Настройка SSO с помощью SAML 2.0

Тарифные планы dbt уровня Enterprise поддерживают единый вход (SSO) через любого поставщика удостоверений (IdP), совместимого с SAML 2.0. В настоящее время поддерживаются следующие возможности:

SSO, инициированный IdP
SSO, инициированный SP
Создание учетных записей при первом входе (Just-in-time provisioning)

В этом документе подробно описаны шаги интеграции dbt с поставщиком удостоверений для настройки единого входа и управления доступом на основе ролей.

URI Auth0

URI для SSO зависит от региона размещения dbt. Чтобы найти URI Auth0 для вашего окружения (в интерфейсе он может называться Single sign-on URL, Authorization URL или Callback URI), выполните следующие шаги:

Перейдите в Account settings и нажмите SSO & SCIM в меню слева.
На панели Single sign-on нажмите Get started (если SSO ещё не настроен) или Edit (если он уже настроен).
Выберите подходящего поставщика удостоверений (Identity provider) в раскрывающемся списке Provider type.

URI Auth0 отображается в разделе Identity provider values. Название поля зависит от выбранного поставщика:

Поставщик удостоверений	Название поля	Пример URI
SAML 2.0	Single sign-on URL	`https://YOUR_AUTH0_URI/login/callback`
Okta	Single sign-on URL	`https://YOUR_AUTH0_URI/login/callback?connection=ACCOUNT_NAME`
Google Workspace	Authorized Redirect URI	`https://YOUR_AUTH0_URI/login/callback`
Microsoft Entra ID	Callback URI	`https://YOUR_AUTH0_URI/login/callback`

Замените YOUR_AUTH0_URI и ACCOUNT_NAME значениями вашей учётной записи.

Пример значений поставщика удостоверений для SAML 2.0

URI Auth0

URI Auth0 всегда содержит YOUR_AUTH0_URI (например, auth.cloud.getdbt.com), а не URL с префиксом вашей учётной записи (например, ks123.us1.dbt.com). Это связано с тем, что dbt использует Auth0 как централизованный сервис аутентификации для всех регионов и учётных записей. Заменять это значение URL-адресом вашей ячейки (cell) не нужно.

Универсальные интеграции SAML 2.0

Если ваш SAML‑провайдер идентификации — Okta, Google, Azure или OneLogin, перейдите к соответствующему разделу ниже на этой странице. Для всех остальных SAML‑совместимых провайдеров идентификации вы можете использовать инструкции из этого раздела для их настройки.

Настройка провайдера идентификации

Для настройки провайдера идентификации вам потребуется доступ администратора к вашему SAML 2.0‑совместимому IdP. Эти инструкции можно использовать с любым провайдером идентификации, поддерживающим SAML 2.0.

Создание приложения

Войдите в ваш SAML 2.0 провайдер идентификации и создайте новое приложение.
При появлении запроса настройте приложение со следующими параметрами:
- Platform: Web
- Sign on method: SAML 2.0

Название приложения: dbt
- Логотип приложения (необязательно): При желании вы можете скачать логотип dbt и использовать его в качестве логотипа этого приложения.

Настройка приложения

В следующих шагах используются YOUR_AUTH0_URI и YOUR_AUTH0_ENTITYID. Замените эти заполнители на соответствующие Auth0 URI и Auth0 Entity ID для вашего региона. Эти значения можно найти в разделе Account settings > SSO & SCIM > Edit или Get started после выбора поставщика удостоверений.

Чтобы заполнить этот раздел, вам понадобится слаг URL для входа. Этот слаг определяет URL-адрес, по которому пользователи вашей учетной записи могут входить в приложение. dbt автоматически генерирует слаги URL для входа, и изменить их нельзя. Слаг содержит только буквы, цифры и дефисы. Например, слаг URL для входа для dbt Labs может выглядеть так: dbt-labs-afk123. Слаги URL для входа уникальны среди всех учетных записей dbt.

Пользователи также могут войти через https://login.dbt.com, чтобы увидеть учетные записи, к которым у них есть доступ в разных экземплярах. Корпоративный URL для входа, содержащий ваш слаг, по-прежнему используется для сценариев единого входа (SSO), инициируемых вашим поставщиком удостоверений (IdP).

Когда система запросит параметры конфигурации приложения SAML 2.0, укажите следующие значения:

Single sign on URL: https://YOUR_AUTH0_URI/login/callback?connection=<login URL slug>
Audience URI (SP Entity ID): urn:auth0:<YOUR_AUTH0_ENTITYID>:{login URL slug}

Relay State: <login URL slug> (Примечание: в настройках IdP параметр Relay State может быть указан как необязательный; для настройки SSO в dbt он обязателен.)

Кроме того, вы можете настроить атрибуты IdP, передаваемые от вашего поставщика удостоверений в dbt. Для настройки SCIM требуются NameID и email, чтобы связывать входы в систему с нужным пользователем. Если вы используете сопоставление лицензий для групп, необходимо дополнительно настроить атрибут groups. Рекомендуем использовать следующие значения:

Дополнительно вы можете настроить атрибуты IdP, которые будут передаваться из вашего провайдера идентификации в . Для настройки SCIM требуются атрибуты NameID и email, чтобы связать входы с корректным пользователем. Если вы используете сопоставление лицензий для групп, необходимо дополнительно настроить атрибут groups. Мы рекомендуем использовать следующие значения:

name	name format	value	description
email	Unspecified	user.email	Адрес электронной почты пользователя
first_name	Unspecified	user.first_name	Имя пользователя
last_name	Unspecified	user.last_name	Фамилия пользователя
NameID	Unspecified	ID	Неизменяемый идентификатор пользователя

Значения NameID могут быть постоянными (urn:oasis:names:tc:SAML:2.0:nameid-format:persistent), а не неопределёнными, если ваш IdP поддерживает такие значения. Использование адреса электронной почты в качестве NameID допустимо, но при изменении этого адреса dbt создаёт совершенно нового пользователя. Рекомендуется настроить значение, которое не будет меняться даже при изменении адреса электронной почты пользователя.

Управление доступом на основе ролей в dbt использует сопоставления групп из IdP для назначения пользователей dbt группам dbt. Чтобы использовать управление доступом на основе ролей в dbt, также настройте своего поставщика удостоверений так, чтобы он передавал сведения о членстве в группах в атрибуте пользователя с именем groups:

name	name format	value	description
groups	Unspecified	`<IdP-specific>`	Группы, к которым принадлежит пользователь в IdP

Примечание

Вы можете использовать атрибут групп с ограничением (group attribute statement), чтобы ограничить набор групп, передаваемых в dbt для каждого аутентифицированного пользователя. Например, если названия всех ваших групп dbt начинаются с DBT_CLOUD_..., вы можете при необходимости применить фильтр вида Starts With: DBT_CLOUD_.

Сбор секретов интеграции

После подтверждения ваших данных IdP должен отобразить следующие значения для новой интеграции SAML 2.0. Сохраните эти значения в безопасном месте, поскольку они понадобятся для завершения настройки в dbt.

Identity Provider Issuer
Identity Provider SSO Url

X.509 Certificate (требуется формат PEM)

Пример формата PEM

Завершение настройки

После создания приложения следуйте инструкциям в разделе Настройка dbt, чтобы завершить интеграцию.

Интеграция с Okta

Используйте инструкции из этого раздела для настройки Okta в качестве провайдера идентификации.

Войдите в свою учетную запись Okta. В административной панели создайте новое приложение.

Создать новое приложение

Выберите следующие параметры:
- Platform: Web
- Sign on method: SAML 2.0
Нажмите Create, чтобы продолжить процесс настройки.

Настройка нового приложения

Настройка приложения Okta

На странице General Settings введите следующие данные:

Название приложения: dbt
- Логотип приложения (необязательно): При желании вы можете скачать логотип dbt, и загрузить его в Okta, чтобы использовать в качестве логотипа этого приложения.

Нажмите Next, чтобы продолжить.

Настройте общие параметры приложения

Настройка параметров SAML

На странице SAML Settings укажите следующие значения:
- Single sign on URL: https://YOUR_AUTH0_URI/login/callback?connection=<login URL slug>
- Audience URI (SP Entity ID): urn:auth0:<YOUR_AUTH0_ENTITYID>:<login URL slug>
- Relay State: <login URL slug>
- Name ID format: Unspecified
- Application username: Custom / user.getInternalProperty("id")
- Update Application username on: Create and update

Настройка параметров SAML приложения

Сопоставьте атрибуты пользователей и групп вашей организации в Okta с форматом, который ожидает dbt, с помощью форм Attribute Statements и Group Attribute Statements. Для настройки SCIM требуется атрибут email, чтобы связывать входы в систему с соответствующим пользователем. Если вы используете сопоставление лицензий для групп, необходимо дополнительно настроить атрибут groups.

Следующая таблица иллюстрирует ожидаемые User Attribute Statements:

Name	Name format	Value	Description
`email`	Unspecified	`user.email`	Адрес электронной почты пользователя
`first_name`	Unspecified	`user.firstName`	Имя пользователя
`last_name`	Unspecified	`user.lastName`	Фамилия пользователя

Следующая таблица иллюстрирует ожидаемые Group Attribute Statements:

Name Name format Filter Value Description
groups Unspecified Matches regex .* Группы, к которым принадлежит пользователь

Name	Name format	Filter	Value	Description
`groups`	Unspecified	Matches regex	`.*`	Группы, к которым принадлежит пользователь

Вместо этого можно использовать более строгое правило передачи атрибутов групп (Group Attribute Statement), чем в примере из предыдущих шагов. Например, если названия всех ваших групп dbt начинаются с DBT_CLOUD_, можно использовать фильтр вида Starts With: DBT_CLOUD_. Okta возвращает не более 100 групп для каждого пользователя, поэтому, если ваши пользователи входят более чем в 100 групп IdP, необходимо использовать более строгий фильтр. Обратитесь в службу поддержки, если у вас возникнут вопросы.

Настройка правил передачи атрибутов пользователей и групп для приложения

Нажмите Next, чтобы продолжить.

Завершение настройки Okta

Выберите I'm an Okta customer adding an internal app.
Выберите This is an internal app that we have created.
Нажмите Finish, чтобы завершить настройку приложения.

Завершение настройки в Okta

Просмотр инструкций по настройке

На следующей странице нажмите View Setup Instructions.
На следующих шагах вы укажете эти значения в настройках аккаунта dbt, чтобы завершить интеграцию между Okta и dbt.

Просмотр настроенного приложения

Инструкции по настройке приложения

После создания приложения Okta следуйте инструкциям в разделе Настройка dbt, чтобы завершить интеграцию.

Интеграция с Google

Используйте этот раздел, если вы настраиваете Google в качестве провайдера идентификации.

Настройка приложения Google

Войдите в Google Admin Console под учетной записью с правами суперадминистратора.
На главной странице консоли администратора перейдите в Apps, затем нажмите Web and mobile apps.
Нажмите Add, затем выберите Add custom SAML app.
Нажмите Next, чтобы продолжить.
На странице App Details выполните следующие действия:
- Задайте имя пользовательского приложения
- Загрузите логотип приложения (optional)
- Нажмите Continue.

Настройка параметров SAML

Перейдите на страницу Google Identity Provider details.
Загрузите IDP metadata.
Скопируйте SSO URL и Entity ID, а также загрузите Certificate (или SHA-256 fingerprint, если требуется).
В окне Service Provider Details укажите следующие значения:
- ACS URL: https://YOUR_AUTH0_URI/login/callback?connection=<login URL slug>
- Audience URI (SP Entity ID): urn:auth0:<YOUR_AUTH0_ENTITYID>:<login URL slug>
- Start URL: <login URL slug>
Установите флажок Signed response.
По умолчанию в качестве Name ID используется основной адрес электронной почты. Ввод нескольких значений не поддерживается. Если в профиле пользователя есть уникальное, неизменное значение, которое сохранится при смене адреса электронной почты, лучше использовать его; в противном случае подойдет адрес электронной почты.
На странице Attribute mapping настройте сопоставление атрибутов Google Directory вашей организации с форматом, который ожидает dbt.
Нажмите Add another mapping, чтобы сопоставить дополнительные атрибуты.

Ожидаемые Attributes:

Name	Name format	Value	Description
`First name`	Unspecified	`first_name`	Имя пользователя.
`Last name`	Unspecified	`last_name`	Фамилия пользователя.
`Primary email`	Unspecified	`email`	Адрес электронной почты пользователя.

Чтобы использовать управление доступом на основе ролей в dbt, укажите группы в поле Group membership при настройке:

Google groups	App attributes
Name of groups	`groups`

Нажмите Finish, чтобы продолжить.

Завершение настройки Google

На главной странице консоли администратора перейдите в Apps, затем нажмите Web and mobile apps.
Выберите ваше SAML‑приложение.
Нажмите User access.
Чтобы включить или отключить сервис для всех пользователей организации, выберите On for everyone или Off for everyone, затем нажмите Save.
Убедитесь, что адреса электронной почты, которые пользователи используют для входа в SAML‑приложение, совпадают с адресами, используемыми для входа в домен Google.

Примечание: изменения обычно вступают в силу в течение нескольких минут, но в некоторых случаях могут занять до 24 часов.

Завершение настройки

После создания приложения Google следуйте инструкциям в разделе Настройка

После создания приложения Google следуйте инструкциям в разделе настройка dbt

Если вы используете Microsoft Entra ID (ранее Azure AD), приведенные ниже инструкции помогут настроить его в качестве провайдера идентификации.

Создание корпоративного приложения Microsoft Entra ID

Выполните следующие действия, чтобы настроить единый вход (SSO) в dbt:

Войдите в свою учетную запись Azure.
На портале Entra ID выберите Enterprise applications и нажмите + New application.
Выберите Create your own application.
Назовите приложение «dbt» или укажите другое понятное имя.
Выберите Integrate any other application you don't find in the gallery (Non-gallery) в качестве типа приложения.
Нажмите Create.
Чтобы найти новое приложение, нажмите Enterprise applications и выберите All applications.
Нажмите на только что созданное приложение.
В левом меню навигации в разделе Manage выберите Single sign-on.
Нажмите Set up single sign on в разделе Getting Started.

На странице обзора выберите «Set up single sign on»

Нажмите SAML в разделе «Select a single sign-on method».

Выберите карточку «SAML» в разделе «Select a single sign-on method».

Нажмите Edit в разделе Basic SAML Configuration.

На странице «Настройка единого входа с помощью SAML» нажмите «Изменить» в карточке «Базовая конфигурация SAML»

Используйте следующую таблицу для заполнения обязательных полей и подключения к dbt:

Field	Value
Identifier (Entity ID)	Используйте `urn:auth0:<YOUR_AUTH0_ENTITYID>:<login URL slug>`.
Reply URL (Assertion Consumer Service URL)	Используйте `https://YOUR_AUTH0_URI/login/callback?connection=<login URL slug>`.
Relay State	`<login URL slug>`

Нажмите Save в верхней части формы.

Создание параметров SAML

На странице Set up Single Sign-On with SAML:

Нажмите Edit в разделе User Attributes & Claims.
Выберите Unique User Identifier (Name ID) в разделе Required claim.
Установите Name identifier format в значение Unspecified.
Установите Source attribute в значение user.objectid.
Удалите все значения в разделе Additional claims.
Нажмите Add new claim и добавьте следующие утверждения:

Name Source attribute
email user.mail
first_name user.givenname
last_name user.surname
В разделе User Attributes and Claims нажмите Add a group claim.
Если вы назначаете пользователей напрямую корпоративному приложению, выберите Security Groups. В противном случае выберите Groups assigned to the application.
Установите Source attribute в значение Group ID.
В разделе Advanced options отметьте Customize the name of the group claim и задайте Name равным groups.

Name	Source attribute
email	user.mail
first_name	user.givenname
last_name	user.surname

Примечание: имейте в виду, что Group ID в Entra ID сопоставляется с GUID группы. Для корректной работы сопоставлений он должен быть указан в нижнем регистре. Поле Source Attribute также может быть установлено в другое значение по вашему усмотрению.

Завершение настройки

После создания приложения Azure следуйте инструкциям в разделе Настройка dbt, чтобы завершить интеграцию. Названия полей в dbt отличаются от названий в приложении Entra ID. Они сопоставляются следующим образом:

Поле dbt Соответствующее поле Entra ID
Identity Provider SSO URL Login URL
Identity Provider Issuer Microsoft Entra Identifier

Поле dbt	Соответствующее поле Entra ID
Identity Provider SSO URL	Login URL
Identity Provider Issuer	Microsoft Entra Identifier

Интеграция с OneLogin

Используйте этот раздел, если вы настраиваете OneLogin в качестве провайдера идентификации.

Для настройки OneLogin вам потребуется доступ Administrator.

Настройка приложения OneLogin

Войдите в OneLogin и добавьте новое приложение SAML 2.0.
Настройте приложение со следующими параметрами:
- Platform: Web
- Sign on method: SAML 2.0

Название приложения: dbt
- Логотип приложения (необязательно): При желании вы можете скачать логотип dbt и использовать его в качестве логотипа этого приложения.

Настройка параметров SAML

На вкладке Configuration укажите следующие значения:
- RelayState: <login URL slug>
- Audience (EntityID): urn:auth0:<YOUR_AUTH0_ENTITYID>:<login URL slug>
- ACS (Consumer) URL Validator: https://YOUR_AUTH0_URI/login/callback?connection=<login URL slug>
- ACS (Consumer) URL: https://YOUR_AUTH0_URI/login/callback?connection=<login URL slug>
Затем перейдите на вкладку Parameters. Необходимо создать параметры для атрибутов Email, First Name и Last Name и включить все параметры в утверждения SAML. При добавлении пользовательских параметров обязательно установите флажок Include in SAML assertion и убедитесь, что регистр символов и формат в точности соответствуют приведённым в следующей таблице.

Мы рекомендуем использовать следующие значения:

имя	формат имени	значение
NameID	Unspecified	OneLogin ID
email	Unspecified	Email
first_name	Unspecified	First Name
last_name	Unspecified	Last Name

Управление доступом на основе ролей в dbt использует сопоставления групп из IdP для назначения пользователей dbt в группы dbt. Чтобы использовать управление доступом на основе ролей в dbt, также настройте OneLogin для передачи сведений о членстве в группах в атрибуте пользователя с именем groups:

имя	формат имени	значение	описание
421		groups	Не указано

Сбор секретов интеграции

Получите секреты интеграции

Подтвердив введённые данные, перейдите на вкладку SSO. OneLogin должен отобразить следующие значения для новой интеграции. Сохраните эти значения в безопасном месте: они понадобятся для завершения настройки в dbt.

Issuer URL
SAML 2.0 Endpoint (HTTP)

X.509 Certificate (требуется формат PEM)

Пример формата PEM

Завершение настройки

После создания приложения OneLogin следуйте инструкциям в разделе Настройка dbt, чтобы завершить интеграцию.

Настройка dbt

Передача значений IdP в dbt

Чтобы завершить настройку, выполните следующие действия в dbt:

Перейдите в Account settings > SSO & SCIM.
Нажмите Get started, если SSO ещё не настроен, или Edit, если он уже настроен.
Укажите следующие сведения для SSO:

Field Value
Log in with SAML 2.0

Field	Value
Log in with	SAML 2.0

| Identity Provider SSO Url | Вставьте Identity Provider Single Sign-On URL, указанный в инструкциях по настройке IdP | | Identity Provider Issuer | Вставьте Identity Provider Issuer, указанный в инструкциях по настройке IdP | | X.509 Certificate | Вставьте X.509 Certificate, указанный в инструкциях по настройке IdP;
Примечание: Когда срок действия сертификата истечёт, администратору IdP потребуется создать новый сертификат и вставить его в dbt, чтобы обеспечить бесперебойный доступ к приложению. |

Настройка приложения в dbt

Нажмите Save, чтобы завершить настройку интеграции SAML 2.0.
После завершения настройки вы можете перейти по URL-адресу, сформированному на основе slug вашей учётной записи, чтобы проверить вход через вашего поставщика удостоверений. Кроме того, пользователи, добавленные в приложение SAML 2.0, смогут входить в dbt непосредственно из IdP.

Дополнительные параметры конфигурации

В разделе Single sign-on также доступны дополнительные параметры конфигурации, расположенные ниже полей с учетными данными.

Подписывать запросы аутентификации SAML: dbt будет подписывать SAML-запросы, отправляемые вашему поставщику удостоверений при попытке пользователей войти в систему. Метаданные для настройки этой функции у поставщика удостоверений можно скачать по адресу, указанному в поле SAML Metadata URL. В большинстве случаев мы рекомендуем оставлять эту функцию отключённой.
Сопоставления атрибутов: Сопоставьте атрибуты SAML, необходимые dbt, с атрибутами, которые ваш поставщик удостоверений включает в утверждения SAML. Значение должно быть корректным JSON-объектом с ключами email, first_name, last_name или groups и значениями в виде строк или списков строк. Например, если ваш поставщик удостоверений не может включить атрибут email в утверждения, но включает атрибут с именем EmailAddress, то для параметра Сопоставления атрибутов следует задать значение { "email": "EmailAddress" }. Сопоставления нужны только в том случае, если вы не можете настроить атрибуты в соответствии с инструкциями на этой странице. Если можете, допустимо оставить значение по умолчанию — {}.

Вход в систему

Пользователи могут войти в систему по адресу https://login.dbt.com, чтобы просмотреть аккаунты, к которым у них есть доступ в разных экземплярах, и выбрать, где открыть dbt platform. Это рекомендуемая точка входа для большинства пользователей.

Для единого входа (SSO) через вашего поставщика удостоверений также можно использовать следующий формат URL со слагом URL входа в ваш аккаунт. Замените LOGIN_SLUG значением из предыдущих шагов, а YOUR_ACCESS_URL — соответствующим URL доступа для вашего региона и тарифного плана:

https://YOUR_ACCESS_URL/enterprise-login/LOGIN-SLUG

Администраторы аккаунта могут включать и отключать обнаружение аккаунта с помощью параметра Enable global account discovery в разделе настроек аккаунта.

Настройка RBAC

После настройки поставщика удостоверений вы сможете настроить управление доступом на основе ролей для своей учетной записи.

Ответы на распространенные вопросы и рекомендации по устранению неполадок — включая ошибку «Access Denied» после аутентификации SAML, изменения ACS URL или Entity ID и проблемы с подтверждением электронной почты — см. в разделе Часто задаваемые вопросы о SSO и устранение неполадок.

Нашли ошибку?

Создать GitHub Issue

Настройка SSO с помощью SAML 2.0

URI Auth0