[Документация Yandex Cloud](../../../../index.md) > [Практические руководства](../../../index.md) > [Безопасность](../../index.md) > Настройка единого входа в приложения (SSO) > Cloud.ru > SAML

# Создать SAML-приложение в Yandex Identity Hub для интеграции с Cloud.ru

[Cloud.ru](https://cloud.ru/) — российский провайдер облачных услуг, предоставляющий IaaS- и PaaS-сервисы, инструменты для AI/ML-разработки, а также решения для публичных, частных и гибридных облаков с поддержкой миграции и эксплуатации ИТ-инфраструктуры.

Чтобы пользователи вашей [организации](../../../../organization/concepts/organization.md) могли аутентифицироваться в Cloud.ru с помощью технологии единого входа по стандарту [SAML](https://ru.wikipedia.org/wiki/SAML), создайте [SAML-приложение](../../../../organization/concepts/applications/saml.md) в Yandex Identity Hub и настройте его на стороне Yandex Identity Hub и на стороне Cloud.ru.

Управлять SAML-приложениями может пользователь, которому назначена [роль](../../../../organization/security/index.md#organization-manager-samlApplications-admin) `organization-manager.samlApplications.admin` или выше.

Чтобы дать доступ пользователям вашей организации в Cloud.ru:

1. [Создайте приложение](#create-app).
1. [Настройте интеграцию](#setup-integration).
1. [Убедитесь в корректной работе приложения](#validate).

## Создайте приложение {#create-app}

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

    1. Войдите в сервис [Yandex Identity Hub](https://kz.center.yandex.cloud/organization).
    1. На панели слева выберите ![shapes-4](../../../../_assets/console-icons/shapes-4.svg) **Приложения**.
    1. В правом верхнем углу страницы нажмите ![Circles3Plus](../../../../_assets/console-icons/circles-3-plus.svg) **Создать приложение** и в открывшемся окне:
        1. Выберите метод единого входа **SAML (Security Assertion Markup Language)**.
        1. В поле **Имя** задайте имя создаваемого приложения: `cloud-ru-saml-app`.

        1. (Опционально) В поле **Описание** задайте описание приложения.
        1. (Опционально) Добавьте [метки](../../../../resource-manager/concepts/labels.md):

            1. Нажмите **Добавить метку**.
            1. Введите метку в формате `ключ: значение`.
            1. Нажмите **Enter**.
        1. Нажмите **Создать приложение**.

{% endlist %}

## Настройте интеграцию {#setup-integration}

Чтобы настроить интеграцию Cloud.ru с созданным SAML-приложением в Yandex Identity Hub, выполните настройки на стороне Cloud.ru и на стороне Yandex Identity Hub.

### Настройте SAML-приложение на стороне Cloud.ru {#setup-sp}

1. Получите метаданные для [созданного ранее приложения](#create-app):

    1. Войдите в сервис [Yandex Identity Hub](https://kz.center.yandex.cloud/organization).
    1. На панели слева выберите ![shapes-4](../../../../_assets/console-icons/shapes-4.svg) **Приложения** и выберите нужное SAML-приложение.
    1. На вкладке **Обзор** в блоке **Конфигурация поставщика удостоверений (IdP)** нажмите кнопку **Скачать файл с метаданными**.

      Скачанный [XML](https://ru.wikipedia.org/wiki/XML)-файл содержит необходимые метаданные и сертификат, который используется для проверки подписи SAML-ответов.

1. Настройте SAML-аутентификацию для Cloud.ru.

    1. Войдите в [консоль](https://console.cloud.ru/) Cloud.ru.
    1. Перейдите в раздел **Администрирование**, на вкладку **Федерации**.
    1. Нажмите **Создать федерацию** и выберите тип протокола **SAML**.
    1. Загрузите XML-файл метаданных, который вы получили в Yandex Identity Hub на предыдущем шаге.
    1. Заполните название и описание федерации.
    1. Задайте длительность сессии.
        
        {% note info %}

        Максимальное время жизни сессии SSO — от 30 минут до 7 дней. При отсутствии активности сессия автоматически завершается, после чего требуется повторная аутентификация.
        
        {% endnote %}
    
    1. Проверьте параметры раздела **Single Logout Service**, они должны загрузиться из XML-файла метаданных. Для параметра **Default URL Binding** укажите значение `Post`.
    1. Проверьте параметры раздела **Single Sign-On Service**, они должны загрузиться из XML-файла метаданных. Для параметра **Default URL Binding** укажите значение `Redirect`.
    1. Убедитесь, что сертификат подписи загрузился из XML-файла метаданных и имеет тип `Signing`.
    1. Нажмите на кнопку **Создать**.
    1. Скачайте предоставленный XML‑файл с метаданными Cloud.ru — они необходимы для завершения настройки в Yandex Identity Hub.
    1. Нажмите на кнопку **Готово**.
    1. В списке федераций найдите созданную федерацию и скопируйте её ID. Сохраните этот идентификатор — он понадобится в дальнейшем.

### Настройте SAML-приложение на стороне Yandex Identity Hub {#setup-idp}

#### Настройте эндпоинты поставщика услуг {#sp-endpoints}

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

    1. Войдите в сервис [Yandex Identity Hub](https://kz.center.yandex.cloud/organization).
    1. На панели слева выберите ![shapes-4](../../../../_assets/console-icons/shapes-4.svg) **Приложения** и выберите нужное SAML-приложение.
    1. Справа сверху нажмите ![pencil](../../../../_assets/console-icons/pencil.svg) **Редактировать** и в открывшемся окне:  
        1. В поле **SP EntityID** укажите значение атрибута `entityID` элемента `EntityDescriptor` из XML‑файла с метаданными Cloud.ru.
        1. В поле **ACS URL** укажите значение атрибута `Location` элемента `AssertionConsumerService` из XML‑файла с метаданными Cloud.ru.
        1. Нажмите **Сохранить**.

{% endlist %}

### Добавьте пользователей {#add-users}

Чтобы пользователи вашей организации могли аутентифицироваться в Cloud.ru с помощью SAML‑приложения Yandex Identity Hub, необходимо явно добавить их учётные записи как в само приложение, так и в федерацию Cloud.ru.

{% note info %}

Управлять пользователями и группами, добавленными в SAML-приложение, может пользователь, которому назначена [роль](../../../../organization/security/index.md#organization-manager-samlApplications-userAdmin) `organization-manager.samlApplications.userAdmin` или выше.

{% endnote %}

#### Добавьте пользователей в SAML-приложение Yandex Identity Hub {#add-app-users}

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

    1. Войдите в сервис [Yandex Identity Hub](https://kz.center.yandex.cloud/organization).
    1. На панели слева выберите ![shapes-4](../../../../_assets/console-icons/shapes-4.svg) **Приложения** и выберите нужное приложение.
    1. Перейдите на вкладку **Пользователи и группы**.
    1. Нажмите ![person-plus](../../../../_assets/console-icons/person-plus.svg) **Добавить пользователей**.
    1. В открывшемся окне выберите требуемого пользователя.
    1. Нажмите **Добавить**.

{% endlist %}

{% note tip %}

Если вы хотите более тонко настроить аутентификацию пользователей в приложениях, в том числе разрешить аутентификацию только с определенных IP-адресов, используйте [политики аутентификации](*authentication_policies).

{% endnote %}

[*authentication_policies]: Политики аутентификации — это инструмент Yandex Identity Hub, позволяющий гибко настраивать доступ к приложениям, запрещая или разрешая аутентификацию определенным пользователям в определенных приложениях и/или с определенных IP-адресов. Подробнее читайте в разделе [Политики аутентификации в Yandex Identity Hub](../../../../organization/concepts/authentication-policy.md).

#### Добавьте пользователей в федерацию Cloud.ru {#add-cloudru-users}

1. Войдите в [консоль](https://console.cloud.ru/) Cloud.ru.
1. Откройте раздел **Пользователи** и перейдите на вкладку **Федеративные пользователи**.
1. В правом верхнем углу нажмите **Добавить пользователя федерации**.
1. Выберите федерацию, в которую нужно включить пользователя.
1. Укажите email пользователя.
1. Выдайте пользователю необходимые права доступа к проектам и платформам.
1. Нажмите **Добавить**.

## Убедитесь в корректной работе приложения {#validate}

Чтобы проверить корректность работы SAML‑приложения и его интеграцию с Cloud.ru, выполните аутентификацию в Cloud.ru под учётной записью одного из пользователей, добавленных в приложение.

Для этого:

1. В браузере откройте страницу входа в [консоль](https://console.cloud.ru/) Cloud.ru.
1. Если вы были авторизованы, выйдите из профиля.
1. На форме входа нажмите кнопку **SSO**.
1. В появившемся диалоге введите ID созданной вами федерации и нажмите **Войти**.
1. На странице аутентификации Yandex Cloud укажите адрес электронной почты и пароль пользователя.
1. Убедитесь, что вы успешно аутентифицировались в Cloud.ru.