Только Krea Enterprise — SAML SSO доступен исключительно для клиентов Krea Enterprise. Свяжитесь с отделом продаж, чтобы узнать больше о корпоративных тарифах.
Предварительные требования
Прежде чем начать, убедитесь, что у вас есть:Подтверждённый домен
Сначала выполните подтверждение домена
Роль в рабочем пространстве
Вы должны быть владельцем или администратором рабочего пространства
Доступ к провайдеру идентификации
Административный доступ к вашему IdP (Okta, Google Workspace и т. д.)
Корпоративный тариф
Активная подписка Krea Enterprise
Шаг 1: Получите параметры Service Provider Krea
После завершения подтверждения домена в модальном окне настройки появится раздел SAML-конфигурации.
Для настройки провайдера идентификации вам потребуются эти два значения:
| Поле | Значение |
|---|---|
| ACS URL | https://superb.krea.ai/auth/v1/sso/saml/acs |
| Entity ID | https://superb.krea.ai/auth/v1/sso/saml/metadata |
| Metadata XML | https://superb.krea.ai/auth/v1/sso/saml/metadata |
Шаг 2: Настройте провайдер идентификации
Создайте SAML-приложение в вашем провайдере идентификации, используя значения из шага 1.- Okta
- Google Workspace
Откройте Applications
Войдите в Okta Admin Console (обычно
https://your-org.okta.com/admin) и перейдите в Applications → Applications в боковой панели.Создайте App Integration
Нажмите Create App Integration.Выберите SAML 2.0 в качестве метода входа и нажмите Next.
Настройте общие параметры
Введите Krea в качестве App name.При желании загрузите логотип для удобной идентификации.Нажмите Next.
Настройте параметры SAML
Введите следующие значения:
| Поле | Значение |
|---|---|
| Single sign-on URL | https://superb.krea.ai/auth/v1/sso/saml/acs |
| Audience URI (SP Entity ID) | https://superb.krea.ai/auth/v1/sso/saml/metadata |
| Name ID format | EmailAddress |
| Application username |
Завершите настройку
Нажмите Next.На странице Feedback выберите «I’m an Okta customer adding an internal app» и нажмите Finish.
Получите Metadata URL
На странице приложения перейдите на вкладку Sign On.Прокрутите вниз до SAML Signing Certificates и найдите Metadata URL. Нажмите Actions → View IdP metadata, чтобы получить URL.
Шаг 3: Подключите ваш IdP к Krea
Вернитесь в модальное окно Krea и укажите метаданные вашего IdP:- URL (рекомендуется)
- Metadata XML
Лучше всего для: Okta и других IdP, предоставляющих публичный URL метаданных
- В модальном окне Krea выберите вкладку URL
- Вставьте Metadata URL вашего IdP в текстовое поле
- Нажмите Save changes
Использование URL позволяет Krea автоматически получать обновлённые сертификаты при их ротации в вашем IdP.
Шаг 4: Проверьте вашу конфигурацию
Откройте окно инкогнито
Используйте новое окно браузера в режиме инкогнито/приватного просмотра, чтобы избежать кэшированных сессий.
Перейдите на страницу входа Krea
Перейдите по адресу krea.ai/login ↗
Пройдите аутентификацию через ваш IdP
Вы должны быть перенаправлены на страницу входа вашей организации.
Успех! Если вы смогли войти, значит, SAML SSO настроен правильно. Пригласите членов команды использовать кнопку SSO с их рабочим e-mail для входа.
Принудительное использование SAML SSO
После настройки и проверки SSO вы можете сделать его обязательным для всех пользователей с вашим подтверждённым доменом. Это гарантирует, что все в вашей организации аутентифицируются через ваш провайдер идентификации.
Перейдите в настройки рабочего пространства
Перейдите в Workspace Settings ↗ и прокрутите до раздела Single Sign-On (SSO).
Найдите SSO Enforcement
Найдите переключатель SSO Enforcement на карточке SSO для вашего подтверждённого домена.
Отключение принудительного использования
Если вам нужно отключить принудительное использование SSO:- Перейдите в Workspace Settings ↗
- В разделе Single Sign-On (SSO) найдите переключатель Enforce SSO
- Нажмите переключатель, чтобы отключить принудительное использование
- Пользователи снова получат возможность входить с помощью пароля или magic link
Отключение принудительного использования не отключает сам SSO — пользователи всё ещё смогут входить через SSO с помощью кнопки SSO на странице входа.
Устранение неполадок
Не удалось настроить SSO
Не удалось настроить SSO
- Проверьте URL — убедитесь, что ACS URL и Entity ID указаны точно как показано (без завершающих слэшей)
- Проверьте доступ к метаданным — если используете URL, убедитесь, что он публично доступен
- Попробуйте XML — если URL не работает, скачайте и вставьте XML напрямую
- Проверьте срок действия сертификата — просроченные сертификаты IdP приведут к ошибке настройки
Пользователи не могут войти
Пользователи не могут войти
- Нажмите кнопку SSO — пользователи должны нажать кнопку SSO на странице входа (а не просто ввести e-mail)
- Назначьте пользователей в IdP — пользователи должны быть назначены SAML-приложению Krea в вашем IdP
- Проверьте Name ID — убедитесь, что Name ID задан в формате email/EmailAddress в вашем IdP
- Проверьте e-mail-домен — e-mail пользователей должны точно соответствовать подтверждённому домену
- Проверьте provisioning пользователей — возможно, пользователей нужно сначала пригласить в рабочее пространство Krea
Ошибка «Invalid SAML response»
Ошибка «Invalid SAML response»
- Расхождение часов — убедитесь, что часы сервера IdP точны (в пределах 5 минут от фактического времени)
- Условия assertion — проверьте, что условия NotBefore/NotOnOrAfter SAML-assertion действительны
- Проблемы с подписью — убедитесь, что используется правильный сертификат
Цикл перенаправления или пустая страница
Цикл перенаправления или пустая страница
- Очистите cookies — удалите все cookies, связанные с Krea, и попробуйте снова
- Проверьте ACS URL — убедитесь в отсутствии опечаток в ACS URL, настроенном в вашем IdP
- Проверьте домен — убедитесь, что подтверждение домена всё ещё активно
Управление SSO
Просмотр состояния SSO
- Перейдите в Workspace Settings ↗
- Прокрутите до раздела Domain Management
- Карточка SSO показывает:
- Статус Enabled с зелёным индикатором
- Ваш подтверждённый домен
- Кнопку Configure для изменения настроек
Обновление метаданных IdP
Если вам нужно обновить метаданные IdP (например, после ротации сертификата):- Перейдите в Workspace Settings ↗
- В разделе Domain Management нажмите Configure на карточке SSO
- Обновите URL или XML метаданных
- Нажмите Save changes
Отключение SSO
- Перейдите в Workspace Settings ↗
- В разделе Domain Management нажмите Configure на карточке SSO
- Нажмите Disable SSO внизу модального окна
- Подтвердите действие
Нужна помощь?
Корпоративная поддержка
Свяжитесь с нашей корпоративной поддержкой по адресу support@krea.ai
Отдел продаж
Вопросы о корпоративных тарифах? Напишите на sales@krea.ai