← Cloudflare One / cloudflare-one / integrations / identity-providers

Федерация IdP

Федерация IdP позволяет организациям с несколькими аккаунтами Cloudflare использовать единую конфигурацию поставщика идентификации (IdP) сразу для всех аккаунтов. Вместо того чтобы настраивать один и тот же IdP (например, Okta или Entra ID) отдельно в каждом аккаунте, вы настраиваете его один раз в исходном аккаунте и делитесь им с остальными аккаунтами своей организации.

Каждый аккаунт-получатель получает IdP-подключение, доступное только для чтения, которое возвращает аутентификацию в исходный аккаунт через мост: скрытое приложение в исходном аккаунте, которое обеспечивает вход между аккаунтами. Конечные пользователи входят в систему с использованием своих существующих учётных данных IdP, а политики Access соответствующего аккаунта оценивают полученную личность так же, как при любом другом входе через IdP.

Как это работает

Настройка федерации IdP состоит из двух шагов:

Создайте federation grant. Grant позволяет предоставить доступ к IdP сразу нескольким аккаунтам. При создании grant также автоматически создаётся скрытое bridge application в исходном аккаунте.
Предоставьте доступ к grant. Распространите grant на определённые аккаунты или на всю организацию. Для каждого аккаунта-получателя автоматически создаётся доступное только для чтения подключение IdP, указывающее на bridge.

Когда пользователь принимающего аккаунта проходит аутентификацию, запрос направляется через мост к исходному IdP. Исходный IdP выполняет аутентификацию, и итоговые данные удостоверения передаются обратно в политики Access принимающего аккаунта.

Предварительные требования

У вас должно быть право на изменение исходного IdP в исходном аккаунте.
Вы должны быть участником Организация Cloudflare.
Исходный аккаунт должен принадлежать Cloudflare Organization.

Панель управления объединяет создание grant и его предоставление в единый процесс. Если federation grant для этого IdP уже существует, он используется повторно, в противном случае новый создаётся автоматически.

В Панель управления Cloudflare ↗, перейдите в Zero Trust > Интеграции > Поставщики удостоверений.
Найдите IdP, который вы хотите предоставить в общий доступ, и выберите меню с тремя точками.
Выберите Поделиться.
Выберите аккаунты получателей, с которыми нужно поделиться IdP.
Проверьте конфигурацию общего доступа и выберите Подтверждение.

IdP автоматически передаётся в общий доступ выбранным аккаунтам. Каждый аккаунт-получатель получает подключение IdP только для чтения, указывающее на bridge в исходном аккаунте.

Предоставление доступа к IdP через API выполняется в два этапа: сначала создаётся grant федерации, а затем доступ к нему предоставляется отдельным учётным записям или всей организации.

1. Создайте грант федерации

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/idp_federation_grants" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"idp_id": "<IDP_UUID>"
	}'

Ответ включает grant id, который вы будете использовать на следующем шаге. Чтобы вывести список всех грантов федерации в вашем аккаунте:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/idp_federation_grants" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Можно поделиться этим grant с определёнными аккаунтами или со всей вашей Cloudflare Organization. В разделе recipients array укажите каждого получателя с помощью одного из следующих полей:

recipient_account_id: Предоставляет доступ к IdP только одному аккаунту. Повторите заполнение этого поля для каждого аккаунта, который нужно добавить.
organization_id: Предоставляет доступ к IdP всем аккаунтам в вашей организации Cloudflare.

Укажите только одно из этих полей для каждого получателя. Если вы не укажете ни одно из них, grant по умолчанию предоставляется всей вашей организации.

Чтобы поделиться этим grant с одним или несколькими конкретными аккаунтами:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/shares" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Identity provider: OpenID Connect",
		"recipients": [
				{
						"recipient_account_id": "<RECIPIENT_ACCOUNT_ID>"
				}
		],
		"resources": [
				{
						"resource_account_id": "<SOURCE_ACCOUNT_ID>",
						"resource_id": "<GRANT_ID>",
						"resource_type": "idp-federation-grant",
						"meta": {}
				}
		]
	}'

Чтобы поделиться этим grant со всеми аккаунтами вашей организации, замените recipients array с вашим Organization ID:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/shares" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Identity provider: OpenID Connect",
		"recipients": [
				{
						"organization_id": "<ORGANIZATION_ID>"
				}
		],
		"resources": [
				{
						"resource_account_id": "<SOURCE_ACCOUNT_ID>",
						"resource_id": "<GRANT_ID>",
						"resource_type": "idp-federation-grant",
						"meta": {}
				}
		]
	}'

Каждому аккаунту-получателю автоматически предоставляется IdP-подключение, доступное только для чтения, которое указывает на мост. Если вы предоставляете доступ Organization, это подключение получает каждый аккаунт в данной Organization.

Чтобы прекратить делиться IdP, удалите federation grant, а также сам share.

Панель управления обрабатывает удаление grant и share в рамках единого процесса.

В Панель управления Cloudflare ↗, перейдите в Zero Trust > Интеграции > Поставщики удостоверений.
Найдите общий IdP и выберите меню с тремя точками.
Выберите Прекратить общий доступ.
Подтвердите действие.

Отмена федерации IdP через API выполняется в два этапа. Удаление grant прекращает предоставление доступа и удаляет IdP с доступом только для чтения из аккаунтов получателей. При необходимости запись об общем доступе можно удалить позже.

1. Удалите грант федерации

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/idp_federation_grants/$GRANT_ID" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/shares/$SHARE_ID" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Ограничения

Аккаунт может федерировать не более одного IdP в качестве источника.
Исходный IdP нельзя удалить, если с ним связан grant федерации. Сначала удалите этот grant.

Федерация IdP

Как это работает

Предварительные требования

Предоставьте общий доступ к IdP

1. Создайте грант федерации

2. Поделитесь grant

Прекратить общий доступ к IdP

1. Удалите грант федерации

2. (Необязательно) Удалите общий ресурс

Ограничения