Настройка единого входа через Microsoft Azure Active Directory

Единый вход (SSO) Microsoft Azure Active Directory (AD) позволяет пользователям только один раз войти в приложения в Microsoft Azure AD для доступа к интегрированным приложениям.

С помощью единого входа в Azure AD пользователи могут входить в систему с одной учетной записью для запуска приложений с портала Office 365, Dynamics 365 или панели доступа Azure AD MyApps. Более того, администраторы могут контролировать управление учетными записями пользователей и автоматически добавлять или удалять доступ пользователей к приложениям на основе членства в группах. Без единого входа пользователям приходится запоминать пароли и входить в каждое приложение отдельно.

Cloud Contact поддерживает единый вход Azure AD с использованием метода единого входа SAML (язык разметки утверждений безопасности), который работает для приложений, проверяющих подлинность с использованием протокола SAML, такого как SAML 2.0 или WS-Federation.

При использовании единого входа SAML Azure AD выполняет проверку подлинности в приложении, используя учетную запись пользователя Azure AD. Azure AD передает учетные данные приложению через протокол подключения. С помощью единого входа на основе SAML вы можете сопоставить пользователей с конкретными ролями приложения на основе правил, определенных в ваших утверждениях SAML.

В этой статье показано, как настроить единый вход Azure AD для вашей организации.

Вы узнаете, как:

• Создание корпоративного приложения
• Назначьте приложению владельца, пользователей и группы пользователей
• Настройте приложение для единого входа на основе SAML
• Настройка домена и URL-адресов приложения
• Настроить атрибуты пользователя
• Получить сертификат подписи SAML
• Проверить настройки
• Добавьте учетную запись интеграции единого входа в Cloud Contact
• Использовать учетные данные Azure AD в свойствах учетной записи интеграции

Предварительные требования

Перед настройкой единого входа Azure AD вам потребуется следующее:

• Учетная запись Microsoft Office 365. Если вы не можете войти в Microsoft напрямую, обратитесь к своему системному администратору Microsoft, чтобы проверить настройки разрешений и уровня доступа.

• Учетная запись/подписка Microsoft Azure (бесплатная пробная версия ОК). Без этого у вас не будет каталога и вы не сможете получить доступ к каким-либо данным в Azure AD.

• Cloud Contact версии 5.3 или новее

Настройка на портале Azure

Эта процедура обычно соответствует руководству Microsoft Настройка единого входа на основе SAML для приложения с Azure Active Directory. Дополнительную информацию о едином входе см. в документации Microsoft Azure.

Шаг 1. Добавьте приложение Cloud Contact из Галереи.

1. Войдите на портал Microsoft Azure.
2. Перейдите в раздел Azure Active Directory > Корпоративные приложения и нажмите + Новое приложение.
   

   

3. В разделе Добавить из галереи введите в поле поиска «Cloud Contact».
4. Выберите Cloud Contact Многоканальный контактный центр на панели результатов, а затем добавьте приложение.
   

   

После этого вы увидите страницу обзора приложения.

Шаг 2. Добавьте владельца и пользователей

Добавив себя в качестве администратора в качестве пользователя, вы сможете настроить и протестировать приложение Cloud Contact Приложение многоканального контакт-центра. Добавление других пользователей позволяет другим также использовать его.

1. На странице обзора приложения выберите Управление > Владельцы и нажмите Добавить.
   

   

2. В разделе Выбор владельцев добавьте себя в качестве владельца приложения, чтобы иметь возможность изменять приложение. Затем нажмите Выбрать.
3. Затем перейдите в раздел Управление > Пользователи и группы и нажмите Добавить пользователя.
   

   

4. Нажмите Пользователи и группы, выберите пользователей с правами на использование этого приложения и нажмите Назначить. Назначение позволяет пользователю использовать единый вход Azure AD.
5. После добавления пользователей вы можете повторить эти шаги, чтобы добавить группу, если хотите.

Шаг 3. Настройте Azure AD SSO.

1. На странице интеграции приложения Cloud Contact Многоканальный контактный центр перейдите в раздел Управление > Единый вход и выберите SAML в качестве метода единого входа.
2. Откроется страница Настройка единого входа с предварительным просмотром SAML со следующими полями.
   

   

Базовая конфигурация SAML

В Базовой конфигурации SAML вы указываете имя приложения, настраиваемого для единого входа, и указываете источник токена SAML.

В этом разделе, если вы хотите настроить приложение в режиме, инициируемом IDP, введите значения в следующие поля:

1. Идентификатор (Entity ID) — определяет приложение, для которого настраивается единый вход (SSO). Он также называется Entity ID. Укажите идентификатор в формате <subdomain>_sso (например, «contact-center.example_sso»).
2. URL-адрес ответа — адрес, по которому приложение ожидает получить токен SAML. Укажите https://<subdomain>.contact-center.example/agentdesktop/sso/redirect, заменив «<subdomain>» названием своего контактного центра.

   Например:
   https://contact-center.example/agentdesktop/sso/redirect

3. Нажмите Сохранить.

Нажмите Установить дополнительные URL-адреса и выполните следующий шаг, если вы хотите настроить приложение в режиме, инициируемом SP:

1. В текстовом поле URL-адрес для входа укажите URL-адрес, используя следующий шаблон: https://<subdomain>.contact-center.example/
2. Нажмите Сохранить.

Атрибуты и утверждения пользователя

В разделе Атрибуты пользователя и утверждения вы указываете, какую информацию (e.g., имя пользователя, адрес электронной почты и т. д.) Azure AD отправляет приложению в токене SAML при входе пользователя в систему.

1. Нажмите Изменить, чтобы установить атрибуты поставщика удостоверений для идентификации вашей системы. Вы увидите следующий список утверждений и значений.
   

   

2. Отредактируйте атрибуты утверждения для своевременной подготовки пользователей (JIT), как указано:
   • Удалить user.mail из обязательных утверждений и дополнительных утверждений: выберите и удалите их из списков Обязательные утверждения и Дополнительные утверждения. Эта интеграция не поддерживает сопоставление электронной почты.
     

     

     

   • Настроить дополнительные заявки. Нажав на заявку, вы сможете редактировать ее свойства. Убедитесь, что свойства Дополнительные утверждения настроены со значениями, указанными в следующей таблице.

Имя	Пространство имен	Источник	Атрибут источника
имя	http://schemas.xmlsoap.org/ws/2005/05/identity/claims	Атрибут	user.givenname
имя	http://schemas.xmlsoap.org/ws/2005/05/identity/claims	Атрибут	user.userprincipalname
User.userprincipalname	http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier	Атрибут	user.userprincipalname
фамилия	http://schemas.xmlsoap.org/ws/2005/05/identity/claims	Атрибут	user.surname

После этого ваш список должен содержать (в любом порядке) следующие утверждения:

Примечание. Cloud Contact не сопоставляет претензии с электронной почтой; Cloud Contact сопоставляет утверждения только с одним и тем же именем учетной записи пользователя. Это означает, что существующие пользователи, входящие в систему под своим именем пользователя, будут входить в систему только в том случае, если их имя пользователя соответствует существующей учетной записи пользователя в Cloud Contact. Если JIT включен, если пользователь входит в систему и его имя пользователя не соответствует имени существующей учетной записи, будет создана новая учетная запись пользователя.

Сертификат подписи SAML

В разделе Сертификат подписи SAML вы создадите и загрузите сертификат SAML, который Azure AD использует для подписи токенов SAML, которые он отправляет приложению.

1. Нажмите Изменить и выберите Новый сертификат.
   

   

2. В появившейся строке нового сертификата установите желаемый вариант подписи и алгоритм подписи, а затем нажмите Сохранить. В этом примере мы выбрали «Подписать ответ и подтверждение SAML» и «SHA-256».
   

   

3. Нажмите загрузить, чтобы получить сертификат (Base64). Содержимое этого сертификата будет вставлено в нашу конфигурацию на последующих этапах.
4. После загрузки откройте его и Установите сертификат.

Настройка

Далее вы настроите приложение для использования Azure AD в качестве поставщика удостоверений SAML. Это необходимо, чтобы ваше приложение могло подключиться к Azure AD.

Скопируйте значение URL-адрес входа и вставьте его в отдельный текстовый документ. При настройке учетной записи интеграции единого входа на последующих этапах вы вставите его в свойство URL-адрес единого входа поставщика удостоверений в своей учетной записи интеграции Cloud Contact.

Проверьте единый вход

После завершения настройки на портале Azure необходимо проверить параметры, чтобы убедиться, что вход работает правильно.

1. Нажмите Проверить.
2. Нажмите Войти как текущий пользователь. Это позволит вам узнать, подходит ли вам система единого входа.
   

   

3. Если это работает, вы должны увидеть страницу входа в Cloud Contact Рабочее место оператора. Если это не сработает, вы увидите сообщение об ошибке (см. следующий раздел Ошибки).
   

   

Ошибки и способы их исправления

Приложение с идентификатором не найдено

Эта ошибка означает, что вход невозможен: не удается определить приложение, для которого настраивается SSO. Идентификатор (Entity ID), заданный в основных параметрах SAML, неверен. Вернитесь к шагу 3 и убедитесь, что идентификатор указан в формате <subdomain>_sso (например, «contact-center.example_sso»).

Ошибка HTTP 404

Вероятно, это означает, что URL-адрес ответа неверен и Рабочее место оператора вашего клиента не найдено. Вернитесь к Базовой конфигурации SAML и убедитесь, что URL-адрес ответа имеет вид https://<subdomain>.contact-center.example/agentdesktop/sso/redirect

Перенаправление на Microsoftonline с ошибкой HTTP 404

Эта ошибка может означать одно из следующих:

1. В Базовой конфигурации SAML вы попытались установить значение для состояния ретрансляции, которое не поддерживается. Вернитесь назад, оставьте все необязательные URL-адреса пустыми и Сохранить.
2. Несколько приложений Azure AD имеют URL-адрес ответа, указывающий на один и тот же клиент. Попробуйте проверить другие зарегистрированные приложения и корпоративные приложения в Active Directory. Проверьте их URL-адреса ответа и удалите все посторонние URL-адреса ответа приложений, которые имеют обратный вызов вашему клиенту.

Настройка в Cloud Contact

Далее вы настроите учетную запись интеграции, которая позволит вашему контакт-центру работать с Azure AD.

Шаг 1. В Cloud Contact добавьте учетную запись интеграции SSO.

В приложении Cloud Contact Администратор перейдите в раздел Настройка контактного центра > Учетные записи интеграции и добавьте новую учетную запись интеграции единого входа. Это общий тип учетной записи единого входа, который Cloud Contact использует для различных интеграций.

Шаг 2. Отредактируйте свойства, используя учетные данные приложения Azure AD.

Вы увидите пустую учетную запись интеграции единого входа:

Свойства

Установите свойства учетной записи, как указано:

• Имя – любое описательное имя, которое удобно идентифицирует учетную запись, например «Интеграция Azure SSO»
• Включить единый вход – установите флажок, чтобы включить единый вход
• Использовать единый вход для входа на портал администратора. Установите флажок, чтобы включить единый вход для пользователей приложения Администратор контактного центра (т. е., «портал администратора»), которым назначена роль администратора.
• URL-адрес единого входа поставщика удостоверений – «URL-адрес входа», взятый из Setup в конфигурации SSO Azure AD SAML (e.g., https://login.microsoftonline.com/1f2b3d04-a056-7dfd-8dbd-d910e111c2a0/saml2)
  

  

• URL-адрес выхода из системы единого входа поставщика удостоверений – используйте URL-адрес:

  https://login.microsoftonline.com/common/oauth2/logout

  Обратите внимание, что это не URL-адрес, взятый из Настройка в конфигурации единого входа SAML Azure AD.

• Издатель поставщика удостоверений — значение поля «Идентификатор (Entity ID)» из раздела основных параметров SAML при настройке Azure AD SAML SSO (например, «<subdomain>_sso»). Идентификатор, заданный в Azure, должен совпадать со значением издателя поставщика удостоверений в настройках Cloud Contact.
  

  

• Сертификат поставщика удостоверений – сертификат Base 64, скачанный из Azure AD. Скопируйте и вставьте все содержимое, включая теги «BEGIN» и «END».
  

  

• Включить синхронную синхронизацию пользователей. Установите флажок, чтобы включить синхронную синхронизацию пользователей (JIT). При JIT-синхронизации пользователей автоматически создаются пользователи колл-центра при первой попытке единого входа, авторизованной поставщиком удостоверений. Если вы включаете JIT, вам также необходимо использовать шаблон (см. следующее свойство).
• Использовать шаблон. Установите этот флажок, чтобы скопировать назначения (e.g

Наконец, нажмите Применить, чтобы сохранить изменения.

На этом настройка единого входа Azure AD завершена.