[Документация Yandex Cloud](../../../index.md) > [Практические руководства](../../index.md) > [Безопасность](../index.md) > Настройка единого входа в приложения (SSO) > МТС Линк

# Создать SAML-приложение в Yandex Identity Hub для интеграции с МТС Линк


{% note warning %}

Часть ресурсов, необходимых для прохождения практического руководства, доступны только в [регионе Россия](../../../overview/concepts/region.md).

{% endnote %}


[МТС Линк](https://mts-link.ru/) — платформа для онлайн-встреч, вебинаров и обучения. Вы можете настроить единый вход в МТС Линк по стандарту SAML: Yandex Identity Hub будет выступать поставщиком удостоверений (IdP), а МТС Линк — поставщиком услуг (SP).

Чтобы пользователи вашей [организации](*organization) могли входить в МТС Линк с помощью учетных записей Yandex Identity Hub:

1. [Перед началом работы](#before-you-begin).
1. [Создайте SAML-приложение](#create-app).
1. [Настройте поставщика удостоверений в МТС Линк](#setup-sp).
1. [Настройте приложение в Yandex Identity Hub](#setup-idp).
1. [Добавьте пользователей в приложение](#add-users).
1. [Подтвердите домен и включите SSO в МТС Линк](#enable-sso).
1. [Проверьте единый вход](#validate).

## Перед началом работы {#before-you-begin}

Для настройки интеграции вам понадобятся:

* Организация в Yandex Identity Hub. Если у вас еще нет организации, [создайте ее](../../../organization/operations/enable-org.md).
* Учетная запись с доступом к настройкам SSO организации в МТС Линк.
* Домен электронной почты вашей организации, который вы сможете подтвердить в МТС Линк.
* Тестовый пользователь в Yandex Identity Hub с адресом электронной почты в этом домене. Если в организации нет подходящего пользователя, [добавьте его](../../../organization/operations/add-account.md). Проверьте, что в профиле пользователя заполнены адрес электронной почты, имя и фамилия.

Управлять SAML-приложениями может пользователь, которому назначена [роль](../../../organization/security/index.md#organization-manager-samlApplications-admin) `organization-manager.samlApplications.admin` или выше.

## Создайте SAML-приложение {#create-app}

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

    1. Войдите в сервис [Yandex Identity Hub](https://kz.center.yandex.cloud/organization) и выберите нужную организацию.
    1. На панели слева выберите ![shapes-4](../../../_assets/console-icons/shapes-4.svg) **Приложения**.
    1. Нажмите ![circles-3-plus](../../../_assets/console-icons/circles-3-plus.svg) **Создать приложение**.
    1. Выберите метод единого входа **SAML (Security Assertion Markup Language)**.
    1. В поле **Имя** задайте имя приложения: `mts-link-saml`.
    1. Нажмите **Создать приложение**.
    1. На странице созданного приложения в блоке **Конфигурация поставщика удостоверений (IdP)** скопируйте и сохраните значения полей:

        * **Issuer / IdP EntityID**;
        * **Login URL**;
        * **Logout URL**.

    1. В блоке **Сертификат приложения** нажмите **Скачать сертификат**.

{% endlist %}

Сохраненные значения и сертификат понадобятся на следующем шаге — при настройке поставщика удостоверений в МТС Линк.

## Настройте поставщика удостоверений в МТС Линк {#setup-sp}

1. Войдите в МТС Линк с учетной записью, у которой есть доступ к настройкам SSO организации.
1. Откройте раздел **Настройки SSO** в настройках организации МТС Линк. Если организация размещена на отдельном поддомене, откройте адрес `https://<поддомен_организации>.mts-link.ru/business/sso-settings`, в остальных случаях — `https://my.mts-link.ru/business/sso-settings`.
1. В блоке **Выбор протокола и настройки провайдера идентификации** выберите:

    * **Протокол** — **SAML**.
    * **SSO провайдер** — **Active Directory**. Этот вариант используется для настройки интеграции с Yandex Identity Hub.

1. Заполните поля значениями, которые вы сохранили при [создании SAML-приложения](#create-app):

    #|
    || **Поле в МТС Линк** | **Значение из Yandex Identity Hub** ||
    || Идентификатор объекта (Identity Provider (IdP) Entity ID) | Issuer / IdP EntityID ||
    || URL Системы единого входа (Sign-in page URL) | Login URL ||
    || URL Системы единого выхода (Sign-out page URL) | Logout URL ||
    || Сертификат (Identity provider certificate) | Полное содержимое скачанного сертификата, включая строки `-----BEGIN CERTIFICATE-----` и `-----END CERTIFICATE-----` ||
    |#

1. Сохраните настройки. В блоке **Введите эти данные в провайдер SSO** появятся параметры МТС Линк. Скопируйте и сохраните значения:

    * **Идентификатор объекта (Entity ID)**;
    * **URL ACS**;
    * **URL SLS**.

Скопируйте значения целиком, включая все параметры URL. Они понадобятся на следующем шаге.

## Настройте приложение в Yandex Identity Hub {#setup-idp}

### Укажите параметры поставщика услуг {#setup-sp-settings}

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

    1. В [Yandex Identity Hub](https://kz.center.yandex.cloud/organization) откройте раздел **Приложения** и выберите приложение `mts-link-saml`.
    1. Справа сверху нажмите ![pencil](../../../_assets/console-icons/pencil.svg) **Редактировать**.
    1. В блоке **Конфигурация поставщика услуг (SP)** укажите значения, скопированные из МТС Линк:

        #|
        || **Поле в Yandex Identity Hub** | **Значение из МТС Линк** ||
        || SP EntityID | Идентификатор объекта (Entity ID) ||
        || ACS URL | URL ACS ||
        || SP Logout URL | URL SLS ||
        |#

    1. В поле **Режим подписи** выберите **Assertions and Response**.

        {% note warning %}

        Для интеграции с МТС Линк необходимо подписывать и SAML-ответ, и содержащиеся в нем утверждения. Используйте режим **Assertions and Response**.

        {% endnote %}

    1. В этой интеграции оставьте выключенными опции **Принимать только подписанные запросы** и **Шифровать assertion в ответе**.
    1. Нажмите **Сохранить**.

{% endlist %}

### Настройте атрибуты пользователей {#setup-attributes}

МТС Линк получает данные пользователя из [атрибутов SAML](../../../organization/concepts/applications/saml.md#saml-attributes). Настройте их в приложении:

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

    1. На странице приложения `mts-link-saml` перейдите на вкладку **Атрибуты**.
    1. Приведите атрибуты к следующему виду:

        #|
        || **Атрибут** | **Значение** ||
        || `NameID` (обязательный) | `SubjectClaims.preferred_username` ||
        || `fullname` | `SubjectClaims.name` ||
        || `emailAddress` | `SubjectClaims.email` ||
        || `firstName` | `SubjectClaims.given_name` ||
        || `secondName` | `SubjectClaims.family_name` ||
        |#

        Чтобы изменить существующий атрибут, нажмите на строку с атрибутом, укажите имя и значение из таблицы и нажмите **Обновить**. Имя обязательного атрибута `NameID` менять не нужно.

        Чтобы добавить отсутствующий атрибут, нажмите **Добавить атрибут**, заполните поля **Имя атрибута** и **Значение**, затем нажмите **Добавить**.

{% endlist %}

Соблюдайте регистр в именах атрибутов. Если в приложении уже есть атрибут `emailaddress`, переименуйте его в `emailAddress`. Атрибут `secondName` должен передавать фамилию пользователя, а не отчество.

## Добавьте пользователей в приложение {#add-users}

Чтобы разрешить пользователям вход в МТС Линк, явно добавьте их или их [группы](../../../organization/concepts/groups.md) в SAML-приложение.

{% note info %}

Управлять пользователями и группами, добавленными в SAML-приложение, может пользователь, которому назначена [роль](../../../organization/security/index.md#organization-manager-samlApplications-userAdmin) `organization-manager.samlApplications.userAdmin` или выше.

{% endnote %}

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

    1. На странице приложения `mts-link-saml` перейдите на вкладку **Пользователи и группы**.
    1. Нажмите ![person-plus](../../../_assets/console-icons/person-plus.svg) **Добавить пользователей**.
    1. Выберите нужных пользователей или группы. Для проверки добавьте тестового пользователя.
    1. Нажмите **Добавить**.

{% endlist %}

## Подтвердите домен и включите SSO в МТС Линк {#enable-sso}

1. Вернитесь в раздел **Настройки SSO** в МТС Линк. На странице с параметрами поставщика услуг нажмите **Далее**.
1. В блоке **Укажите домен электронной почты** введите домен корпоративной почты пользователей и нажмите **Добавить**.
1. Подтвердите домен по инструкции МТС Линк. Убедитесь, что рядом с доменом появился статус **Подтвержден**.
1. Включите опцию **Использовать SSO для входа в личный кабинет**.

    При первом входе через SSO МТС Линк автоматически зарегистрирует сотрудника, добавит его в организацию и подключит к тарифному плану компании.

1. При необходимости включите дополнительные ограничения:

    * **Регистрировать пользователей с подтвержденными доменами моей организации только через SSO** — чтобы пользователи с такими доменами регистрировались только через единый вход.
    * **Использовать SSO для ограничения доступа к курсам и вебинарам для всех аккаунтов организации** — чтобы вход на курсы и вебинары организации был доступен только через SSO.

    {% note tip %}

    Включайте дополнительные ограничения после [проверки единого входа](#validate) тестовым пользователем, чтобы ошибка в настройках не помешала работе сотрудников.

    {% endnote %}

## Проверьте единый вход {#validate}

1. Перейдите на страницу входа в МТС Линк: `https://my.mts-link.ru/` или на страницу вашей организации на поддомене. Если вы уже вошли в МТС Линк, выйдите из профиля.
1. Для входа укажите адрес электронной почты тестового пользователя с подтвержденным доменом.
1. Убедитесь, что МТС Линк перенаправил вас на страницу аутентификации Yandex Identity Hub.
1. Пройдите аутентификацию под учетной записью тестового пользователя, которого вы добавили в SAML-приложение.
1. Убедитесь, что после аутентификации вы вернулись в МТС Линк и получили доступ к личному кабинету нужной организации. Проверьте имя, фамилию и адрес электронной почты в профиле.

Если вход не работает, проверьте, что:

* Домен почты подтвержден в МТС Линк, а опция входа в личный кабинет через SSO включена.
* Пользователь или его группа добавлены в SAML-приложение.
* Параметры поставщика услуг и поставщика удостоверений скопированы без изменений, а сертификат соответствует созданному приложению.
* Выбран режим подписи **Assertions and Response**.
* Имена и значения атрибутов совпадают с [таблицей](#setup-attributes), а в профиле пользователя заполнен адрес электронной почты.

#### Полезные ссылки {#see-also}

* [SAML-приложения](../../../organization/concepts/applications/saml.md)
* [Изменить SAML-приложение в Yandex Identity Hub](../../../organization/operations/applications/saml-update.md)
* [Инструкция по настройке SSO через Azure AD на сайте МТС Линк](https://help.mts-link.ru/article/19520)

[*organization]: _Организация_ — это высший ресурс в иерархии ресурсной модели Yandex Cloud, который объединяет ресурсы всех остальных сервисов, а также используется для управления пользователями и параметрами их аутентификации и авторизации. Подробнее читайте в разделе [Организация](../../../organization/concepts/organization.md).