Переход на Auth0 для SSO
dbt Labs сотрудничает с Auth0, чтобы расширить возможности единого входа (SSO) в dbt. Auth0 — это платформа управления идентификацией и доступом (IAM) с расширенными функциями безопасности, которую будет использовать dbt. Эти изменения потребуют определённых действий от клиентов, у которых уже настроен SSO в dbt. В этом руководстве описаны необходимые изменения для каждой среды.
Если вы ещё не настроили SSO в dbt, обратитесь к нашим руководствам по настройке единого входа через SAML, Okta, Google Workspace или Microsoft Entra ID (ранее Azure AD).
Начало миграции
Функция миграции Auth0 постепенно становится доступной для клиентов, у которых уже включены возможности SSO. Когда опция миграции будет включена для вашей учетной записи, вы увидите SSO Update Required в правой части верхнего меню, рядом с иконкой настроек.
Также вы можете начать процесс, нажав на имя своей учетной записи в меню в левом нижнем углу и перейдя в раздел Account settings > SSO & SCIM. Нажмите кнопку Begin Migration, чтобы начать.
Не используйте vanity URL при настройке параметров SSO. Необходимо использовать универсальный URL, указанный в настройках SSO для вашей среды. Например, если ваш vanity URL — cloud.MY_COMPANY.getdbt.com, в качестве <YOUR_AUTH0_URI> нужно указать auth.cloud.getdbt.com.
В настройках SSO есть два поля, которые понадобятся вам для миграции:
- Single sign-on URL: будет иметь формат URL для входа
https://<YOUR_AUTH0_URI>/login/callback?connection=<SLUG> - Audience URI (SP Entity ID): будет иметь формат
urn:auth0:<YOUR_AUTH0_ENTITYID>:<SLUG>
После того как вы выберете начало процесса миграции, дальнейшие шаги будут зависеть от настроенного провайдера идентификации. Вы можете сразу перейти к разделу, который соответствует вашей среде. Эти шаги применимы только для клиентов, проходящих миграцию; для новых конфигураций используются существующие инструкции по настройке.
SAML 2.0
После того как вы решите начать процесс миграции, дальнейшие шаги будут зависеть от настроенного поставщика удостоверений. Вы можете сразу перейти к разделу, соответствующему вашей среде. Эти шаги предназначены только для клиентов, выполняющих миграцию; для новых конфигураций следует использовать существующие инструкции по настройке.
SAML 2.0 и Okta
Поля Okta, которые будут обновлены:
- Single sign-on URL —
https://<YOUR_AUTH0_URI>/login/callback?connection=<SLUG> - Audience URI (SP Entity ID) —
urn:auth0:<YOUR_AUTH0_ENTITYID>:<SLUG>
Ниже приведены примерные шаги по обновлению. Необходимо выполнить их все, чтобы обеспечить бесперебойный доступ к dbt, и согласовать эти изменения с администратором вашего поставщика удостоверений.
- Замените
<SLUG>на slug URL входа вашей учётной записи.
Вот пример обновленной настройки SAML 2.0 в Okta.
Конфигурация Okta с новым URL- Сохраните конфигурацию, и ваши настройки SAML будут выглядеть примерно так:
Настройка новой конфигурации Okta завершена-
Переключите параметр
Enable new SSO authentication, чтобы убедиться, что трафик маршрутизируется корректно. Миграция на новый механизм SSO является окончательной и не может быть отменена. -
Сохраните настройки и протестируйте новую конфигурацию, используя URL для входа SSO, предоставленный на странице настроек.
SAML 2.0 и Entra ID
Поля Entra ID, которые будут обновлены:
- Single sign-on URL —
https://<YOUR_AUTH0_URI>/login/callback?connection=<SLUG> - Audience URI (SP Entity ID) —
urn:auth0:<YOUR_AUTH0_ENTITYID>:<SLUG>
Новые значения этих полей можно найти в dbt, перейдя в Account settings > SSO & SCIM.
-
Замените
<SLUG>на слаг URL входа вашей организации. -
Найдите приложение dbt SAML2.0 в разделе Enterprise applications в Azure. Нажмите Single sign-on в меню слева.
-
Отредактируйте блок Basic SAML configuration и введите значения из вашей учетной записи:
- Entra ID Identifier (Entity ID) = dbt Audience URI (SP Entity ID)
- Entra ID Reply URL (Assertion Consumer Service URL) = dbt Single sign-on URL
Редактирование настроек SAML в Entra ID -
Сохраните поля, и завершенная конфигурация будет выглядеть примерно так:
Заполненные поля конфигурации SAML в Entra ID -
Включите параметр
Enable new SSO authentication, чтобы обеспечить корректную маршрутизацию трафика. Новое действие миграции SSO является окончательным и не может быть отменено. -
Сохраните настройки и протестируйте новую конфигурацию, используя URL входа SSO, указанный на странице настроек.
Microsoft Entra ID
Администраторам Microsoft Entra ID, использующим OpenID Connect (OIDC), нужно изменить существующее приложение аутентификации. Пересоздавать приложение не требуется. Откройте портал Azure и перейдите на страницу обзора Microsoft Entra ID.
Ниже приведены шаги по обновлению. Необходимо выполнить их все, чтобы обеспечить бесперебойный доступ к dbt, а при внесении этих изменений следует координировать действия с администратором вашего поставщика удостоверений.
- Нажмите App Registrations в меню слева.
Раздел App Registrations в Entra ID- Выберите нужное приложение dbt (название может отличаться) из списка. На странице обзора приложения нажмите на гиперссылку рядом с Redirect URI
Ссылка Redirect URI на странице приложения- В панели Web с Redirect URIs нажмите Add URI и введите соответствующий
https://<YOUR_AUTH0_URI>/login/callback. Сохраните настройки и убедитесь, что он учтен в обновленном обзоре приложения.
Ввод нового URI перенаправления- Перейдите в среду dbt и откройте Account settings (Настройки аккаунта). Выберите SSO & SCIM в меню слева и нажмите Edit (Изменить) в правой части панели SSO. В поле domain укажите домен, который ваша организация использует для входа в Microsoft Entra ID. Включите параметр Enable New SSO Authentication (Включить новую аутентификацию SSO) и нажмите Save (Сохранить). После включения этого параметра отключить его будет невозможно.
Вы должны завершить авторизацию домена до того, как включите Enable New SSO Authentication, иначе миграция не будет успешно завершена.
Google Workspace
Администраторам Google Workspace, обновляющим свои SSO API с URL Auth0, не придется делать много, если это существующая настройка. Это можно сделать как новый проект или отредактировав существующую настройку SSO. Дополнительные области не требуются, так как это миграция из существующей настройки. Все области были определены во время первоначальной конфигурации.
Ниже приведены шаги для обновления настроек. Чтобы обеспечить бесперебойный доступ к dbt, необходимо выполнить все шаги. При внесении этих изменений следует координировать действия с администратором вашего провайдера удостоверений.
- Откройте консоль Google Cloud и выберите проект с настройками единого входа для dbt. В разделе Quick Access на странице проекта выберите APIs and Services
Консоль Google Cloud- Нажмите Учетные данные в левой панели и выберите соответствующее имя из OAuth 2.0 Client IDs
Выберите идентификатор клиента OAuth 2.0- В окне Client ID for Web application найдите поле Authorized Redirect URIs и нажмите Add URI, затем введите
https://<YOUR_AUTH0_URI>/login/callback.
Нажмите Сохранить, когда закончите.
- Для выполнения этих действий в dbt потребуется человек с правами администратора Google Workspace. В dbt перейдите в Account settings, нажмите SSO & SCIM, а затем — Edit в правой части панели Single sign-on. Включите параметр Enable New SSO Authentication и выберите Save. Откроется окно авторизации Google, в котором потребуется ввести учетные данные администратора. Миграция необратима: отменить это действие невозможно. После успешной аутентификации проверьте новую конфигурацию, используя URL для входа через SSO, указанный на странице настроек.
Вы должны завершить авторизацию домена до того, как переключите Enable New SSO Authentication, иначе миграция не будет успешно завершена.
