Единый вход (OIDC)

Организации на тарифе Enterprise могут подключить один OIDC-провайдер (Okta, Entra ID, Google Workspace, Keycloak, Auth0…). На других тарифах страница скрыта, а процедуры отвечают FEATURE_NOT_AVAILABLE.

НастройкаCopy Anchor Link

Только владелец организации: Настройки организации → SSO. Поля: issuer, необязательный discovery endpoint, client ID, client secret, домен рабочей почты, необязательные scopes. Redirect URI для провайдера:

https://<хост-консоли>/api/auth/sso/callback/<slug-организации>

После сохранения секрет показывается как ***; оставьте как есть, чтобы не менять.

Домены и входCopy Anchor Link

• Один провайдер и один домен на организацию; домен, занятый другой организацией, отклоняется.
• Публичные почтовые домены (gmail.com, outlook.com, yahoo.com, mail.ru…) запрещены.
• Slug организации становится идентификатором провайдера, поэтому slug, совпадающий со способом входа (google, github, credential, email, sso, admin…), отклоняется (SSO_PROVIDER_ID_RESERVED). Сначала смените slug.
• Вход через провайдер выключен, пока домен не подтверждён в DNS (см. ниже).
• На странице входа: Продолжить через SSO, ввести рабочую почту или домен.
• Пользователь, вошедший через провайдер, становится member организации — никогда admin или owner, что бы ни сообщал провайдер.

Подтверждение доменаCopy Anchor Link

Вход через провайдер остаётся выключенным, пока вы не докажете владение доменом через DNS. Одного почтового ящика на домене недостаточно: подтверждённому провайдеру доверяют вход существующих пользователей с совпадающей почтой.

1. На странице SSO запустите подтверждение домена. Консоль покажет TXT-запись, действительную 7 дней:

   Copy Text

   _aacsearch-challenge.<ваш-домен>  TXT  "aacsearch-domain-verification=<token>"

2. Опубликуйте её у DNS-провайдера.

3. Нажмите Проверить. Когда запись видна (dig +short TXT _aacsearch-challenge.<ваш-домен>), домен помечается подтверждённым и единый вход включается. Если DNS ещё не обновился, придёт SSO_DOMAIN_VERIFICATION_FAILED — подождите и повторите. Просроченная запись заменяется повторным запросом подтверждения.

Смена домена провайдера сбрасывает подтверждение: повторите шаги для нового домена. Подтверждать может только владелец.

ОграниченияCopy Anchor Link

• Только OIDC, SAML не поддерживается.
• Client secret хранится зашифрованным (AES-256-GCM) и расшифровывается только в памяти для обмена токена. При подозрении на утечку смените его у IdP.
• Понижение тарифа сразу отключает вход через SSO (SSO_NOT_AVAILABLE). Провайдер сохраняется, поэтому возврат на Enterprise восстанавливает его без повторной настройки.
• При входе плагин авторизации сам обращается к token-, userinfo- и JWKS-эндпоинтам IdP. Они проверяются на внутренние адреса при сохранении провайдера, а при входе повторно не проверяются.