SAML 2.0 · OpenID Connect · MFA · SCIM
Корпоративный SSO с SAML 2.0 и OpenID Connect
Единый вход, позволяющий вашим сотрудникам входить в клиентский портал мастерской и SDK с учётными данными их собственного каталога — Okta, Azure AD, Google Workspace, OneLogin, JumpCloud, Auth0. Поставляется через SAML 2.0 или OpenID Connect по вашему IdP. Провизионирование SCIM доступно в enterprise-программе.
Что покрывает корпоративный SSO
Корпоративный SSO покрывает четыре поверхности. Клиентский портал, где операционный руководитель проверяет статус заказов, скачивает счета, видит историю поставок и загружает базу размеров. SDK, где разработчики изучают документацию, генерируют bearer-токены для API и тестируют webhooks. Консоль интеграций, где технический администратор настраивает эндпоинты, секреты и подписки на события. Панель комплаенса, где офицер комплаенса запрашивает документацию аудита и скачивает сертификаты.
SSO работает с вашим IdP — Okta, Azure AD, Google Workspace, OneLogin, JumpCloud, Auth0, Duo — без доступа к пользовательским учётным данным. Аутентификация происходит на стороне клиента; мы получаем подписанное утверждение и проверяем подпись сертификатом IdP. Сессия управляется с httpOnly, secure и строгим sameSite cookie.
SAML 2.0: стандартный поток
Поток SAML 2.0 наиболее распространён в корпорациях с Okta, Azure AD и OneLogin. Клиент создаёт SAML-приложение в своём IdP с ACS — Assertion Consumer Service — указывающим на https://portal.corp-merch.com.mx/sso/saml/acs и EntityID на https://portal.corp-merch.com.mx. NameID маппится на email пользователя. Атрибуты, которые мы получаем: email, firstName, lastName и groups.
Группы IdP маппятся на роли внутри мастерской. Группа corp-merch-admins маппится на администратора клиента с полным доступом к порталу и SDK. Группа corp-merch-ops маппится на оператора с доступом к заказам и поставкам. Группа corp-merch-readonly маппится на читателя с доступом только для запросов. Группа corp-merch-finance маппится на роль финансов с доступом к счетам и платежам.
OpenID Connect: поток для Google Workspace и Auth0
Поток OpenID Connect используется с Google Workspace, Auth0 и IdP, предпочитающими OAuth 2.0 со слоем идентификации. Клиент создаёт OIDC-приложение в своём IdP с redirect URI https://portal.corp-merch.com.mx/sso/oidc/callback. Scopes, которые мы запрашиваем: openid, email, profile и groups при поддержке IdP.
Валидация токена выполняется против JWKS-эндпоинта IdP. Подпись ID-токена проверяется с алгоритмом RS256, и мы проверяем, что audience — aud — совпадает с нашим client ID. Срок действия — exp — проверяется с допуском пять минут. Идентификатор пользователя — sub — используется для поддержания сессии постоянной между устройствами.
Многофакторная аутентификация и политика сессии
Многофакторная аутентификация применяется на стороне IdP клиента, не нашей. Когда клиент настраивает обязательную MFA в своём IdP, пользователь должен пройти второй фактор до достижения нашего портала. Мы поддерживаем типичные методы MFA: TOTP, WebAuthn, push-уведомление, SMS, где IdP позволяет. Когда клиент требует MFA при каждом входе, мы это уважаем.
Политика сессии применяется по умолчанию: восьмичасовая сессия с автоматическим продлением при активности пользователя, истечение cookie через двадцать четыре часа неактивности, повторная аутентификация для чувствительных действий — изменение конфигурации, скачивание базы размеров, ротация bearer-токена — с пятиминутным сроком жизни. Для клиентов с более строгой политикой мы настраиваем сессию в начале программы согласно их внутренней процедуре.
Провизионирование SCIM
Для enterprise клиентов — более ста пользователей — мы предоставляем провизионирование SCIM 2.0. Клиент может создавать, обновлять и удалять пользователей из своего IdP без нашего участия. SCIM-эндпоинт — https://portal.corp-merch.com.mx/scim/v2 с выделенной bearer-токен аутентификацией, отдельно от bearer-токена SDK.
Провизионирование SCIM учитывает группы IdP. Когда пользователь добавляется в группу corp-merch-ops, его роль автоматически обновляется до оператора. Когда удаляется из группы, роль отзывается. Когда пользователь удаляется из IdP, его аккаунт деактивируется в нашем портале. События провизионирования регистрируются в журнале аудита, который клиент может запрашивать.
Настройка, поддержка и тестирование
Настройка выполняется в сессии с техническим руководителем клиента и нашим техническим руководителем. Мы передаём SAML-метаданные — XML с EntityID, ACS и сертификатом — или OIDC-конфигурацию — client ID, client secret и redirect URI — и сопровождаем клиента в настройке его IdP. Типичная сессия длится час и оставляет SSO работающим на песочнице.
Когда песочница валидирована, переносим конфигурацию в продакшн изменением в портале мастерской. Изменение применяется менее чем за пять минут. Когда клиент требует катовера в конкретное окно — выходные, окно обслуживания — программируем по его календарю. Для клиентов со строгим SLA — банки, финтех, государство — мы предоставляем runbook катовера с документированными шагами.
Настройте ваш SSO с Corp-Merch.MX
Если вашей корпорации нужен SSO с вашим IdP для клиентского портала мастерской и SDK, давайте поговорим. Мы передаём SAML-метаданные или OIDC-конфигурацию, сопровождаем настройку и оставляем SSO работающим менее чем за одну рабочую сессию.
Корпоративный SSO предоставляется клиентам с действующей программой и подписанным соглашением об использовании. Аутентификация происходит на стороне IdP клиента; Corp-Merch.MX не хранит пользовательские пароли. Конфигурация может обновляться без предварительного уведомления; о мажорных версиях сообщается за тридцать дней. Corp-Merch.MX — мексиканская мастерская корпоративного мерча; мы работаем независимо.