Сертификаты

Последнее изменение: 27 апреля 2024

Сертификаты

При работе с федерациями используется два типа сертификатов:

• сертификат поставщиков удостоверений — сертификат, который выпускается на стороне поставщика удостоверений и добавляется при настройке федерации в панели управления. Без сертификата федерация работать не будет;
• сертификаты для подписи запросов — необязательный сертификат, который выпускается на стороне Selectel, если у федерации отмечен чекбокс Подписывать запросы аутентификации.

Сертификаты поставщиков удостоверений⁠

Вы выпускаете сертификат у поставщика удостоверений и добавляете его в федерацию в Selectel. Сертификат используется для проверки подлинности данных при аутентификации пользователя в панели управления.

Вы можете создать федерацию без сертификата и добавить его позже, но федерация без сертификата работать не будет. Для одной федерации можно добавить до 10 сертификатов.

Если у федерации несколько сертификатов, они будут применяться последовательно: если время жизни сертификата истекло или он некорректен, будет применен следующий загруженный сертификат.

Выпустить сертификат у поставщика удостоверений⁠

Keycloak

1. В панели управления Keycloak перейдите в раздел Realm settings → вкладка Keys.
2. В строке RS256 нажмите Certificate.
3. Скопируйте сертификат.

AD FS

1. На сервере AD FS откройте Server Manager.
2. В меню Tools выберите AD FS Management.
3. Откройте папку Services → Certificates.
4. Нажмите правой кнопкой мыши на блок Token-signing → View Certificate.
5. Откройте вкладку Details.
6. Нажмите Copy to file → Next.
7. Выберите формат Base-64 encoded X.509 (.CER).
8. Нажмите Next.
9. Введите имя для файла с сертификатом и выберите папку на устройстве, куда будет сохранен файл.
10. Проверьте настройки.
11. Нажмите Next.
12. Нажмите Finish.
13. Откройте файл и скопируйте содержимое сертификата.

Добавить сертификат⁠

1. В панели управления перейдите в раздел Управление доступом → Федерации.
2. Откройте страницу федерации.
3. В блоке Сертификаты IdP нажмите Добавить сертификат.
4. Введите имя сертификата.
5. Вставьте сертификат. Он должен начинаться с -----BEGIN CERTIFICATE----- и заканчиваться -----END CERTIFICATE-----
6. Нажмите Добавить.

Удалить сертификат⁠

1. В панели управления перейдите в раздел Управление доступом → Федерации.
2. Откройте страницу федерации.
3. В блоке Сертификаты IdP в строке сертификата нажмите .

Сертификаты для подписи запросов⁠

Сертификат для подписи запросов генерируется автоматически на стороне Selectel, если у федерации включена опция Подписывать запросы аутентификации.

Вы можете скачать сертификат и загрузить его при настройке федерации на стороне вашего поставщика удостоверений, подробнее в инструкциях Настроить федерацию на стороне Keycloak и Настроить федерацию на стороне Active Directory Federation Services.

Скачать сертификат для подписи запросов⁠

1. В панели управления перейдите в раздел Управление доступом → Федерации.
2. Откройте страницу федерации.
3. В поле Подписывать запросы аутентификации нажмите Скачать сертификат. Файл сертификата в формате .crt будет загружен на ваше устройство.