InterMIND

Настройка SSO

Подключите Okta, Microsoft Entra ID или Google Workspace, чтобы ваша команда входила через вашего провайдера удостоверений.

Настройка SSO

Это руководство для IT-администратора, который подключает корпоративный поставщик удостоверений (IdP) к InterMIND. После настройки участники входят с обычной страницы входа: Войти через SSO → рабочий email → ваш IdP → обратно в InterMIND. Обзор для нетехнических специалистов см. на странице функции Single Sign-On.

Доступно на: тарифах Business и Enterprise Настраивает: владелец команды или администратор Протокол: только OpenID Connect (OIDC). SAML 2.0 не поддерживается — Okta, Microsoft Entra ID и Google Workspace все поддерживают OIDC.

Карточка SSO на странице Integrations

Предварительные требования

  1. Подтверждённый домен — сначала подтвердите ваш email-домен через DNS TXT-запись (см. Управление доменами). Вход через SSO принимает только аккаунты, чей email-домен ваша команда подтвердила; это граница тенанта.
  2. IdP, поддерживающий OIDC с discovery — он должен отдавать /.well-known/openid-configuration по URL Issuer. У Okta, Microsoft Entra ID и Google это есть.

Что зарегистрировать в вашем IdP

Создайте OIDC Web Application в вашем IdP со следующими параметрами:

ПараметрЗначение
Redirect URI (callback)https://intermind.com/api/auth/sso/callback — также показан в карточке SSO после выбора OIDC
Grant typeAuthorization Code (PKCE S256 применяется автоматически)
Scopesopenid email profile

ID-токен, который выдаёт ваш IdP, должен содержать email пользователя, а домен этого email должен быть одним из ваших подтверждённых доменов — иначе вход будет отклонён.

Затем заполните карточку SSO на странице Integrations:

ПолеЧто вставить
Display NameЛюбая метка, которую узнают ваши участники
Issuer URLIssuer вашего IdP — URL, который отдаёт /.well-known/openid-configuration
Authorization URLЗначение authorization_endpoint из этого discovery-документа
Client ID / Client SecretИз зарегистрированного приложения

Client secret хранится зашифрованным при хранении и после сохранения не возвращается в браузер.

Okta

  1. Admin console → Applications → Create App Integration → метод входа OIDC, тип приложения Web Application
  2. Sign-in redirect URI: https://intermind.com/api/auth/sso/callback
  3. Назначьте пользователей или группы, которым нужен доступ
  4. Скопируйте Client ID и Client Secret
  5. В InterMIND: Issuer URL = URL вашей организации Okta (например, https://acme.okta.com, или issuer вашего authorization server, такой как https://acme.okta.com/oauth2/default, если вы его используете); Authorization URL = authorization_endpoint из <issuer>/.well-known/openid-configuration

Microsoft Entra ID (Azure AD)

  1. Entra admin center → App registrations → New registration
  2. Платформа Web, redirect URI https://intermind.com/api/auth/sso/callback
  3. Certificates & secrets → New client secret — скопируйте Value секрета немедленно
  4. Client ID = Application (client) ID на странице Overview
  5. Убедитесь, что ID-токен содержит email пользователя: Token configuration → Add optional claim → ID → email
  6. В InterMIND: Issuer URL = https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL = https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize

Google Workspace

Регистрация приложения не требуется. В карточке SSO выберите тип провайдера Google Workspace и сохраните — участники на ваших подтверждённых доменах войдут через свой Google-аккаунт и автоматически присоединятся к команде. (Google можно также подключить как универсальный OIDC-провайдер с issuer https://accounts.google.com, если вы предпочитаете явные client credentials.)

Проверка подключения

  1. Откройте страницу входа в приватном окне / в режиме инкогнито
  2. Нажмите Войти через SSO и введите рабочий email на вашем подтверждённом домене
  3. Вы будете перенаправлены к вашему IdP; после аутентификации вы вернётесь в InterMIND с активной сессией
  4. Вход фиксируется в журнале аудита команды (экспортируется со страницы Users) как auth.login с методом sso

Устранение неполадок

СимптомПричина
«SSO is not configured» после ввода emailНет включённой конфигурации SSO, совпадающей с этим email-доменом — проверьте, что домен подтверждён, а карточка SSO сохранена
SSO login is not available: planТариф команды больше не включает SSO
SSO login is not available: domain-not-verifiedДомен всё ещё ожидает проверки через DNS
SSO login is not available: config-incompleteОтсутствует Client ID или Client Secret — пересохраните карточку SSO
SSO login is not available: type-unsupportedСохранённый тип провайдера не реализован в потоке входа — удалите конфигурацию SSO и создайте её заново как OIDC или Google Workspace
SSO IdP discovery failedIssuer URL некорректен или не отдаёт /.well-known/openid-configuration
«login session expired, start again»Между началом входа и callback от IdP прошло более 5 минут
Вход отклонён после возврата от IdPIdP вернул email вне ваших подтверждённых доменов или вообще без claim email (Entra: добавьте опциональный email claim)

Свойства безопасности

Для анкет по безопасности: поток SSO использует Authorization Code с PKCE (S256), state и nonce; подпись ID-токена проверяется по JWKS IdP вместе с issuer и audience; IdP авторитативен только для доменов, подтверждённых через DNS — утверждение для любого другого email никогда не создаёт сессию; OIDC client secret зашифрован при хранении; каждый вход через SSO попадает в журнал аудита команды. Ограничения по тарифу, домену и конфигурации применяются на стороне сервера как при старте входа, так и при callback.

Интеграции

Календарь, Slack, Telegram, ключи API и AI-ассистенты для вашего аккаунта; синхронизация каталога, управление доменами и SSO для вашей команды.

Telegram

Пересылайте сообщения боту InterMIND, зеркалируйте группы Telegram в каналы и направляйте чаты во входящие.