SSO в Пачке через Keycloak
Для интеграции Пачка используется OpenID Connect протокол.
Перейдите в Realm, который будет использоваться в интеграции с Пачкой. Realm не должен быть Master.
Создайте новый Client и сообщите нам его имя.
Укажите в разделе Valid redirect URIs:
- msauth.co.staply.pachca://auth
- com.pachca.app://oidc
- Ваш уникальный URL, который мы вам сообщим
Client authentication должен быть включён.
В Credentials скопируйте Secret и сообщите его нам.
Автоматический выход из Пачки (Backchannel logout)
Можно настроить автоматическое завершение сессии: когда сотрудник выходит из учётной записи в SSO-провайдере, его сессия в Пачке тоже завершается.
Для этого в Keycloak откройте клиента, созданного для Пачки, и в разделе Logout settings:
- Выключите Front channel logout.
- В поле Backchannel logout URL укажите
https://auth.pachca.com/realms/<название вашего realm>/protocol/openid-connect/logout/backchannel-logout— точный URL сообщит поддержка Пачки. - Включите Backchannel logout session required.
- Включите Backchannel logout revoke offline sessions.
После настройки напишите в поддержку Пачки — мы включим Backchannel logout со своей стороны.
Передача атрибутов сотрудника в Пачку
Для наглядности, мы опишем процесс передачи атрибута из Windows ADFS через Keycloak в Пачку.
На первом шаге необходимо настроить передачу атрибутов в Keycloak.
В ADFS менеджере открываем настройки приложения созданного для Пачки.
Нажимаем на "Edit…" 👇
На вкладке "Issuance Transform Rules" нажимаем "Edit Rule…"
Заполняем табличку необходимыми вам атрибутами.
Например, для передачи групп сотрудника необходимо выбрать поле "Is-Member-Of-DL".
Перейти в Keycloak в настройки клиента созданного для Пачки в разделе "Clients".
Перейти в раздел "Client scopes"
Нажать на первый элемент в списке "<название клиента>-dedicated".
Нажать "Configure a new mapper".
В списке выбрать "User Attribute" 👇
Заполнить форму необходимыми значениями. В примере мы передаём в Пачку значение атрибута "groupTags".
Для работы интеграции тегов в Пачки с группами в Active Directory аттрибут должен иметь такое название.
А вот так можно передать в Пачку указанный у сотрудника телефон:
🎉 Готово, теперь при очередном входе по SSO, в Пачку будут переданы новые значения атрибутов сотрудника.
Чтобы добавить в профиль сотрудника в Пачке другие поля, нужно в маппинге указать название атрибута:
- Телефон - phone_number
- Должность - title
- Департамент - department
- Групповые теги - group_tags
Так же вы можете передать в Пачку любые другие текстовые поля, которые есть в вашем каталоге. Например, руководителя сотрудника или его день рождения. Для этого необходимо:
- Создать необходимое поле через раздел "Участники" в интерфейсе Пачки (раздел участники -> настройки -> добавить поле -> установить название и любой тип, кроме "файл")
- Указать название этого атрибута в маппинге, как было описано выше для стандартных полей профиля
После настройки маппинга сообщите об этом нашей команде поддержки для подключения