SSO авторизация

После установки модуля доступна админ.панель расширения simplesaml, где вы можете проверить работу ваших методов аутентификации и просмотреть метаданные. Она расположена по адресу: https://<ваш_домен>/simplesaml/.

Чтобы войти в неё, необходимо установить пароль в основных настройках модуля mcart.saml.

После этого, перейдя по адресу https://<ваш_домен>/simplesaml/, вводим установленный пароль. У нас есть возможность, например, просмотреть и проверить созданные конфигурации аутентификации на соответствующей вкладке.

На вкладке «Федерация» мы можем просмотреть загруженные метаданные.

Установка и настройка модуля выполняется техническими специалистами, имеющими навыки настройки SSO.

Настройка авторизации по OpenID Connect (OIDC)

Настройка OpenID Connect

В административном разделе модуля откройте «Источники авторизации» и создайте источник типа OpenID Connect.

Укажите:

- Issuer — HTTPS-адрес провайдера;

- Client ID;

- Client Secret;

- Discovery URL — при необходимости. По умолчанию используется {Issuer}/.well-known/openid-configuration.

Сохраните источник и добавьте показанный модулем Redirect URI в список разрешённых URI OIDC-клиента у провайдера. Значение необходимо скопировать точно, без масок.

Настройте сопоставление полей:

- XML_ID — обязательный уникальный идентификатор внешнего пользователя;

- LOGIN — обязателен при создании новых пользователей;

- минимум одно поле должно быть отмечено для поиска существующего пользователя;

- при необходимости сопоставьте имя, фамилию, email и пользовательские поля.

При необходимости включите создание новых пользователей, обновление существующих пользователей, установку EXTERNAL_AUTH_ID и сопоставление групп.

В основных настройках модуля выберите созданный источник в поле «Текущий метод аутентификации» и сохраните настройки. Проверьте вход тестовым пользователем в отдельном браузере или режиме инкогнито.

Важно: для сохранения Client Secret в настройках ядра Bitrix должен быть задан криптографический ключ crypto.crypto_key. При отсутствии ключа модуль не позволит сохранить OIDC-подключение.

Требования к OIDC-провайдеру

Discovery-документ должен содержать строковые параметры:

- issuer;

- authorization_endpoint;

- token_endpoint;

- jwks_uri;

- userinfo_endpoint.

Все перечисленные URL должны использовать HTTPS. Значение issuer в discovery-документе должно точно совпадать со значением, указанным в настройках источника.

Провайдер должен возвращать подписанный id_token. Текущая версия модуля поддерживает проверку подписи RS256.