Перейти к основному содержимому

Частые вопросы о SSO и устранение неполадок

Здесь вы найдёте ответы на частые вопросы о настройке и использовании единого входа (SSO) в dbt platform, а также рекомендации по устранению распространённых неполадок.

Частые вопросы​

 Применяются ли сопоставления групп SSO к пользователям, управляемым через SCIM?

Нет. Если SCIM включён, сопоставления групп SSO не применяются к пользователям, управляемым через SCIM. Членство в группах полностью контролируется вашим поставщиком удостоверений (IdP).

Это означает, что если для группы dbt настроены сопоставления групп SSO, они будут применяться только к пользователям, которые проходят аутентификацию через SSO и не управляются через SCIM

 Где найти URI Auth0 для настройки SSO?

Ваш URI Auth0 отображается на странице настроек Single Sign-On в dbt platform в разделе Account settings → Single Sign-On.

Когда вы начнёте настройку SSO и выберете поставщика (например, SAML 2.0 или Microsoft Entra ID), на странице отобразятся значения для вашего IdP. Эти значения нужно передать администратору вашего поставщика удостоверений (IdP), чтобы он настроил корпоративное приложение со своей стороны.

URI Auth0 — это не то же самое, что базовый URL SCIM, хотя их доменные имена имеют схожую структуру. Используйте значение непосредственно со страницы настроек SSO — не копируйте его из раздела SCIM.

 Можно ли отключить вход по паролю для пользователей SSO?

После настройки SSO вход в аккаунт разрешён только через SSO. Однако если включён параметр Allow password logins for account administrators, администраторы аккаунта и пользователи с лицензией IT по-прежнему могут входить с помощью электронной почты и пароля.

предупреждение

Прежде чем включать обязательный вход через SSO, убедитесь, что хотя бы один администратор аккаунта может успешно войти через SSO. Если SSO настроен неверно, а обязательный вход через SSO включён, администраторы могут потерять доступ к аккаунту. В этом случае обратитесь по адресу support@getdbt.com.

 Какие разрешения Entra ID требуются для интеграции SSO с dbt?

Необходимые разрешения — User.Read и GroupMember.Read.All. Однако в зависимости от конфигурации вашего арендатора Entra ID — особенно если в нём более 200 групп — может появиться дополнительный запрос на разрешение Directory.Read.All, для которого требуется согласие администратора.

 Можно ли использовать разные IdP для SSO и SCIM?

SSO и SCIM настраиваются в dbt platform независимо друг от друга, но должны использовать один и тот же IdP. Использование разных поставщиков — например, Okta для SSO и Microsoft Entra ID для SCIM — не поддерживается и может привести к непредвиденному поведению.

Если ваша организация использует отдельные IdP для аутентификации и управления каталогом, свяжитесь с командой, которая сопровождает ваш аккаунт, чтобы обсудить возможные варианты.

Устранение неполадок​

 Пользователь не может пройти дальше экрана подтверждения электронной почты — письмо с подтверждением не приходит

Когда пользователь впервые входит в аккаунт dbt platform через SSO, ему отправляется письмо для подтверждения личности. Если письмо не приходит, обычно это вызвано одной из следующих причин:

  • Средства защиты электронной почты (например, Proofpoint и Outlook Safe Links) могут автоматически переходить по ссылке подтверждения до того, как пользователь нажмёт на неё, тем самым используя одноразовый токен и делая его недействительным. Обратитесь в ИТ-отдел или к команде безопасности электронной почты, чтобы добавить домены ссылок подтверждения dbt в список разрешённых.
  • Отправка писем на этот адрес заблокирована у нашего поставщика услуг доставки электронной почты. Обратитесь по адресу support@getdbt.com, чтобы проверить журналы доставки для соответствующего адреса.
 При входе пользователям дважды предлагается пройти MFA

Если пользователь входит через корневой URL региона (например, au.dbt.com или eu2.dbt.com), а не через URL своего аккаунта (например, abc123.au.dbt.com), он может быть перенаправлен в аккаунт с активной лицензией. Если пользователь не выбрал опцию запоминания устройства, это может привести к повторному запросу многофакторной аутентификации (MFA).

Попросите пользователей добавить URL своего аккаунта в закладки и использовать его для входа. Если при входе по этому адресу запрос MFA появляется только один раз, это ожидаемое поведение. Выбор опции «Remember this device for 30 days» при первом запросе MFA также предотвращает повторный запрос при использовании корневого URL региона.

 Перенаправление на страницу «Access Denied» после успешной аутентификации SAML

Проверка утверждения SAML на стороне IdP проходит успешно, но dbt platform отклоняет ответ. Почти всегда это вызвано несоответствием между значениями, настроенными в IdP, и значениями, которые ожидает dbt platform.

Чтобы устранить проблему, убедитесь, что все значения конфигурации SSO в dbt platform совпадают со значениями, настроенными в вашем IdP

 "Эта конечная точка SSO отключена. Обратитесь к администратору, чтобы он обновил настройки SSO вашего IdP для использования Auth0."

Это сообщение об ошибке появляется после успешного входа, если ваш IdP настроен неверно и URL обратного вызова указывает на dbt platform, а не на Auth0. Вашему администратору необходимо обновить конфигурацию IdP, используя правильные значения IdP из раздела Account settings → Single Sign-On.

Нашли ошибку?

0
Loading