Перейти к основному контенту

Корпоративный вход: выбор способов аутентификации

Настройте корпоративный вход так, чтобы сотрудник использовал одну учётную запись с одинаковыми группами и правами в веб-интерфейсе и почтовой программе. Для этого логин, передаваемый через разные способы входа, должен совпадать с логином сотрудника в Клавдии.

Выберите способ входа

Способ Что вводит сотрудник Где проверяются учётные данные
Пароль домена логин вида ivanov@corp.example.ru и пароль домена в AD/LDAP
RADIUS: альтернативный пароль тот же логин и пароль RADIUS в RADIUS; при отказе тот же пароль проверяется в AD/LDAP
RADIUS: второй фактор пароль домена, затем код RADIUS сначала в AD/LDAP, затем в RADIUS
Единый вход SAML нажимает [Войти через корпоративный SSO] (!), затем входит на странице поставщика удостоверений у поставщика удостоверений (IdP)
Почтовая программа по IMAP тот же доменный логин и пароль домена в AD/LDAP; при режиме RADIUS [Второй фактор] вход сотрудников каталога по IMAP закрыт

В обычном режиме пароль проверяется последовательно: локальная учётная запись Клавдия → RADIUS → AD/LDAP. Режим RADIUS [Второй фактор] меняет эту схему для сотрудников каталога: после пароля домена обязательно требуется код RADIUS. Один пароль RADIUS вместо пароля домена в этом режиме не подходит.

Регистр букв в логине не учитывается. Логин без домена не передаётся в AD/LDAP: он используется для локальных учётных записей, например admin, и пользователей RADIUS.

Подготовьте одну учётную запись сотрудника

  1. Подключите {{ССЫЛКА:install.ldap-connect|AD/LDAP}}LDAP и выполните {{ССЫЛКА:install.ldap-sync|синхронизацию пользователей и групп}}. Учётная запись также может создаваться при первом успешном входе паролем домена.
  2. Проверьте логин, отображаемое имя, адрес почты и группы сотрудника. Для AD/LDAP имя и пароль задаёт каталог организации.
  3. Если используете SAML, настройте передачу NameID, совпадающего с логином. Для сотрудника AD используйте userPrincipalName (UPN), например ivanov@corp.example.ru.
  4. Настройте {{ССЫЛКА:install.rbac|правила доступа}}. Для сценария «каждый видит свой ящик» сопоставьте группу каталога и ящик с почтовым адресом сотрудника из каталога.
  5. При необходимости подключите {{ССЫЛКА:install.radius|RADIUS}}RADIUS или {{ССЫЛКА:install.saml|SAML / SSO}}SSO.

Если NameID не совпадает с существующим логином, вход через SAML создаёт другую учётную запись. Права, выданные сотруднику из AD, на неё не распространяются.

Определите, где нужен второй фактор

Вход Кто проверяет второй фактор
Паролем Клавдия, домена или RADIUS в режиме альтернативного пароля Клавдий, если пользователь включил TOTP в профиле
Паролем домена при режиме RADIUS [Второй фактор] RADIUS; TOTP из профиля при этом входе не запрашивается
Через SAML IdP; Клавдий дополнительный код не запрашивает
По IMAP код из профиля не запрашивается; при режиме RADIUS [Второй фактор] вход сотрудников каталога закрыт

Пользователь включает TOTP на странице [Профиль]. Порядок действий: {{ССЫЛКА:user.mfa|Включение и смена двухфакторной аутентификации}}. Локальные учётные записи входят со своим паролем и требуют отдельного решения о защите вторым фактором.

Проверьте результат

  1. Войдите тестовым сотрудником паролем домена и проверьте доступные ящики.
  2. Выйдите и войдите через каждый настроенный альтернативный способ. Должна открываться та же учётная запись с теми же группами и правами.
  3. Для SAML начинайте вход кнопкой на странице Клавдия. Вход, начатый на портале IdP, не поддерживается. Часы IdP и узлов Клавдия должны расходиться не более чем на 3 минуты.
  4. Если IMAP разрешён выбранной схемой, подключитесь почтовой программой. Ящик должен отображаться как klvd-<адрес ящика>, например klvd-ivanov@corp.example.ru/Inbox.
  5. Убедитесь, что сотруднику недоступны чужие ящики, если правила разрешают только собственный.

{{СКРИНШОТ}}

Если способы входа ведут в разные учётные записи

Сопоставьте логин сотрудника в Клавдии, имя пользователя RADIUS и NameID в ответе SAML. Исправьте настройку источника входа, затем повторите проверку. Создание новой учётной записи само по себе не выдаёт ей права на архив.

Связанные материалы

Навигация по книге

Наверх