Kaiten

Документация и инструкции

Log in
Log in
АдминистрированиеНастройка SSO

Настройка SSO «OpenID Connect» Windows Server 2019 Active Directory

Кайтен можно подключить к Active Directory через OpenID Connect.
В этой инструкции показан пример настройки на Windows Server 2019.

После настройки пользователи смогут входить в Кайтен с корпоративными учетными данными, а пользователи и группы будут синхронизироваться автоматически.

После настройки:

  • Пользователь может войти в систему Kaiten, используя SSO Microsoft Active Directory.

  • При создании пользователя в Microsoft Active Directory, пользователь создается в Kaiten.

  • При удалении пользователя в Microsoft Active Directory, пользователь блокируется в Kaiten.

  • При изменении прав доступа внутри Microsoft Active Directory у пользователя меняются права доступа и к разделам Kaiten, через синхронизацию по группам пользователей.

Важно: с 1 января 2025 года в РФ действуют ограничения на авторизацию через SSO, если она происходит на доменах, принадлежащих иностранным компаниям.

Вы можете настроить SSO через OpenID Connect (например, через Active Directory), но пользователи, которые находятся на территории РФ, смогут войти через SSO только в том случае, если авторизация происходит на домене, принадлежащем российскому юридическому или физическому лицу (ст. 16 149-ФЗ).

Как настроить

Для настройки зайдите в Server Manager

  1. Кликните tools и в выпавшем списке выберите «AD FS Management».

  1. В открывшемся окне выберите папку «Application Groups» и в правом меню кликните на «Add Application Group»

  1. Введите произвольное имя и выберите «Server application accessing a web API» и нажмите next.

4. Скопируйте Client Identifier, введите Redirect Url https://[ваш домен в кайтен]/auth/oidc/callback и нажмите Add, вставьте Client Identifier в Кайтене в поле clientID. Нажмите next.

  1. Выберите «Generate a shared secret», скопируйте его и введите в Кайтене в поле clientSecret. Нажмите next.

  1. Вставьте Client Identifier из четвертого шага и нажмите Add. Нажмите Next.

  1. Выберите Permit everyone и нажмите Next.

  1. Убедитесь что в списке разрешение выбрана опции openid, allatclaims, email, profile и нажмите Next.

  1. В следующих двух шагах нажмите Next и Close.

  2. Выберите созданную группу и нажмите properties.

  1. В разделе Web API выберите созданную группу и нажмите Edit.

  1. Выберите подраздел «Issuance Transform Rules» и нажмите кнопку Add Rule

  1. В селекте выберите пункт «Send LDAP Attributes as Claims» и нажмите Next.

  1. Введите произвольное название. В селекте Attribute store выберите Active Directory. В левом селекте выберите «E-Mail-Addresses» и в правом «E-Mail Address». В левом селекте выберите «Display-Name» и в правом «Name». Нажмите Finish.

  1. Нажмите Apply.

  2. Откройте папку Service и убедитесь, что маршрут /adfs/.well-known/openid-configuration доступен.

  1. Введите этот маршрут в Кайтене в поле identityMetadata.

  1. (Опциональный пункт) В поле domains введите домены пользователей, для которых будет использован данный метод аутентификации (Допустим у пользователей следующие емейлы - test@test1.ru, test@test2.ru - тогда поле Domains должно содержать test1.ru,test2.ru)

Обратите внимание: для email с указанными доменами стандартные способы аутентификации в Kaiten (по паролю и PIN-коду) будут недоступны.

  1. (Опциональный пункт) Для входа из-под нужного пользователя перейдите по ссылке /adfs/ls/idpinitiatedsignon и авторизуйтесь если нужно. В случае если данный маршрут недоступен, в PowerShell можно ввести команду Set-AdfsProperties -EnableIdpInitiatedSignonPage $True

  1. (Опциональный пункт) Для добавления пользователя кликните Tools и выберите «Active Directory Users and Computers». Нажмите правой кнопкой мыши на папку Users и выберите New/User. Заполните необходимые поля и сохраните. (Обратите внимание - у пользователя должно быть заполнено поле email)

  1. В Кайтене нажмите Сохранить. После того как опции нового варианта авторизации сохранятся, нажмите «Протестировать». Вы перейдете на авторизацию в adfs. После успешной авторизации вас перекинет обратно в Кайтен и вы увидите сообщение «Success».

Didn't find the answer to your question?

Create a request — we'll help you out

Submit a request