SSO

Единый вход (через SAML2) доступен только в OpenReplay Enterprise Edition.

Настройка поставщика удостоверений (IDP)

В панели управления вашего поставщика удостоверений создайте новое приложение с именем openreplay (вы можете использовать эту иконку). На странице конфигурации обязательно задайте следующие значения (убедитесь, что вы заменили YOUR_DOMAIN на правильное значение, например https://openreplay.mycompany.com):

Переменная	Значение
ACS URL (также называется Single Sign On URL или Consumer URL)	`YOUR_DOMAIN/api/sso/saml2/acs/`
Entity ID (также называется Audience)	`YOUR_DOMAIN/api/sso/saml2/metadata/`
Single Logout URL (также называется SLO URL)	`YOUR_DOMAIN/api/sso/saml2/sls/` (необязательно)
Name ID (иногда настраивается в разделе ‘Attribute Statements’ или ‘Parameters’)	`Email` или `EmailAddress` или `urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress`, в зависимости от вашего поставщика удостоверений
SAML initiator	Установите значение `Service Provider` (необязательно)

В разделе ‘Attribute Statements’ или ‘Parameters’ обязательно определите следующие поля:

Поле	Значение
tenantKey	`TENANT_KEY` его значение можно найти в Dashboard, в разделе ‘Preferences’ > ‘Account’ (этот атрибут не следует добавлять, если вы используете наш план Cloud Dedicated)
firstName	`user.firstName`
lastName	`user.lastName`
internalId	Внутренний ID или `user.email` (ID пользователя в вашей системе управления удостоверениями) (необязательно)
groups	Представляет роль и права администратора пользователя в OpenReplay; в зависимости от вашего поставщика удостоверений это может быть `user.role` или `group` и т. д. (необязательно, значение по умолчанию = `member` без прав администратора). Чтобы упростить управление ролями OpenReplay на стороне IdP, вы можете создать группу с именем OpenReplay-admin, в которую войдут пользователи с правами администратора, и группу с именем OpenReplay-member, в которую войдут пользователи с ролью ‘member’

Теперь у вас должны быть все необходимые значения для следующего шага/раздела.

Настройка SSO (SAML2)

Если вы используете наш план Cloud dedicated, перейдите в Console, затем щёлкните по экземпляру и задайте переменные в разделе SSO.

В противном случае, если вы используете нашу Enterprise Edition, выполните openreplay -e, раскомментируйте и затем обновите перечисленные ниже переменные окружения в разделе chalice:

Переменная	Описание
idp_entityId	`entityId` вашего поставщика удостоверений, также называемый `Issuer URL`
idp_sso_url	`singleSignOnService` вашего поставщика удостоверений, также называемый `SAML 2.0 Endpoint (HTTP)`
idp_x509cert	`x509cert`, должен быть однострочной строкой без переносов строк. Вы можете использовать этот инструмент для форматирования вашего значения
idp_name	Имя поставщика удостоверений (необязательно)
idp_sls_url	`singleLogoutService` вашего поставщика удостоверений, также называемый `SLO Endpoint (HTTP)` (необязательно)
enforce_SSO	Если установлено значение `true`, все подключения с использованием имени пользователя и пароля будут заблокированы (необязательно, значение по умолчанию=`false`)
idp_group_prefixes	Префиксы имён групп IdP (необязательно, значение по умолчанию=`OpenReplay-,or-`)

Затем сохраните и выйдите с помощью :wq, чтобы изменения вступили в силу:

Сертификат OpenReplay

Это необязательно, вы можете добавить сертификат x509 для дополнительной безопасности SSO:

выполните эту команду на вашем сервере или на вашей защищённой машине (вы можете изменить срок действия вашего сертификата в соответствии с вашими потребностями):

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout openreplay-sso.key -out openreplay-sso.crt

На вашем сервере выполните openreplay -e
В разделе chalice добавьте следующие переменные окружения:

sp_crt: должна быть однострочной строкой без переносов строк из сгенерированного файла ‘openreplay-sso.crt’ (вы можете использовать этот инструмент для форматирования вашего значения)
sp_key: должна быть однострочной строкой без переносов строк из сгенерированного файла ‘openreplay-sso.key’

Сохраните и выйдите с помощью :wq, чтобы изменения вступили в силу
Добавьте сгенерированный файл ‘openreplay-sso.crt’ в конфигурацию приложения вашего поставщика удостоверений

Пример с использованием Okta

Войдите в панель администрирования Okta и перейдите в ‘Applications’ > ‘Applications’
Нажмите ‘Create new app integration’, затем выберите SAML 2.0 и нажмите ‘Next’
Установите ‘App Name’ в OpenReplay (вы можете загрузить эту иконку) для вашего приложения), затем нажмите ‘Next’
Установите:

Single sign on URL в YOUR_DOMAIN/api/sso/saml2/acs/
Audience URI (SP Entity ID) в YOUR_DOMAIN/api/sso/saml2/metadata/
Name ID format в EmailAddress

Нажмите Next, выберите ‘This is an internal app that we have created’, затем нажмите ‘Finish’
На вкладке Sign On прокрутите вниз и нажмите ‘Show legacy configuration’, затем нажмите ‘Edit’
Определите перечисленные ниже поля в ‘Profile Attribute Statements’:

tenantKey: формат Basic, установите значение в TENANT_KEY, которое находится в панели OpenReplay в разделе ‘Preferences’ > ‘Account’ (этот атрибут не следует добавлять, если вы используете наш план Cloud Dedicated)
firstName: формат Basic, установите значение в user.firstName
lastName: формат Basic, установите значение в user.lastName
internalId: формат Basic, установите значение в user.email

Определите перечисленное ниже поле в ‘Group Attribute Statement’ (это необязательно):

groups: формат Basic, фильтр Match Regex, значение OpenReplay-* (или вы можете указать другой фильтр и регулярное выражение в соответствии с вашими потребностями)

Нажмите ‘save’, прокрутите вверх вправо и нажмите ‘View Setup Instructions’, чтобы увидеть вашу конфигурацию SAML2

В противном случае, если вы используете нашу Enterprise Edition:

Подключитесь по SSH к вашей установке OpenReplay и выполните openreplay -e
В разделе chalice раскомментируйте и затем установите следующие переменные окружения:

idp_entityId: Identity Provider Issuer
idp_sso_url: Identity Provider Single Sign-On URL
idp_x509cert: сертификат X.509, должен быть однострочной строкой без переносов строк (вы можете использовать этот инструмент для форматирования вашего значения)
idp_name: Okta

Наконец, сохраните и выйдите с помощью :wq, чтобы изменения вступили в силу

Пример с использованием Azure Active Directory

Войдите в ваш портал Azure и перейдите в ‘Azure Active Directory’
Нажмите ’+ Add’, выберите ‘Enterprise application’, затем щёлкните ‘Create your own application’
Установите ‘App Name’ в OpenReplay, затем выберите ‘Integrate any other application you don’t find in the gallery (Non-gallery)’ и нажмите ‘Create’
Перейдите в ‘Single sign-on’ в левом меню и установите перечисленные ниже значения в блоке ‘Basic SAML Configuration’:

Identifier (Entity ID) в YOUR_DOMAIN/api/sso/saml2/metadata/
Reply URL (Assertion Consumer Service URL) в YOUR_DOMAIN/api/sso/saml2/acs/
Logout URL в YOUR_DOMAIN/api/sso/saml2/sls/

Добавьте перечисленные ниже утверждения (claims) в блок ‘Attribute & Claims’ и убедитесь, что поле ‘Namespace’ оставлено пустым для каждого из них:

tenantKey: установите значение в TENANT_KEY, которое находится в панели OpenReplay в разделе ‘Preferences’ > ‘Account’ (этот атрибут/утверждение не следует добавлять, если вы используете наш план Cloud Dedicated)
firstName: установите значение в user.givenname
lastName: установите значение в user.surname
internalId: установите значение в user.mail

Перейдите в ‘Users and groups’ и назначьте выбранных пользователей приложению

Если вы используете наш план Cloud dedicated, перейдите в Console, затем щёлкните по экземпляру и задайте переменные в разделе SSO (значения находятся в ‘Azure Active Directory’ > ‘OpenReplay’ > ‘Single sign-on’).

В противном случае, если вы используете нашу Enterprise Edition:

Подключитесь по SSH к вашей установке OpenReplay и выполните openreplay -e
В разделе chalice раскомментируйте и затем установите следующие переменные окружения (значения находятся в ‘Azure Active Directory’ > ‘OpenReplay’ > ‘Single sign-on’):

idp_entityId: Azure AD Identifier
idp_sso_url: Login URL
idp_sls_url: Logout URL
idp_x509cert: сертификат X.509, должен быть однострочной строкой без переносов строк (вы можете использовать этот инструмент для форматирования вашего значения)
idp_name: Active Directory

Наконец, сохраните и выйдите с помощью :wq, чтобы изменения вступили в силу

Пример с использованием Google Workspace (ранее G Suite)

Добавление пользовательских атрибутов:

В консоли администратора Google перейдите в ‘Directory’ > ‘Users’ > ‘More options’ > ‘Manage custom attributes’.
Нажмите ‘Add Custom Attribute’.
Установите следующие поля:

Category: ‘OpenReplay’
Custom fields:
Name: ‘role’
Info type: ‘Text’
Visibility: ‘Visible to user and admin’
No. of values: ‘Single-value’
Custom fields:
Name: ‘adminPrivileges’
Info type: ‘Yes or No’
Visibility: ‘Visible to user and admin’
No. of values: ‘Single-value’

Нажмите ‘Add’
Чтобы добавить значения новым пользовательским атрибутам, перейдите в ‘Users’
Выберите нужного пользователя (или пользователей)
Нажмите ‘User information’, затем отредактируйте раздел ‘OpenReplay’
Измените значение role на нужную роль в ‘OpenReplay’ (роль должна соответствовать роли, созданной в панели OpenReplay в разделе ‘Preferences’ > ‘Roles’)
Измените значение adminPrivileges на ‘Yes’, если пользователю разрешено иметь права администратора в OpenReplay
Нажмите ‘Save’

Настройка:

Войдите в консоль администратора Google и перейдите в ‘Apps’
Нажмите ‘Web and mobile apps’, затем щёлкните ‘Add app’ > ‘Add custom SAML app’
Установите ‘App name’ в OpenReplay (вы можете загрузить эту иконку для ‘App icon”) затем нажмите ‘Continue’
Скопируйте ‘SSO URL’, ‘Entity ID’ и ‘Certificate’, затем щёлкните ‘Continue’ (мы будем использовать эти значения на шаге 11)
Установите:

ACS URL в YOUR_DOMAIN/api/sso/saml2/acs/TENANT_KEY/ (TENANT_KEY находится в панели OpenReplay в разделе ‘Preferences’ > ‘Account’, но если вы используете наш план Cloud Dedicated, оставьте значение tenantKey пустым)
Entity ID в YOUR_DOMAIN/api/sso/saml2/metadata/
Name ID format в Email
Name ID в Basic information > Primary Email

Нажмите ‘Continue’, затем нажмите ‘Add Mapping’, чтобы добавить перечисленные ниже атрибуты:

Basic information > First Name -> firstName
Basic information > Last Name -> lastName
Basic information > Primary Email -> internalId
OpenReplay > groups -> groups

Нажмите ‘Finish’
В консоли администратора Google перейдите в ‘Apps’ > ‘Web and mobile apps’ и выберите ‘OpenReplay’
Нажмите ‘User access’, выберите ‘ON for everyone’, затем нажмите ‘Save’

В противном случае, если вы используете нашу Enterprise Edition:

Подключитесь по SSH к вашей установке OpenReplay и выполните openreplay -e
В разделе chalice > env раскомментируйте и установите следующие атрибуты, используя значения из шага 4:

idp_sso_url: вставьте значение ‘SSO URL’
idp_entityId: вставьте значение ‘Entity ID’
idp_x509cert: используйте этот инструмент для форматирования скопированного/загруженного сертификата
idp_name: установите значение в G-Suite
idp_tenantKey: TENANT_KEY находится в панели OpenReplay в разделе ‘Preferences’ > ‘Account’

Наконец, сохраните и выйдите с помощью :wq, чтобы изменения вступили в силу

Пример с использованием JumpCloud

Войдите в панель администрирования JumpCloud и в левом меню перейдите в ‘SSO’
Нажмите ’+ Add New Application’, затем выберите ‘Custom SAML App’
Установите ‘Display Label’ в OpenReplay (вы можете загрузить эту иконку для вашего приложения), затем перейдите на вкладку ‘SSO’
Установите:

IdP Entity ID в openreplay/TENANT_KEY (TENANT_KEY находится в панели OpenReplay в разделе ‘Preferences’ > ‘Account’, но если вы используете наш план Cloud Dedicated, оставьте значение tenantKey пустым)
SP Entity ID в YOUR_DOMAIN/api/sso/saml2/metadata/
ACS URL в YOUR_DOMAIN/api/sso/saml2/acs/
SAMLSubject NameID в email
SAMLSubject NameID Format: в urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
Signature Algorithm в RSA-SHA256
Отметьте Sign Assertion
IDP URL должен заканчиваться на openreplay-TENANT_KEY (это значение нельзя изменить позже; если вы используете наш план Cloud Dedicated, оставьте часть tenantKey пустой)

Если вы следовали инструкциям из раздела Сертификат OpenReplay, вы можете загрузить сгенерированный файл ‘openreplay-sso.crt’, нажав ‘Upload SP Certificate’; в противном случае пропустите этот шаг
Определите перечисленные ниже поля в ‘USER ATTRIBUTE MAPPING’, нажав кнопку ‘add attribute’:

firstName: установите значение в firstname
lastName: установите значение в lastname
internalId: установите значение в email
groups: необязательно, роль и права администратора пользователя в OpenReplay; если это постоянное значение для всех пользователей, вам следует определить его на следующем шаге, в противном случае вам нужно добавить новый строковый атрибут к группе JumpCloud, назвать его OpenReplay-groups и установить значение в имя роли, а затем в конфигурации SSO выбрать ‘Custom User or Group Attribute’ и установить значение в OpenReplay-groups.

Определите перечисленные ниже поля в ‘CONSTANT ATTRIBUTES’, нажав кнопку ‘add attribute’:

tenantKey: установите значение в TENANT_KEY, которое находится в панели OpenReplay в разделе ‘Preferences’ > ‘Account’ (этот атрибут не следует добавлять, если вы используете наш план Cloud Dedicated)
groups: необязательно, пропустите, если определено на предыдущем шаге, роль и права администратора пользователя в OpenReplay, должно соответствовать имени роли, уже определённому в OpenReplay (значение по умолчанию = member без прав администратора)

На этом этапе вы можете перейти на вкладку ‘User Groups’ и выбрать группу пользователей, которые будут иметь доступ к OpenReplay, или вы можете сделать это позже
Нажмите ‘activate’ и ‘continue’ во всплывающем окне подтверждения
Нажмите иконку нового приложения OpenReplay, затем в левом раскрывающемся меню ‘IDP Certificate Valid’ выберите ‘Download certificate’

В противном случае, если вы используете нашу Enterprise Edition:

Подключитесь по SSH к вашей установке OpenReplay и выполните openreplay -e
В разделе chalice раскомментируйте и затем установите следующие переменные окружения:

idp_entityId: openreplay/TENANT_KEY
idp_sso_url: https://sso.jumpcloud.com/saml2/openreplay-TENANT_KEY
idp_x509cert: загруженный сертификат, должен быть однострочной строкой без переносов строк (вы можете использовать этот инструмент для форматирования вашего значения)
idp_name: JumpCloud

Наконец, сохраните и выйдите с помощью :wq, чтобы изменения вступили в силу

Подготовка (provisioning) SCIM (System for Cross-domain Identity Management)

Openreplay поддерживает возможность подготовки удостоверений пользователей в Enterprise Edition.

Чтобы интегрироваться со службой SCIM Openreplay, просто включите подготовку SCIM в панели управления вашего поставщика удостоверений. Пожалуйста, обязательно задайте следующие значения для бесперебойной интеграции:

Переменная	Описание
SCIM connector base URL	`YOUR_DOMAIN`/api/sso/scim/v2/
User unique identifier field name	`email`
Support provisioning actions	Push new users, Push profile updates, Push groups
Authentication mode	OAuth2
Access token endpoint	`YOUR_DOMAIN`/api/sso/scim/v2/token/
Authorization endpoint	`YOUR_DOMAIN`/api/sso/scim/v2/authorize/
Client id	`TENANT_KEY` его значение можно найти в Dashboard, в разделе ‘Preferences’ > ‘Account’
Client secret	Его значение можно найти, выполнив этот запрос в вашей базе данных Postgres: `SELECT tenant_secret FROM tenants WHERE tenant_key = 'TENANT_KEY';`

После установки этих значений следуйте подсказкам в панели управления вашего поставщика удостоверений, чтобы протестировать интеграцию и авторизовать приложение.

После этого вы сможете подготавливать удостоверения пользователей, используя Openreplay в качестве поставщика услуг SCIM.

Примечание: Хотя Openreplay действует как поставщик услуг SCIM, он не поддерживает распределение пользователей по нескольким группам (то есть каждый пользователь может принадлежать только к одной группе). Если это не соблюдается, пользователю может быть назначено меньше или больше проектов, чем ожидалось, и у него может быть меньше или больше разрешений в приложении Openreplay.

Пример с использованием Okta

В вашем приложении SAML 2.0 выполните следующее

Добавление подготовки SCIM

Нажмите вкладку General
В разделе App Settings нажмите Edit
В поле Provisioning выберите SCIM и нажмите Save

Выбор параметров подготовки

Нажмите вкладку Provisioning. Настройки подключения SCIM появятся в разделе Settings > Integration.
В Settings > Integration нажмите Edit.
Укажите SCIM connector base URL и имя поля уникального идентификатора для ваших пользователей, упомянутые выше.
В разделе Supported provisioning actions выберите действия подготовки, упомянутые выше.
Установите раскрывающийся список Authentication Mode в значение, упомянутое выше.
Установите Access token endpoint, Authorization endpoint, Client id и Client secret, как упомянуто выше.
Нажмите Save.
Нажмите Authentiate application.
На вкладке Provisioning нажмите To App.
Нажмите Edit, включите Create Users, Update User Attributes, Deactivate Users и сохраните изменения.

Перед началом следующего шага мы рекомендуем создать новые группы в Okta под названием OpenReplay-admin, где вы перечислите пользователей с правами администратора в OpenReplay, и OpenReplay-members, где вы перечислите пользователей с ролью member в OpenReplay, …

Перейдите на вкладку Push Groups, нажмите + Push Groups (по имени или по правилу), выберите группу, которую вы хотите отправить в OpenReplay, и нажмите save

На этом этапе отправленные группы представляют роли и права администратора в OpenReplay и не содержат список пользователей, подготовленных для OpenReplay.

Перейдите на вкладку Assignmets и добавьте пользователей удобным для вас способом (используя людей или группы)

Ошибки

Ответ был получен по http вместо https

Это очень распространённая ситуация, вызванная отсутствием заголовка ‘X-Forwarded-Proto’ в запросе. Чтобы решить эту проблему, убедитесь, что балансировщик нагрузки правильно передаёт заголовок в бэкенд OpenReplay, и выполните openreplay -e; в разделе ingress-nginx > config раскомментируйте строку use-forwarded-headers: true.