Политика и единый вход

policyПолитика организации задаёт правила, которые действуют для всех, кого вы добавляете. vpn_keyЕдиный вход позволяет сотрудникам входить с аккаунтом, который им уже выдала компания, и автоматически присоединяться к организации.

Оба раздела находятся в разделе Enterprise: businessПредприятие > policyПолитика и vpn_keyЕдиный вход.

Политика организации#

Измените любые из параметров ниже, затем нажмите saveСохранить вверху страницы. Новая роль по умолчанию применяется к тем, кто присоединится после этого; роль существующих участников она не меняет.

Разрешённые почтовые домены#

Приглашать и привязывать можно только людей с этими доменами. Оставьте пустым, чтобы разрешить любые.

1. В разделе Разрешённые почтовые домены введите домен в поле Добавить домен, например acme.com. Вводите только домен, а не адрес электронной почты или веб-адрес.
2. Нажмите addДобавить (или Enter). Домен появится в виде значка.
3. Нажмите saveСохранить.

Нажмите close на значке, чтобы удалить этот домен. Если в списке нет доменов, на странице написано «Без ограничений — можно пригласить любой домен.»

Когда список задан, приглашение на любой другой домен отклоняется — и на странице groupПользователи, и сервером, — как и запрос на присоединение, отправленный существующему аккаунту. Участники также не могут сменить свой адрес для входа на адрес в другом домене.

Значения по умолчанию#

• Роль по умолчанию для новых участников: роль, которую получает каждый, кто присоединяется: приглашённые вами люди, существующие аккаунты, принявшие запрос на присоединение, те, кто приходит через единый вход, и участники, созданные через API. Изначально это Участник. Выбрать здесь Администратор может только владелец. См. роли.
• Считать участника неактивным через (дней): участник, который не входил дольше этого срока, считается неактивным на странице groupПользователи — это подсказка, что его место можно отдать кому-то другому. Любое число от 1 до 3650; изначально 60.

Защитные меры#

• Требовать передачу проектов, прежде чем участник закроет свой аккаунт: Участники не могут удалить свой аккаунт, пока у них есть проекты. Проекты участников, которых удаляете вы, всегда остаются в организации. Когда этот параметр включён, нажатие delete_foreverУдалить пользователя для участника, у которого есть проекты, показывает Сначала передайте проекты и вместо удаления предлагает Передать проекты. Удаление сразу нескольких участников останавливается так же, если хотя бы у одного из них есть проекты. См. передать проекты участника.

Единый вход#

С единым входом сотрудники входят в Measure Map Online с учётной записью, которую им уже выдала ваша компания (Microsoft, Okta, Google и другие), через корпоративного поставщика идентификации по протоколу SAML или OpenID Connect (OIDC). Каждый сотрудник вашей компании, который входит этим способом, автоматически становится участником вашей организации.

Единый вход запрашивают на странице vpn_keyЕдиный вход: она показывает, что ввести в поставщике идентификации и что отправить нам. Мы проверяем запрос и включаем единый вход. Отправить запрос могут владелец организации и её администраторы.

Как это работает#

1. Вы отправляете нам ниже данные поставщика идентификации и почтовые домены команды.
2. Мы проверяем их и включаем единый вход. Вы получите письмо, а на этой странице появится ссылка для входа.
3. Команда входит с корпоративной учётной записью. Новички присоединяются к организации и появляются в разделе «Пользователи», где вы задаёте их роль.

Что нужно заранее#

• Доступ администратора к поставщику идентификации, например к центру администрирования Microsoft Entra, консоли администратора Okta или консоли администратора Google, либо сотрудник ИТ-отдела с таким доступом. Там вы добавите Measure Map Online как приложение.
• Все почтовые домены вашей команды, например acme.com и acme.co.uk. Присоединиться через единый вход могут только люди с адресом на этих доменах.
• Технический контакт: имя и адрес почты человека, которому мы можем задать вопросы о подключении.
• Три значения от поставщика идентификации, которые вы скопируете после того, как добавите туда Measure Map Online (шаг 1 ниже):
  • для SAML: URL единого входа (URL входа), Entity ID поставщика идентификации (issuer) и Сертификат подписи;
  • для OpenID Connect: URL издателя (issuer), ID клиента и Секрет клиента.

Шаг 1: добавьте Measure Map Online в поставщика идентификации#

1. Откройте businessПредприятие > vpn_keyЕдиный вход.

2. В разделе Протокол выберите SAML 2.0, который рекомендует страница, или OpenID Connect, если его предпочитает ваш ИТ-отдел.

3. В поле Поставщик идентификации выберите своего: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud или Другой поставщик.

4. В блоке Введите эти значения в поставщике идентификации страница показывает значения Measure Map Online. Копируйте каждое со страницы кнопкой content_copy, а не вводите вручную.

   Для SAML:

   • Идентификатор (Entity ID): https://app.measuremaponline.com
   • URL ответа (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: Адрес электронной почты пользователя
   • Атрибуты: email (обязательно); имя и фамилия или отображаемое имя (необязательно)

   Для OpenID Connect:

   • URI перенаправления: https://measuremaponline.com/__/auth/handler
   • Области (scopes): openid email profile

5. Ниже страница показывает шаги для выбранного поставщика. Они есть и здесь, вместе с тем, где найти каждое значение, которое просит шаг 2.

Где их найти у поставщика идентификации#

У Microsoft Entra ID, Okta и Google Workspace свои шаги. Для OneLogin, JumpCloud и других поставщиков действуют общие.

Microsoft Entra ID, SAML#

1. В центре администрирования Microsoft Entra откройте «Корпоративные приложения» > «Новое приложение» > «Создать собственное приложение». Назовите его «Measure Map Online» и выберите интеграцию приложения не из коллекции.
2. В новом приложении откройте «Единый вход» и выберите SAML. В разделе «Базовая конфигурация SAML» введите Идентификатор (Entity ID) и URL ответа (ACS URL).
3. В разделе «Атрибуты и утверждения» задайте уникальный идентификатор пользователя (Name ID) = user.mail и оставьте утверждение с адресом почты.
4. В разделе «Пользователи и группы» назначьте людей или группы, которые будут входить.
5. Вернитесь в «Единый вход» и скопируйте три значения:
   • URL единого входа (URL входа): URL входа в разделе «Настройка Measure Map Online».
   • Entity ID поставщика идентификации (issuer): идентификатор Microsoft Entra, там же.
   • Сертификат подписи: скачайте сертификат (Base64) в разделе «Сертификаты SAML».

Okta, SAML#

1. В консоли администратора Okta откройте Applications > Applications > Create App Integration, выберите SAML 2.0 и назовите приложение «Measure Map Online».
2. Укажите URL ответа (ACS URL) в поле Single sign-on URL, а Идентификатор (Entity ID) — в поле Audience URI (SP Entity ID). Выберите Name ID format = EmailAddress и Application username = Email.
3. В Attribute Statements добавьте email со значением user.email (при желании также firstName и lastName).
4. На вкладке Assignments назначьте людей или группы, которые будут входить.
5. На вкладке Sign On откройте View SAML setup instructions и скопируйте:
   • URL единого входа (URL входа): Identity Provider Single Sign-On URL.
   • Entity ID поставщика идентификации (issuer): Identity Provider Issuer.
   • Сертификат подписи: X.509 Certificate.

Google Workspace, SAML#

1. В консоли администратора Google откройте «Приложения» > «Веб- и мобильные приложения» > «Добавить приложение» > «Добавить собственное SAML-приложение» и назовите его «Measure Map Online».
2. На странице сведений о поставщике идентификации Google скопируйте три значения и продолжите:
   • URL единого входа (URL входа): URL SSO.
   • Entity ID поставщика идентификации (issuer): идентификатор объекта.
   • Сертификат подписи: скачайте сертификат.
3. На следующей странице укажите URL ответа (ACS URL) как URL ACS, а Идентификатор (Entity ID) — как идентификатор объекта. Формат Name ID — EMAIL, Name ID — «Основная информация» > «Основной адрес электронной почты».
4. В разделе «Доступ пользователей» включите приложение для подразделений или групп, которые будут входить.

OneLogin, JumpCloud и другие поставщики, SAML#

1. Создайте приложение SAML 2.0 с именем «Measure Map Online».
2. Введите Идентификатор (Entity ID) и URL ответа (ACS URL), передавайте адрес почты пользователя как Name ID и назначьте людей, которые будут входить.
3. Скопируйте три значения, обычно со страницы SAML или метаданных приложения:
   • URL единого входа (URL входа): URL единого входа поставщика идентификации.
   • Entity ID поставщика идентификации (issuer): его Entity ID, он же издатель (issuer).
   • Сертификат подписи: его сертификат подписи.

Microsoft Entra ID, OpenID Connect#

1. В центре администрирования Microsoft Entra откройте «Регистрация приложений» > «Новая регистрация». Назовите «Measure Map Online», выберите платформу Web и укажите URI перенаправления.
2. В разделе «Сертификаты и секреты» создайте секрет клиента и сразу скопируйте его значение: оно показывается один раз.
3. В разделе «Конфигурация токена» добавьте необязательное утверждение email в ID-токен.
4. Скопируйте три значения:
   • URL издателя (issuer): https://login.microsoftonline.com/<ID клиента>/v2.0, где ID каталога (клиента) берётся со страницы «Обзор».
   • ID клиента: идентификатор приложения (клиента).
   • Секрет клиента: значение секрета из шага 2.

Другие поставщики, OpenID Connect#

1. Создайте веб-приложение OpenID Connect с именем «Measure Map Online» и значением URI перенаправления.
2. Разрешите области openid, email и profile и назначьте людей, которые будут входить.
3. Скопируйте три значения: URL издателя (issuer), ID клиента и Секрет клиента.

Шаг 2: отправьте нам данные#

В блоке Отправьте нам данные заполните:

• Для SAML: URL единого входа (URL входа), Entity ID поставщика идентификации (issuer) и Сертификат подписи. Вставьте текст сертификата (Base64 или PEM, со строками BEGIN и END) или нажмите upload_fileВыбрать файл и выберите скачанный файл .cer, .crt или .pem.
• Для OpenID Connect: URL издателя (issuer), ID клиента и Секрет клиента.
• Почтовые домены: введите домен, например acme.com, и нажмите addДобавить (или Enter). Добавьте все домены вашей команды: присоединиться через единый вход могут только люди с адресом на этих доменах.
• Технический контакт и Контактный email: к кому мы обращаемся по запросу. Всё остальное напишите в поле Что нам стоит знать (необязательно).

Нажмите sendОтправить запрос. Данные проверяются при отправке, и если их не принимают, форма сразу сообщает, что исправить:

• «Не удалось прочитать сертификат подписи. Вставьте сертификат целиком, со строками BEGIN и END, или выберите файл.»
• «Эти данные не приняты. Проверьте URL единого входа, Entity ID и сертификат (или издателя, ID клиента и секрет) и попробуйте снова.»

Пока мы проверяем#

После отправки запроса статус вверху страницы показывает schedule Ожидает нас, а также отправленные данные и номер обращения в поддержку, открытого для запроса. Мы проверяем запрос, прежде всего то, что почтовые домены принадлежат вашей организации, и включаем единый вход. Владелец получает письмо, а страница показывает check_circle Включено и ссылку для входа.

Пока запрос ждёт, можно:

• Нажать editИзменить запрос, чтобы исправить его, а затем sendОбновить запрос. Оставьте поле Сертификат подписи или Секрет клиента пустым, чтобы сохранить отправленное ранее.
• Нажать undoОтозвать запрос, чтобы отменить его. Новый запрос можно отправить в любое время.

Если нужно что-то изменить, статус показывает error Нужны изменения с нашим комментарием о том, что поменять. Исправьте форму и нажмите sendОбновить запрос.

Когда единый вход включён#

Страница показывает вашего поставщика идентификации, одобренные почтовые домены и Ссылка для входа, например https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Нажмите content_copy, чтобы скопировать её, и поделитесь ею с командой: она открывает страницу входа, уже настроенную на поставщика вашей компании. Та же ссылка с ?saml= вместо ?sso= тоже работает.

• Кто присоединяется: люди, которые входят по ней, при первом входе автоматически присоединяются к вашей организации, если их адрес на одном из одобренных доменов. Они получают роль по умолчанию организации, как и приглашённые, и каждый занимает место. Если свободного места нет, человек не может присоединиться, а владелец получает об этом письмо (не чаще раза в день).
• Изменения: чтобы сменить поставщика или отключить единый вход, нажмите support_agentСвязаться с нами. Откроется форма поддержки с уже начатым сообщением. Владелец получает письмо каждый раз, когда единый вход включают или отключают, так что неожиданное изменение не останется незамеченным.
• Сертификат: для SAML страница показывает, до какой даты действует сертификат подписи вашего поставщика идентификации, и начинает предупреждать за месяц до окончания срока. Когда срок истёк, никто не может войти через единый вход: создайте новый сертификат в своём поставщике идентификации и отправьте его нам через support_agentСвязаться с нами.
• Проблемы: если поставщик перестал работать, статус показывает error Не работает, и команда не может войти через него. Отправьте форму запроса под уведомлением ещё раз, как в шаге 1 и шаге 2, и после проверки мы подключим его заново. Можно также нажать support_agentСвязаться с нами.