# Единый вход для вашей команды

> Войдите в консоль через поставщика SAML 2.0 или OpenID Connect вашей компании (Okta, Entra ID, Google Workspace, Keycloak), что является обязательным для каждого члена вашей организации.

Source: https://developers.anpheros.com/ru/guides/team-sso

На плане Scale ваша команда входит в консоль через поставщика удостоверений вашей компании (Okta, Microsoft Entra ID, Google Workspace, Keycloak или любой поставщик SAML 2.0 или OpenID Connect). Когда единый вход обязателен, люди, покидающие вашу компанию, теряют доступ к вашей организации, как только вы отключите их в вашем поставщике удостоверений; пароля или учетной записи Google больше недостаточно.

## Как это работает

1. Вы предоставляете нам сведения о вашем поставщике удостоверений (см. ниже) и домены электронной почты, используемые вашей командой.
2. Мы подключаем поставщика к вашей организации. Настройка выполняется вручную во время бета-тестирования и обычно занимает один рабочий день.
3. Ваша команда выбирает **Войти через SSO** на странице входа в консоль и вводит свой рабочий адрес электронной почты. Консоль находит вашего поставщика по домену и открывает страницу входа вашей компании.
4. При желании единый вход становится **обязательным**: участники могут получить доступ к проектам, ключам, приложениям и журналам вашей организации только после входа через вашего поставщика. Мы включаем эту функцию по вашему запросу, после того как вы убедитесь, что все могут войти.

Людям по-прежнему необходимо быть членами организации; единый вход определяет, как они подтверждают свою личность, а не кто принадлежит. Домен может принадлежать только одной организации, и общедоступные домены электронной почты (gmail.com, outlook.com…) не могут быть использованы.

## Что нам отправить

**SAML 2.0:** entity ID вашего IdP, URL единого входа (single sign-on URL) и сертификат подписи (или XML-файл метаданных).
Настройте ваш IdP следующим образом:

| Настройка | Значение |
|---|---|
| Assertion Consumer Service (ACS) URL | `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler` |
| Service provider entity ID | значение, которое мы отправим вам при начале настройки |
| Name ID | адрес электронной почты пользователя |

**OpenID Connect:** URL издателя (issuer URL), идентификатор клиента (client ID) и, для потока кода (code flow), секретный ключ клиента (client secret). Зарегистрируйте этот URI перенаправления (redirect URI) у вашего провайдера: `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler`.

Напишите на platform@anpheros.com с темой письма "SSO setup".

## Ограничения

- Единый вход (Single sign-on) применяется к консоли и API администратора (люди). Ключи API и токены доступа OAuth, используемые вашим программным обеспечением, не затрагиваются.
- Управление членством по-прежнему осуществляется в консоли; пользователи не создаются автоматически из вашего каталога.
- Страница согласия, ориентированная на пациента, не затрагивается: пациенты входят в систему с использованием своих собственных учетных записей.