Интеграция с SSO

В Kaspersky Container Security вы можете создать интеграцию с SSO для аутентификации с помощью технологии единого входа.

Решение поддерживает кодировку UTF-8.

Чтобы создать интеграцию с SSO:

1. В разделе Администрирование → Интеграции → SSO нажмите на кнопку Добавить интеграцию.

   Откроется окно ввода параметров службы идентификации.

2. Укажите веб-адрес (URL) для подключения к службе идентификации в следующем формате:

   <протокол>://<FQDN или IPv4>:<порт (указывается при необходимости)>/<путь (указывается при необходимости)>

   Например, https://idp.company.com:123/auth

   Если в качестве службы идентификации используется Keycloak, веб-адрес указывается в следующем формате:

   <протокол>://<FQDN или IPv4>:<порт (указывается при необходимости)>/<путь (указывается при необходимости)>/<области (англ. realms)>/<путь до определенной области>

   Например, https://idp.company.com:123/auth/realms/example

   Указанный URL представляет собой уникальный идентификатор интеграции с SSO в Kaspersky Container Security.

3. В поле Корневой сертификат укажите сертификат службы идентификации в формате PEM.

   Максимальная длина сертификата – 15 000 знаков.

   Пример сертификата службы идентификации

   -----BEGIN CERTIFICATE-----

   ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456
   ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456
   ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456
   ABCDefgHIJK123456ABCDefgHIJK123456ABCDefgHIJK123456

   -----END CERTIFICATE-----

4. В поле Идентификатор клиента укажите идентификатор Kaspersky Container Security как зарегистрированного в службе идентификации клиента (например, kcs-app-client).
5. В поле Секрет клиента укажите секрет Kaspersky Container Security как зарегистрированного в службе идентификации клиента (например, 123abcd-1234-4567-8910-abcd123).

   Максимальная длина секрета – 4096 знаков.

6. Чтобы проверить правильность заполнения значений, нажмите на кнопку Проверить соединение.

   Kaspersky Container Security отобразит уведомление о подключении к серверу службы идентификации или о невозможности его установить.

7. Нажмите Сохранить.

Настроенную интеграцию вы можете использовать при авторизации в системе, создании и назначении ролей пользователей.

Просмотр информации об интеграции с сервером службы идентификации доступен в разделе Администрирование → Интеграции → SSO.

Kaspersky Container Security отображает следующую информацию о подключенном сервере службы идентификации:

• Протокол соединения с сервером службы идентификации – OIDC.
• Веб-адрес подключенного сервера службы идентификации.
• Статус последнего соединения с сервером службы идентификации – Успешно или Ошибка. Если указывается Ошибка, решение также отображает краткое описание ошибки при соединении.
• Дата и время последнего соединения с сервером службы идентификации.

При необходимости с помощью переключателя Выключено / Включено вы можете выключить интеграцию с SSO. В этом случае работа пользователей в рамках этой интеграции будет завершена, пользователи не смогут заново авторизоваться в Kaspersky Container Security.

По умолчанию интеграция с SSO включена.

Чтобы изменить параметры интеграции с SSO:

1. В разделе Администрирование → Интеграции → SSO нажмите на кнопку Изменить параметры.

   Kaspersky Container Security откроет боковую панель с формой данных для интеграции с сервером службы идентификации.

2. Внесите необходимые изменения и нажмите на кнопку Сохранить.

Если вы хотите настроить интеграцию с другой службой идентификации, действующую интеграцию с SSO нужно удалить.

Чтобы удалить интеграцию с SSO:

1. В разделе Администрирование → Интеграции → SSO нажмите на кнопку Удалить интеграцию.
2. Подтвердите удаление в открывшемся окне.

Если вы удалите интеграцию с SSO, работа пользователей в рамках этой интеграции будет завершена, пользователи не смогут заново авторизоваться в Kaspersky Container Security. Кроме того, решение удалит все значения параметров групп в блоке Сопоставленные роли и группы (если вы выключаете интеграцию, значения параметров сохраняются).

Для проверки соединения с сервером службы идентификации (например, Keycloak) нужно в службе идентификации настроить тип авторизации Client Credentials Grant. В этом случае для получения доступа используются учетные данные клиента (Kaspersky Container Security), а не пользователя. Проверка подлинности клиента осуществляется с помощью идентификатора и секрета клиента.

Настроенная авторизация типа Client Credentials Grant не является обязательным условием для SSO-интеграции. Но если такой тип авторизации (англ. Authorization flow) настроен, он позволяет проверить доступность сервера.
Настроенная авторизация типа Client Credentials Grant не гарантирует беспроблемную авторизацию пользователей при SSO-интеграции (например, если пользователи авторизуются с помощью типа авторизации Authorization Code Grant).

Чтобы проверить соединение с сервером службы идентификации:

1. Перейдите в раздел Администрирование → Интеграции → SSO.
2. Выполните одно из следующих действий:
   • Если интеграция с сервером службы идентификации создана, нажмите на кнопку Проверить соединение.
   • Если вы создаете интеграцию с сервером службы идентификации или изменяете значения ее параметров, нажмите на кнопку Проверить соединение под формой данных для интеграции с SSO.

Kaspersky Container Security отобразит уведомление о соединении с сервером службы идентификации или о невозможности его установить.

Если в качестве службы идентификации используется Keycloak, необходимо настроить параметры работы по SSO для следующих процессов:

• Перенаправление пользователя в Kaspersky Container Security после успешной аутентификации в IdP.
• Определение и сопоставление атрибутов claims для токена в IdP.

  При авторизации внешнего пользователя по SSO решение получит от IdP токен пользователя, в котором в соответствующих атрибутах claims указаны все необходимые данные пользователя (например, группы в IdP).

• Отправка запросов на завершение сессии пользователя SSO.
• Авторизация типа Client Credentials Grant.

Для настройки параметров работы по SSO с Keycloak решению необходимо быть клиентом Keycloak.
Значения параметров указываются пользователем Keycloak с правами администратора.

Чтобы перенаправить пользователя в Kaspersky Container Security после успешной аутентификации в Keycloak:

1. В веб-интерфейсе Keycloak в главном меню в левой панели выберите Clients.
2. На вкладке Settings перейдите в блок Access settings.
3. В поле Valid redirect URLs укажите значение URL следующим образом:

   https://<адрес, заданный для консоли управления Kaspersky Container Security>/auth

4. Нажмите Save.

Чтобы определить и сопоставить атрибуты claims для токена в Keycloak:

1. В веб-интерфейсе Keycloak в главном меню в левой панели выберите Clients → Client scopes.
2. Выберите Profile.
3. Перейдите на вкладку Mappers и для добавления сопоставления нажмите Add mapper → By configuration.
4. В открывшейся боковой панели определите значения атрибутов следующим образом:
   • В поле Mapper type укажите Group Membership.
   • В поле Name введите groups.
   • В поле Token Claim Name укажите groups.
   • С помощью переключателя On/Off установите значение Off для параметра Full group path.
5. Нажмите Save.

Чтобы отправлять запросы на завершение сессии пользователя SSO в Kaspersky Container Security:

1. В веб-интерфейсе Keycloak в главном меню в левой панели выберите Clients.
2. На вкладке Settings перейдите в блок Logout settings.
3. В поле Backchannel logout URL укажите значение URL следующим образом:

   https://<адрес, заданный для консоли управления Kaspersky Container Security>/api/external/auth/integration/sso/backchannel-logout

4. С помощью переключателя On/Off установите значение On для параметра Backchannel logout session required.
5. Нажмите Save.

Чтобы настроить параметры авторизации типа Client Credentials Grant:

1. В веб-интерфейсе Keycloak в главном меню в левой панели выберите Clients.
2. На вкладке Settings перейдите в блок Capability config.
3. С помощью переключателя On/Off установите значение On для параметра Client authentication.
4. Включите поддержку Client Credentials Grant для Kaspersky Container Security с помощью флажка, указав значение Standard flow и Service accounts roles для Authentication flow.
5. Нажмите Save.

Если в качестве службы идентификации используется Microsoft AD FS, необходимо учитывать следующее:

• В AD FS не предусмотрен механизм выхода по обратному каналу (англ. back-channel logout), который позволяет службе идентификации осуществлять полное синхронизированное завершение сеанса пользователя во всех связанных приложениях без участия пользователя.
• В AD FS по умолчанию действует механизм авторизации Client Credentials Flow, который применяется в OIDC.

Чтобы настроить параметры AD FS-сервера в рамках интеграции с SSO:

1. Откройте консоль AD FS Management. Вы можете сделать это любым удобным для вас способом. Например, на рабочей станции с установленным компонентом AD FS выберите AD FS → Tools → AD FS Management.
2. Выберите Application Groups и с помощью мастера создания группы приложений (англ. Add Application Group Wizard) создайте группу приложений следующим образом:
   1. На шаге Welcome укажите значения следующих параметров:
      • В поле Name введите название группы приложений.
      • В поле Template укажите Server application accessing a web API.
   2. На шаге Server application выполните следующие действия:
      • В поле Redirect URI укажите веб-адрес страницы авторизации в консоли Kaspersky Container Security в следующем формате:

        https://<веб-адрес страницы авторизации в консоли Kaspersky Container Security>/auth

      • Скопируйте и сохраните себе значение параметра Client identifier, которое создается автоматически, для использования в качестве идентификатора клиента. При создании интеграции с SSO значение параметра Client identifier указывается в поле Идентификатор клиента.
   3. На шаге Configure Application Credentials выполните следующие действия:
      • Для параметра Shared secret выберите Generate a shared secret. Значение секрета создается автоматически.
      • Скопируйте и сохраните себе значение параметра Shared secret. При создании интеграции с SSO значение параметра Shared secret указывается в поле Секрет клиента.
   4. На шаге Configure Web API в поле Identifier укажите веб-адрес страницы авторизации в консоли Kaspersky Container Security в следующем формате:

      https://<веб-адрес страницы авторизации в консоли Kaspersky Container Security>/auth

   5. На шаге Apply Access Control Policy для параметра Policy выберите Permit everyone.
   6. На шаге Configure Application Permissions для параметра Permitted scopes выберите следующие значения:
      • allatclaims
      • email
      • openid
      • profile
   7. Завершите процедуру.
3. Добавьте политику атрибутов в созданную группу приложений, выполнив следующие действия:
   1. Двойным щелчком мыши на созданной группе приложений откройте Applications: Web API Properties.
   2. В открывшемся окне перейдите во вкладку Issuance Transform Rules и нажмите на кнопку Add Rule...
   3. С помощью мастера Add Transform Claim Rule Wizard создайте правила для сопоставления атрибутов с атрибутами LDAP-сервера.

      Атрибуты для интеграции с SSO и параметры их сопоставления в AD FS

      Атрибуты для интеграции с SSO

      Атрибут	Связанный LDAP-атрибут	Параметры сопоставления атрибутов в AD FS
      email	E-Mail-Addresses	Claim rule template = Send LDAP Attributes as Claims Сlaim rule name = email Outgoing Claim Type = email
      winaccountname	SAM-Account-Name	Claim rule template = Send LDAP Attributes as Claims Сlaim rule name = winaccountname Outgoing Claim Type = winaccountname
      groups	Token-Groups – Unqualified Names	Claim rule template = Send LDAP Attributes as Claims Сlaim rule name = groups Outgoing Claim Type = groups

   4. Завершите процедуру.

Для настройки параметров интеграции с SSO в Kaspersky Container Security при создании или изменении параметров ролей в блоке Сопоставленные роли и группы указываются группы из AD FS.