Вход через SSO

Сотрудники входят в Kontext через корпоративную учётную запись (SSO) — по рабочей почте. Подойдёт любая система входа с поддержкой OpenID Connect (дальше — провайдер): Google Workspace, Microsoft Entra ID, Keycloak, Authentik и другие. Вход через SSO есть в тарифе «Компания».

Как входят сотрудники

Человек нажимает на странице входа «Войти через SSO компании».
Вводит рабочую почту, например ivan@firma.ru. По домену почты Kontext находит провайдера вашей компании и открывает его страницу входа.
После входа у провайдера человек возвращается в Kontext. Если у него в Kontext включена двухфакторная защита (2FA), Kontext попросит код и здесь.

Списка компаний, подключивших SSO, на странице входа нет: по рабочей почте Kontext находит только компанию этого человека.

Кто может войти через SSO

Только адреса на ваших доменах. Домен закрепляется только за одной компанией и только после того, как она подтвердит, что домен её. Домены общих почтовых служб — gmail.com, yandex.ru, mail.ru и подобных — не закрепляются ни за кем.
Участник ваших пространств с той же подтверждённой почтой. При первом входе его учётная запись привязывается к провайдеру. Если человек с такой почтой не состоит в пространствах компании, его учётная запись не привяжется — сначала его нужно пригласить.
Гость входит по паролю. Гостевая роль — для подрядчиков и клиентов: их учётные записи бывают и в пространствах других компаний, и ваш провайдер ими не управляет. Если гостя сделать участником, он будет входить через SSO, как все.
Новый сотрудник — если вы попросили создавать учётные записи при первом входе. Тогда после согласия на обработку данных учётная запись сразу появится в выбранном пространстве. Если нет — нового человека приглашают обычной ссылкой.

Как подключить

Зарегистрируйте Kontext у провайдера как приложение (клиент) — параметры ниже.
Напишите нам на support@kontext.su: адрес провайдера (issuer, например https://accounts.google.com или адрес вашего Keycloak), идентификатор клиента (client ID), домены почты сотрудников, пространство для новых людей, создавать ли учётную запись при первом входе и какую надпись показать на кнопке входа. Секрет клиента (client secret) в письме не присылайте.
Подтвердите, что домен ваш, — письмом с адреса на этом домене или записью TXT в DNS. Как именно — подскажем в ответ на заявку.
Введите секрет клиента сами: настройки пространства → вкладка «Подписка» → «Вход через SSO». Это может любой администратор подписки. Секрет хранится в зашифрованном виде, и посмотреть его потом не сможет никто — только заменить или стереть. Там же — адрес возврата с кнопкой «Копировать».
Мы включаем вход, когда всё готово, и сообщаем об этом письмом администраторам подписки.

Что указать у провайдера

Тип	Веб-приложение, вход по коду авторизации (authorization code flow)
Адрес возврата (redirect URI)	`https://app.kontext.su/api/auth/sso/callback`
Области доступа (scopes)	`openid`, `email`, `profile`

Если вход не работает

Во вкладке «Подписка» → «Вход через SSO» видно, действует ли вход, а если нет — почему: не введён секрет, не подтверждён домен, тариф не «Компания». Там же — последняя ошибка провайдера, например «провайдер не признал клиента» после опечатки в секрете. Когда вы введёте верный секрет, ошибка исчезнет.

Сотрудник на странице входа подробностей не видит. Ему покажут только, что вход через SSO сейчас не работает и что можно войти по паролю («Забыли пароль?») или написать администратору.

SSO и подписка

Если подписку не оплатили, вход через SSO продолжает работать — и неделю после конца периода, и когда пространство уже стало только для чтения: иначе люди без пароля не смогли бы забрать свои данные. Пока пространство только для чтения, новые учётные записи через SSO не создаются.
Перешли на тариф «Команда» — вход через SSO выключается с первого дня периода на этом тарифе. Тем, кто входил через SSO, и администраторам придёт письмо: входите по паролю, а если пароля не было — восстановите его через «Забыли пароль?». Вернётесь на «Компанию» — включим вход снова.

Ограничения

Один провайдер на подписку.
Вход по паролю остаётся. Сделать SSO единственным способом входа нельзя: иначе при сбое у провайдера войти было бы невозможно.
Если выйти из Kontext, вход у провайдера не завершится.
Списки сотрудников не синхронизируются. Учётная запись появляется при первом входе и не отключается сама, когда сотрудника удалили у провайдера, — уберите его из пространств компании во вкладке «Участники». Войти через SSO такой сотрудник, конечно, уже не сможет.
Android и Google. Google запрещает вход во встроенных окнах приложений, поэтому в приложении для Android вход через Google Workspace может не работать — войдите в браузере. С Keycloak и Microsoft Entra такой проблемы нет.