Настройка параметров работы по SSO в AD FS

Если в качестве службы идентификации используется Microsoft AD FS, необходимо учитывать следующее:

• В AD FS не предусмотрен механизм выхода по обратному каналу (англ. back-channel logout), который позволяет службе идентификации осуществлять полное синхронизированное завершение сеанса пользователя во всех связанных приложениях без участия пользователя.
• В AD FS по умолчанию действует механизм авторизации Client Credentials Flow, который применяется в OIDC.

Чтобы настроить параметры AD FS-сервера в рамках интеграции с SSO:

1. Откройте консоль AD FS Management. Вы можете сделать это любым удобным для вас способом. Например, на рабочей станции с установленным компонентом AD FS выберите AD FS → Tools → AD FS Management.
2. Выберите Application Groups и с помощью мастера создания группы приложений (англ. Add Application Group Wizard) создайте группу приложений следующим образом:
   1. На шаге Welcome укажите значения следующих параметров:
      • В поле Name введите название группы приложений.
      • В поле Template укажите Server application accessing a web API.
   2. На шаге Server application выполните следующие действия:
      • В поле Redirect URI укажите веб-адрес страницы авторизации в консоли Kaspersky Container Security в следующем формате:

        https://<веб-адрес страницы авторизации в консоли Kaspersky Container Security>/auth

      • Скопируйте и сохраните себе значение параметра Client identifier, которое создается автоматически, для использования в качестве идентификатора клиента. При создании интеграции с SSO значение параметра Client identifier указывается в поле Идентификатор клиента.
   3. На шаге Configure Application Credentials выполните следующие действия:
      • Для параметра Shared secret выберите Generate a shared secret. Значение секрета создается автоматически.
      • Скопируйте и сохраните себе значение параметра Shared secret. При создании интеграции с SSO значение параметра Shared secret указывается в поле Секрет клиента.
   4. На шаге Configure Web API в поле Identifier укажите веб-адрес страницы авторизации в консоли Kaspersky Container Security в следующем формате:

      https://<веб-адрес страницы авторизации в консоли Kaspersky Container Security>/auth

   5. На шаге Apply Access Control Policy для параметра Policy выберите Permit everyone.
   6. На шаге Configure Application Permissions для параметра Permitted scopes выберите следующие значения:
      • allatclaims
      • email
      • openid
      • profile
   7. Завершите процедуру.
3. Добавьте политику атрибутов в созданную группу приложений, выполнив следующие действия:
   1. Двойным щелчком мыши на созданной группе приложений откройте Applications: Web API Properties.
   2. В открывшемся окне перейдите во вкладку Issuance Transform Rules и нажмите на кнопку Add Rule...
   3. С помощью мастера Add Transform Claim Rule Wizard создайте правила для сопоставления атрибутов с атрибутами LDAP-сервера.

      Атрибуты для интеграции с SSO и параметры их сопоставления в AD FS

      Атрибуты для интеграции с SSO

      Атрибут	Связанный LDAP-атрибут	Параметры сопоставления атрибутов в AD FS
      email	E-Mail-Addresses	Claim rule template = Send LDAP Attributes as Claims Сlaim rule name = email Outgoing Claim Type = email
      winaccountname	SAM-Account-Name	Claim rule template = Send LDAP Attributes as Claims Сlaim rule name = winaccountname Outgoing Claim Type = winaccountname
      groups	Token-Groups – Unqualified Names	Claim rule template = Send LDAP Attributes as Claims Сlaim rule name = groups Outgoing Claim Type = groups

   4. Завершите процедуру.

Для настройки параметров интеграции с SSO в Kaspersky Container Security при создании или изменении параметров ролей в блоке Сопоставленные роли и группы указываются группы из AD FS.