Настройка единого входа

Всё настраивается в Настройках → выбрать организацию → раздел «Единый вход». Раздел доступен только владельцу организации.

Настройка идёт в два шага, в любом порядке: зарегистрировать Buff у провайдера и указать данные провайдера в Buff. Данные для первого шага — блок «Данные для настройки на стороне провайдера» внизу раздела; каждое значение копируется одной кнопкой.

OIDC

Зарегистрируйте у провайдера конфиденциальный клиент (с секретом) для потока Authorization Code; PKCE (S256) Buff использует всегда — если провайдер требует включить его явно, включите. Укажите провайдеру:

Затем в Buff:

При сохранении Buff обращается к провайдеру за документом обнаружения: недоступный адрес или неверный секрет вернут ошибку сразу, а не при первом входе сотрудника.

Keycloak

Clients → Create client: тип OpenID Connect, Client authentication On, Standard flow On, Direct access grants Off. Valid redirect URIs — наш Redirect URI. Issuer URL для Buff — https://<keycloak>/realms/<realm>; Client secret — на вкладке Credentials. Во вкладке Advanced можно выставить Proof Key for Code Exchange Code Challenge Method = S256.

Microsoft Entra ID

App registrations → New registration; Redirect URI платформы Web — наш Redirect URI. Certificates & secrets → New client secret. Issuer URL — https://login.microsoftonline.com/<tenant-id>/v2.0, Client ID — Application (client) ID. Убедитесь, что в токене есть email (Token configuration → Add optional claim → ID → email), иначе Buff запросит его через userinfo.

AD FS

AD FS по умолчанию выдаёт минимальные ID-токены: удобнее подключаться по SAML (ниже). Для OIDC создайте Application Group типа Server application + Web API, разрешите scope openid и email, добавьте правила выпуска утверждений для email; Issuer URL — https://<adfs>/adfs.

SAML 2.0

Зарегистрируйте у провайдера Service Provider (Relying Party Trust в AD FS, SAML client в Keycloak, Enterprise application в Entra ID) с нашими данными:

Проще всего дать провайдеру готовый файл: после сохранения SAML-подключения в разделе появляется кнопка «Скачать метаданные SP» — XML с Entity ID и адресом ACS.

Затем в Buff:

Keycloak

Clients → Create client: тип SAML, Client ID = наш Entity ID. Settings: Valid redirect URIs и Master SAML Processing URL = наш ACS; Name ID format = persistent; Force POST binding = On. Keys: Client signature required = Off. Signature and Encryption: Sign assertions = On, Signature algorithm RSA_SHA256. Client scopes → добавьте mapper типа User Property: Property email, SAML Attribute Name email, Name Format Basic. Сертификат подписи realm — Realm settings → Keys → RS256 → Certificate (это тело PEM без заголовков: добавьте строки -----BEGIN CERTIFICATE----- / -----END CERTIFICATE-----) или из /realms/<realm>/protocol/saml/descriptor.

AD FS

Add Relying Party Trust → Enter data manually → Identifier = наш Entity ID; SAML 2.0 WebSSO, Relying party SAML 2.0 SSO service URL = наш ACS. Claim Issuance Policy: правило LDAP Attributes → E-Mail-Addresses → E-Mail Address; правило Transform → E-Mail Address → Name ID с форматом Persistent Identifier (или оставьте email как NameID — тогда выберите в Buff формат emailAddress). Сертификат — Service → Certificates → Token-signing → экспорт Base-64 X.509. SSO URL — https://<adfs>/adfs/ls/.

Microsoft Entra ID

Enterprise applications → New application → Create your own → Integrate any other application (Non-gallery) → Single sign-on → SAML. Identifier = наш Entity ID, Reply URL = наш ACS. Attributes & Claims: Unique User Identifier — user.objectid или user.mail; добавьте клейм email = user.mail. SAML Signing Certificate → Certificate (Base64). Login URL — в блок SSO URL провайдера.

Проверить вход

После сохранения ссылка «Проверить вход» открывает экран входа через SSO с уже заполненным именем организации в новой вкладке. Пройдите вход тестовым сотрудником: если провайдер вернул ошибку, она отобразится словами — см. Устранение неполадок. Каждый шаг — настройка, начало входа, результат — виден в журнале аудита организации.

Смена провайдера и отключение

Переключение протокола или провайдера — тем же разделом: сохраните новые данные, ранее созданные аккаунты останутся, но связи «сотрудник у провайдера ↔ аккаунт» установятся заново при следующем входе (по email — см. Домены компании).

«Отключить SSO» удаляет подключение, подтверждённые домены и связи с провайдером. Аккаунты сотрудников остаются участниками организации; войти они смогут по паролю, установив его через «Забыли пароль?» (у созданных через SSO аккаунтов пароля не было).