iSpring Learn позволяет использовать SAML для реализации единого входа.

Настройка SAML в iSpring Learn

SAML, JWD и OpenID — это технологии единого входа, благодаря которым пользователь может автоматически авторизоваться на всех проектах компании. Вашему сотруднику или студенту достаточно будет войти в аккаунт на корпоративном сайте или залогиниться в свою рабочую электронную почту — и авторизация в iSpring Learn будет выполнена без повторного ввода логина и пароля.

Для настройки единого входа необходимы:

• Навыки веб-разработки (PHP, JavaScript, JSON, JWT).

• Доступ к вашему хостингу с правами администратора.

• Аккаунт iSpring Learn с доступом администратора

Единый вход с использованием SAML

iSpring Learn  позволяет использовать SAML для реализации единого входа. Чтобы настроить технологию SAML в вашем аккаунте:

...

Мы рекомендуем использовать библиотеку https://simplesamlphp.org/~~HEAD=pobj для настройки IdP-сервера для осуществления единого входа через SAML 2.0.

Настройка  поставщика услуг

Настройка iSpring Learn производится специалистами на нашей стороне. Просто предоставьте нам следующие данные:

1. URL-адрес поставщика поставщика учётных записей (IdP).

2. SSL сертификат (server.crt)

3. Секретный ключ (server.pem)

4. certFingerprint для быстрой проверки

Настройка поставщика удостоверений

Для настройки поставщика учётных записей (IdP) для осуществления авторизации выполните следующие действия:

Включите поддержку SAML 2.0 и Shibboleth 1.3 в файле config/config.php

'enable.saml20-idp' => true,

'enable.shib13-idp' => true,

Включите модуль авторизации. Вы найдете разные модули в папке modules/. Откройте папку интересующего вас метода авторизации и создайте в ней пустой файл с именем enabled.

Произведите настройку выбранного вами модуля авторизации в файле config/authsources.php

$config = array(

   'example-userpass' => array(

       'exampleauth:UserPass',

       'student:studentpass' => array(

           'uid' => array('student'),

           'eduPersonAffiliation' => array('member', 'student'),

       ),

       'employee:employeepass' => array(

           'uid' => array('employee'),

           'eduPersonAffiliation' => array('member', 'employee'),

       ),

   ),

);

1. Перейдите в раздел Сервисы. Затем кликните Дополнения в левом меню.
   
   
2. В разделе SSO нажмите Подключить.
   
   Image Added
   
   

Выберите сервис, c помощью которого вы будете настраивать SSO:

Настройте IdP в файле конфигурации saml20-idp-hosted по примеру.

'attributes.NameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',

'authproc' => array(

   // Convert LDAP names to oids.

   100 => array('class' => 'core:AttributeMap', 'name2oid'),

),

Добавьте информацию поставщике услуг в файл metadata/saml20-sp-remote.php.

$metadata['https://sp.example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array(

   'AssertionConsumerService' => 'https://sp.example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',

   'SingleLogoutService'      => 'https://sp.example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',

);

Единый вход с использованием JWT

Настройка JWT в аккаунте iSpring Online достаточно проста.

1. Войдите в свой аккаунт iSpring Online под учётной записью администратора и введите путь к настройкам в строке браузера:  https://yourcompany.ispringonline.ru/settings/sso/jwt

2. Поставьте галочку в поле Enable JWT login for this account.
   Image Removed

3. Укажите Security key. Это значение также является криптографическим ключом и секретной частью частью JWT токена.

4. Identity provider URL содержит адрес страницы вашего сайта, на котором располагается скрипт для генерации JWT токенов для входа пользователя.

5. Logout URL содержит адрес страницы вашего сайта, на котором располагается скрипт для генерации JWT токенов для выхода пользователя.

Мы рекомендуем использовать протокол HTTPS вместо HTTP для повышения безопасности.

Примечание: при необходимости можно использовать GET параметр no_jwt=1 для доступа к форме логинации в СДО в обход SSO: https://yourcompany.ispringonline.ru/login?no_jwt=1  Например, если ввести этот параметр, то пользователь сможет войти, даже если единый вход по какой-то причине не работает.

На этапе проверки пользователя, если его нет в базе iSpring Online, он будет автоматически добавлен и залогинен.

Единственным препятствием автоматического добавления нового пользователя может быть только лимит пользователей для текущего плана СДО.

...