RU
Русский English Français
Войти Создать аккаунт
Администрирование и безопасность

Вход через аккаунт компании (SSO)

Для CRO и спонсоров: вход через провайдера компании, подключение, закрытие входа по паролю.

Для CRO и спонсоров, у которых есть свой сервер входа (Keycloak, Microsoft Entra ID, Google Workspace, ADFS, Okta, Shibboleth, Яндекс 360: любой сервер OpenID Connect или SAML 2.0). Сотрудники входят в YouEDC рабочим аккаунтом, со вторым фактором своей компании, и не заводят отдельный пароль для входа.

Как войти

Вход через аккаунт компании YouEDC кнопка «Войти через аккаунт компании» Провайдер компании рабочий пароль и второй фактор Проверка в YouEDC PKCE или подпись, издатель, домен Вы в портале вход и привязка записаны в аудит Пароль компании в YouEDC не попадает: портал получает от провайдера только имя и почту.
Человек входит у себя в компании, портал проверяет ответ и впускает только адреса доменов компании.
  1. На странице входа нажмите «Войти через аккаунт компании».
  2. Введите рабочую почту и нажмите «Перейти в мою компанию». Откроется страница входа вашей компании.
  3. Войдите там как обычно, со вторым фактором, если он у вас есть. Портал вернёт вас на рабочий стол уже вошедшим.

Если аккаунта в YouEDC ещё нет, а Владыка портала разрешил создавать их при первом входе, портал попросит проверить имя и дать согласие на обработку персональных данных, как при обычной регистрации. Без согласия аккаунт не создаётся.

Как подключить компанию

Это делает Владыка портала в разделе Администрирование › SSO.

  1. ИТ-отдел компании создаёт в своём провайдере клиента OpenID Connect (конфиденциальный, authorization code) и указывает адрес возврата, который показан на странице SSO.
  2. Владыка портала вводит название, домены почты компании, адрес провайдера (issuer), ID клиента и секрет, затем нажимает «Проверить провайдера».
  3. Один сотрудник компании входит для пробы. После этого можно включить «Закрыть вход по паролю для этих доменов».

Подключение по SAML 2.0

Многие компании, особенно в США и Германии, дают только SAML (ADFS, Microsoft Entra ID, Okta, Shibboleth, Keycloak). Выберите протокол подключения SAML 2.0.

  1. Передайте ИТ-отделу компании SAML-метаданные портала: кнопка «Скачать метаданные SP» на странице подключения или их адрес. В них entity ID портала, адрес Assertion Consumer Service (HTTP-POST) и сертификат, которым портал подписывает запросы.
  2. ИТ-отдел заводит портал как доверяющую сторону (поставщика услуг) с подписанными утверждениями (SHA-256), без шифрования утверждений и с почтой в NameID или в атрибуте (email, mail или emailaddress).
  3. ИТ-отдел присылает метаданные своего провайдера. Вставьте XML, загрузите файл или укажите адрес https и сохраните. Портал берёт из них entity ID провайдера, адрес входа и сертификаты подписи.
  4. Когда провайдер обновит сертификат, нажмите «Прочитать метаданные заново» (если указан адрес) или вставьте новые метаданные. На странице подключения видна дата окончания каждого сертификата.
Зашифрованные утверждения не используются. Ответ идёт в портал только по TLS; попросите ИТ-отдел подписывать утверждения и выключить шифрование (так по умолчанию в ADFS, Entra ID и Keycloak). Зашифрованный ответ отклоняется с этим советом.
Домены добавляйте, только если они точно принадлежат компании. Тот, кто управляет провайдером, может войти под любым адресом этих доменов. Один домен можно подключить только к одной компании.

Что проверяет портал

  • Вход начат в этом же браузере (state, PKCE S256) и не повторён (nonce), ответ пришёл не позже 10 минут.
  • Ответ выдал именно этот провайдер (издатель) и именно для YouEDC (получатель), срок действия не истёк. Ответ берётся напрямую у провайдера по защищённому соединению.
  • В SAML 2.0: ответ подписан сертификатом провайдера из его метаданных (утверждение или весь ответ; SHA-1 не принимается); читается только подписанная часть, поэтому поддельное утверждение рядом с подписанным не пройдёт; проверяются издатель, получатель (портал), адрес возврата, запрос, отправленный из этого браузера (InResponseTo), и сроки действия; каждое утверждение принимается один раз; документ с DTD или сущностями отклоняется.
  • Почта относится к доменам компании. Чужой адрес не войдёт, даже если провайдер его прислал.
  • Заблокированный аккаунт или аккаунт, ждущий одобрения, не войдёт и через компанию.

Привязка аккаунта, каждый вход и все изменения настроек пишутся в аудит. Секрет клиента после сохранения не показывается и в аудит не попадает.

Пароль и электронная подпись

  • Владыки портала всегда сохраняют вход по паролю, чтобы сбой провайдера не закрыл портал для всех.
  • Блокировка после неверных паролей не мешает входу через компанию: чужие попытки угадать пароль не выгонят сотрудника.
  • Электронная подпись по 21 CFR Part 11 по-прежнему требует пароль портала. Если аккаунт создан при входе через компанию, задайте пароль кнопкой «Забыли пароль?» до первой подписи.
Законность. Подключайте только провайдера, которым компания вправе пользоваться в стране этой установки. Портал запрашивает у провайдера только имя и почту (openid, email, profile; в SAML — NameID и атрибуты почты и имени).