# SAML с Okta ## Настройка параметров SAML в Окте | GlarusBI SAML | Okta SAML | | ---------------------------------------------- | ------------------------------------------------------------ | | URL-адрес, на который IdP должен перенаправить | URL-адрес единого входа. Это ваша GlarusBI [URL-адрес сайта] [site-url] — она должна начинаться с `https://` и заканчиваться на `/auth/sso/`. | | SAML наименование приложения | URI аудитории (идентификатор объекта SP) | ### Установка операторов атрибутов GlarusBI нужно, чтобы вы установили имя (имя), фамилию (фамилию) и атрибуты адреса электронной почты в Okta. Эти атрибуты будут переданы из Okta в GlarusBI во время аутентификации, чтобы автоматически регистрировать людей в их учетных записях в GlarusBI. Заполните раздел **Атрибуты (необязательно)** в Okta, используя информацию из **атрибутов SAML** вашей GlarusBI (находится в разделе **Панель администратора** > **Аутентификация** > **SAML**). | Название | Значение | | -------------------------------------------------------------------- | -------------- | | `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname` | user.firstName | | `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress` | user.email | | `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname` | user.lastName | **Конечные пользователи не должны иметь возможности редактировать атрибут адреса электронной почты**. Ваш IdP будет передавать атрибут адреса электронной почты в GlarusBI, чтобы люди могли входить в свои учетные записи в GlarusBI (или создавать учетную запись при первом входе в систему). Если человек может изменить атрибут адреса электронной почты, он потенциально сможет получить доступ к учетным записям GlarusBI, отличным от их собственных. ### Пример утверждения Okta Вы можете нажать **Предварительный просмотр утверждения SAML**, чтобы просмотреть XML-файл, сгенерированный Okta. Это должно выглядеть примерно так: ``` http://www.okta.com/Issuer userName my-metabase-app urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport Cam Saul cam@metabase.com ``` ## Управление сертификатами подписи в Okta В консоли администратора Okta выберите **Настройка SAML** > **Просмотреть инструкции по настройке SAML**. Введите следующую информацию в форму SAML GlarusBI (**Панель администратора** > **Аутентификация** > **SAML**): | GlarusBI SAML | Okta SAML | | ----------------------------------- | -------------------------------------- | | SAML Identity Provider URL | Identity Provider Single Sign-On URL | | SAML Identity Provider Certificate | X.509 Certificate | | SAML Identity Provider Issuer | Identity Provider Issuer | Дополнительные сведения см. в разделе [Включение аутентификации SAML в GlarusBI][включение-самла-в-GlarusBI]. ## Настройка сопоставления групп ### Пример сопоставления одной группы с GlarusBI Допустим, вы создали атрибут профиля пользователя с именем `metabaseGroups`. После того, как вы создали свой атрибут `metabaseGroups`, вам нужно будет обновить его для каждого пользователя, которого необходимо автоматически добавить в группу GlarusBI. Для простоты использования мы рекомендуем использовать те же имена для групп, которые вы использовали бы в GlarusBI. После этого вам нужно будет добавить дополнительный атрибут SAML к тем, которые мы добавили выше. ![Атрибут группы](images/saml-group-attribute.png) ### Пример сопоставления нескольких групп с GlarusBI Если вы хотите использовать группы пользователей Okta, вы можете [создать `Выражение атрибута`][okta-create-attribute-statement] с `Именем` `metabaseGroups` и `Значением` выражения языка Okta, например, как `getFilteredGroups({"groupId1", "groupId2"}, "group.name", 100)`. Это выражение вернет список строк, содержащих имена групп пользователей, частью которых является пользователь, вошедший в систему. Идентификаторы групп в `{"groupId1", "groupId2"}` – это группы, которые вы хотите сопоставить в GlarusBI. ## Устранение неполадок с SAML Чтобы узнать о распространенных проблемах, перейдите к [Устранение неполадок SAML][troubleshooting-saml]. [enabling-saml-in-metabase]: ./authenticating-with-saml.md#enabling-saml-authentication-in-metabase [okta-saml-docs]: https://help.okta.com/en-us/Content/Topics/Apps/Apps_App_Integration_Wizard_SAML.htm [okta-create-attribute-statement]: https://support.okta.com/help/s/article/How-to-define-and-configure-a-custom-SAML-attribute-statement [saml-doc]: ./authenticating-with-saml.md [site-url]: ../configuring-metabase/settings.md#site-url [troubleshooting-saml]: ../troubleshooting-guide/saml.md