Включение Microsoft Entra ID SAML и SCIM в Lucid

Настрой приложение Lucid for admin management в Microsoft Entra ID

1. Войди в Azure.
2. На главной странице нажмите Entra ID в меню навигации слева.
3. Выберите Корпоративные приложения в навигационном меню слева.
4. Нажмите +Новое приложение в левом верхнем углу страницы.
5. Найди «Lucid» и выбери плитку Lucid (All Products).
   • Если планируете использовать SCIM, рекомендуем назвать это приложение в Entra ID «Lucid для управления администрированием», так как если вы решите также использовать SCIM, мы рекомендуем два приложения Lucid.
6. Нажми Создать.

Созданное здесь приложение используется как для SAML, так и для SCIM.

Настройка интеграции SAML для Lucid через портал Azure

Чтобы настроить интеграцию SAML для Lucid через Azure Portal, выполните следующие действия:

В Azure:

1. Выберите Entra ID в меню навигации в левой части главной страницы Azure.
2. Выберите Корпоративные приложения в навигационном меню с левой стороны.
3. Откройте приложение Lucid (All Products) и переименуйте его в «Lucid для управления администрированием».
4. В приложении перейдите к разделу «Настройка единого входа».
5. В разделе «Режим единого входа» выберите SAML.
6. Нажмите Изменить в разделе «Базовая конфигурация SAML». 
7. Измените идентификатор сущности на "lucidchart.com".
   • По умолчанию используется «lucid.app», что не сработает.
8. Если работаешь в коммерческой среде, обнови URL-адреса для ответа и URL для входа в соответствии со следующими данными: 
   • Ссылка на URL-адрес ответа по умолчанию: https://lucid.app/saml/sso/<yourdomainnamehere>
   • Дополнительная ссылка Reply URL: https://www.lucidchart.com/saml/sso/<yourdomainnamehere>
   • URL-ссылка для входа: https://lucid.app/saml/sso/<yourdomainnamehere> 
     
     
9. Если вы работаете в среде FedRAMP, см. статью Обзор FedRAMP, чтобы узнать свой URL-адрес для входа и URL-адрес для ответа по умолчанию, которые следует использовать.
10. Нажмите Сохранить.
11. Убедись, что идентификатор пользователя — “user.userprincipalname”. 
    • Все базовые атрибуты и утверждения уже должны быть настроены по умолчанию.
12. Нажмите Сохранить.
13. Вразделе «XML метаданных федерации» выберите Скачать, чтобы получить метаданные IdP. 
    • Не открывай XML-файл (метаданные). Сохраненный файл загрузишь в Lucid.

В Lucid:

1. Нажмите Администрирование.
2. Нажмите на раздел Безопасность в меню слева.
3. В раскрывающемся списке выберите Аутентификация.

4. Нажми Настроить справа от параметра «Разрешить аутентификацию через SAML», чтобы перейти на страницу активации SAML в Lucid.

   • Не сможешь включить SAML, пока не укажешь домен и не загрузишь метаданные.

     

5. В поле «URL для входа в Lucidchart» укажи имя своего домена.
   
6. Нажмите Сохранить изменения.
7. Прокрути страницу активации SAML в Lucidchart вниз и нажми Добавить поставщика удостоверений.
8. Загрузите XML-файл с метаданными, который вы скачали из Entra ID.
   • Если у вас уже есть метаданные IdP из Entra ID, ранее загруженные в Lucid, и вам нужно обновить их, следуйте инструкциям в нашей статье Обзор SAML.
9. Нажмите Проверить подключение SAML, чтобы убедиться, что Lucid корректно взаимодействует с Microsoft Entra ID.
   • Подключение будет работать только в том случае, если приложение Lucid  for admin management назначено твоему тестовому пользователю в Entra ID. Назначить приложение пользователям можно в разделе Assignments на странице приложения. Для этого перейди в «Users and Groups» слева и нажми Assign. 
10. Вернись на страницу «Безопасность». 
11. Установите флажок напротив пункта «Разрешить авторизацию через SAML».
12. Нажмите Сохранить изменения.
    

После включения SAML в Lucid администратору учетной записи потребуется предоставить однократное разрешение в консоли Microsoft Entra ID, чтобы завершить подключение. Пока разрешение не предоставлено, пользователям, пытающимся выполнить вход, может быть предложено обратиться к администратору.

У вас есть возможность использовать зашифрованные утверждения для поставщиков удостоверений, добавляемых для SAML в учетную запись Lucid. Чтобы узнать больше, ознакомьтесь с нашей статьей Обзор SAML.

Создавать пользователей при входе через SAML

После настройки SAML с Microsoft Entra ID для учетной записи Lucid можно настроить JIT-подготовку (Just-In-Time), чтобы для пользователей с назначенным доступом к Lucid в Entra ID, у которых нет учетной записи Lucid, она создавалась при первом входе.

Примечание. Чтобы JIT-подготовка работала корректно, включите доменный контроль и укажите SAML в качестве способа верификации пользователей.

Чтобы включить создание новых пользователей, назначенных в приложении:

1. Перейдите на вкладку «Свойства» на странице приложения «Lucid для управления администрированием» в Entra ID.
2. Прокрутите страницу вниз и переключите «Требуется назначение пользователя?» на «Нет». 
3. Нажмите Сохранить.
4. Выберите Пользователи и группы в меню «Управление». 
5. Выберите и назначьте пользователей и/или группы для доступа к приложению Lucid  для администрирования.

Затем можно настроить JIT-подготовку в разделе Настройки лицензии панели администратора Lucid в зависимости от того, какой доступ хотите предоставить пользователям. Вот доступные варианты:

• Если хотите, чтобы все пользователи подключались к учетной записи Lucidchart с лицензиями на полное редактирование, выберите следующие настройки:
  • В разделе «Право на доступ» выбери Имеющие право на полный доступ.
  • В разделе «Пользовательские критерии применимости» выберите Мгновенный доступ.
• Если хотите, чтобы все пользователи подключались как пользователи с ограниченным доступом, в разделе «Право на доступ» выберите Имеющие право только на ограниченный доступ.
  • Пользователи по-прежнему смогут запрашивать лицензии с полным доступом к редактированию. В зависимости от настройки Когда пользователь запрашивает лицензию, можно настроить автоматическую выдачу лицензий пользователям по запросу или перевод запросов в статус ожидающих в списке пользователей.

Настройка SCIM для Lucid Suite в Entra ID

Ты можешь использовать SCIM, чтобы создавать пользователей Lucid до их первого входа в систему, и организационные группы Lucid, чтобы назначать им лицензию Lucid Suite. Чтобы подготовить пользователей и группы, выполни следующие действия в созданном приложении Lucid for admin management. Если ты еще не настроил приложение Lucid for admin management в Entra ID, пошаговые инструкции можно найти в разделе выше.

Перед настройкой SCIM выполни следующие действия в учетной записи Lucid:

• Подтверди, что используешь корпоративную учетную запись с актуальным тарифным планом. Чтобы обновить тариф, свяжись с отделом продаж.
• Убедитесь, что в настройках лицензирования включено автоматическое обновление. Это могут сделать только владельцы учетной записи или администраторы с ролями администратора по выставлению счетов и администратора учетной записи. 
  • Если этот параметр не включен, сгенерировать токены на предъявителя для настройки SCIM не удастся. Возможно, стоит отключить автообновление после генерации токенов на предъявителя, чтобы избежать нежелательного лицензирования в процессе настройки.

Выполнив указанные выше шаги предварительной настройки, вы можете настроить как SCIM для управления администрированием, так и SCIM для доступа к контенту для Lucid Suite в Entra ID, сгенерировав отдельные токены на предъявителя в Lucid и затем использовав их в Entra ID. Чтобы узнать больше о различиях и преимуществах каждого приложения, обратитесь к нашей статье Обзор SCIM для Lucid.

Получите токены на предъявителя и настройте параметры SCIM в Lucid

Прежде чем включить подготовку пользователей через SCIM в Entra ID, получите токены на предъявителя в Lucid. Для этого:

1. Войди в Lucid как владелец или администратор учетной записи.
2. Выбери Администрирование в меню слева.
3. Нажмите Интеграция приложений в меню навигации слева.
4. На соответствующей плитке SCIM выберите Настройки (или Установить).
   • Чтобы настроить оба приложения, нужно будет отдельно выполнить оставшиеся шаги для SCIM для управления администрированием и SCIM для доступа к контенту. Для каждого приложения потребуется создать отдельный токен на предъявителя.
5. Нажми Включить SCIM.
6. Нажмите Сохранить.
7. Нажмите Создать токен.
   • Если Сгенерировать токен не нажимается, убедитесь, что в настройках лицензий включена опция «Автоматически обновлять учетную запись, когда больше нет доступных лицензий», и попробуйте снова.
8. Скопируйте токен на предъявителя.
9. В разделе «Исключить группы из вашего поставщика удостоверений» нажмите Изменить справа.
10. Введите название «Все пользователи» из Entra ID и любых других групп, которые хотите исключить.
    • Твоя группа «All Users Group», скорее всего, называется по-другому, и ее название должно точно совпадать (регистр не имеет значения) с названием группы в Microsoft Entra ID.
11. Нажмите Сохранить.

Настройка интеграций и использование токенов на предъявителя в Entra ID

В зависимости от того, планируете ли вы использовать SCIM для управления администрированием, SCIM для доступа к контенту или оба варианта, описанные здесь шаги будут немного отличаться.

Настройка SCIM для администрирования

Чтобы включить подготовку SCIM для управления администрированием в Microsoft Entra ID, выполните следующие действия:

1. Откройте приложение Lucid для управления администрированием.
2. Выберите Подготовка в навигационном меню с левой стороны.
3. Нажмите Начать.
4. В раскрывающемся списке «Provisioning Mode» выбери Automatic.
5. В разделе «Учетные данные администратора» введите https://users.lucid.app/scim/v2/azure в поле «URL-адрес тенанта».
6. Введите токен на предъявителя, сгенерированный Lucid в SCIM для управления администрированием, в поле «Секретный токен».
7. Нажмите Проверить подключение.
   
8. Если подключение выполнено успешно, нажмите Сохранить.

Настройка SCIM для доступа к контенту

1. Войди в Entra ID как администратор.
2. Выберите Entra ID в меню навигации в левой части главной страницы Azure.
3. Выберите Корпоративные приложения в навигационном меню с левой стороны.
4. Создайте новое приложение в приложении Lucid (All Products) и переименуйте его в «Lucid для доступа к контенту».
   • Это позволит отличить это приложение Lucid в Entra ID от приложения «Lucid SCIM для управления администрированием», которое вы, возможно, используете по инструкциям выше.
5. Выберите Подготовка в навигационном меню с левой стороны.
6. Нажмите Начать.
7. В раскрывающемся списке «Provisioning Mode» выбери Automatic.
8. В разделе «Учетные данные администратора» введите https://users.lucid.app/scim/v2/azure в поле «URL-адрес тенанта».
9. Введите токен на предъявителя в поле Secret Token, используя токен, полученный на плитке Lucid для доступа к контенту на предыдущих шагах.
10. Нажмите Проверить подключение.
    
11. Если подключение выполнено успешно, нажмите Сохранить.

Настройка SCIM для управления администрированием

Группы, которые вы настроите для SCIM для управления администрированием, будут использоваться для управления лицензиями и детализированными административными настройками в большом масштабе, включая управление атрибутами (например, центр затрат, регион и т. д.). Эти группы также можно использовать для автоматической подготовки пользователей и организационных групп Lucid в соответствии с иерархией компании.

Создать группы пользователей

Чтобы создать новые или дополнительные группы, выполните следующие действия:

1. Выберите Entra ID в меню навигации в левой части главной страницы Azure.
2. Выберите Группы в меню слева.
3. Следуйте инструкциям ниже, чтобы создать группы лицензирования пользователей.

Создай группы лицензирования

1. Нажмите Создать группу.
2. Обнови следующие настройки:
   • Название группы: [введи желаемое название здесь]
   • При желании можешь ввести описание группы.
3. Нажми Создать.
4. Повторите эти шаги для необходимого количества групп лицензий.

Назначение групп в приложении «Lucid для управления администрированием»

Теперь можно назначить группы пользователей, созданные в предыдущем разделе, приложению Lucid для администрирования, выполнив следующие действия:

1. Перейдите в приложение «Lucid для управления администрированием» в Entra ID.
2. Нажмите Пользователи и группы.
3. Следуй оставшимся инструкциям в этом разделе, чтобы правильно назначить обе группы.

Назначение группы «Все пользователи»

Это должна быть группа, в которую автоматически добавляются все текущие и новые пользователи вашей компании. Это позволяет всем назначенным пользователям входить в приложение Lucid при условии, что SAML настроен, а также используется для подготовки учетных записей всех пользователей этой группы в группе организации Lucid по умолчанию.

Чтобы настроить эту группу «Все пользователи», выполни следующие действия:

1. Нажмите Добавить пользователя/группу.
2. В разделе «Пользователи и группы» нажмите Ничего не выбрано.
3. Найди свою группу «All User» в Entra ID. 
   • В качестве примера мы используем название «Все пользователи», но у тебя оно, скорее всего, будет называться по-другому.
4. Выбери группу.
5. Нажмите Выбрать.
6. Нажми Назначить.
   

Назначьте группы «Лицензированные пользователи»

Эти группы будут использоваться для назначения пользователю лицензии в Lucid на основе его членства в группе.

Чтобы настроить эту группу «Лицензированный пользователь», выполни следующие действия:

1. Нажмите Добавить пользователя/группу.
2. В разделе «Пользователи и группы» нажмите Ничего не выбрано.
3. Найди нужную группу лицензий.
4. Выбери группу.
5. Нажмите Выбрать.
   
6. Нажмите Назначить в левом нижнем углу страницы.

Проверка подготовки

После сохранения всех настроек, описанных выше, протестируй приложение, чтобы убедиться, что оно работает правильно. Для этого:

1. Назначь тестового пользователя в одну из своих групп лицензирования.
2. Открой приложение Lucid for admin management .
3. Выберите Подготовка в навигационном меню с левой стороны.
4. Нажмите Подготовка по требованию в меню в верхней части страницы.
5. Введи имя тестового пользователя, которого ты назначил в группу лицензирования.
6. Нажми Предоставить.

Если все работает правильно, рядом со всеми шагами будут отображаться зеленые галочки. Также будет видно, что измененные атрибуты успешно перенесли такие значения, как имя пользователя, эл. почта и т. д.

Если не видишь значки галочек, просмотри шаги по настройке выше. Если в ходе теста пользователь был успешно создан, переходи к следующему разделу.

Включите подготовку пользователей в Microsoft Entra ID

Теперь, когда шаги по настройке SCIM выполнены и успешно проведен тест, можно включить подоготовку. Для этого:

1. Вернитесь к приложению Lucid for admin management в Entra ID.
2. Откройте страницу «Подготовка».
3. Нажмите Начать подготовку.
4. Подождите, пока Entra ID подготовит ваших пользователей, группы и членства в Lucid.
   • Когда в поле «Статус текущего цикла» появится значение «Завершено на 100%», переходите к следующему разделу.

Просмотр групп Microsoft Entra ID как групп организации в Lucid

Убедитесь, что нужные группы управления администрированием Microsoft Entra ID отображаются как группы организации в Lucid — это подтверждает, что миграция прошла успешно. Чтобы получить доступ к странице групп организации в Lucid, выполните следующие действия:

1. Вернитесь в панель администратора Lucid.
2. Выберите Группы в меню навигации слева.
3. В раскрывающемся меню выберите Группы организации.

Если лицензирование Entra ID завершено (в чем мы рекомендуем убедиться перед переходом к этому разделу), на этой странице панели администратора Lucid должны отображаться группы Microsoft Entra ID из приложения «Lucid SCIM для администрирования» в качестве групп организации.

Если вы успешно выполнили шаги по исключению группы «Все пользователи» (и любых других применимых групп) в Entra ID из групп организации, вы не увидите эту группу в панели администратора Lucid. Все пользователи, которые не добавлены ни в одну из созданных вами групп организации для лицензирования пользователей, вместо этого будут автоматически добавлены в раздел «Группа организации по умолчанию».

Настройка параметров лицензий для каждой группы

Теперь можно настроить параметры лицензий для каждой из ваших групп организации. Это гарантирует, что пользователи будут лицензированы или лишены лицензии надлежащим образом при добавлении в любую из этих групп или удалении из нее. Чтобы перейти к настройкам лицензии, выполните следующие действия:

1. Перейдите в панель администратора Lucid.
2. Выберите Настройки лицензии в меню навигации слева.
3. В выпадающем меню нажмите Настройки Lucid Suite.
4. Перейдите к соответствующим шагам ниже, чтобы настроить параметры лицензий для каждой группы организации.

Настройка лицензии для группы лицензированных пользователей:

1. Выбери нужную группу лицензирования из списка групп организации в левой части страницы лицензирования.
2. В разделе «Право на доступ» выбери Имеющие право на полный доступ.
3. В разделе «Пользовательские критерии применимости» выберите Мгновенный доступ.
4. Нажмите Сохранить изменения.
5. Повторите эти шаги для любых дополнительных групп лицензирования.

Все шаги для успешной настройки приложения «Lucid для управления администрированием» выполнены. Теперь настройки лицензий будут регулироваться через группы организации, созданные с помощью SCIM.