Аутентификация с помощью Azure Active Directory

Если у вас еще нет интерфейса командной строки Yandex.Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

1. Посмотрите описание команды создания федерации:

   yc organization-manager federation saml create --help
   

2. Создайте федерацию:

   yc organization-manager federation saml create --name my-federation \
       --organization-id <ID организации> \
       --auto-create-account-on-login \
       --cookie-max-age 12h \
       --issuer "https://sts.windows.net/<ID SAML-приложения>/" \
       --sso-binding POST \
       --sso-url "https://login.microsoftonline.com/<ID SAML-приложения>/saml2"
   

   Где:

   • name — имя федерации. Имя должно быть уникальным в каталоге.

   • organization-id — идентификатор организации.

   • auto-create-account-on-login — флаг, который активирует автоматическое создание новых пользователей в облаке после аутентификации на IdP-сервере.
     Опция упрощает процесс заведения пользователей, но созданный таким образом пользователь не сможет выполнять никаких операций с ресурсами в облаке. Исключение — те ресурсы, на которые назначены роли системной группе allUsers или allAuthenticatedUsers.

     Если опцию не включать, то пользователь, которого не добавили в организацию, не сможет войти в консоль управления, даже если пройдет аутентификацию на вашем IdP-сервере. В этом случае вы можете управлять списком пользователей, которым разрешено пользоваться ресурсами Yandex.Cloud.

   • cookie-max-age — время, в течение которого браузер не должен требовать у пользователя повторной аутентификации.

   • issuer — идентификатор IdP-сервера, на котором должна происходить аутентификация.

     Используйте ссылку, которая указана в поле Идентификатор Azure AD на странице Вход на основе SAML в Azure AD. Формат ссылки:

     https://sts.windows.net/<ID SAML-приложения>/
     

   • sso-url — URL-адрес страницы, на которую браузер должен перенаправить пользователя для аутентификации.

     Используйте ссылку, которая указана в поле URL-адрес входа на странице Вход на основе SAML в Azure AD. Формат ссылки:

     https://login.microsoftonline.com/<ID SAML-приложения>/saml2
     

   • sso-binding — укажите тип привязки для Single Sign-on. Большинство поставщиков поддерживают тип привязки POST.

1. Получите идентификатор каталога, в котором вы будете создавать федерацию.

2. Создайте файл с телом запроса, например body.json:

   {
     "folderId": "<ID каталога>",
     "name": "my-federation",
     "organizationId": "<ID организации>",
     "autoCreateAccountOnLogin": true,
     "cookieMaxAge":"43200s",
     "issuer": "https://sts.windows.net/<ID SAML-приложения>/",
     "ssoUrl": "https://login.microsoftonline.com/<ID SAML-приложения>/saml2",
     "ssoBinding": "POST"
   }
   

   Где:

   • folderId — идентификатор каталога.

   • name — имя федерации. Имя должно быть уникальным в каталоге.

   • organizationId — идентификатор организации.

   • autoCreateAccountOnLogin — флаг, который активирует автоматическое создание новых пользователей в облаке после аутентификации на IdP-сервере.
     Опция упрощает процесс заведения пользователей, но созданный таким образом пользователь не сможет выполнять никаких операций с ресурсами в облаке. Исключение — те ресурсы, на которые назначены роли системной группе allUsers или allAuthenticatedUsers.

     Если опцию не включать, то пользователь, которого не добавили в организацию, не сможет войти в консоль управления, даже если пройдет аутентификацию на вашем IdP-сервере. В этом случае вы можете управлять списком пользователей, которым разрешено пользоваться ресурсами Yandex.Cloud.

   • cookieMaxAge — время, в течениt которого браузер не должен требовать у пользователя повторной аутентификации.

   • issuer — идентификатор IdP-сервера, на котором должна происходить аутентификация.

     Используйте ссылку, которая указана в поле Идентификатор Azure AD на странице Вход на основе SAML в Azure AD. Формат ссылки:

     https://sts.windows.net/<ID SAML-приложения>/
     

   • ssoUrl — URL-адрес страницы, на которую браузер должен перенаправить пользователя для аутентификации.

     Используйте ссылку, которая указана в поле URL-адрес входа на странице Вход на основе SAML в Azure AD. Формат ссылки:

     https://login.microsoftonline.com/<ID SAML-приложения>/saml2
     

   • ssoBinding — укажите тип привязки для Single Sign-on. Большинство поставщиков поддерживают тип привязки POST.

3. Создайте федерацию с помощью метода create:

   $ curl -X POST \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer <IAM-токен>" \
     -d '@body.json' \
     https://organization-manager.api.cloud.yandex.net/organization-manager/v1/saml/federations
   {
    "done": true,
    "metadata": {
     "@type": "type.googleapis.com/yandex.cloud.organization-manager.v1.saml.CreateFederationMetadata",
     "federationId": "ajeobmje4dgj0belagb9"
    },
    ...
   

   В ответе в свойстве federationId будет указан идентификатор созданной федерации: сохраните его. Этот идентификатор понадобится на следующих шагах.

Если у вас еще нет интерфейса командной строки Yandex.Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

1. Посмотрите описание команды добавления сертификата:

   yc organization-manager federation saml certificate create --help
   

2. Добавьте сертификат для федерации, указав путь к файлу сертификата:

   yc organization-manager federation saml certificate create \
     --federation-id <ID федерации> \
     --name "my-certificate" \
     --certificate-file certificate.cer
   

Воспользуйтесь методом create для ресурса Certificate:

1. Сформируйте тело запроса. В свойстве data укажите содержимое сертификата:

   {
     "federationId": "<ID федерации>",
     "name": "my-certificate",
     "data": "-----BEGIN CERTIFICATE..."
   }
   

2. Отправьте запрос на добавление сертификата:

   $ export IAM_TOKEN=CggaATEVAgA...
   $ curl -X POST \
       -H "Content-Type: application/json" \
       -H "Authorization: Bearer ${IAM_TOKEN}" \
       -d '@body.json' \
       "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/saml/certificates"
   

Если у вас еще нет интерфейса командной строки Yandex.Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

1. Посмотрите описание команды добавления пользователей:

   yc organization-manager federation saml add-user-accounts --help
   

2. Добавьте пользователей, перечислив их Name ID через запятую:

   yc organization-manager federation saml add-user-accounts --id <ID федерации> \
     --name-ids=alice@example.com,bob@example.com,charlie@example.com
   

   Где:

   • id — идентификатор федерации.

   • name-ids — Name ID пользователей.

Чтобы добавить пользователей федерации в облако:

1. Сформируйте файл с телом запроса, например body.json. В теле запроса укажите массив Name ID пользователей, которых необходимо добавить:

   {
     "nameIds": [
       "alice@example.com",
       "bob@example.com",
       "charlie@example.com"
     ]
   }
   

2. Отправьте запрос, указав в параметрах идентификатор федерации:

   $ curl -X POST \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer <IAM-токен>" \
     -d '@body.json' \
     https://organization-manager.api.cloud.yandex.net/organization-manager/v1/saml/federations/<ID федерации>:addUserAccounts