SSO та SCIM. Корпоративна ідентифікація без перешкод.

Elido використовує WorkOS як SSO- та SCIM-брокера, який підтримує Okta, Azure AD / Entra ID, Google Workspace, OneLogin, PingFederate, Shibboleth, ADFS, JumpCloud та будь-який SAML 2.0-сумісний IdP. З'єднання OIDC також підтримуються для таких провайдерів, як Google Workspace та Azure. Якщо вашого IdP немає в стандартному списку WorkOS, тип з'єднання 'Generic SAML' працює з будь-яким потоком SAML 2.0, ініційованим сервіс-провайдером (SP-initiated). Зв'яжіться з нами, якщо вам потрібне специфічне з'єднання IdP, якого немає в списку.

JIT (Just-in-Time) провіженінг створює акаунт користувача в Elido під час його першого входу через SSO - попередня підготовка не потрібна. Це простіше в налаштуванні, але не дає контролю над тим, хто може увійти (будь-хто з дійсним SSO-підтвердженням отримує акаунт). SCIM-провіженінг дає контроль вашому IdP: тільки користувачі в підготовленій групі можуть увійти, а акаунти створюються до першого входу. Для корпоративних середовищ, де доступ має бути попередньо схвалений, SCIM є обов'язковим. Коли SCIM активний, JIT-провіженінг вимикається.

У налаштуваннях SSO робочого простору ви прив’язуєте свої групи IdP до ролей Elido: наприклад, 'Okta group: Elido Admins' → 'Elido role: Admin', 'Okta group: Elido Members' → 'Elido role: Member'. Роль користувача в Elido відповідає його членству в групі IdP - якщо його перемістити з групи Admins до групи Members в Okta, його роль в Elido буде понижена при наступній синхронізації SCIM (зазвичай до 60 секунд). Користувач, який перебуває в кількох групах, отримує роль з найвищими привілеями серед відповідних маппінгів.

SSO можна встановити як обов'язкове (enforced) - тоді всі користувачі повинні входити через SSO, а вхід за паролем вимикається, або опціональне (users can choose SSO or email+password). На Business обов'язковість налаштовується в параметрах SSO робочого простору. Після ввімкнення обов'язковості користувачі без активної SSO-ідентичності будуть заблоковані - переконайтеся, що SCIM або JIT створили акаунти перед активацією. Акаунти адміністраторів можуть бути виключені з обов'язкового SSO як механізм екстреного доступу; це можна налаштувати.

Коли SCIM деактивує користувача, Elido призупиняє всі API-ключі, створені цим користувачем. Призупинені ключі повертають HTTP 401 при автентифікації. Ключі не видаляються - вони залишаються видимими для адміністраторів робочого простору для цілей аудиту зі статусом 'suspended - offboarded user'. Якщо сервісний акаунт використовував персональний API-ключ (не сервісний ключ робочого простору), призупинення ключа розірве цю інтеграцію - це зроблено навмисно. Для продуктових інтеграцій використовуйте сервісні ключі рівня робочого простору, а не особисті API-ключі користувачів.

SSO та SCIM - це функції лише для тарифу Business. Робочі простори Pro використовують вбудовану автентифікацію Elido (email + пароль через наш рівень автентифікації, опціонально Google/GitHub OAuth). Якщо SSO є жорсткою вимогою вашого відділу закупівель, тариф Business є стартовою точкою. Зв'яжіться з відділом продажу для пробного періоду Business, якщо вам потрібно оцінити SSO перед покупкою.

Кожен робочий простір Elido має власну конфігурацію SSO - якщо ви керуєте кількома робочими просторами (наприклад, для окремих брендів чи підрозділів), кожен отримує своє з'єднання IdP та SCIM-провіженінг окремо. Користувачі можуть бути членами кількох робочих просторів з різними ролями в кожному; їхня ідентичність IdP залишається незмінною, але маппінги груп на ролі оцінюються для кожного простору. Спільна група Okta може відповідати ролі Admin в одному просторі та Member в іншому.

Так. Невдалі спроби входу через SSO (недійсне підтвердження SAML, сесія, що закінчилася, відсутність акаунта SCIM при вимкненому JIT) реєструються в журналі аудиту робочого простору з кодом причини. Це корисно для діагностики того, чому конкретний користувач не може увійти, та для виявлення спроб підбору SSO. Невдалі спроби з IP-адрес, що перевищують поріг, ініціюють сповіщення робочого простору (налаштовується в параметрах безпеки).