SSO и SCIM. Корпоративная идентификация, без трения.

Elido использует WorkOS в качестве брокера SSO и SCIM, который поддерживает Okta, Azure AD / Entra ID, Google Workspace, OneLogin, PingFederate, Shibboleth, ADFS, JumpCloud и любые SAML 2.0-совместимые IdP. Подключения OIDC также поддерживаются для таких провайдеров, как Google Workspace и Azure. Если вашего IdP нет в стандартном списке WorkOS, тип подключения 'Generic SAML' работает с любым SAML 2.0 SP-initiated потоком. Свяжитесь с нами, если вам нужно специфическое IdP-подключение, не указанное в списке.

JIT (Just-in-Time) provisioning создает учетную запись пользователя в Elido при его первом входе через SSO - предварительная подготовка не требуется. Это проще в настройке, но не дает контроля над тем, кто может войти (любой с валидным SSO-утверждением получает аккаунт). SCIM-provisioning дает контроль вашему IdP: войти могут только пользователи из подготовленной группы, а аккаунты создаются до первого входа. Для корпоративных сред, где доступ должен быть предварительно одобрен, требуется SCIM. Когда SCIM активен, JIT-provisioning отключается.

В настройках SSO рабочего пространства вы сопоставляете группы вашего IdP с ролями Elido: например, 'Группа Okta: Elido Admins' → 'Роль Elido: Admin', 'Группа Okta: Elido Members' → 'Роль Elido: Member'. Роль пользователя в Elido следует за его членством в группах IdP - если его переведут из группы Admins в группу Members в Okta, его роль в Elido будет понижена при следующей синхронизации SCIM (обычно менее 60 секунд). Если пользователь состоит в нескольких группах, он получает роль с максимальными привилегиями из соответствующих маппингов.

SSO может быть настроен как принудительный (все пользователи должны входить через SSO - вход по паролю отключен) или опциональный (пользователи могут выбирать между SSO и email+пароль). На тарифе Business принудительное использование настраивается в параметрах SSO рабочего пространства. После включения пользователи без активной SSO-идентификации будут заблокированы - убедитесь, что аккаунты созданы через SCIM или JIT перед активацией. Учетные записи администраторов могут быть исключены из принудительного SSO в качестве механизма экстренного доступа; это настраивается.

Когда SCIM деактивирует пользователя, Elido приостанавливает действие всех API-ключей, созданных этим пользователем. Приостановленные ключи возвращают HTTP 401 при аутентификации. Ключи не удаляются - они остаются видимыми для администраторов рабочего пространства для аудита со статусом 'suspended - offboarded user'. Если личный API-ключ использовался сервисной учетной записью (а не специальный ключ сервиса рабочего пространства), интеграция сломается - это сделано намеренно. Для продакшен-интеграций используйте сервисные ключи уровня рабочего пространства, а не личные API-ключи пользователей.

SSO и SCIM - это функции только тарифа Business. В рабочих пространствах Pro используется встроенная аутентификация Elido (email + пароль через наш уровень аутентификации, опционально Google/GitHub OAuth). Если SSO является обязательным требованием для вашей закупки, тариф Business - это отправная точка. Свяжитесь с отделом продаж для получения пробного периода Business, если вам нужно оценить SSO перед покупкой.

Каждое рабочее пространство Elido имеет собственную конфигурацию SSO - если у вас несколько рабочих пространств (например, по брендам или бизнес-юнитам), каждое получает свое IdP-подключение и SCIM-provisioning отдельно. Пользователи могут быть участниками нескольких рабочих пространств с разными ролями в каждом; их SSO-идентификатор остается прежним, но маппинг групп на роли вычисляется для каждого рабочего пространства. Одна и та же группа Okta может давать роль Admin в одном пространстве и Member в другом.

Да. Неудачные попытки SSO (невалидное утверждение SAML, истекшая сессия, отсутствие SCIM-аккаунта при отключенном JIT) записываются в журнал аудита рабочего пространства с указанием кода причины. Это полезно для диагностики проблем со входом конкретных пользователей и обнаружения попыток подбора SSO. Неудачные попытки с IP-адресов, превышающих порог, вызывают оповещение (настраивается в параметрах безопасности рабочего пространства).