Настройка SAML SSO

Для каждой организации ClickHouse вам нужно настроить в Okta две интеграции приложений: одно SAML-приложение и одну закладку, в которой будет храниться ваша прямая ссылка.

Создайте группу для управления доступом

1. Войдите в свой экземпляр Okta под учетной записью Administrator.
2. Слева выберите Groups.
3. Нажмите Add group.
4. Введите имя и описание группы. Эта группа будет использоваться, чтобы состав пользователей в SAML-приложении и связанном с ним приложении-закладке оставался одинаковым.
5. Нажмите Save.
6. Нажмите имя созданной группы.
7. Нажмите Assign people, чтобы назначить пользователей, которым вы хотите предоставить доступ к этой организации ClickHouse.

Создайте приложение-закладку, чтобы пользователи могли входить без лишних действий

1. Слева выберите Applications, затем подраздел Applications.
2. Нажмите Browse App Catalog.
3. Найдите и выберите Bookmark App.
4. Нажмите Add integration.
5. Укажите метку для приложения.
6. Введите URL: https://console.clickhouse.cloud/?connection={organizationid}
7. Перейдите на вкладку Assignments и добавьте созданную выше группу.

Создайте SAML-приложение, чтобы настроить подключение

1. Слева выберите Applications, затем подраздел Applications.

2. Нажмите Create App Integration.

3. Выберите SAML 2.0 и нажмите Next.

4. Введите имя приложения, установите флажок рядом с Don't display application icon to users, затем нажмите Next.

5. Используйте следующие значения для заполнения экрана настроек SAML.

   Поле	Значение
   Single Sign On URL	Скопируйте Single Sign-On URL из консоли
   Audience URI (SP Entity ID)	Скопируйте Service Provider Entity ID из консоли
   Default RelayState	Оставьте пустым
   Name ID format	Unspecified
   Application username	Email
   Update application username on	Create and update

6. Введите следующий Attribute Statement.

   Name	Name format	Value
   email	Basic	user.email

7. Нажмите Next.

8. Введите запрошенную информацию на экране Feedback и нажмите Finish.

9. Перейдите на вкладку Assignments и добавьте созданную выше группу.

10. На вкладке Sign On для нового приложения нажмите кнопку Copy metadata URL.

11. Вернитесь к разделу Добавить metadata URL в конфигурацию SAML, чтобы продолжить процесс.

Для каждой организации нужно настроить отдельное SAML-приложение в Google и, если используется multi-org SSO, предоставить пользователям прямую ссылку (https://console.clickhouse.cloud/?connection={organizationId}), чтобы они добавили её в закладки.

Создайте веб-приложение в Google

1. Перейдите в консоль администратора Google (admin.google.com).

   

2. Нажмите Apps, затем слева выберите Web and mobile apps.

3. В верхнем меню нажмите Add app, затем выберите Add custom SAML app.

4. Введите имя приложения и нажмите Continue.

5. Скопируйте metadata URL и сохраните его в удобном месте.

6. Введите указанные ниже ACS URL и Entity ID.

   Поле	Значение
   ACS URL	Скопируйте Single Sign-On URL из консоли
   Entity ID	Скопируйте Service Provider Entity ID из консоли

7. Установите флажок Signed response.

8. Выберите EMAIL в качестве формата Name ID Format и оставьте Name ID равным Basic Information > Primary email.

9. Нажмите Continue.

10. Укажите следующее сопоставление атрибутов:

    Поле	Значение
    Basic information	Primary email
    App attributes	email

11. Нажмите Finish.

12. Чтобы включить приложение, нажмите OFF для всех и измените значение на ON для всех. Также можно ограничить доступ для групп или организационных единиц, выбрав соответствующие параметры в левой части экрана.

13. Вернитесь к разделу Добавить metadata URL в конфигурацию SAML, чтобы продолжить.

Azure (Microsoft) SAML также может называться Azure Active Directory (AD) или Microsoft Entra.

Создание корпоративного приложения Azure

Вам нужно настроить одну интеграцию приложения с отдельным URL входа для каждой организации.

1. Войдите в центр администрирования Microsoft Entra.

2. Перейдите в раздел Applications > Enterprise applications слева.

3. Нажмите New application в верхнем меню.

4. Нажмите Create your own application в верхнем меню.

5. Введите имя и выберите Integrate any other application you don't find in the gallery (Non-gallery), затем нажмите Create.

   

6. Нажмите Users and groups слева и назначьте пользователей.

7. Нажмите Single sign-on слева.

8. Нажмите SAML.

9. Используйте следующие настройки, чтобы заполнить поля на экране Basic SAML Configuration.

   Field	Value
   Идентификатор (Entity ID)	Скопируйте Service Provider Entity ID из консоли
   URL ответа (Assertion Consumer Service URL)	Скопируйте Single Sign-On URL из консоли
   URL входа	https://console.clickhouse.cloud/?connection={organizationid}
   Relay State	Оставьте пустым
   URL выхода	Оставьте пустым

10. Добавьте (A) или обновите (U) следующие значения в разделе Attributes & Claims:

    Claim name	Format	Source attribute
    (U) Unique User Identifier (Name ID)	Email address	user.mail
    (A) email	Basic	user.mail
    (U) /identity/claims/name	Omitted	user.mail

    

11. Скопируйте metadata URL и вернитесь к разделу Добавить metadata URL в конфигурацию SAML, чтобы продолжить.

Создайте универсального поставщика услуг SAML для Duo

1. Следуйте инструкциям в Duo Single Sign-On for Generic SAML Service Providers.

2. Используйте следующее сопоставление атрибутов Bridge:

   Атрибут Bridge	Атрибут ClickHouse
   Адрес электронной почты	email

3. Используйте следующие значения, чтобы обновить приложение Cloud в Duo:

   Поле	Значение
   Entity ID	Скопируйте Service Provider Entity ID из консоли
   Assertion Consumer Service (ACS) URL	Скопируйте Single Sign-On URL из консоли
   Service Provider Login URL	https://console.clickhouse.cloud/?connection={organizationid}

4. Скопируйте metadata URL и вернитесь к Добавить metadata URL в конфигурацию SAML, чтобы продолжить процесс.