APIs & Services > Credentials.
2. OAuth 2.0 идентификаторын құрыңыз, түрі — Web қолданбасы.
3. Omniscol берген бағыттау URL мекенжайын Authorized redirect URIs өрісіне қойыңыз.
4. Client ID мен Client secret мәндерін алып, Omniscol-ға қойыңыз.

Microsoft Entra ID

1. Azure порталы > Entra ID > App registrations.
2. New registration, түрі — Web, Omniscol бағыттау URL мекенжайы.
3. Certificates & secrets > client secret құрыңыз.
4. API permissions > openid, profile, email қосыңыз.
5. Application (client) ID мен құпия мәнді алыңыз.

Keycloak

1. Realm > Clients > Create client, түрі — OpenID Connect.
2. Valid redirect URIs: Omniscol берген URL.
3. Credentials > client secret мәнін алыңыз.

Omniscol есептік жазбаларымен байланыстыру

Пайдаланушы SSO батырмасын басқанда Omniscol:

1. Оны провайдерге бағыттайды,
2. Аутентификациядан кейін оның электрондық пошта мекенжайын алады,
3. Дәл сондай электрондық пошта мекенжайы бар Omniscol есептік жазбасын іздейді.

Егер есептік жазба бар және белсенді болса, пайдаланушы жүйеге кіреді. Әйтпесе қол жеткізуден бас тартылады. Салдары: SSO жұмыс істеуі үшін пайдаланушылар Omniscol-да дұрыс электрондық пошта мекенжайымен болуы керек — Omniscol жағында есептік жазбаны құру әдепкі бойынша автоматты емес.

Есептік жазбаларды автоматты түрде қамтамасыз ету

Бірінші SSO кіру кезінде есептік жазбаларды автоматты түрде құру (just-in-time provisioning) баптау экранының әдепкі әрекеті емес. Бұл режим қажет болса, оны Omniscol-мен келісу керек.