Вход: координатор и каталог
Актуально для: SimpleTwo 0.9.x, роль directory с 0.83 · Проверено: 16.10.2026 по коду
С объединением календарей, групп рассылки и контактов в роль directory у платформы два
аутентификатора, и какой из них действует, определяют переключатели консоли координатора.
Эта страница описывает картину целиком; регламент самого перехода — в
Переходе на вход через identity.
Две роли
coordinator | directory | |
|---|---|---|
| Что это | плоскость управления: парк, роли и права (RBAC), политики, опции продуктов, консоль | каталог организации: учётные записи, группы и группы рассылки, контакты и адресные книги, календари; SCIM, источник LDAP, связь с HRMS |
| В ядре | аутентификатор: своя страница входа и брокер к поставщику входа организации (ADFS, Entra ID, Keycloak); выпускает сессии и токены, которые принимают все службы | каталог: хранит учётные данные для координатора — пароли гостей, пароли приложений для почты и CalDAV, второй фактор — и проверяет их по его запросу, как AD хранит пароли, пока вход проводит ADFS |
| После перехода | остаётся хозяином парка, ролей и прав; из пути входа уходит после переключения токена платформы | эмитент: своя страница входа — для локальных учётных записей и гостей пароль, код аутентификатора, коды по почте и подтверждение на телефоне, для остальных брокер к поставщику входа организации; выпускает токены платформы |
Поставщик входа организации — внешний: ADFS, Entra ID, Keycloak или SimpleZero ID, отдельный
продукт платформы SimpleZero. directory хранит локальные учётные записи и гостей — их никакой
внешний поставщик не знает, поэтому пароль, код аутентификатора, коды по почте, подтве рждение на
телефоне через SimpleTwo Connect и самостоятельный сброс пароля — у каталога. Ключи доступа,
OpenID Connect и SAML для сторонних приложений компании и LDAP-сервер — у поставщика входа, не у
SimpleTwo. Каталог брокерит вход к нему и выпускает токен платформы. Имя роли одно, dir.<домен>.
Переключатели
Все переключатели — в консоли координатора, Настройки. Каждый отказывает двигаться вперёд, пока не выполнены его условия, и говорит, что мешает; назад можно всегда.
| # | Где | Переключатель | Значения | Что меняет |
|---|---|---|---|---|
| 1 | Настройки → карточка «Вход» (/admin/api/sign-in) | Кто проводит вход | coordinator · identity | кто рисует страницу входа в браузере: форма координатора и его настройки SSO, или страница каталога со вторым фактором и её брокером к поставщику входа. Токены в обоих случаях выпускает координатор. Условия: публичное имя directory отвечает, задан публичный адрес координатора, и — пока токен платформы координатора — в каталоге включён проброс пароля по LDAP, если есть учётные записи поставщика входа: приложения до переключения токена входят паролем, а координатор в этом режиме перестаёт проверять его у поставщика. При переключении координатор регистрирует на directory клиента platform. В той же карточке — передача: настройки SSO координатора (издатель, клиент, секрет, имена утверждений, сопоставление групп с ролями, домены входа) копируются в вышестоящий провайдер каталога, его схему и назначения ролей; «Передать» оставляет провайдер выключенным, «Передать и включить» отдаёт ему домены входа — после того как поставщик входа принял адрес возврата каталога |
| 2 | карточка «Вход через identity» | Токен платформы (platform_token) | hmac · identity | чей токен принимают все службы: координатора (HMAC на общем секрете) или directory (подписанный ключом, с лентой отзыва). Условия: имя directory объявлено, у directory включён выпуск (platform_issuer), ключи закреплены, задан публичный адрес координатора, заведена учётная запись экстренного доступа, у ботов п латформы есть учётные данные directory. После переключения консоль, веб-клиент и приложения входят через directory, координатор токенов людям не выпускает |
| 3 | та же карточка | Служебный токен (service_token) | hmac · keys | чем службы подписывают вызовы друг другу: общим секретом или ключом каждого хоста |
| 4 | та же карточка | CalDAV и CardDAV (dav_auth) | calendar · identity | чем входит календарная или контактная программа: паролями устройств календаря или только паролями приложений directory |
| 5 | та же карточка | Каталог messaging (directory-source) | coordinator · identity | откуда чат берёт людей и группы: из событий каталога координатора или из ленты directory, которая показывает чату только назначенных |
Переключатели 1 и 2 — разные вещи. Первый меняет только страницу: кто её рисует. Второй меняет эмитента: после него у человека одна сессия на все службы, и выход, «это был не я», смена пароля и блокировка действуют везде сразу. Второй сам ведёт вход через directory, что бы ни стояло в первом.
Согласованные состояния
| Состояние | Кто проводит вход | Токен платформы | Что получается |
|---|---|---|---|
| Ядро | coordinator | hmac | вход через поставщика входа организации на форме координатора; directory — каталог с календарём |
| Страница каталога | identity | hmac | люди входят на странице каталога: локальные учётные записи и гости — паролем и вторым фактором, остальные — через поставщика входа организации; сессии по-прежнему координатора, откат — одним переключателем |
| Полный переход | любое | identity | каталог — эмитент для всех служб; консоль и клиенты входят через него; координатор — парк, роли и права. Регламент: Переход на вход через identity |
Остальные три переключателя (служебный токен, CalDAV и CardDAV, каталог messaging) от первых двух не зависят и переключаются по готовности каждой службы.
Куда смотреть дальше
- Продукты — что входит в ядро и в каждый продукт
- Переход на вход через identity — регламент переключения токена платформы
- Вход через поставщика организации, ADFS
- Пароли приложений, Доступ к SimpleTwo