SAML SSO для бізнес-рахунків та рахунків підприємств
Вступ до SAML SSO
Мова розмітки тверджень безпеки (Security Assertion Markup Language, SAML) - це відкритий стандарт, який забезпечує єдиний вхід (Single Sign-On, SSO). SAML та єдиний вхід є невід'ємними компонентами надійної стратегії кібербезпеки підприємства. Вони допомагають організації забезпечити безперешкодний доступ до необхідних ресурсів, сервісів і додатків. Вони також централізують управління, автентифікацію та прозорість.
Якщо ваша організація використовує постачальника ідентифікаційних даних (IdP), користувачі з вашої організації можуть автоматично входити до Filemail. Ми підтримуємо функцію SAML SSO з основними постачальниками ідентичностей, такими як Microsoft Entra (Azure AD) і Google Workspace. Це гарантує, що Filemail вписується в поточну систему автентифікації вашої організації, тим самим забезпечуючи спільний доступ до файлів відповідно до політик вашої організації.
Як використовувати SAML SSO з Filemail
Filemail надає послугу SAML SSO в наших тарифних планах " Бізнес" і " Корпоративний " для керованої передачі файлів. Щоб налаштувати SAML SSO у Filemail, ви повинні мати обліковий запис Business або Enterprise і права адміністратора. Якщо ви відповідаєте цим вимогам, виконайте наведені нижче дії.
- Увійдіть у веб-додаток Filemail.
- Клацніть назву свого облікового запису (у верхньому правому куті вікна браузера) і перейдіть до розділу Налаштування.
- У меню праворуч внизу виберіть пункт Єдиний вхід
- У випадаючому списку вкажіть постачальника послуг єдиного входу (Entra, Google Workspace).
- Введіть ідентифікатор орендаря.
- Крім того, ви можете призначити певні групи для використання Filemail, вказавши ідентифікатор групи.
Для більш детальних інструкцій, будь ласка, перегляньте наступні статті в нашому довідковому центрі:
Що таке ідентифікатор орендаря?
Ідентифікатор орендаря - це унікальний ідентифікатор, присвоєний ідентичності вашої організації на платформі постачальників ідентичностей, таких як Microsoft Entra (Azure Active Directory), Google Workspace тощо. Частина процесу автентифікації передбачає використання ідентифікатора користувача для перевірки того, що особа, яка використовує певний обліковий запис для входу, є частиною каталогу організації, а також для перевірки облікових даних користувача, якщо це так.
Зокрема, у випадку Filemail ми використовуємо ідентифікатор користувача для цього:
- Підтвердити приналежність користувача до вашої організації.
- Застосувати правильні політики безпеки та доступу, які ви визначили у постачальника ідентифікаторів.
- Переконатися, що користувач належить до дозволеної групи.
- Перевірити облікові дані користувача перед наданням доступу.
Що таке SAML?
Мова розмітки тверджень безпеки (Security Assertion Markup Language, SAML) - це безпечний протокол на основі XML, який уможливлює SSO. SAML дозволяє певним сторонам безпечно обмінюватися автентифікаційними даними між постачальником послуг та постачальником ідентифікаційних даних.
У нашому випадку він обмінюється даними між Filemail (постачальником послуг) і постачальником ідентифікаційних даних (Entra або Google Workspace). Це гарантує, що тільки дозволені користувачі вашої організації можуть отримати доступ до Filemail без необхідності вводити ті самі облікові дані.
Що таке SSO?
Єдиний вхід (Single Sign-On, SSO) - це протокол автентифікації користувачів, який дозволяє використовувати одні й ті ж облікові дані для входу в різні сервіси. Замість того, щоб мати унікальні, не пов'язані між собою облікові дані для кожного сервісу, який використовує ваша організація, ви використовуєте один обліковий запис і автоматично входите в усі пов'язані сервіси.
SSO - це поширений протокол, який надають і використовують великі технологічні організації, такі як Microsoft і Google. Наприклад, ви входите в один сервіс Google вручну, підтверджуючи себе за допомогою своїх облікових даних, в результаті чого всі інші сервіси Google більше не будуть запитувати у вас облікові дані для входу.
Як працює SAML SSO?
- Користувач хоче увійти до певного сервісу, який використовує SAML SSO.
- Постачальник послуг перенаправляє користувача до постачальника ідентифікаційних даних, такого як Microsoft Entra або Google Workspace.
- Постачальник ідентифікаційних даних запропонує користувачеві ввести свої облікові дані і може запросити додаткову перевірку, наприклад, двофакторну автентифікацію.
- Постачальник ідентифікаційних даних автентифікує користувача і за допомогою SAML повідомляє постачальника послуг про те, що автентифікація пройшла успішно.
- Постачальник послуг підтверджує це і надає доступ до використання свого додатку або послуги.
Переваги SSO
Переваги SSO особливо очевидні в середовищі з великою кількістю співробітників, які використовують різноманітні інтегровані додатки та сервіси:
Заощаджуйтечас: без необхідності входити в безліч сервісів і додатків повторно.
Менша кількість імен користувачів і паролів, якими потрібно керувати , що призводить до зменшення тертя і покращення взаємодії з користувачами в різних сервісах.
Зменшення простору для атак: менша кількість облікових даних зменшує можливості для недобросовісної поведінки хакерів, фішерів та шахраїв.
Спрощенийдоступ: користуйтеся різноманітними програмами та службами за допомогою однієї автентифікації, усуваючи необхідність багаторазового входу в підключені сервіси.
Широка підтримка в корпоративному середовищі: організації можуть використовувати додаткові сервіси, які централізовано управляються і регулюються їхньою внутрішньою політикою кібербезпеки.
Централізована автентифікація та управління: організації можуть забезпечити прозорість і відповідність вимогам у низці програм і служб, керуючи користувачами, набором облікових даних і доступом до журналів користувачів в одному місці.
Клієнти запитують, ми відповідаємо
1. Користувач намагається отримати доступ
Користувач намагається отримати доступ до послуги або програми. Постачальник послуг (SP) не автентифікує користувача безпосередньо. Замість цього він ініціює SAML-запит і перенаправляє користувача до визначеного постачальника ідентифікаційних даних (IdP).
2. Автентифікація користувача постачальником ідентифікаційних даних
Постачальник ідентифікаційних даних SAML автентифікує користувача на основі визначених політик безпеки вашої організації. Це може включати в себе
- Ім'я користувача та пароль
- Багатофакторна автентифікація (MFA)
Якщо автентифікація SAML пройшла успішно, постачальник ідентифікаційних даних генерує відповідь SAML, яка називається твердженням (Assertion).
3. Затвердження, надіслане постачальнику послуг
Затвердження SAML - це XML-документ з цифровим підписом, який підтверджує особу користувача і може містити додаткові атрибути. Це Затвердження безпечно передається Постачальнику послуг.
4. Постачальник послуг перевіряє Затвердження
Постачальник послуг здійснює перевірку:
- Цифровий підпис на твердженні, щоб переконатися, що він від надійного Постачальника Посвідчень.
- що термін дії твердження не закінчився
- Відповідність аудиторії та одержувача послуги
- Необов'язкові умови, такі як приналежність до групи або ролі
5. Доступ надано
Якщо всі перевірки пройдено, користувачеві надається доступ до запитуваної послуги або додатку без необхідності повторного входу в систему.
SSO (Single Sign-On) - це концепція, метод одноразової автентифікації користувача для надання йому доступу до різних сервісів і додатків без необхідності додаткових входів.
SAML (Security Assertion Markup Language) - це безпечний відкритий стандарт, який полегшує конкретний технологічний метод, що визначає, як автентифікувати і безпечно обмінюватися даними між постачальником послуг і постачальником ідентифікаційних даних для реалізації SSO.
Простий спосіб зрозуміти і підкреслити різницю полягає в тому, що SAML - це лише один із способів реалізації SSO. Інші широко прийняті протоколи, які забезпечують функціональність SSO, включають OAuth 2.0 і OpenID Connect (OIDC). SAML зазвичай використовується для SSO корпоративного рівня з такими сервісами, як Box, Salesforce і Filemail, де він широко застосовується в критично важливих для бізнесу додатках.
Інтеграція SAML SSO з Filemail доступна для наших бізнес-акаунтів та акаунтів Enterprise.
У рамках нашої надійної системи безпеки хмарних сервісів ми також забезпечуємо наскрізне шифрування та захист паролем, щоб захистити передачу великих файлів під час їх надсилання.