Single Sign-On (SSO)

Skitflow Enterprise поддерживает Single Sign-On через OpenID Connect (OIDC) и SAML 2.0, позволяя вашей команде проходить аутентификацию с помощью существующего провайдера идентификации.

Поддерживаемые провайдеры

• Auth0
• Keycloak
• Okta
• Azure AD / Entra ID
• Google Workspace
• Любой провайдер, совместимый с OIDC или SAML 2.0

Вы можете зарегистрировать несколько провайдеров (например, по одному на каждый провайдер идентификации или email-домен).

Настройка OIDC

1. Перейдите в Settings → SSO и нажмите Add provider
2. Выберите OIDC в качестве протокола
3. Укажите:
   • Provider ID — уникальный идентификатор провайдера (например, okta); он становится частью callback URL
   • Issuer URL — URL издателя вашего провайдера идентификации (discovery-документ загружается по адресу <issuer>/.well-known/openid-configuration)
   • Domains — один или несколько email-доменов, которые входят через этого провайдера
   • Client ID — идентификатор клиента приложения
   • Client Secret — секретный ключ клиента приложения
   • Scopes (опционально) — по умолчанию openid, email, profile, если оставить пустым
4. Настройте Redirect URI в вашем IdP: https://<your-instance>/api/auth/sso/callback/<providerId>
5. Нажмите Save

Настройка SAML

1. Выберите SAML в качестве протокола
2. Укажите:
   • Provider ID — уникальный идентификатор провайдера; он становится частью callback URL
   • Issuer URL — издатель вашего IdP
   • Email Domain — email-домен, который входит через этого провайдера
   • IdP SSO URL — конечная точка SSO вашего IdP (entry point)
   • IdP Certificate — сертификат подписи X.509 вашего IdP (PEM)
   • Callback URL и Audience (опционально) — переопределяют значения по умолчанию, если этого требует ваш IdP
3. Настройте ACS URL в вашем IdP: https://<your-instance>/api/auth/sso/saml2/callback/<providerId>
4. При необходимости скачайте SP metadata (XML) из меню провайдера, чтобы импортировать её в ваш IdP

Provisioning пользователей

При включённом SSO:

• Новые пользователи автоматически создаются при первом входе
• Роли пользователей могут быть сопоставлены с группами IdP и ролями Skitflow
• Пользователи по-прежнему могут использовать вход по email/паролю в качестве запасного варианта (настраивается)