Единый вход (SSO)

Подключите своего поставщика удостоверений SAML 2.0 или OpenID Connect (Okta, Microsoft Entra ID, Google Workspace, OneLogin, Ping…), чтобы сотрудники входили под корпоративными учётными данными. Доступно в тарифе Enterprise. Учётные записи могут создаваться автоматически при первом входе (just-in-time provisioning).

Настройка SSO

1. Откройте «Настройки компании» → «Единый вход»
2. Выберите протокол (SAML 2.0 или OpenID Connect)
3. Передайте поставщику удостоверений значения из раздела «Значения для вашего поставщика удостоверений»: для SAML — Entity ID и ACS URL (или просто URL метаданных), для OIDC — Redirect URI
4. Для SAML: вставьте URL метаданных вашего IdP (или XML метаданных). Для OIDC: введите URL обнаружения, client ID и client secret
5. В разделе «Домены электронной почты» добавьте каждый домен, с которого входят ваши пользователи (например, acme-corp.com)
6. Опубликуйте показанную DNS-запись TXT для этого домена, затем нажмите «Проверить»
7. Включите «Вход через SSO» и нажмите «Сохранить конфигурацию»

Зачем подтверждать домен?

Домен направляется к вашему поставщику удостоверений только после того, как вы подтвердите владение им через DNS-запись TXT. Это не даёт посторонним заявить права на ваш домен и обязательно для того, чтобы обнаружение SSO работало у ваших пользователей.

Параметры политики входа

Автоматическая подготовка учётных записей (just-in-time provisioning) создаёт пользователя с выбранной вами ролью по умолчанию при первом успешном входе через SSO. Опция «Требовать SSO» блокирует вход по паролю для пользователей подтверждённого SSO-домена — включать её рекомендуется после того, как SSO заработает, чтобы корпоративная учётная запись стала единственным источником истины (NIST 800-63).

Как входят пользователи

На странице входа пользователи вводят рабочий адрес электронной почты и нажимают «Войти через SSO». Их перенаправляет к вашему поставщику удостоверений и обратно в FreeMaint после аутентификации — пароль FreeMaint не нужен.

FreeMaint никогда не хранит секреты вашего IdP: они находятся у выделенного брокера удостоверений, размещённого на собственных серверах. Вся проверка SAML-утверждений и защита от подмены подписи выполняются там.