# Подключение приложений Подробные инструкции  по подключению приложений к Blitz Identity Provider # 1C **1С** () — это группа программ для автоматизации бизнес-процессов. Подключение 1С к Blitz Identity Provider выполняется по протоколу _OpenID Connect_ и состоит из двух этапов: * Этап 1. Настройки на стороне 1С * Этап 2. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что 1С расположен на домене https://1c.company.com, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне 1C Выполните следующие действия: 1. Откройте для редактирования конфигурационный файл 1С: ``default.vrd``. **Отредактируйте** следующий блок: * **name** - укажите название *Сервиса аутентификации*. Например, ``blitz``. * **title** - укажите название *Сервиса аутентификации*, понятное пользователям. Название будет отображаться на кнопке страницы аутентификации. Например, ``Blitz``. * **discovery** - укажите URL для протокола конфигурации. Например, ``https://login.company.com/blitz/.well-known/openid-configuration``. * **authorization_endpoint**: укажите URL для авторизации. Например, ``https://login.company.com/blitz/oauth/ae``. * **userinfo_endpoint**: укажите URL сервиса получения данных пользователя. Например, ``https://login.company.com/blitz/oauth/me``. * **token_endpoint**: укажите URL для получения маркера доступа. Например, ``https://login.company.com/blitz/oauth/te``. * **issuer**: укажите URL поставщика аутентификации. Например, ``https://login.company.com/blitz``. * **jwks_uri**: укажите URL ``https://login.company.com/blitz/.well-known/jwks``. * **authority**: укажите URL авторизации ``https://login.company.com/blitz/oauth``. * **client_id**: укажите уникальное название для идентификации приложения. Например, ``1C``. * **client_secret**: задайте секретный ключ для безопасной аутентификации приложения. * **redirect_uri**: укажите URL, на который пользователь будет перенаправлен после успешного входа в систему. Например, ``http://1c.company.com/Integr_planet_ERP/authform.html``. * **response_type**: укажите тип ответа ``token id_token``. * **scope**: укажите необходимые разрешения для получения данных. Например, стандартный scope ``profile``. * **filterProtocolClaims**: укажите значение ``false``. * **loadUserInfo**: укажите значение ``false``. ``` true ``` 2. **Сохраните** файл. ### Этап 2. Настройки на стороне Blitz Identity Provider В консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения** и выполните следующие действия: 1. **Создайте** новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: аналогичный client_id, который был прописан в default.vrd. * **Название**: имя приложения 1C, которое будет отображаться на стороне Blitz IDP. * **Домен**: ``https://1c.company.com``

2. Нажмите **Сохранить**. 3. Далее нажмите кнопку **Параметры** у предложения 1C и отредактируйте параметры приложения: * **Протоколы**: выберите ``OAuth 2.0`` и нажмите **Сконфигурировать** *Далее в параметрах укажите данные, как в ``default.vrd``:* * **Секрет (client_secret)**: аналогичный client_secret, который был прописан в default.vrd * **Префиксы ссылок возврата**: ``https://1c.company.com`` * **Допустимые разрешения**: ``profile`` ``openid``

4. Нажмите **Сохранить**.
Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в 1C: https://1c.company.com

# Пачка **Пачка** ([https://pachca.com](https://pachca.com)) — это корпоративный мессенджер для работы и бизнеса. Подключение Пачки к Blitz Identity Provider выполняется по протоколу **[OAuth 2.0](https://docs.identityblitz.ru/5.31/admin-guide/app-reg-oauth.html)** и состоит из настройки на стороне Blitz Identity Provider и передачи параметров в команду поддержки Пачки.
Важно:
В инструкции для примера указано, что Пачка расположена на домене https://auth.pachca.com, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.
### Настройки на стороне Blitz Identity Provider В консоли управления **Blitz Identity Provider** перейдите в раздел **Приложения** и выполните следующие действия: 1. **Создайте** новое приложение, задав его базовые настройки: - **Идентификатор (entityID или client\_id)**: `pachca` - **Название**: `Pachca` - **Домен**: `https://auth.pachca.com` [![pachca.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/scaled-1680-/pachca.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/pachca.png) 2. Нажмите **Сохранить**. 3. Далее нажмите на приложение Пачки и перейдите в **Протоколы** и выберите `OAuth 2.0` и нажмите **Сконфигурировать**. Вам будут доступны секретные параметры, которые необходимо сообщить команде поддержки Пачки: `client_id` и `client_secret` 4. Отредактируйте параметры приложения **Префиксы ссылок возврата**: `введите ссылку, которую вам сообщит команда поддержки Пачки` [![redirect_uri.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/scaled-1680-/redirect-uri.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/redirect-uri.png) 4. Нажмите **Сохранить**. 5. Необходимо отправить команде поддержки Пачки ссылку на адрес сервера или сразу OIDC well-known URL. Обычно он имеет вид `<домен_blitz_idp>/blitz/.well-known/openid-configuration`
Совет:
После прохождения всех шагов и завершения настроек со стороны команды поддержки Пачки рекомендуем проверить корректность входа в Пачку: https://app.pachca.com/ (выбрать вариант "Войти через SSO") # Яндекс 360

Яндекс 360 (https://360.yandex.ru) — виртуальное рабочее пространство, которое включает в себя персональные сервисы.

Подключение Яндекс 360 к Blitz Identity Provider выполняется по протоколу SAML и состоит из двух этапов:

Важно:
В инструкции для примера указано, что Blitz IDP установлен на домене https://login.company.com. Уточните ваш адрес перед применением инструкции.

Этап 1. Настройки на стороне Яндекс 360

  1. Откройте Яндекс 360 для Бизнеса: https://admin.yandex.ru/
  2. Перейдите в раздел Общие настройки и выберите Единый вход (SSO).
  3. Нажмите Настроить.
  4. Заполните поля с обязательными параметрами:

 

Скопируйте сертификат и Вставьте его в поле в PEM-формате:

-----BEGIN CERTIFICATE-----
  <значение сертификата>
-----END CERTIFICATE-----
  1. Нажмите Сохранить.

 

Этап 2. Настройки на стороне Blitz Identity Provider

В консоли управления Blitz Identity Provider перейдите в раздел SAML и выполните следующие действия:

  1. Нажмите Добавить новый SAML-атрибут.
  2. Укажите название атрибута и его источник в хранилище. В данном случае источники email given_name family_name. Выберите их из выпадающего списка.
  3. После каждого заполнения свойств атрибутов нажмите Добавить.

 

 

 

Свойства для каждого атрибута

 

Список атрибутов после добавления

  1. Далее добавьте кодировщик для каждого атрибута. Для этого выберите атрибут и нажмите Добавить кодировщик.

 

  1. Для каждого атрибута добавьте кодировщики SAML1String и SAML2String. В зависимости от передаваемого атрибута пользователя кодировщику присваивается название User.EmailAddress, User.Firstname или User.Surname соответственно.
  2. Задайте настройки кодировщика по аналогии с приведенным ниже примером:

 

  1. Нажмите Сохранить после каждого создания кодировщика.
  2. Далее в консоли управления Blitz Identity Provider перейдите в раздел Приложения.
  3. Создайте новое приложение, задав его базовые настройки:

 

  1. Нажмите Сохранить.
  2. Далее нажмите кнопку Параметры у предложения Яндекс360 и отредактируйте параметры приложения:

 

  1. В разделе Атрибуты пользователя настройте передачу в Яндекс 360 атрибутов, созданных на первом этапе SAML-атрибутов.

 

  1. Нажмите Сохранить.
  2. Далее в разделе Метаданные нажмите Изменить. Скопируйте и вставьте следующий код:

 

<?xml version="1.0" encoding="utf-8"?>
<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata"
                     xmlns:ds="http://www.w3.org/2000/09/xmldsig#"
                     entityID="https://yandex.ru/">
    <md:SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol" >

        <md:AssertionConsumerService index="1" isDefault="true"
                                     Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
                                     Location="https://passport.yandex.ru/auth/sso/commit"/>
    </md:SPSSODescriptor>
</md:EntityDescriptor>
  1. Нажмите Сохранить.
Совет:
После прохождения всех шагов рекомендуем проверить корректность входа в Яндекс 360: https://passport.yandex.ru/auth
# Arenadata Catalog **Arenadata Catalog** () — это веб-платформа для организации работы с данными в рамках Data Governance. Подключение Arenadata Catalog к Blitz Identity Provider выполняется по протоколу OAuth 2.0 и состоит из двух этапов: * Этап 1. Настройки на стороне Arenadata Catalog * Этап 2. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что Arenadata Catalog расположен на домене https://adc.company.com, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне Arenadata Catalog Выполните следующие действия: 1. **Откройте** для редактирования конфигурационный файл Arenadata Catalog: ``adc.env`` (например, _/etc/adc/adc.env_). **Отредактируйте** блок *[auth.generic_oauth]* следующим образом: * AUTHORIZER_PRINCIPAL_DOMAIN=adc.org * AUTHENTICATION_PROVIDER=custom-oidc * CUSTOM_OIDC_AUTHENTICATION_PROVIDER_NAME=Blitz * UTHENTICATION_PUBLIC_KEYS=[https://login.company.com/blitz/oauth/.well-known/jwks,http://ADC_SERVER_URL/api/v1/system/config/jwks] * AUTHENTICATION_AUTHORITY=https://login.company.com/blitz/oauth/ * AUTHENTICATION_CLIENT_ID=datacatalog * AUTHENTICATION_CALLBACK_URL=http://adc.company.com/callback 2. **Сохраните** файл.

3. **Перезапустите** ArenaDataCatalog. Пример команд для перезапуска: ``docker-compose -f docker-compose.yml --env-file adc.env down`` ``docker-compose -f docker-compose-keycloak.yml --env-file adc.env up -d`` --- ### Этап 2. Настройки на стороне Blitz Identity Provider 1. В консоли управления *Blitz Identity Provider* перейдите в раздел **OAuth 2.0** и выполните следующие действия: * Перейдите в раздел __Настройки Scopes__ и нажмите __Добавить scope__. * Добавьте разрешение ``preferred_username``, описание к нему и атрибут с приведенным ниже примером:

2. Далее в консоли управления *Blitz Identity Provider* перейдите в раздел __Приложения__ и выполните следующие действия: * **Создайте** новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: ``datacatalog`` * **Название**: ``adc`` * **Домен**: ``http://adc.company.com``

* Нажмите **Сохранить**. * Далее нажмите кнопку **Параметры** у предложения adc и отредактируйте параметры приложения: * __Стартовая страница приложения__: ``https://adc.company.com``. Нажмите __Сохранить__. * **Протоколы**: выберите ``OAuth 2.0`` и нажмите **Сконфигурировать**. В параметрах укажите следующие данные: * **Предопределенная ссылка возврата (redirect_uri)**: ``https://adc.company.com`` * **Префиксы ссылок возврата**: ``https://adc.company.com`` * **Допустимые разрешения**: ``email`` ``openid`` ``profile`` ``sub`` ``preferred_username``

* **Метод аутентификации при обращении к сервису выдачи маркеров**: ``none`` * **Допустимые grant type**: ``implicit`` * **Допустимые response type**: ``code`` ``token`` ``id_token`` * **Время жизни маркера доступа**: ``3000`` * **Режим выдачи маркеров доступа по умолчанию**: ``offline`` * **Формат маркера доступа**: ``jwt``

* Нажмите **Сохранить**.
Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в Arenadata Catalog: https://adc.company.com

# Cisco ASA VPN **Cisco ASA VPN** () - это частная виртуальная сеть с высоким уровнем защиты. Подключение Cisco ASA VPN к Blitz Identity Provider выполняется по протоколу SAML и состоит из двух этапов: * Этап 1. Настройки на стороне Cisco ASA VPN * Этап 2. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что Blitz IDP установлен на домене https://login.company.com, а Cisco ASA расположен на домене https://vpn-gw1.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне Cisco ASA VPN
Примечание:

Только следующие версии Cisco ASA поддерживают SAML: 9.7.1.24, 9.8.2.28, 9.9.2.1 и выше в данных релизах, а также 9.10 и позднее.

1. Для добавления сертификата перейдите на ``https://login.company.com/blitz/saml/profile/Metadata/SAML`` и **Скопируйте** сертификат. 2. В CLI Cisco ASA выполните следующие команды: ``` crypto ca trustpoint Blitz-IDP no ca-check enrollment terminal no id-usage exit crypto ca authenticate Blitz-IDP -----BEGIN CERTIFICATE----- …………………………TEXT SHORTENED………………………… -----END CERTIFICATE----- quit yes ``` 3. Для настройки SAML в CLI Cisco ASA выполните следующие команды: ``` saml idp https://login.company.com/blitz/saml url sign-in https://login.company.com/blitz/saml/profile/SAML2/Redirect/SSO url sign-out https://login.company.com/blitz/saml/profile/SAML2/Redirect/SLO base-url https://vpn-gw1.company.com/ trustpoint idp Blitz-IDP trustpoint sp no signature no force re-authentication clock-skew 15 #Настройка ошибки по времени tunnel-group-list enable tunnel-group-preference group-url cache disable ``` 4. Для настройки AAA сервера только на авторизацию в CLI Cisco ASA выполните следующие команды: ``` aaa-server ISE(Authorization) protocol radius authorize-only aaa-server ISE(Authorization) (inside) host timeout 30 key ***** aaa-server ISE(Authorization) (inside) host key ***** ``` 5. Для настройки туннельной группы в CLI Cisco ASA выполните следующие команды: ``` tunnel-group type remote-access tunnel-group general-attributes address-pool vpn-pool.pmh authentication-server-group ISE(Authorization) authorization-server-group ISE(Authorization) accounting-server-group ISE(Authorization) default-group-policy dhcp-server dhcp-server tunnel-group webvpn-attributes authentication saml group-url https://vpn-gw1.company.com/ enable group-url https:/// enable saml identity-provider ```
Особенность Cisco ASA:

При изменении настроек SAML в Cisco ASA требуется отключить и заново назначить конфигурацию для туннельной группы.

6. В CLI Cisco ASA выполните следующие команды: ``` tunnel-group webvpn-attributes no saml identity-provider saml identity-provider ``` Также возможно выполнить в интерфейсе администратора ASDM: Connection Profile > Basic > смените SAML Identity Provider на “None” > нажмите OK и Apply, вернитесь назад и повторно выберите SAML-server в выпадающем списке и нажмите OK и Apply снова. ### Этап 2. Настройки на стороне Blitz Identity Provider В консоли управления Blitz Identity Provider перейдите в раздел __SAML__ и выполните следующие действия: 1. Нажмите __Добавить новый SAML-атрибут__. 2. Укажите название атрибута и его источник в хранилище. В данном случае источник ``sub``. Выберите его из выпадающего списка. 3. После заполнения свойств атрибута нажмите __Добавить__.

4. Далее добавьте кодировщик для атрибута. Для этого выберите атрибут и нажмите __Добавить кодировщик__. 5. Для атрибута добавьте кодировщики ``SAML1StringNameIdentifier`` и ``SAML2StringNameID``. Каждому кодировщику присваивается название ``NameID``. 6. Задайте настройки кодировщика по аналогии с приведенным ниже примером:

7. Нажмите __Сохранить__ после каждого создания кодировщика. 8. Далее необходимо получить метаданные Cisco ASA. Для этого перейдите по ссылке `https:///saml/sp/metadata/`. 9. В консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения**. 10. Создайте новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: введите значение entityID из метаданных Cisco ASA. * **Название**: укажите название приложения, которое видно только внутри Blitz. Например, ``Cisco ASA``. * **Домен**: ``https://vpn-gw1.company.com/``

11. Нажмите **Сохранить**. 12. Далее нажмите кнопку **Параметры** у предложения Cisco ASA и отредактируйте параметры приложения: * **Протоколы**: выберите ``SAML`` и нажмите **Сконфигурировать** * Выберите **SAML 2.0 Web SSO Profile** и нажмите **Сконфигурировать**. Установите следующие настройки: * **Подписывать утверждения**: ``always`` * **Шифровать утверждения**: ``never`` * **Шифровать идентификаторы (NameIds)**: ``never`` * **Включить передачу SAML-утверждений о пользователе в специальном блоке AttributeStatement**: установить флажок.

13. В разделе **Атрибуты пользователя** настройте передачу в Cisco ASA SAML-атрибута, созданного на первом этапе.

14. Нажмите **Сохранить**. 15. Далее в разделе __Метаданные__ нажмите __Изменить__. Скопируйте и вставьте метаданные Cisco ASA из пункта 9. 16. Нажмите **Сохранить**.

Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в Cisco ASA: https://vpn-gw1.company.com/

# Deckhouse Stronghold **Deckhouse Stronghold** — корпоративное хранилище секретов, совместимое с HashiCorp Vault, для централизованного и безопасного управления ключами, паролями и доступами. Поддерживает динамические учётные данные, аудит и интеграцию с корпоративной аутентификацией (OIDC, LDAP), помогая автоматизировать безопасную работу приложений с конфиденциальными данными. **Blitz Identity Provider** выступает OIDC‑провайдером, а **Deckhouse Stronghold** — OIDC‑клиентом (Relying Party). В этой инструкции описано подключение **Stronghold Standalone** к **Blitz Identity Provider** по протоколу **OIDC (OpenID Connect)**. Подключение выполняется в два этапа: * Этап 1. Настройка на стороне Blitz Identity Provider; * Этап 2. Настройка на стороне Stronghold.
Важно:

В инструкции для примера указано, что Stronghold доступен по адресу https://stronghold.company.com, а Blitz Identity Provider доступен по адресу https://login.company.com.
Замените адреса на реальные перед применением инструкции.

## Этап 1. Настройка на стороне Blitz Identity Provider В консоли Blitz Identity Provider перейдите в раздел **Приложения**. ### 1. Создание пользователя для проверки Создайте тестового пользователя через `blitz-console` (CLI или веб‑консоль). ### 2. Создание OIDC‑приложения для Stronghold Создайте новое приложение: - **Название:** stronghold - **Base URL:** `https://stronghold.company.com` - **Протокол:** OAuth 2.0 / OIDC После создания получите: - `client_id` - `client_secret` ### 3. Настройка параметров OIDC клиента Укажите: - **Redirect / Callback URL:** `https://stronghold.company.com` - Разрешённые scopes: - `openid` (обязательно); - `profile` (опционально); - `email` (опционально). **Сохраните** --- ## Этап 2. Настройка на стороне Stronghold Теперь Stronghold настраивается как клиент OIDC. ### 1. Подготовка TLS и discovery URL Необходимые значения: - **Public URL Stronghold:** `https://stronghold.company.com` - **OIDC Discovery URL Blitz:** `https://login.company.com/.well-known/openid-configuration` Убедитесь, что TLS сертификаты валидны для DNS‑имён. ### 2. Включение OIDC auth method в Stronghold Добавьте OIDC метод аутентификации: - Укажите **Discovery URL Blitz** - Укажите `client_id` и `client_secret`, полученные ранее ### 3. Создание роли OIDC Создайте роль (например, `default-1`): - привязка к `client_id` - redirect URL `https://stronghold.company.com` - scopes `openid` `profile` `email` ### 4. Настройка ACL‑policy 1. Создайте новую **policy** с названием `policy-name` в Stronghold через CLI-интерфейс командой: ``` d8 stronghold policy write policy-name policy-file.hcl ``` Или через API: ``` curl \ --request POST \ --header "X-Vault-Token: ..." \ --data '{"policy":"path \"...\" {...} "}' \ https://stronghold.example.com/v1/sys/policy/policy-name ``` 2. Привяжите её к роли `default-1` ## 5. Проверка входа Выполните вход в Stronghold через Blitz Identity Provider. Проверьте: - доступ к KV; - чтение/запись секретов согласно `policy-name`. --- ## Возможные проблемы и их решение ### Ошибка TLS при добавлении OIDC Discovery URL **Ошибка** `tls: failed to verify certificate` **Решение** 1. Перевыпустить сертификат с корректными SAN: - subjectAltName с DNS и URI - keyUsage - extendedKeyUsage=serverAuth - basicConstraints=CA:FALSE 2. Исправить скрипт `/usr/share/identityblitz/scripts/configure.sh` в части генерации файла конфигурации. Итоговый файл конфигурации должен выглядеть следующим образом: ``` [req] prompt=no default_bits=4096 encrypt_key=no default_md=sha256 distinguished_name=dn x509_extensions=ext [dn] CN=your-domain.com [ext] subjectAltName = @alt_names subjectKeyIdentifier = hash keyUsage = digitalSignature, keyEncipherment extendedKeyUsage = serverAuth basicConstraints = CA:FALSE [alt_names] DNS.1 = your-domain.com URI.1 = https://your-domain.com/blitz/saml ``` ## Результат успешной интеграции - Stronghold авторизуется через Blitz как OIDC‑провайдер. - Права доступа разграничиваются через ACL-policy. ## Проверенная конфигурация - Stronghold (standalone): **v1.16.5 EE** - Blitz Identity Provider: **5.31.4** - ОС: **Rocky Linux 9.7 x86_64** - ВМ: 1×node, 4 vCPU, 12 GB RAM, 60 GB disk # GitFlic GitFlic ([https://gitflic.ru](https://gitflic.ru/)) — это DevOps-платформа полного цикла для хранения исходного кода и совместной разработки ПО. Подключение GitFlic к Blitz Identity Provider выполняется по протоколу OpenID Connect и состоит из двух этапов: - Этап 1. Настройки на стороне Blitz Identity Provider - Этап 2. Настройки на стороне GitFlic
**Важно:** В инструкции для примера указано, что GitFlic расположен на домене <span class="pre">https://gitflic.company.com</span>, а Blitz IDP установлен на домене <span class="pre">https://login.company.com</span>. Уточните ваши адреса перед применением инструкции.
### Этап 1. Настройки на стороне Blitz Identity Provider В консоли управления Blitz Identity Provider перейдите в раздел Приложения и выполните следующие действия: 1. Создайте новое приложение, задав его базовые настройки: - Идентификатор (entityID или client\_id): client\_id, который в будущем будет указан в настройках подключения в GitFlic - Название: имя приложения, которое будет отображаться на стороне Blitz IDP. - Домен: `https://gitflic.company.com` [![1st.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/Hzg1st.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/Hzg1st.png) 1. Нажмите **Создать** 2. Нажмите на созданное приложение GitFlic и перейдите на вкладку **Протоколы** 3. Выберите **OAuth 2.0** и нажмите **Сконфигурировать** 4. Вам будет доступен client\_secret, который нужно будет указать в настройках подключения в GitFlic в будущем 5. Отредактируйте параметры приложения - **Предопределенная ссылка возврата** - Установите значение URL GitFLic + /oidc/callback - **Префиксы ссылок возврата** - Установите значение URL GitFlic - В полях **Допустимые разрешения** и **Разрешения по умолчанию** установите scope: **email, openid, profile** - В поле **Метод аутентификации при обращении к сервису выдачи маркеров** выберите **client secret post** [![2nd.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/2nd.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/2nd.png) 1. Нажмите **Сохранить** 2. Перейдите в раздел **Источники данных** и добавьте новый вычисляемый атрибут - preferred\_username. В качестве правила вычисления добавьте ${sub} 3. Нажмите **Сохранить**
**Важно:** Вы можете указать значение или комбинацию значений, которые будут использоваться в GitFlic в качестве username пользователей. Рекомендуется указать **sub**, т.к. username пользователя GitFlic должен быть уникальным.
[![3rd.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/3rd.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/3rd.png) 1. Перейдите в раздел **Oauth 2.0** и добавьте preferred\_username в настройку `scopes` для разрешения **profile** 2. Нажмите **Сохранить** [![4th.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/4th.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/4th.png) --- ### Этап 2. Настройки на стороне GitFlic 1. Зайдите в веб-интерфейс GitFlic под пользователем, обладающим правами администратора внутри платформы. 2. Откройте Административную панель и перейдите в раздел **Настройки SSO** 3. На вкладке **Настройки OIDC** нажмите **Создать** 4. Отредактируйте параметры подключения: - Название: имя подключения, которое будет отображаться в интерфейсе GitFlic - Client ID: Идентификатор (client\_id), который вы указывали при создании приложения в Identity Blitz - Client Secret: Значения из поля client\_secret в приложении в Identity Blitz - URL конфигурации: [https://login.company.com/blitz/.well-known/openid-configuration](https://login.company.com/blitz/.well-known/openid-configuration) - эндпоинт для получения JSON с настройками OIDC - Опционально можно включить синхронизацию и возможность смены логина для пользователя в платформе GitFlic - Тип аутентификации: Выбираем Standard Flow -> Client ID и Secret 5. Нажмите **Создать** [![5th.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/5th.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/5th.png) 6. В интерфейсе GitFlic отобразится новое подключение в статусе **Неактивно** 7. Нажимаем на зеленую кнопку с иконкой пуск и делаем его активным [![6th.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/6th.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/6th.png)
**Совет:** После прохождения всех шагов рекомендуем проверить корректность входа в GitFlic: <span class="pre">https://gitflic.company.com</span>
# Gitlab **GitLab** () — это веб-приложение для хранения и управления репозиториями программного кода для Git. Подключение GitLab к Blitz Identity Provider выполняется по протоколу _OpenID Connect_ и состоит из двух этапов: * Этап 1. Настройки на стороне GitLab * Этап 2. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что GitLab расположен на домене https://gitlab.company.com, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне GitLab Выполните следующие действия: 1. Откройте для редактирования конфигурационный файл Gitlab: ``gitlab.rb`` (например, _/etc/gitlab/gitlab.rb_). **Отредактируйте** блок *gitlab_rails['omniauth_providers']*: * **label** - укажите название *Сервиса аутентификации*, понятное пользователям. Название будет отображаться на кнопке страницы аутентификации. Например, ``Blitz``. * **name** - укажите название протокола ``openid_connect``. * **scopes** - укажите необходимые разрешения для получения данных. Например, стандартный scope ``profile``. * **response_type** - укажите тип ответа ``code``. * **issuer** - укажите URL поставщика аутентификации. Например, ``https://login.company.com/blitz``. * **discovery** - установите значение ``true`` для автоматического определения параметров клиента. * **client_auth_method** - укажите метод аутентификации клиента у поставщика. Например, ``basic``. * **uid_field** - укажите значение ``sub``. * **send_scope_to_token_endpoint** - укажите значение ``false``. * **identifier** - укажите уникальное название для идентификации приложения. Например, ``gitlab``. * **secret** - задайте секретный ключ для безопасной аутентификации приложения. * **redirect_uri** - укажите URL, на который пользователь будет перенаправлен после успешного входа в систему. Например, ``https://login.company.com/gitlab/users/auth/openid_connect/callback``. ``` { name: "openid_connect", label: "Blitz", args: { name: "openid_connect", scope: ["openid","profile"], response_type: "code", issuer: "https://login.company.com/blitz", discovery: true, client_auth_method: "basic", uid_field: "sub", send_scope_to_token_endpoint: "false", client_options: { identifier: "gitlab", secret: "eXa12m3PL45e", redirect_uri: "https://login.company.com/gitlab/users/auth/openid_connect/callback" } } } ``` 2. **Сохраните** файл. ### Этап 2. Настройки на стороне Blitz Identity Provider В консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения** и выполните следующие действия: 1. **Создайте** новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: аналогичный client_id, который был прописан в gitlab.rb. * **Название**: имя приложения GitLab, которое будет отображаться на стороне Blitz IDP. * **Домен**: ``https://gitlab.company.com``

2. Нажмите **Сохранить**. 2. Далее нажмите кнопку **Параметры** у предложения GitLab и отредактируйте параметры приложения: * **Протоколы**: выберите ``OAuth 2.0`` и нажмите **Сконфигурировать** *Далее в параметрах укажите данные, как в ``gitlab.rb``:* * **Секрет (client_secret)**: аналогичный client_secret, который был прописан в gitlab.rb * **Префиксы ссылок возврата**: ``https://gitlab.company.com`` * **Допустимые разрешения**: ``profile`` ``openid``

4. Нажмите **Сохранить**.
Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в GitLab: https://gitlab.company.com

# Grafana **Grafana** () — это платформа мониторинга, визуализации и анализа данных, ориентированная на данные систем ИТ-мониторинга. Подключение Grafana к Blitz Identity Provider выполняется по протоколу OAuth 2.0 и состоит из двух этапов: * Этап 1. Настройки на стороне Grafana * Этап 2. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что Grafana расположена на домене https://grafana.company.com, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне Grafana Выполните следующие действия: 1. **Откройте** для редактирования конфигурационный файл Grafana: ``grafana.ini`` (например, _/etc/grafana/grafana.ini_). **Отредактируйте** блок *[auth.generic_oauth]*: * **name** - укажите название *Сервиса аутентификации*, понятное пользователям. Название будет отображаться на кнопке страницы аутентификации. Например, ``Blitz IDP``. * **enabled** - установите значение ``true``, чтобы включить вход через Blitz IDP. * **allow_sign_up** - установите значение ``true``, чтобы учетная запись в Grafana создавалась автоматически через вход в Blitz IDP. * **client_id** - укажите уникальное название для идентификации приложения. Например, ``Grafana``. * **client_secret** - задайте секретный ключ для безопасной аутентификации приложения. * **scopes** - укажите необходимые разрешения для получения данных. Например, стандартный scope ``profile``. * **email_attribute_name** - установите значение ``email:primary``, если адрес электронной почты находится в атрибуте email в Blitz IDP. * **auth_url** - укажите URL для авторизации. Например, ``https://login.company.com/blitz/oauth/ae`` * **token_url** - укажите URL для получения маркера доступа. Например, ``https://login.company.com/blitz/oauth/te`` * **api_url** - укажите URL сервиса получения данных пользователя. Например, ``https://login.company.com/blitz/oauth/me`` * **signout_redirect_url** - укажите URL для перенаправления после выхода из системы. Например, ``https://login.company.com/blitz/oauth/logout`` * **tls_skip_verify_insecure** - установите значение *true* для отмены проверки валидности сертификата TLS. Рекомендуем установить значение ``false`` для безопасности. ``` [auth.generic_oauth] name = Blitz IDP enabled = true allow_sign_up = true client_id = Grafana client_secret = eXa12m3PL45e scopes = profile email_attribute_name = email:primary email_attribute_path = login_attribute_path = name_attribute_path = role_attribute_path = id_token_attribute_name = auth_url = https://login.company.com/blitz/oauth/ae token_url = https://login.company.com/blitz/oauth/te api_url = https://login.company.com/blitz/oauth/me signout_redirect_url = https://login.company.com/blitz/oauth/logout allowed_domains = team_ids = allowed_organizations = tls_skip_verify_insecure = false tls_client_cert = tls_client_key = tls_client_ca = ``` 2. **Сохраните** файл и **Перезапустите** Grafana: ``systemctl restart grafana-server`` --- ### Этап 2. Настройки на стороне Blitz Identity Provider В консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения** и выполните следующие действия: 1. **Создайте** новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: аналогичный client_id, который был прописан в grafana.ini * **Название**: имя приложения Grafana, которое будет отображаться на стороне Blitz IDP * **Домен**: https://grafana.company.com

2. Нажмите **Сохранить**. 3. Далее нажмите кнопку **Параметры** у приложения Grafana и отредактируйте следующие параметры: * **Протоколы**: выберите ``OAuth 2.0`` и нажмите **Сконфигурировать** *Далее в параметрах укажите данные, как в grafana.ini:* * **Секрет (client_secret)**: аналогичный client_secret, который был прописан в grafana.ini * **Префиксы ссылок возврата**: ``https://grafana.company.com`` * **Допустимые разрешения**: ``profile``

4. Нажмите **Сохранить**.
Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в Grafana: https://grafana.company.com

# Infrascope **Infrascope** () – это комплексный продукт для управления привилегированным доступом класса Privileged Access Management (PAM). Подключение Infrascope к Blitz Identity Provider выполняется по протоколу *Radius* и состоит из двух этапов: * Этап 1. Настройки на стороне Blitz Identity Provider * Этап 2. Настройки на стороне Infrascope
Важно:

В инструкции для примера указано, что Infrascope расположен на домене https://infrascope.company.com, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне Blitz Identity Provider В консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения** и выполните следующие действия: 1. **Создайте** новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: введите client_id * **Название**: имя приложения Infrascope, которое будет отображаться на стороне Blitz IDP * **Домен**: ``https://infrascope.company.com``

2. Нажмите **Сохранить**. В консоли управления *Blitz Identity Provider* перейдите в раздел **Radius** и выполните следующие действия: 1. Перейдите на вкладку **Общие настройки** и нажмите **Сконфигурировать**. Нажмите **Сохранить** и обновите страницу. 3. Далее перейдите на вкладку **Сегменты сети** и нажмите **Добавить сегмент**. Введите следующие параметры: * **Имя**: ``issegment`` * **Подсеть**: ``10.130.6.0/24`` * **Общий ключ**: введите собственный секрет. В данном случае используется ``issecret`` * **Приложение по умолчанию**: ``infrascope`` * В строке **Соответствия NasId и приложений не сконфигурировано** нажмите **Добавить**. * **NasId**: ``infrascope_nasid`` * **Приложение**: ``infrascope``

3. Нажмите **Сохранить**. 4. Перейдите на вкладку **Процедуры обработки запросов** и нажмите **Создать новую процедуру запросов**. 5. Укажите параметры: * **Статус**: сместите ползунок, чтобы параметр стал включенным. * **Идентификатор процедуры**: `isprocedure` * **Описание**: введите собственное описание. Например: `Процедура второго фактора для Infrascope`

6. Нажмите **Сохранить** и перейдите в настройки на данной вкладке. 7. В 17 строке измените ``return RadiusResult.challenge(Challenges.password());`` на ``return RadiusResult.challenge(Challenges.totp());``.

8. Нажмите **Сохранить**. Далее в консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения** и выполните следующие действия: 1. Нажмите кнопку **Параметры** у предложения Infrascope и отредактируйте параметры приложения: * **Протоколы**: выберите ``Radius`` и нажмите **Сконфигурировать**. * В параметрах укажите следующие данные: * Установите флажок на **Пароль проверяется приложением самостоятельно**, если данная настройка актуальна; * **Время ожидания второго фактора**: введите нужное число. Например, `60` * **Процедура обработки**: выберите из всплывающего списка название процедуры, которое ввели ранее.

2. Нажмите **Сохранить**. ### Этап 2. Настройки на стороне Infrascope Выполните следующие действия: 1. Войдите в свой профиль Infrascope. Перейдите на вкладку *System Config Man*. Добавьте необходимую версию приложения и параметры. 2. Параметр ``mfa.external.provider.radius.host_bltest3``=``radius://blsecret@10.130.100.82/bltest3_nasid?auth-protocol=pap,timeout=500,priority=100;`` должен быть сохранен в зашифрованном виде. Параметр создается по формуле ``radius://@/?auth-protocol=pap,timeout=500,priority=100;radius://@/?auth-protocol=pap,timeout=500,priority=100;``, где ``secret`` и ``nasid`` созданы в настройках Radius (Вкладка **Параметры сети**) в Blitz IDP.

Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в Infrascope: https://infrascope.company.com

# Jira **Jira** () — это веб-платформа управления проектами для планирования и отслеживания работы команд. Подключение Jira к Blitz Identity Provider выполняется по протоколу OpenID Connect и состоит из двух этапов: * Этап 1. Настройки на стороне Jira * Этап 2. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что Jira расположена на домене https://jira.company.com, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне Jira
Примечание:

В Jira отсутствует встроенная поддержка одного подключения. Для этого нужно использовать плагин. Ниже в инструкции описано подключение на примере плагина Kantega SSO Enterprise.

Выполните следующие действия: 1. Установите плагин __Kantega SSO Enterprise__. Для этого в настройках Jira перейдите в __Manage Apps__ и установите плагин. [![manage-apps.jpeg](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/scaled-1680-/6M9manage-apps.jpeg)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/6M9manage-apps.jpeg) 2. В Kantega SSO Enterprise перейдите в раздел __Identity Providers__. Нажмите __Add new identity provider__ и выберите __Other__. [![other.jpeg](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/scaled-1680-/mcuother.jpeg)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/mcuother.jpeg) 3. В открывшемся окне выберите __OpenID Connect__ и нажмите __Next__. [![protocol.jpeg](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/scaled-1680-/32Eprotocol.jpeg)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/32Eprotocol.jpeg) 4. Выберите настройки по вашим потребностям. Например, ``Create accounts on-the-fly``. Нажмите __Next__. [![user.jpeg](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/scaled-1680-/MXxuser.jpeg)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/MXxuser.jpeg) 5. На следующем шаге формируется URL вашей Jira, который необходимо скопировать и добавить в Blitz IDP во втором этапе. Нажмите __Next__. 6. Далее введите __Discovery URL__. Например, ``https://login.company.com/blitz/.well-known/openid-configuration``. Нажмите __Next__. [![metadata.jpeg](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/scaled-1680-/iGNmetadata.jpeg)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/iGNmetadata.jpeg) 7. Заполните следующие поля и нажмите __Next__: * __Identity provider name__: укажите название Сервиса аутентификации, которое будет отображаться в настройках Jira. Например, ``Blitz``. * __Scopes__: укажите необходимые разрешения для получения данных. Например, обязательный scope ``openid`` и стандартный scope ``profile``. [![sso.jpeg](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/scaled-1680-/i4gsso.jpeg)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/i4gsso.jpeg) 8. На следующем шаге заполните поля и нажмите __Next__: * __Client ID__: ``jira.company.com`` * __Client Secret__: задайте секретный ключ для безопасной аутентификации приложения. [![credentials.jpeg](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/scaled-1680-/7qmcredentials.jpeg)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/7qmcredentials.jpeg) 9. На следующем шаге проверьте введенные данные и нажмите __Finish__. --- ### Этап 2. Настройки на стороне Blitz Identity Provider В консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения** и выполните следующие действия: 1. **Создайте** новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: укажите аналогичный client_id * **Название**: имя приложения Jira, которое будет отображаться на стороне Blitz IDP * **Домен**: ``https://jira.company.com``

2. Нажмите **Сохранить**. 3. Далее нажмите кнопку **Параметры** у предложения Jira и отредактируйте параметры приложения: * **Протоколы**: выберите ``OAuth 2.0`` и нажмите **Сконфигурировать** *Далее в параметрах укажите данные, как в учетных данных Jira:* * **Секрет (client_secret)**: укажите аналогичный client_secret * **Префиксы ссылок возврата**: ``https://jira.company.com`` * **Допустимые разрешения**: ``profile`` ``openid``

4. Нажмите **Сохранить**.
Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в Jira: https://jira.company.com

# Nextcloud **Nextcloud** () — это веб-платформа для организации облачного хранилища. Подключение Nextcloud к Blitz Identity Provider выполняется по протоколу OpenID Connect и состоит из двух этапов: * Этап 1. Настройки на стороне Blitz Identity Provider * Этап 2. Настройки на стороне Nextcloud
Важно:

В инструкции для примера указано, что Nextcloud расположен на домене https://nextcloud.company.com, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне Blitz Identity Provider В консоли управления _Blitz Identity Provider_ перейдите в раздел **Приложения** и выполните следующие действия: 1. **Создайте** новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: ``nextcloud`` * **Название**: имя приложения Nextcloud, которое будет отображаться на стороне Blitz IDP * **Домен**: ``https://nextcloud.company.com``

2. Нажмите **Сохранить**. 3. Далее нажмите кнопку **Параметры** у предложения Nextcloud и отредактируйте параметры приложения: * **Протоколы**: выберите ``OAuth 2.0`` и нажмите **Сконфигурировать** *Далее в параметрах укажите данные, как в Social Login и другие обязательные параметры:* * **Секрет (client_secret)**: ``nextcloud`` * **Префиксы ссылок возврата**: ``https://nextcloud.company.com`` * **Допустимые разрешения**: ``openid`` ``profile`` * **Метод аутентификации при обращении к сервису выдачи маркеров**: ``client secret post`` * **Допустимые response type**: ``code`` ``token``

* **Префиксы ссылок возврата при выходе**: ``https://nextcloud.company.com``

4. Нажмите **Сохранить**. ___ ### Этап 2. Настройки на стороне Nextcloud Выполните следующие действия: 1. Для интеграции _Nextcloud_ с Blitz Identity Provider необходимо установить приложение _Social Login_. Для этого **Войдите** в Nextcloud под учетной записью администратора. В разделе **Приложения** нажмите **Загрузить** рядом с приложением **Social Login**. Дополнительную информацию можно найти по адресу . 2. Далее перейдите в **Параметры сервера** и выберите **Social login**. 3. Далее нажмите кнопку у предложения _Custom OpenID Connect_ и задайте параметры: * **Внутреннее имя** - укажите внутреннее название _Сервиса аутентификации_, которое будет отображаться в настройках Nextcloud. Например, ``BlitzIDP``. * **Название** - укажите название _Сервиса аутентификации_, понятное пользователям. Название будет отображаться на кнопке страницы аутентификации и в настройках Nextcloud. Например, ``BlitzIDP``. * **Authorize url** - укажите URL для авторизации. Например, ``https://login.company.com/blitz/oauth/ae`` * **Token url** - укажите URL для получения маркера доступа. Например, ``https://login.company.com/blitz/oauth/te`` * **User info URL (optional)** - укажите URL сервиса получения данных пользователя. Например, ``https://login.company.com/blitz/oauth/me`` * **Client id** - укажите уникальное название для идентификации приложения. Например, ``nextcloud``. * **Client Secret** - задайте секретный ключ для безопасной аутентификации приложения. * **Scope** - укажите необходимые разрешения для получения данных. Например, обязательный scope ``openid`` и стандартный scope ``profile``. При указании нескольких разрешений разделите их пробелом.

---
Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в Nextcloud: https://nextcloud.company.com

# OpenVPN **OpenVPN** ([https://openvpn.net](https://openvpn.net)) - технология виртуальной частной сети (VPN). Подключение OpenVPN к Blitz Identity Provider выполняется по протоколу RADIUS и состоит из двух этапов: - Этап 1. Настройки на стороне Blitz Identity Provider - Этап 2. Настройки на стороне OpenVPN ### Этап 1. Настройки на стороне Blitz Identity Provider В консоли управления *Blitz Identity Provider* перейдите в раздел **RADIUS** и выполните следующие действия: 1. Нажмите на **Сегменты сети** и создайте новый сегмент. Задайте следующие параметры: - **Имя**: укажите имя сети. Например, `openvpn`. - **Подсеть**: укажите `192.168.122.96/32`. - **Общий ключ**: задайте секретный ключ для безопасной аутентификации приложения. ![ov-1-b.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-1-b.png) 2. Нажмите **Сохранить**. 3. Перейдите на вкладку **Процедуры обработки запросов** и задайте параметры: - **Статус**: переместите переключатель в режим on. - **Идентификатор процедуры**: укажите идентификатор процедуры. Например, `OpenVPN2FA`. ![ov-3-b.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-3-b.png) 4. Вставьте код процедуры: ```java package com.identityblitz.idp.radius.flow; import org.slf4j.LoggerFactory; import org.slf4j.Logger; import com.identityblitz.idp.radius.flow.RadiusResult.*; public class OpenVPN2FA implements RadiusFlow { private final Logger logger = LoggerFactory.getLogger("com.identityblitz.idp.flow.radius"); public String loginN12(final String login) { return login; } public RadiusResult next (final RadiusContext context) { if (context.factor() == 1) { return RadiusResult.challenge(Challenges.password()); } else if (context.factor() == 2) { final java.util.Map answers = new java.util.HashMap(); answers.put("1", "sms"); answers.put("2", "totp"); return RadiusResult.dialog("challengeChoose", answers); } else { return RadiusResult.authenticated(context.subject()); } } public RadiusResult dialog(final RadiusContext context, final String message, final java.util.Map answers, final String answer) { if (message.equals("challengeChoose")) { final String challenge = answers.get(answer); if(challenge != null) { return RadiusResult.challenge(Challenges.byDialogName(challenge)); } else { return RadiusResult.dialog(message, answers); } } else { return RadiusResult.rejected("unsupportedMessage"); } } } ``` ![ov-4-b.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-4-b.png) 5. Нажмите **Сохранить** и **Активировать**. 6. В консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения** и **Создайте** новое приложение, задав его базовые настройки: - **Идентификатор (entityID или client\_id)**: введите имя приложения. Например, `openvpn`. - **Название**: укажите имя приложения OpenVPN. Например, `openvpn access server`. - **Домен**: `http://localhost`. ![ov-5-b.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-5-b.png) 7. Нажмите **Сохранить**. 8. Далее нажмите кнопку **Параметры** ![button-1.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/button-1.png) у предложения openvpn и отредактируйте параметры приложения: - **Протоколы**: выберите `RADIUS` и нажмите **Сконфигурировать** - **Процедура обработки**: выберите `OpenVPN2FA` ![ov-6-b.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-6-b.png) 9. Нажмите **Сохранить**. 10. Далее перейдите в раздел **RADIUS** на вкладку **Сегменты сети**. Укажите **Приложение по умолчанию**: `openvpn access server`. ![ov-7-b.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-7-b.png) 11. Откройте для редактирования конфигурационный файл `/etc/blitz-config/custom_messages/messages` и добавьте в него строку `radius.display.dialog.challenge.name.sms=SMS`. 12. Перезапустите приложение blitz-idp командой `systemctl restart blitz-idp`. ### Этап 2. Настройки на стороне OpenVPN 1. В веб-консоли OpenVPN в разделе **Authentication** перейдите в **Settings** и укажите RADIUS в качестве подсистемы аутентификации по умолчанию. ![ov-1.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-1.png) 2. В разделе **Authentication** перейдите в **RADIUS** и укажите параметры подключения к Blitz, как указано ниже. ![ov-2.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-2.png) 3. В консоли сервера выполните команду для создания файла с настройками подключения: `/usr/local/openvpn_as/scripts/sacli --prefer-tls-crypt-v2 GetGeneric >/tmp/client.ovpn`. **Настройка подключения клиента** 1. Перенесите файл настроек на клиента с помощью команды `nmcli connection import type openvpn file ~/tmp/client.ovpn` 2. Далее импортируйте файл с помощью команды `mcli connection modify client vpn.user-name test`
В примере используется консольная утилита nmcli для linux
3. Подключитесь к тестовой учетной записи с настроенным TOTP с помощью команды `nmcli connection up client`. ![ov-3.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-3.png) ![ov-4.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-4.png) ![ov-5.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/ov-5.png) # Outlook on the web (OWA) **Outlook on the web** ([https://microsoft.com/microsoft-365/outlook](https://microsoft.com/microsoft-365/outlook)) — это веб-почта для доступа к серверу совместной работы. Подключение Outlook к Blitz Identity Provider выполняется по протоколу WS-Federation (частный случай протокола SAML от Microsoft). На стороне Exchange и OWA настройки будут выполняться для метода аутентификации ADFS, т.к. в данном случае Blitz Identity Provider выступает заменой ADFS. Cостоит из трех этапов: - Этап 1. Настройки Exchange organization для использования аутентификации ADFS - Этап 2. Настройки аутентификации ADFS в Outlook on the web и в виртуальных каталогах EAC - Этап 3. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что Outlook расположен на домене https://mail.company.com/owa, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки Exchange organization для использования аутентификации ADFS
Важно:

Нельзя использовать wildcard-сертификаты в SAML, сертификат должен быть на домене Blitz Identity Provider.

1. Необходимо получить отпечаток сертификата Blitz IDP. Для этого нужно взять его из метаданных Blitz - пройдите по ссылке `https://login.company.com/blitz/saml/profile/Metadata/SAML`, откройте XML документ с метаданными и найдите раздел ``. Например: ![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1717769134893.png) **Добавьте строки**: ``` -----BEGIN CERTIFICATE----- <значение сертификата> -----END CERTIFICATE----- ``` **Сохраните** сертификат в файл с расширением .crt. **Найдите** в данных сертификата отпечаток SHA-1. 2. Далее **введите** команду: ``` Set-OrganizationConfig -AdfsIssuer -AdfsAudienceUris "","" -AdfsSignCertificateThumbprint "" ``` Где указать следующие значения: - **BlitzURL**: `https://login.company.com/blitz/saml/profile/WSF-PRP/WSIGNIN/GET` - **OotwURL** (Outlook on the web URL): `https://mail.company.com/owa/` - **EACURL**: `https://mail.company.com/ecp/` - **Thumbprint** (отпечаток сертификата): укажите значение, полученное в п.1
Важно:

При использовании самоподписного SAML-сертификата необходимо добавить его в доверенные корневые на серверах Exchange.

### Этап 2. Настройки аутентификации AD FS в Outlook on the web и в виртуальных каталогах EAC Для Outlook on the web и виртуальных каталогов EAC необходимо настроить аутентификацию AD FS как единственный доступный метод, отключив все остальные методы. 1. Чтобы использовать командную консоль Exchange для настройки EAC или Outlook on the web в виртуальном каталоге так, чтобы они принимали только аутентификацию ADFS, **введите** следующую команду (для примера указан сервер с именем Mailbox01): ``` Set-EcpVirtualDirectory -Identity -AdfsAuthentication $true -BasicAuthentication $false -DigestAuthentication $false -FormsAuthentication $false -OAuthAuthentication $false -WindowsAuthentication $false ``` Где используются следующие значения параметра `VirtualDirectoryIdentity`: - `"Mailbox01\ecp https://mail.company.com/ecp/"` - настройка виртуальный каталог EAC на веб-сайте по умолчанию на сервере с именем Mailbox01; - `"Mailbox01\owa https://mail.company.com/owa/"` - настройка Outlook в виртуальном каталоге Web на веб-сайте по умолчанию на сервере с именем Mailbox01. 2. Чтобы настроить все виртуальные каталоги EAC и Outlook on the web на каждом сервере Exchange в вашей организации, выполните следующие команды: ``` Get-EcpVirtualDirectory | Set-EcpVirtualDirectory -AdfsAuthentication $true -BasicAuthentication $false -DigestAuthentication $false -FormsAuthentication $false -OAuthAuthentication $false -WindowsAuthentication $false ``` `Get-OwaVirtualDirectory | Set-OwaVirtualDirectory -AdfsAuthentication $true -BasicAuthentication $false -DigestAuthentication $false -FormsAuthentication $false -OAuthAuthentication $false -WindowsAuthentication $false` ### Этап 3. Настройки на стороне Blitz Identity Provider В консоли управления Blitz Identity Provider перейдите в раздел **SAML** и выполните следующие действия: 1. Нажмите **Добавить новый SAML-атрибут**. 2. Укажите название первого атрибута - `upn` и выберите из выпадающего списка его источник - атрибут, который соответствует атрибуту `userPrincipalName` в хранилище. После нажмите **Добавить**. 3. Укажите название второго атрибута - `windowsaccountname` и выберите из выпадающего списка его источник - атрибут, который соответствует атрибуту `sAMAccountName` в хранилище. После нажмите **Добавить**. 4. Далее добавьте кодировщик для каждого атрибута. Для этого выберите атрибут и нажмите **Добавить кодировщик**. 5. Для атрибута `upn` добавьте первый кодировщик `SAML1String` и укажите **Пространство имен** `http://schemas.xmlsoap.org/ws/2005/05/identity/claims`. Далее добавьте второй кодировщик - `SAML1StringNameIdentifier` и укажите **Пространство имен** `urn:oasis:name:tc:SAML:1.1:nameid-formar:unspecified`. Нажмите **Сохранить** после каждого создания кодировщика. ![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-09/image-1727081899018.png) 6. Для атрибута `windowsaccountname` добавьте кодировщик `SAML1String` и укажите **Пространство имен** `http://schemas.xmlsoap.org/ws/2005/05/identity/claims`. Нажмите **Сохранить**. ![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-09/image-1727082054419.png) 7. Далее в консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения**. 8. Создайте новое приложение, задав его базовые настройки: - **Идентификатор (entityID или client\_id)**: `https://mail.company.com/owa/` - **Название**: укажите название приложения, которое видно только внутри Blitz. Например, `OWA`. - **Домен**: `https://mail.company.com/owa/` ![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-09/image-1727082329296.png) 9. Нажмите **Сохранить**. 10. Далее нажмите кнопку **Параметры** у предложения OWA и отредактируйте параметры приложения: - **Стартовая страница приложения**: `https://mail.company.com/owa` - **Протоколы**: выберите `SAML` и нажмите **Сконфигурировать** - Выберите **WS-Federation Passive Requestor Profile** и нажмите **Сконфигурировать**. Установите следующие настройки: - **Подписывать утверждения**: `conditional` - **Время жизни утверждений**: `PT30M` - **Включить передачу SAML-утверждений о пользователе в специальном блоке AttributeStatement**: установить флажок. ![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-09/image-1727442497287.png) 11. В разделе **Атрибуты пользователя** настройте передачу в Outlook атрибутов, созданных на первом этапе SAML-атрибутов и атрибута `transientId`. Пометьте передачу атрибутов `upn` и `windowsaccountname` галочкой. ![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-09/image-1727439467188.png) 12. Нажмите **Сохранить**. 13. Далее в разделе **Метаданные** нажмите **Изменить**. Скопируйте и вставьте следующий код: ```xml ``` 14. Нажмите **Сохранить**.
Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в Outlook on the web: https://mail.company.com/owa

# Remote Desktop Gateway **Remote Desktop Gateway (RDGW)** - обеспечивает безопасный доступ к сервисам RDS из Интернета. Настройка Remote Desktop Gateway выполняется по протоколу RADIUS и происходит в три этапа: * Этап 1. Установка и настройка фермы Remote Desktop Services * Этап 2. Установка роли RD Gateway * Этап 3. Настройка аутентификации через RADIUS сервер ### Этап 1. Установка и настройка фермы Remote Desktop Services Определения: **Remote Desktop Session Host** (**RDSH**) - узлы сеансов RDS, на которых работают приложения пользователей и которым будет осуществляться подключение пользователей; **Remote Desktop Connection Broker** (**RDCB**) - посредник RDS подключений. Используется для управления фермой RDS, распределения нагрузки, обеспечивает переподключение пользователей к своим сеансам, хранит коллекции RDS и опубликованные приложения RemoteApps; **RD Web Access** (**RDWA**) - веб интерфейс для доступа к рабочим столам, программам RemoteApp; **Remote Desktop Licensing** (**RD Licensing**) - служба лицензирования, управляет RDS лицензиями (CAL) пользователей. Перед созданием RDS фермы выполните предварительные требования: 1. Установите одинаковую версию Windows Server на все сервера. Далее настройте их и добавьте в один домен AD. 2. Откройте консоль **Active Directory Users and Computers** (**ADUC**) (*Run* -\> *dsa.msc*) и переместите все хосты с ролью **RDSH** в одну OU в AD. 3. Создайте в домене группу для рабочих серверов с ролью **RDSH** (например, ``idb-rdsh``) и добавьте в нее все сервера **RDSH**. Далее выполните следующие действия: 1. Откройте **Server Manager** и добавьте все планируемые RDS сервера в консоль. Для этого нажмите правой кнопкой мыши на **All Server** в списке слева, далее на **Add servers**. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446010666.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446010666.png) 2. Нажмите **ОК**. 3. В меню **Server Manager** выберите **Add Roles and Features** -\> **Remote Desktop Services** **installation** -\> **Standard deployment** -\> **Session-based deployment**. 4. Далее укажите, как необходимо распределить роли RDS по серверам. В мастере построения фермы RDS выберите сервера для соответствующих ролей. Например, - **RD Connection Broker** - bip-udc02 - **RD Web Access** - bip-udc02 - **RD Session hosts** - bip-udc02, bid-dwin02 [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446066643.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446066643.png) 5. Установите флажок напротив **Restart destination server automatically if required** и нажмите кнопку **Deploy**. Дождитесь установки ролей RDS на всех серверах. ### Этап 2. Установка роли RD Gateway Для добавления роли **Remote Desktop Gateway** выполните следующие действия: 1. В меню **Server Manager** выберите **Add Roles and Features** -\> **Role-based or feature-based installation** -\> выберите сервер bip-udc02 и нажмите **Next** -\> в списке раскройте **Remote Desktop Services** и выберите **Remote Desktop Gateway**, нажмите **Add Features** и **Next** -\> **Next** -\> **Install.** Дождитесь установки роли. 2. Далее создайте группы доступа в Active Directory с помощью консоли ADUC: - **rdgwExtUsers** - группа пользователей, которым разрешено аутентифицироваться на RDGW. - **rdgwExternalAdmins** - группа для доступа к терминальным серверам через RDGW (данную группу добавьте в группу **rdgwExtUsers**). - **rds**-**farm** - должна включать в себя все хосты RDSH и RD Conneciton Broker, к которым необходимо разрешить подключаться через шлюз удаленных рабочих столов. **Настройка политик доступа RD Gateway** 1. Для управления политиками и правилами доступа на RDGW используется консоль **RD Gateway Manager** (*Run -\> tsgateway.msc*). Настройка политик и правил доступа может осуществляться локально на сервере RDGW, либо на центральном сервере **NPS** (Network Policy Server). * В случае настройки политик на центральном сервере NPS выполните следующие действия: 1. Разверните **Policies** -\> правой кнопкой нажмите на **Connection Authorization Policies** и выберите **Configure Central RD CAP**. 2. На вкладке **RD CAP Store** выберите **Central server running NPS**. 3. В поле ниже введите IP-адрес или имя центрального сервера NPS и нажмите **Add**. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446122236.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446122236.png) * В случае настройки политик локально выполните следующие действия: 1. Разверните **Policies** -\> правой кнопкой нажмите на **Connection Authorization Policies** и выберите **Configure Central RD CAP** 2. На вкладке **RD CAP Store** выберите **Local server running NPS** [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446179515.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446179515.png) 2. Далее настройте два типа политик: - **Connection Authorization Policies (RD CAP)** - определяют, кому разрешено авторизоваться на шлюзе RDS. - **Resource Authorization Policies (RD RAP)** - определяют, кому и к каким ресурсам (компьютерам) внутренней сети разрешено подключаться через RDGW. * Создайте политику RD CAP: 1. Разверните **Policies** -\> правой кнопкой нажмите на **Connection Authorization Policies** и выберите **Create New Policy** -\> **Wizard** [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446192010.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446192010.png) 2. Укажите имя политики **rdgwExtUsers** 3. Выберите тип аутентификации по паролю и укажите группу пользователей **rdgwExtUsers** 4. В окне **Enable or Disable Device Redirection** укажите, какие устройства разрешено прокидывать в RDP сессию (буфер обмена, принтера, локальные диски и т.д.) 5. Далее настройте таймауты для RDP сеансов 6. Подтвердите создание политики * Создание политики RD RAP: 1. Разверните **Policies** -\> правой кнопкой нажмите на **Resource Authorization Policies** и выбрать **Create New Policy** -\> **Wizard** 2. Укажите имя политики **rdgwExternalAdmins** 3. Укажите группу пользователей **rdgwExternalAdmins** 4. На вкладке Network Resources укажите группу **rds-farm** 5. Укажите разрешенные для подключения порты. По умолчанию используется только стандартный RDP порт 3389. Возможно открыть дополнительные порты. 6. Подтвердите создание политики. **Настройка SSL сертификата для Remote Desktop Gateway**
Для защиты подключения к шлюзу RDS на нем нужно установить сертификат. Оптимально использовать коммерческий сертификат, выданный внешним центром сертификации. Возможно использовать бесплатного SSL сертификат Let's Encrypt. Также можно использовать самоподписанный SSL сертификат Windows, но внешние клиенты должны обязательно доверять такому сертификату (сертификат необходимо распространить на клиентов). Для подключения из интернета в поле **Subject Name** (**CN**) или **Subject Alternative Name** (**SAN**) сертификата должно обязательно содержаться DNS имя сервера RDGW, которое будет использоваться для подключения внешними клиентами (доступное из интернета).
1. Откройте свойства сервера RDGW в консоли **RD Gateway** и перейдите на вкладку **SSL Certificate**. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446230155.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446230155.png) 2. При использовании самоподписанного сертификата выберите пункт **Create a self-signed certificate** -\> **Create and Import Certificate**. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446260913.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446260913.png) 3. Укажите имя сертификата (DNS будет использоваться клиентами для подключения к RDGW) и каталог, в который нужно сохранить сертификат (сертификат нужно распространить на клиентов). [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446273161.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446273161.png)![](media/self_signed_cert_creation.png) В Windows Server 2019 для подключения к RD Gateway используются следующие порты: - HTTP Port (default) - 443/TCP - UDP Port (default) - 3391/UDP (использование транспортного протокола UDP не обязательно, но его поддержка позволяет значительно улучшить производительность туннеля и качество картинки в RDP сессии) Необходимо пробросить эти порты на RDGW хост на сетевом оборудовании. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446284513.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446284513.png) 4. Откройте консоль **RDGW Manager** и убедитесь, что в ней нет ошибок и все пункты зеленые. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446307727.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446307727.png) **Настройка RDP клиента для подключения шлюзу RD Gateway** Если используетcя самоподписанный сертификат на RDGW, поместите его в доверенные корневые сертификаты (**Trusted Root Certification Authorities**) на клиенте. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446337943.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446337943.png) 1. Запустите RDP клиент (*Run -\> mstsc.exe*) 2. На вкладке **General** укажите имя хоста или компьютера, к которому нужно подключиться по RDP [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446362677.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446362677.png) 3. Затем перейдите на вкладку **Advanced** и щелкните на кнопку **Settings** в разделе **Connect from anywhere** [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446441939.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446441939.png) 4. Выберите опцию **Use these RD Gateway server settings**, укажите внешнее DNS имя, по которому доступен RDGW сервер (это же имя должно быть указано в сертификате).Если используется нестандартный порт для RDGW, его нужно указать после имени сервера через двоеточие. Например: ``bip-udc02.bip.loc:4443``. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446463471.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446463471.png) 5. Чтобы при подключении клиент не запрашивал пароль два раза, включите опцию **Use my RD Gateway credentials for the remote computer** 6. Нажмите кнопку **Connect** и введите пароль для подключения к RDGW серверу в окне **RD Gateway Server Credentials** 7. Запустите консоль **RD Gateway Manager**, перейдите в раздел **Monitoring** и убедитесь, что в списке отображается подключение клиента. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446477735.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446477735.png) ### Этап 3. Настройка аутентификации через RADIUS сервер **Настройка таймаутов RADIUS на RD Gateway NPS** 1. В меню **Server Manager** выберите **Tools** -\> **Network Policy Server.** 2. В консоли NPS (Local) разверните **RADIUS Clients and Servers** -\> правой кнопкой нажмите на **Remote RADIUS Server Groups** -\> **New**. 3. Введите желаемое имя новой группы серверов (например, ``blitz group``) и нажмите **Add** [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446635869.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446635869.png) 4. В открывшемся окне на вкладке **Address** в поле **Server** введите IP-адрес Radius-сервера [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446652432.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446652432.png) 5. На закладке **Authentication/Accounting** введите **Shared secret** в соответствующее поле и продублируйте в поле **Confirm shared secret**. Убедитесь, что все 3 галки на вкладке проставлены [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446667168.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446667168.png) 6. На вкладке **Load Balancing** выставите следующие значения: [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446684103.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446684103.png) 7. Нажмите **OK** -\> **OK**. **Подготовка NPS к приему аутентификации от сервера MFA** 1. В консоли NPS (Local) разверните **RADIUS Clients and Servers** и нажмите правой кнопкой на **RADIUS Clients** -\> **New** 2. На закладке **Settings** установите флажок **Enable this RADIUS** 3. В поле **Friendly name** введите любое имя (например, ``Blitz`` или IP-адрес сервера MFA) 4. В поле **Address** введите IP-адрес или DNS сервера MFA 5. Введите **Shared Secret** в поля в нижней части окна (тот же **Shared Secret**, что был указан при настройке таймаутов RADIUS) [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446755224.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446755224.png) **Настройка политик запросов на подключение** 1. В консоли NPS (Local) разверните **Policies** и нажмите на **Connection Request Policies** 2. В правом окне нажмите правой кнопкой на политике **TS GATEWAY AUTHORIZATION POLICY** и нажмите **Duplicate Policy** [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446797143.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446797143.png) 3. Кликните дважды по политике **Copy of** **TS GATEWAY AUTHORIZATION POLICY** 4. На вкладке **Overview** в поле **Policy name** введите имя новой политики (например, ``blitz-policy``) 5. Установите флажок **Policy enabled** 6. В пункте **Type of network access server** выберите **Remote Desktop Gateway** [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446813974.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446813974.png) 7. На вкладке **Conditions** нажмите **Add** 8. В открывшемся окне выберите пункт **Client Friendly Name** и нажмите **Add** [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446830853.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446830853.png) 9. В открывшемся окне введите **Friendly Name**, который указывали ранее при создании записи **RADIUS Clients** в предыдущих пунктах и нажмите **OK** 10. На вкладке **Settings** нажмите на **Authentication** и проставьте пункт **Authenticate requests on this server** [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446847185.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446847185.png) 11. На той же закладке выберите пункт **Attribute**, далее выберите тип атрибута **User-Name** и нажмите **Add** 12. В открывшемся окне введите ***\^BIP\\\\*** в поле Find. Оставьте поле **Replace with** пустым и нажмите **OK** -\> **OK** 13. Нажмите правой кнопкой по новой политике. Далее нажмите **Move Up**. Новая политика должна стоять выше, чем старая политика **TS GATEWAY AUTHORIZATION POLICY** [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446862841.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720446862841.png) ### Этап 4. Настройка интеграции с Blitz IDP Предварительные требования: - Имеются развернутые Microsoft RDS, среди которых есть сервер(ы) с ролями RD Gateway и NPS(NPAS) - Имеется установленный Blitz IDP. 1. На сервере с ролью NPS настройте **внешний RADIUS-сервер**: - В разделе **Клиенты и серверы** выберите **Удаленные радиус-серверы**, создайте или отредактируйте имеющуюся группу серверов, внеся в неё параметры сервера Blitz IDP: `ip-адрес`, `порт` и `секрет`. [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/scaled-1680-/image.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/image.png) - В разделе **Политики - Политики запросов на подключение** выберите политику, обрабатывающую запросы от RDG - в настройках политики в разделе **Аутентификации** настройте перенаправление запросов на группу серверов, настроенных выше. 2. В консоли администратора Identity Blitz в разделе **Приложения**: - Добавьте новое приложение, заполнив Идентификатор, Название и Домен. Для приложения RDAIUS эти настройки не критичны. [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/scaled-1680-/ZMpimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/ZMpimage.png) - Во вновь созданном приложении внизу страницы с настройками есть раздел **Протоколы**, выберите протокол **RADIUS** и нажмите **Сконфигурировать** [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/scaled-1680-/SeNimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/SeNimage.png) 3. В консоли администратора Identity Blitz в разделе RADIUS: - На вкладке **Общие настройки** необходимо включить сам сервер RADIUS, выбрать ip-адрес ethernet-адаптера для приёма запросов от клиентских систем (0.0.0.0 - все ethernet-адаптеры) и выбрать сетевой порт: [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/scaled-1680-/4f0image.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/4f0image.png) - На вкладке **Сегменты сети** нужно задать Общий ключ (RADIUS secret) для подсети и выбрать подсеть, при запросах из которой будет использован этот секрет. Для одного секрета на все RADIUS-приложения можете выбрать все подсети: 0.0.0.0/0, для одного секрета на каждое приложение можете выбрать подсеть из одного ip: 192.168.2.5/32. - Нужно настроить маппинг, какое приложение в консоли администратора с запросом из какой подсети/NAS ID будет ассоциироваться (тут, как и выше, можно выбрать подсеть или конкретный ip-адрес через маску 32). Эта настройка не обязана совпадать с подсетью для Общего ключа. [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/scaled-1680-/QFqimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/QFqimage.png) ### Итог После выполнения таких настроек пользователи смогут подключаться к удаленному рабочему столу по стандартной процедуре входа.
Внимание:
При настройке интеграции RADIUS вторым фактором можно использовать только факторы, не требующие графического взаимодействия с пользователем на ПК (Blitz Key, DUO), т.к. интерфейс не позволяет отрисовать какие-либо окна для запросов факторов
[Кастомизировать процедуру входа](https://docs.identityblitz.ru/5.31/admin-guide/auth-flows-create-new.html) можно тут: **Консоль управления - RADIUS - Процедуры обработки запросов**. Каждую процедуру можно ассоциировать с конкретным приложением. # SimpleOne **SimpleOne** () - ESM-платформа для автоматизации бизнеса. Подключение SimpleOne к Blitz Identity Provider выполняется по протоколу SAML и состоит из двух этапов: * Этап 1. Настройки на стороне SimpleOne * Этап 2. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что SimpleOne расположен на домене https://company.simpleone.ru, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне SimpleOne Выполните следующие действия: 1. **Войдите** в SimpleOne под учетной записью администратора и **Перейдите** в раздел **Настройка SAML2**. 2. Заполните поля с обязательными параметрами: * **Имя**: укажите любое название. Например, ``simple-dev-saml``. * **Колонка пользователя**: выберите ``Электронная почта``. * Установите флажок рядом с ``Активно``. * **Метаданные сервера SAML**: укажите URL ``https://login.company.com/blitz/saml/profile/Metadata/SAML``.

### Этап 2. Настройки на стороне Blitz Identity Provider В консоли управления Blitz Identity Provider перейдите в раздел __SAML__ и выполните следующие действия: 1. Нажмите __Добавить новый SAML-атрибут__. 2. Укажите название атрибута и его источник в хранилище. В данном случае источник ``mail``. Выберите его из выпадающего списка. 3. После заполнения свойств атрибута нажмите __Добавить__.

4. Далее добавьте кодировщик для атрибута. Для этого выберите атрибут и нажмите __Добавить кодировщик__. 5. Для атрибута добавьте кодировщики ``SAML2StringNameID`` и ``SAML2String``. Присвойте кодировщику название ``EmailAddress``. 6. Нажмите __Сохранить__ после каждого создания кодировщика. 7. Далее в консоли управления *Blitz Identity Provider* перейдите в раздел **Приложения**. 8. Создайте новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: ``https://company.simpleone.ru`` * **Название**: укажите название приложения, которое видно только внутри Blitz. Например, ``SimpleOne``. * **Домен**: ``https://company.simpleone.ru``

9. Нажмите **Сохранить**. 10. Далее нажмите кнопку **Параметры** у предложения SimpleOne и отредактируйте параметры приложения: * **Протоколы**: выберите ``SAML`` и нажмите **Сконфигурировать** * Выберите **SAML 2.0 Web SSO Profile** и нажмите **Сконфигурировать**. Установите следующие настройки: * **Подписывать утверждения**: ``never`` * **Шифровать утверждения**: ``never`` * **Шифровать идентификаторы (NameIds)**: ``never`` * **Включить передачу SAML-утверждений о пользователе в специальном блоке AttributeStatement**: установить флажок.

11. В разделе **Атрибуты пользователя** настройте передачу в SimpleOne атрибута ``transientId``, а также созданного на первом этапе SAML-атрибута. 12. Нажмите **Сохранить**. 13. Далее в разделе __Метаданные__ нажмите __Изменить__. Скопируйте и вставьте следующий код: ```xml urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress ``` 14. Нажмите **Сохранить**.

Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в SimpleOne: https://company.simpleone.ru

# WordPress **WordPress** () - это система управления содержимым сайта. Подключение WordPress к Blitz Identity Provider выполняется по протоколу OpenID Connect и состоит из двух этапов: * Этап 1. Настройки на стороне WordPress * Этап 2. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что WordPress расположен на домене https://wp.company.com, а Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне WordPress Выполните следующие действия: 1. Для интеграции WordPress с Blitz Identity Provider войдите в WordPress под учетной записью администратора. Установите плагин OpenID Connect Generic и перейдите в его настройки. 2. Далее заполните следующие поля: * **Login Type** - выберите Auto ``Login - SSO``. * **Client ID** - укажите уникальное название для идентификации приложения. Например, ``Blitz``. * **Client Secret Key** - задайте секретный ключ для безопасной аутентификации приложения. * **OpenID Scope** - укажите необходимые разрешения для получения данных. Например, обязательный scope ``openid`` и стандартный scope ``profile``. При указании нескольких разрешений разделите их пробелом. * **Login Endpoint URL** - укажите URL для авторизации. Например, ``https://login.company.com/blitz/oauth/ae``. * **Userinfo Endpoint URL** - укажите URL сервиса получения данных пользователя. Например, ``https://login.company.com/blitz/oauth/me``. * **Token Validation Endpoint URL** - укажите URL для получения маркера доступа. Например, ``https://login.company.com/blitz/oauth/te``. * **End Session Endpoint URL** - укажите URL для выхода из приложения. Например, ``https://login.company.com/blitz/login/logout`` * **Identity Key** - укажите в фигурных скобках ключ идентификации. Например, ``{sub}``. * **Nickname Key** - укажите в фигурных скобках ключ имени пользователя. Например, ``{sub}``. * **Email Formatting** - укажите в фигурных скобках формат электронной почты. Например, ``{email}``. * **Display Name Formatting** - укажите в фигурных скобках формат отображения имени. Например, ``{family_name} {given_name}``. [![](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720691937526.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2024-08/image-1720691937526.png) 3. Нажмите __Сохранить изменения__. --- ### Этап 2. Настройки на стороне Blitz Identity Provider В консоли управления _Blitz Identity Provider_ перейдите в раздел **Приложения** и выполните следующие действия: 1. **Создайте** новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: аналогичный client_id, который был прописан в OpenID Connect Generic * **Название**: имя приложения WordPress, которое будет отображаться на стороне Blitz IDP * **Домен**: ``https://wp.company.com``

2. Нажмите **Сохранить**. 3. Далее нажмите кнопку **Параметры** у предложения WordPress и отредактируйте параметры приложения: * **Протоколы**: выберите ``OAuth 2.0`` и нажмите **Сконфигурировать** *Далее в параметрах укажите данные, как в OpenID Connect Generic и другие обязательные параметры:* * **Секрет (client_secret)**: аналогичный client_secret, который был указан в настройках OpenID Connect Generic * **Префиксы ссылок возврата**: ``https://wp.company.com`` * **Допустимые разрешения**: ``openid`` ``profile`` * **Метод аутентификации при обращении к сервису выдачи маркеров**: ``client secret post`` * **Допустимые response type**: ``code`` ``token``

4. Нажмите **Сохранить**.
Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в WordPress: https://wp.company.com

# Yandex Cloud **Yandex Cloud** () — это веб-платформа организации облачных вычислительных мощностей. Подключение Yandex Cloud к Blitz Identity Provider выполняется по протоколу SAML и состоит из двух этапов: * Этап 1. Настройки на стороне Yandex Cloud * Этап 2. Настройки на стороне Blitz Identity Provider
Важно:

В инструкции для примера указано, что Blitz IDP установлен на домене https://login.company.com. Уточните ваши адреса перед применением инструкции.

### Этап 1. Настройки на стороне Yandex Cloud 1. Создайте федерацию удостоверений. Для этого Перейдите в сервис и выберите на панели __Федерации__. Нажмите __Создать федерацию__: * __Название__: Задайте уникальное имя федерации. Например,``blitz``. * __IdP Issuer__: ``https://login.company.com/blitz/saml`` * __Ссылка на страницу для входа в IdP__: ``https://login.company.com/blitz/saml/profile/SAML2/Redirect/SSO``

2. Нажмите __Создать федерацию__. 3. Далее передайте сертификат Blitz IDP в федерацию. Для этого перейдите по ссылке ``https://login.company.com/blitz/saml/profile/Metadata/SAML``, откройте XML документ с метаданными и найдите раздел ````. Например:

4. __Скопируйте__ сертификат. 5. Для добавления сертификата в Yandex Cloud нажмите на имя созданной федерации и __Добавить сертификат__: * __Название__: введите название сертификата. Например, ``blitz``. * __Способ__: ``Текст``. * __Вставьте__ сертификат в PEM-формате: ``` -----BEGIN CERTIFICATE----- <значение сертификата> -----END CERTIFICATE----- ```

6. Нажмите кнопку __Добавить__. ### Этап 2. Настройки на стороне Blitz Identity Provider В консоли управления Blitz Identity Provider перейдите в раздел __SAML__ и выполните следующие действия: 1. Нажмите __Добавить новый SAML-атрибут__. 2. Укажите название атрибута и его источник в хранилище. В данном случае источник ``email``. Выберите его из выпадающего списка. 3. После заполнения свойств атрибута нажмите __Добавить__.

4. Далее добавьте кодировщик для атрибута. Для этого выберите атрибут и нажмите __Добавить кодировщик__.

5. Для атрибута добавьте кодировщики ``SAML2String`` и ``SAML2StringNameID``. Присвойте каждому кодировщику название ``urn:blitz:email``. 6. Задайте настройки кодировщика по аналогии с приведенным ниже примером:

7. Нажмите __Сохранить__ после каждого создания кодировщика. 8. Далее в консоли управления _Blitz Identity Provider_ перейдите в раздел __Приложения__. 9. Создайте новое приложение, задав его базовые настройки: * **Идентификатор (entityID или client_id)**: ACS URL из Yandex Cloud в формате ``https://console.cloud.yandex.ru/federations/идентификатор_федерации`` * **Название**: укажите название приложения, которое видно только внутри Blitz. Например, ``YandexCloud``. * **Домен**: ``https://console.cloud.yandex.ru/``

10. Нажмите **Сохранить**. 11. Далее нажмите кнопку **Параметры** у предложения YandexCloud и отредактируйте параметры приложения: * **Протоколы**: выберите ``SAML`` и нажмите **Сконфигурировать** * Выберите **SAML 2.0 Web SSO Profile** и нажмите **Сконфигурировать**. Установите следующие настройки: * **Подписывать утверждения**: ``always`` * **Шифровать утверждения**: ``never`` * **Шифровать идентификаторы (NameIds)**: ``never`` * **Включить передачу SAML-утверждений о пользователе в специальном блоке AttributeStatement**: установить флажок.

12. В разделе **Атрибуты пользователя** настройте передачу в Yandex Cloud атрибута ``transientId``, а также созданного на первом этапе SAML-атрибута.

13. Нажмите **Сохранить**. 14. Далее в разделе __Метаданные__ нажмите __Изменить__. Скопируйте и вставьте следующий код, заменив ссылку в ``entityID`` и ``Location``, которая находится в Yandex Cloud в поле ACS URL.

```xml ``` 15. Нажмите **Сохранить**.
Совет:

После прохождения всех шагов рекомендуем проверить корректность входа в Yandex Cloud: https://console.yandex.cloud/federations/идентификатор_федерации.

# Zabbix **Zabbix** ([https://www.zabbix.com/ru/](https://www.zabbix.com/ru/)) - система мониторинга ИТ-инфраструктуры. Подключение Zabbix к Blitz Identity Provider выполняется по протоколу SAML и состоит из двух этапов: - Этап 1. Настройки на стороне Zabbix; - Этап 2. Настройки на стороне Blitz Identity Provider. ### Этап 1. Настройки на стороне Zabbix Выполните следующие действия: 1\. Войдите в Zabbix под учетной записью администратора и перейдите в раздел **User** -**> Authentication -> SAML settings** 2\. Заполните поля с обязательными параметрами. Подробнее, можно ознакомиться в [документации](https://docs.identityblitz.ru/latest/integration-guide/saml.html): - **IdP entity ID:** [https://blitz.company.com/blitz/saml](https://login.company.com/blitz/saml) - **SSO service URL (URL для аутентификации):** [https://](https://alt10.local/blitz/saml/profile/SAML2/Redirect/SSO)[blitz.company.com](https://login.company.com/blitz/saml)[/blitz/saml/profile/SAML2/Redirect/SSO](https://alt10.local/blitz/saml/profile/SAML2/Redirect/SSO) - **SLO service URL (URL для логаута):** [https://blitz.company.com/blitz/saml/profile/SAML2/Redirect/SLO](https://login.company.com/blitz/saml/profile/SAML2/Redirect/SLO) - **Username attribute:** email - атрибут задается в IDP - **SP entity ID:** zabbix [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/WEdizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/WEdizobrazenie.png) 3\. Создайте пользователя в разделе **Users -> Users.** В качестве имени пользователя, укажите почтовый адрес из атрибута - email. Пример: [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/MZgizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/MZgizobrazenie.png) 4\. Загрузите сертификат idp.crt в Zabbix.  Сертификат idp.crt формируется во время установки blitz и хранится в директории `/usr/share/identityblitz/blitz-config/saml/credentials/idp.crt`. Скопируйте сертификат на сервер с Zabbix `/var/www/webapps/zabbix/ui/conf/certs/idp.crt` и установите разрешение 644. Раскомментируйте строку $SSO\['IDP\_CERT'\] = 'conf/certs/idp.crt'; в директории `/var/www/webapps/zabbix/ui/conf/zabbix.conf.php` 5\. **Опционально.** Настройка подписи на выход из системы и подпись утверждений. Установите требуемые флажки в разделе **User** -**> Authentication -> SAML settings**: [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/bjTizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/bjTizobrazenie.png) 5.1. Скопируйте сертификат и публичный ключ в `/var/www/webapps/zabbix/ui/conf/certs/` Раскомментируйте строки в файле `/var/www/webapps/zabbix/ui/conf/zabbix.conf.php` и укажите путь до сертификата и ключа, пример: $SSO\['SP\_KEY'\]                  = 'conf/certs/idp.key'; $SSO\['SP\_CERT'\]                 = 'conf/certs/idp.crt'; ### Этап 2. Настройки на стороне Blitz Identity Provider 1\. Добавьте атрибут email в разделе SAML c кодировщиком SAML2String и кодировщиком SAML2StringNameID: [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/Wjhizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/Wjhizobrazenie.png) 2\. Создайте приложение, например zabbix. Выберите протокол SAML и задайте настройки: 2.1. **Метаданные.**  Создайте метаданные с помощью [samltool](https://www.samltool.com/sp_metadata.php) [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/YJEizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/YJEizobrazenie.png) [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/6wPizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/6wPizobrazenie.png) Добавьте метаданные в настройки приложения и отредактируйте при необходимости параметр validUntil: [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/fTVizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/fTVizobrazenie.png) 2.2. **SAML профиль.** - **Подписывать утверждения:** always - **Шифровать утверждения:** never - **Шифровать идентификаторы(Namelds):** never - [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-07/scaled-1680-/QvBizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-07/QvBizobrazenie.png)  **Включить передачу SAML-утверждений о пользователе в специальном блоке Attribute Statement** В атрибутах пользователя задаем ранее добавленный SAML-атрибут, в нашем случае это email. В итоге должен получиться следующий результат: [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/RaXizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/RaXizobrazenie.png) 3\. **Опционально.**  Настройка подписи на выход из системы и подпись утверждений. Сформируйте метаданные с сертификатом при помощи [samltool](https://www.samltool.com/sp_metadata.php) [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/Bd5izobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/Bd5izobrazenie.png) 3.1. Добавьте метаданные в приложение и отредактируйте при необходимости параметр validUntil: [![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/scaled-1680-/l6fizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-08/l6fizobrazenie.png) После выполнения всех настроек, будет доступен вход в zabbix, через систему единого входа (SAML)[![изображение.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-07/scaled-1680-/R6Hizobrazenie.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2025-07/R6Hizobrazenie.png) # Подключение AD FS как клиент (Service Provider) для Blitz IDP **AD FS (Active Directory Federation Services)** - компонент Windows Server, обеспечивающий федеративное управление удостоверениями и доступом. Он позволяет использовать единый вход (SSO) для безопасного доступа к внешним веб-приложениям, облачным сервисам и ресурсам партнеров, используя учетные данные корпоративной Active Directory Основная настройка интеграции заключается в обмене файлами метаданных с параметрами подключения между AD FS и Blitz IDP: - URL метаданных Blitz IDP: ``https://login.company.com/blitz/saml/profile/Metadata/SAML`` - URL метаданных AD FS: ``https://adfs.company.com/FederationMetadata/2007-06/FederationMetadata.xml`` Подключение AD FS к Blitz Identity Provider выполняется по протоколу SAML и состоит из двух этапов: - Этап 1. Настройки на стороне AD FS - Этап 2. Настройки на стороне Blitz Identity Provider - Этап 3. Настройка атрибутов AD FS ### Этап 1. Настройки на стороне AD FS 1. В оснастке управления AD FS необходимо добавить внешний провайдер, данные для настройки импортируйте из файла метаданных Blitz IDP. Название на следующем шаге - произвольное, например - Blitz IDP. [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/scaled-1680-/SUzimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/SUzimage.png) 2. После создания провайдера в его настройках необходимо изменить алгоритм хэширования на **SHA-1 .** [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/scaled-1680-/Pbuimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-04/Pbuimage.png) ### Этап 2. Настройки на стороне Blitz IDP 1. В Консоли администратора cоздайте новое приложение с идентификатором ``http://adfs.company.com/adfs/services/trust`` и значением домена ``adfs.company.com``. Проверить идентификатор можно в метаданных ADFS, значение параметра ``entityID``. 2. После создания приложения необходимо сконфигурировать протокол SAML: - **Метаданные**: в метаданные загрузите метаданными AD FS ``FederationMetadata.xml``. - **SAML профиль**: выберите ``SAML 2.0 Web SSO Profile`` и задайте параметры: - Подписывать утверждения: ``always`` - Шифровать утверждения: ``never`` - Шифровать идентификаторы (NameIds): ``never`` 3. Отметьте чек-бокс _Включить передачу SAML-утверждений о пользователе в специальном блоке Attribute Statement_. В **Атрибуты пользователя** указать атрибуты, которые необходимо передавать в AD FS. ### Этап 3. Настройка передачи атрибутов Blitz IDP -> ADFS -> Приложение Есть две схемы передачи атрибутов из Blitz IDP в Клиентское приложение через ADFS. Их можно использовать как совместно, так и по отдельности: - Вариант 1. AD FS работает просто как "передатчик" - присланный из Blitz IDP атрибут передает в клиентское приложение с таким же или измененным названием. - Вариант 2. Blitz передает определенный атрибут (с именем ``http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname`` и значением ``ДОМЕН\пользователь``), по которому ADFS может найти пользователя в AD и отправить в клиентское приложение атрибуты из AD этого пользователя. Этот вариант менее затратный, т.к. не потребует настройки передачи всех атрибутов из Blitz, настройки их приёма в ADFS и изменения настроек всех клиентских приложений ADFS на новые атрибуты. #### Вариант 1. Передача атрибута в Приложение через AD FS ##### Шаг 1. Настройка со стороны Blitz IDP 1. В консоли администратора **SAML -> Атрибуты -> Добавить новый SAML-атрибут**: - Название: произвольное, - Источник: название атрибута пользователя, значение из которого будет отправлено Кодировщик. [![Screenshot 2026-05-04 103354.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/screenshot-2026-05-04-103354.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/screenshot-2026-05-04-103354.png) 2. В SAML помимо значения атрибута передается еще и его тип. Для вновь созданного SAML атрибута необходимо настроить как минимум один кодировщик, иначе атрибут передан не будет. Для AD FS нужно выбирать кодировщик SAML2. Для SAML2 есть два кодировщика: **String** и **StringNameID**.
Важно:

По спецификации SAML в ответе должен быть один атрибут NameID (не ноль и не два и более), иначе ответ будет считаться ошибочным и принят клиентом не будет.

Настройте хотя бы один кодировщик для типа **NameID**, тогда значение передаваемого в нем атрибута будет сопоставлено с внутренним атрибутом AD FS под названием **Name** ``http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name``. Правильным будет в **NameID** передавать атрибут ``sub`` из Blitz IDP, таким образом будет выполнено сопоставление уникальных идентификаторов в обеих системах. Количество атрибутов с кодировщиком String не ограничено. [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/2qHimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/2qHimage.png) 3. После выбора типа кодировщика нужно выбрать Название из Приложения 1 - по нему AD FS определяет к какому внутреннему атрибуту AD FS относится входящий атрибут из SAML-Response, который формирует Blitz IDP. Формат имени обычно ``persistent``, проверить можно в метаданных AD FS по пути ``/EntityDescriptor/SPSSODescriptor/`` - тут перечислены допустимые **NameID**. [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/2dcimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/2dcimage.png) ##### Шаг 2. Настройка на стороне AD FS 1. Помимо известного для AD FS названия атрибута нужно настроить его приём в AD FS для возможности дальнейшей обработки\\передачи. В **Claim Provider Trusts** выберите настроенный ранее провайдер Blitz IDP, справа нажмите **Редактировать правила обработки утверждений**, добавьте новое правило из имеющихся шаблонов, а также введите дополнительную информацию, нужную для работы правила. [Полное описание правил.](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/configuring-claim-rules) [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/cQGimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/cQGimage.png) 2. Для простого приёма атрибута в AD FS без его изменения выберите правило *"Проход через входящие утверждение или его фильтрация"*: **Название:** любое понятное, ниже - выбранный ранее **шаблон**, **Тип входящего утверждения** должен соответствовать "Имени в ADFS" из Приложения 1 [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/DZhimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/DZhimage.png) 3. Для простой передачи атрибута в клиентское приложение нужно добавить правило *"Проход через входящие утверждение или его фильтрация"* в политику выдачи утверждений в настройках приложения: [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/KmUimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/KmUimage.png) #### Вариант 2. Настройка передачи данных из AD при аутентификации через внешний провайдер 1. В Blitz IDP надо настроить передачу атрибута с названием в кодировщике ``http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname`` и значением `NetBIOS-имя-домена\пользователь: CONTOSO\user`. В AD атрибута с таким значением у пользователя нет, поэтому будем использовать вычисляемый атрибут в Blitz IDP. Создаём вычисляемый атрибут с правилом вычисления `CONTOSO\\${sub}`: [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/RZgimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/RZgimage.png) 2. Настройте SAML-атрибут и Кодировщик для него: [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/Wleimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/Wleimage.png) 3. В приложении для подключения AD FS настройте передачу созданного атрибута: [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/Wmtimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/Wmtimage.png) 4. В AD FS для провайдера нужно создать кастомное правило обработки утверждений, которое меняет подпись для утверждения ``http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname`` из внешнего провайдера на "AD AUTHORITY" - без такой подписи AD поиск пользователя отклонит: [![image.png](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/scaled-1680-/fukimage.png)](https://docs.identityblitz.ru/kb/uploads/images/gallery/2026-05/fukimage.png) **Правило:** ``` c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"] => issue(Type = c.Type, Issuer = "AD AUTHORITY", OriginalIssuer = c.OriginalIssuer, Value = c.Value); ``` ### Дополнительно #### Атрибуты и названия claim внешнего провайдера для их автоматического маппинга в AD FS
Имя в ADFSОписание Название атрибута для передачи
E-Mail AddressThe e-mail address of the userhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
Given NameThe given name of the userhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
NameThe unique name of the userhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
UPNThe user principal name (UPN) of the userhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn
Common NameThe common name of the userhttp://schemas.xmlsoap.org/claims/CommonName
AD FS 1.x E-Mail AddressThe e-mail address of the user when interoperating with AD FS 1.1 or AD FS 1.0http://schemas.xmlsoap.org/claims/EmailAddress
GroupA group that the user is a member ofhttp://schemas.xmlsoap.org/claims/Group
AD FS 1.x UPNThe UPN of the user when interoperating with AD FS 1.1 or AD FS 1.0http://schemas.xmlsoap.org/claims/UPN
RoleA role that the user hashttp://schemas.microsoft.com/ws/2008/06/identity/claims/role
SurnameThe surname of the userhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
PPIDThe private identifier of the userhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/privatepersonalidentifier
Name IdentifierThe SAML name identifier of the userhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier
Authentication MethodThe method used to authenticate the userhttp://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod
Deny Only Group SIDThe deny-only group SID of the userhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/denyonlysid
Deny only primary SIDThe deny-only primary SID of the userhttp://schemas.microsoft.com/ws/2008/06/identity/claims/denyonlyprimarysid
Deny only primary group SIDThe deny-only primary group SID of the userhttp://schemas.microsoft.com/ws/2008/06/identity/claims/denyonlyprimarygroupsid
Group SIDThe group SID of the userhttp://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid
Primary group SIDThe primary group SID of the userhttp://schemas.microsoft.com/ws/2008/06/identity/claims/primarygroupsid
Primary SIDThe primary SID of the userhttp://schemas.microsoft.com/ws/2008/06/identity/claims/primarysid
Windows account nameThe domain account name of the user in the form of <domain>\\<user>http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname
# Подключение к серверу по SSH с аутентификацией через Blitz IDP Подключение к серверу по SSH с аутентификацией через Blitz IDP выполняется в несколько этапов: * Этап 1. Настройки RADIUS-сервера в Blitz Identity Provider * Этап 2. Установка модуля `pam_radius` * Этап 3. Настройки SSH-клиента * Этап 4. Настройки подключения к RADIUS-серверу Для подключения к серверу по SSH с аутентификацией через Blitz IDP выполните следующие действия: 1. Выполните настройки RADIUS-сервера в Blitz IDP согласно [документации](https://docs.identityblitz.ru/latest/admin-guide/radius.html#radius). 2. Установите модуль `pam_radius` на машине, на которой настраивается ssh-доступ. Общая инструкция по установке и настройке: [PAM RADIUS Installation and Configuration Guide](https://docs.secureauth.com/2104/en/pam-radius-installation-and-configuration-guide.html). 3. Выполните настройки SSH-клиента: * в файле `/etc/ssh/sshd_config` установите: ```plaintext UsePAM yes ChallengeResponseAuthentication yes ``` * в файле `/etc/pam.d/sshd` замените строку `auth substack password-auth` на блок: ```plaintext auth required pam_sepermit.so auth sufficient pam_radius_auth.so #auth substack password-auth auth include password-auth ``` 4. Определите файл, в котором будет выполнятся настройка подключения к RADIUS-серверу:
Важно:

При установке из исходных файлов создайте и используйте файл /etc/raddb/server. При установке из пакета ОС используйте файл /etc/pam_radius.conf.

* В выбранном файле добавьте строку формата: ```plaintext server[:port] shared_secret timeout (s) ``` Где: - `server[:port]` — адрес и порт, на котором настроен RADIUS-сервер в Blitz IDP; - `shared_secret` — общий ключ, настроенный для сегмента сети SSH-клиента; - `timeout` — время ожидания ответа от RADIUS-сервера Blitz IDP, в секундах. Например: ```plaintext 172.25.0.81 F6406C95-2597-46DC-8576-4066F6E8B311 60 ```
Совет:

После прохождения всех шагов рекомендуем проверить корректность подключения к серверу по SSH с аутентификацией через Blitz IDP.