Вместе с релизом приложений версий Ajax PRO Desktop v5.30 и Ajax PRO: Tool for Engineers v2.30 мы добавили для сотрудников компании возможность входить в PRO-приложения Ajax с помощью единого входа (англ. single sign-on, SSO).
Единый вход (SSO) позволяет компаниям настраивать доступ сотрудников к PRO-приложениям Ajax и управлять им с помощью поставщиков идентификации (англ. identity provider, IdP), чтобы сотрудники могли пройти аутентификацию через IdP, используя корпоративные учетные данные.
Обратите внимание, что для того, чтобы сотрудники компании могли входить в систему с помощью SSO, в Ajax PRO Desktop необходимо включить и настроить функцию Система единого входа (SSO).
Кнопка Единый вход (SSO) всегда доступна на начальной странице, независимо от того, настроено ли SSO для компании.
Принцип работы
Для входа в PRO-приложения Ajax с помощью SSO сотрудник должен ввести свой корпоративный адрес электронной почты и нажать Единый вход (SSO). Если в компании есть сотрудник с таким адресом электронной почты, а SSO включен и настроен, — сотрудник будет перенаправлен на страницу входа в IdP, где он должен пройти аутентификацию с помощью корпоративных учетных данных. Если аутентификация через IdP пройдет успешно, сотрудник войдет в свою учетную запись в приложении.
- Технология единого входа — это метод аутентификации, который позволяет пользователям получать доступ к нескольким программам или системам с помощью одного набора учетных данных. Он упрощает управление пользователями, повышает безопасность и удобство, поскольку исключает необходимость отдельно входить в каждую систему.
- Поставщик идентификации — это сервис, который проверяет идентичность пользователей и обеспечивает аутентификацию для SSO. Он действует как доверенный источник, выдавая токены, предоставляющие пользователям доступ к подключенным приложениям без необходимости многократного входа в систему.
Для использования функции SSO для компании в PRO-приложениях Ajax необходимо ее включить и задать нужные параметры в настройках компании в приложении Ajax PRO Desktop. Только владелец компании имеет право настраивать SSO. Более подробная информация о настройке SSO приведена в этом разделе .
После настройки SSO в Ajax PRO Desktop можно добавить сотрудников, которые смогут входить в систему с помощью SSO, используя свой корпоративный адрес электронной почты. PRO-аккаунты таких сотрудников содержат только электронный адрес и не имеют паролей или номеров телефонов. Более подробная информация об учетных записях сотрудников приведена в этом разделе.
SSO использует протокол SAML (Security Assertion Markup Language) для аутентификации в PRO-приложениях Ajax. Кроме того, использование сертификатов безопасности обязательно для SSO в PRO-приложениях Ajax.
Настройка SSO для компании
Перед настройкой SSO для компании в Ajax PRO Desktop его необходимо настроить на стороне поставщика идентификации.
Настройки SSO доступны в настройках компании в Ajax PRO Desktop. Только владелец компании может настраивать SSO.
Чтобы настроить SSO в приложении Ajax PRO Desktop:
- Перейдите в меню Компания и выберите Система единого входа (SSO) в боковом меню навигации.
- Включите опцию Разрешить вход через SSO. Ниже появятся дополнительные настройки SSO.
- Введите домен электронной почты компании в поле Почтовый домен компании. Используйте формат company.com (без символа @).
- При необходимости скопируйте нужные Настройки SAML поставщика услуг, чтобы настроить SSO на стороне поставщика идентификации.
- Заполните Настройки SAML от поставщика идентификации:
- Введите Login URL поставщика идентификации.
- При необходимости введите Logout URL поставщика идентификации.
- Нажмите Загрузить сертификат, чтобы загрузить сертификат от поставщика идентификации.
- Нажмите Сохранить для применения настройки.
После сохранения настроек Сертификат Ajax появится под настройками SAML поставщика услуг. Загрузите сертификат из приложения Ajax PRO Desktop и добавьте его к поставщику идентификации.
Обратите внимание, что один домен электронной почты компании можно использовать для SSO для разных компаний в Ajax PRO Desktop.
SSO нельзя настроить для частного инженера монтажа, который не является сотрудником компании в Ajax PRO Desktop.
Учетные записи сотрудников
После включения и настройки SSO для компании в Ajax PRO Desktop можно добавлять сотрудников, которые могут входить в систему с помощью SSO, используя свой корпоративный адрес электронной почты.
Только владелец компании или сотрудник, обладающий правом управлять сотрудниками, может создавать или удалять учетные записи сотрудников, которые могут входить в систему с помощью SSO.
Если компания уже имеет сотрудников с учетными записями с логином и паролем, после активации SSO они смогут входить в систему двумя способами: с помощью SSO или используя свои логин и пароль.
Ограничение учетных записей сотрудников, использующих только SSO
Созданные в Ajax PRO Desktop учетные записи сотрудников, которые могут входить в систему только с помощью SSO, имеют следующие ограничения:
- Учетные записи не имеют паролей. Сотрудник не может войти в PRO-приложения Ajax, используя логин и пароль. Доступен только вход с помощью SSO.
- Учетная запись не имеет привязанного номера телефона.
- Адрес электронной почты нельзя изменить в настройках учетной записи.
- Учетную запись нельзя удалить в настройках учетной записи.
- Настройки двухфакторной аутентификации недоступны.
- Сотрудника с такой учетной записью нельзя пригласить в пространство в качестве частного инженера монтажа. Его можно назначить только для объекта в приложении Ajax PRO Desktop.
Добавление сотрудника
Добавлять новых сотрудников в компанию в Ajax PRO Desktop можно только в разделе Сотрудники в приложении Ajax PRO Desktop.
Чтобы добавить сотрудника, который может входить в систему с помощью SSO, в Ajax PRO Desktop:
- Перейдите в меню Компания и выберите Сотрудники в боковом меню навигации.
- Нажмите Добавить сотрудника.
- В открывшемся окне:
- Введите адрес электронной почты сотрудника в поле Почта сотрудника.
- Введите Имя и Фамилию сотрудника в соответствующие поля.
- Обозначьте необходимые роли для сотрудника.
- Нажмите Добавить, чтобы добавить сотрудника.
После добавления сотрудника система создает новый профиль сотрудника для компании. Теперь этот сотрудник может входить в PRO-приложения Ajax с помощью SSO.
Если несколько компаний в Ajax PRO Desktop имеют одинаковый домен электронной почты компании, можно добавить сотрудника с одинаковым адресом электронной почты к каждой компании в Ajax PRO Desktop. При входе такой сотрудник может выбрать, в какую компанию выполнить вход.
Адрес электронной почты, который использовался для создания учетной записи сотрудника в компании, не может быть использован для создания личной учетной записи PRO-пользователя, поскольку он уже занят.
Удаление сотрудника
Учетные записи сотрудников, созданные в разделе Сотрудники в приложении Ajax PRO Desktop, могут быть удалены таким же образом. Такие сотрудники не могут самостоятельно удалить свои учетные записи.
Чтобы удалить сотрудника, который может входить в систему только с помощью SSO, в Ajax PRO Desktop:
- Перейдите в меню Компания и выберите Сотрудники в боковом меню навигации.
- Выберите необходимого сотрудника.
- Нажмите Удалить учетную запись в меню, которое откроется справа.
- Нажмите Удалить, чтобы подтвердить удаление сотрудника.
Обратите внимание: если корпоративная учетная запись сотрудника была деактивирована в поставщике идентификации, этот сотрудник не сможет войти в PRO-приложения Ajax с помощью SSO, даже если его профиль все еще есть в списке сотрудников компании в Ajax PRO Desktop.
Вход в систему с помощью SSO
- Откройте приложение Ajax PRO Desktop.
- Введите свой корпоративный адрес электронной почты или проверьте предварительно заполненные данные в поле Почта.
- Нажмите Единый вход (SSO).
- Если учетная запись сотрудника добавлена в несколько компаний, выберите компанию, в которую вы хотите войти, и нажмите Продолжить.
- Приложение должно перенаправить вас на страницу входа поставщика идентификации компании. Войдите в IdP, используя свои корпоративные учетные данные.
- После аутентификации с помощью поставщика идентификации система автоматически войдет в вашу учетную запись в приложении Ajax PRO Desktop.
Вы должны войти в поставщика идентификации компании в течение 5 минут после начала процесса входа. В противном случае получите уведомление об ошибке, и вам придется выполнить вход снова.
Если сотрудник добавлен в несколько компаний и вошел в одну из них, он не может переключиться на другую компанию в PRO-приложениях Ajax. Система требует, чтобы сотрудник выполнил выход из одной компании и вошел в другую.
Обратите внимание, что сотрудник не может выбрать охранную компанию или войти в нее при входе через мобильное PRO-приложение.
Выход из системы
Меню в верхнем левом углу приложения.
Настройки приложения.Обратите внимание, что сеанс у поставщика идентификации компании может оставаться активным в течение определенного времени после выхода из системы. Это означает, что если сотрудник снова войдет в PRO-приложение Ajax, ему не нужно будет вводить учетные данные на странице входа в IdP. Длительность сеанса IdP зависит от настроек поставщика идентификации.
Чтобы сеанс в IdP компании заканчивался сразу после выхода из системы, задайте Logout URL поставщика идентификации в настройках Система единого входа (SSO) в Ajax PRO Desktop. Это может пригодиться, если разные сотрудники используют один и тот же корпоративный компьютер или мобильное устройство.