Перейти к основному содержимому

SimpleZero ID

Актуально для: SimpleZero ID 0.12 · Проверено: 09.11.2026

SimpleZero ID — корпоративный поставщик удостоверений (IdP). Сотрудники и партнёры входят в приложения компании один раз, с той силой входа, какую требует политика. Приложения получают проверенные удостоверения и атрибуты, а служба безопасности — полный журнал входов.

ID ставится ролью id и работает сам по себе. С SimpleTwo и SimpleThree он связан как внешний поставщик удостоверений: их каталоги могут входить через ID по OpenID Connect.

Вход в приложения​

ПротоколЧто поддержано
SAML 2.0единый вход (SSO) и единый выход (SLO), метаданные, контекст аутентификации: urn:simplezero:mfa для входа со вторым фактором, urn:simplezero:1fa — без него
OpenID Connect и OAuth 2.0код авторизации, экран согласия, токены обновления, интроспекция и отзыв, ключи подписи с ротацией, вход на устройствах без браузера (device flow), выход
LDAPLDAP-сервер только для чтения — для приложений, которые умеют только LDAP
SCIM 2.0приём учётных записей и групп и отправка их в приложения

Что приложение получает о человеке. sub — неизменный идентификатор человека (uid), логин — в preferred_username. Подразделение приходит в org_unit, org_unit_name и org_units — подразделение и все вышестоящие, от ближайшего. Атрибуты отдаются по общей схеме линейки (см. «Схема атрибутов» ниже).

Вышестоящие поставщики. ID принимает вход через ADFS, Entra ID, Keycloak и другие поставщики по OIDC и SAML, в том числе несколько сразу. На странице входа у каждого — своя кнопка. Каждый поставщик владеет своими доменами: человек из чужого домена не войдёт через него и не войдёт паролем в ID.

Факторы и политика входа​

  • Пароли хранятся как хэши Argon2id и проверяются по списку слабых паролей.
  • Второй фактор: TOTP, passkeys и ключи FIDO2, подтверждение входа на телефоне, коды по почте. Passkeys работают и в мобильных приложениях компании.
  • Защита от перебора: десять неудач подряд блокируют учётную запись на 15 минут; служба поддержки снимает блокировку досрочно.
  • Оповещение о новом устройстве: человек узнаёт о входе из приложения, сети или браузера, которыми давно не пользовался.
  • Политика сессий: срок сессии в браузере, срок токенов обновления, тайм-аут бездействия, свежий вход для консоли. Администратор завершает сессии человека.
  • Сброс пароля — самостоятельно со страницы входа.
  • Домены входа — какой домен каким способом входит: паролем ID или через свой вышестоящий поставщик.

Каталог людей​

  • Источник LDAP. Active Directory, OpenLDAP и FreeIPA: люди, группы и фотографии синхронизируются, пароль может проверяться в самом каталоге.
  • Дерево «организации → отделы → люди». Организации — корни дерева, под ними отделы, у каждого человека одно место. Источник LDAP раскладывает людей сам: по цепочке OU записи (от ближайшей) и по атрибуту department. Место, назначенное администратором, синхронизация не меняет.
  • Изоляция организаций. Люди двух изолированных организаций не видят друг друга — ни в LDAP-сервере под своей учётной записью, ни в составе групп. Интеграции можно ограничить поддеревом: учётку LDAP, токен SCIM, цель отправки SCIM.
  • Группы с владельцами: владелец сам управляет составом своей группы, участие может быть ограничено сроком.
  • Схема атрибутов — общая для всей линейки: SCIM 2.0 Core и Enterprise, остальное — расширение urn:ietf:params:scim:schemas:extension:simplezero:2.0:User, в LDAP — атрибуты x-simplezero-… в дереве dc=simplezero.
  • SCIM 2.0 по RFC 7643 и RFC 7644: полный язык фильтров, пакетные операции, описания схем и типов ресурсов. Отправка в приложения передаёт ядро схемы и Enterprise, руководителя — по его идентификатору в целевой системе.

Аудит и автоматизация​

  • Журнал входов и журнал безопасности. Записи связаны цепочкой хэшей, поэтому подмену или удаление записи видно при проверке. Срок хранения задаётся; слишком короткий срок ID не примет.
  • Выгрузка в SIEM. Syslog по RFC 5424 поверх TLS (с клиентским сертификатом или без) или TCP, либо HTTPS — пачками JSON-строк. Доставка не реже одного раза и без пропусков: ID помнит, на какой записи остановилась выгрузка.
  • Вебхуки на события жизненного цикла: приём, перевод, увольнение, изменение группы. Запросы подписаны, три попытки доставки, итог каждой — в журнале.
  • Пересмотр доступа. Для гостей старше заданного срока и для администраторов ID периодически спрашивает поручителя или руководителя, нужен ли ещё доступ. Без ответа доступ снимается.
  • Секреты интеграций — пароли учёток LDAP, ключи вышестоящих поставщиков, токены SCIM — хранятся зашифрованными ключом платформы SimpleZero.

Консоль и портал​

  • Консоль администратора: люди и группы, структура организаций, приложения (клиенты OIDC и SAML), федерация и вышестоящие поставщики, источники, политики входа и сессий, пересмотры доступа, вебхуки, журналы. Каждое поле проверяется по своему правилу уже при вводе, и сервер держит те же правила: в консоли нельзя сохранить значение, которое сервер отвергнет.
  • Портал сотрудника: свои данные, пароль и факторы, устройства и сессии, группы, которыми человек владеет.

Что дальше​

  • RADIUS для VPN: пароль и второй фактор для VPN-шлюзов.
  • Источники ALD Pro, FreeIPA и Samba DC со своими профилями атрибутов, проверенные на реальных серверах.
  • Токены Рутокен и JaCarta, вход по смарт-карте с сертификатом ГОСТ.
  • Единый вход в SimpleOne, vStack и портал ITGLOBAL.COM — готовые подключения и инструкции.
  • Заведение людей из источника по фильтру, а также создание и блокировка человека в консоли.
  • Дальше — адаптивная аутентификация (устройство, география, время), передача журнала входов в SimpleZero SOC, блокировка учётной записи по команде плейбука, обнаружение атак на идентичность (ITDR) и лёгкая IGA на SimpleOne. Подробнее — Дорожная карта.