OIDC / SSO — вход через поставщика удостоверений

Эта страница описывает SSO для пользователей: вход людей в Omniscol через вашего поставщика удостоверений. Обратный случай — Omniscol как сервер OAuth2 / OIDC, к которому подключаются сторонние сервисы, с экраном управления клиентами — описан на странице OAuth2 / OIDC (поставщик).

Поддерживаемые поставщики

Omniscol поддерживает:

• Google Workspace,
• Microsoft Entra ID (прежнее название — Azure AD),
• Keycloak,
• универсального поставщика OIDC по его issuer / discovery URL (любой поставщик, совместимый с OIDC).

Настройка в Omniscol

В разделе Администрирование → Параметры, секция Безопасность, кнопка Настроить открывает экран настройки OIDC, где задаётся поставщик:

• Отображаемое имя — надпись, которая появится на кнопке входа (например, Продолжить через Google).
• Тип поставщика — Google, Microsoft Entra ID (Azure AD), Keycloak или универсальный OIDC.
• Tenant / issuer — tenant Microsoft для Entra ID или URL issuer для Keycloak и универсальных поставщиков OIDC. Метаданные OIDC приложение затем определяет само.
• Client ID и Client secret — их получают, создав приложение у поставщика (см. документацию поставщика).
• Scopes — по умолчанию openid profile email. При необходимости добавьте scopes, специфичные для поставщика.
• Разрешённые домены — необязательный список доменов электронной почты, допустимых при входе через SSO; если список пуст, фильтрация по домену не применяется.
• URL перенаправления — Omniscol показывает точное значение, которое нужно скопировать в настройки у поставщика (а также URL перенаправления после выхода, если поставщик его запрашивает).
• Вход только через SSO — после подтверждения SSO этот параметр отклоняет вход по паролю Omniscol, кроме резервных учётных записей, описанных ниже.

Текущая настройка SSO задаётся на уровне учётной записи школы.

Резервный доступ (break-glass)

В режиме Вход только через SSO вход по паролю Omniscol отклоняется: все входят через поставщика удостоверений. Если этот поставщик станет недоступен — из-за сбоя, истёкшего секрета или ошибки настройки, — доступ в Omniscol будет закрыт для всех.

Резервная учётная запись («break-glass») защищает от такой блокировки: это учётная запись администратора, которой разрешено входить по паролю Omniscol, даже когда включён режим «только SSO».

• В карточке учётной записи администратора, когда включён параметр Вход только через SSO, появляется флажок Резервный доступ (только SSO). Если его установить, этой учётной записи разрешается входить по паролю, когда поставщик удостоверений недоступен. Резервными могут быть только учётные записи администраторов.
• Кроме того, служба поддержки Omniscol сохраняет независимый резервный доступ.

Назначьте хотя бы одну резервную учётную запись до включения режима «только SSO» и храните её пароль в надёжном месте: это ваша страховка на случай, если поставщик удостоверений выйдет из строя.

Настройка у поставщика (примеры)

Google Workspace

1. Google Cloud Console > APIs & Services > Credentials.
2. Создайте идентификатор OAuth 2.0, тип — Веб-приложение.
3. Вставьте URL перенаправления, выданный Omniscol, в поле Authorized redirect URIs.
4. Скопируйте Client ID и Client secret, чтобы вставить их в Omniscol.

Microsoft Entra ID

1. Портал Azure > Entra ID > App registrations.
2. New registration, тип Web, URL перенаправления Omniscol.
3. Certificates & secrets > создайте client secret.
4. API permissions > добавьте openid, profile, email.
5. Скопируйте Application (client) ID и секрет.

Keycloak

1. Realm > Clients > Create client, тип OpenID Connect.
2. Valid redirect URIs: URL, выданный Omniscol.
3. Credentials > скопируйте client secret.

Сопоставление с учётными записями Omniscol

Когда пользователь нажимает кнопку SSO, Omniscol:

1. Перенаправляет его к поставщику,
2. Получает его адрес электронной почты после аутентификации,
3. Ищет учётную запись Omniscol с тем же адресом электронной почты.

Если учётная запись существует и активна, пользователь входит в систему. В противном случае доступ запрещается. Следствие: чтобы SSO работал, пользователи должны существовать в Omniscol с правильным адресом электронной почты — по умолчанию Omniscol не создаёт их автоматически.

Автоматическое создание учётных записей

Автоматическое создание учётных записей при первом входе через SSO (just-in-time provisioning) не является поведением экрана настройки по умолчанию. Если этот режим нужен, его следует согласовать с Omniscol.