Настройка единого входа (SSO) через Microsoft 365

Для кого: администраторы рабочей области на тарифах Business и Enterprise или с любой лицензией на своём сервере (on-premise) · Время: около 20 минут плюс время на обновление DNS

Обзор

Единый вход (SSO) позволяет сотрудникам входить в Digital Workspace с рабочей учётной записью Microsoft 365 вместо отдельного пароля. Когда сотрудник уходит из компании и IT-отдел отключает его учётную запись Microsoft, он теряет доступ и к Digital Workspace.

Настройка состоит из четырёх частей. Выполняйте их по порядку:

1. Зарегистрируйте Digital Workspace как приложение в Microsoft Entra (каталоге Microsoft 365).
2. Подключите приложение в Настройках рабочей области и проверьте его со своей рабочей учётной записью.
3. Подтвердите почтовый домен компании записью DNS.
4. Выберите правила: обязательный SSO для всех и автоматическое добавление новых людей.

Кто что делает

Перед началом

• Вы администратор рабочей области в Digital Workspace, и ваша почта в Digital Workspace — это рабочая почта Microsoft 365 (например you@yourcompany.com).
• Вы можете войти в Microsoft Entra admin center (entra.microsoft.com) как Global Administrator, Application Administrator или Cloud Application Administrator. Если нет — передайте эту статью IT-отделу.
• Вы можете добавить TXT-запись в DNS домена компании или знаете, кто может.
• Рабочая область на тарифе Business или Enterprise. На других тарифах в карточке «Единый вход (SSO)» показывается предложение перейти на другой тариф. На своём сервере (on-premise) SSO доступен с любой лицензией.

На своём сервере (on-premise)

SSO работает так же, но есть четыре дополнительных момента:

• Сначала включите HTTPS с именем сервера (см. статью «Включение HTTPS» в Руководстве администратора on-premise). Microsoft принимает только адреса перенаправления https://.
• Адрес перенаправления в карточке «Единый вход (SSO)» строится из поля Веб-адрес в Настройках рабочей области › Почтовый сервер. Перед тем как копировать его в Entra, проверьте, что это ваш HTTPS-адрес.
• Сервер должен иметь доступ в интернет к login.microsoftonline.com. Офлайн-сервер не может использовать вход через Microsoft 365.
• В части 3 TXT-запись проверяется через DNS-серверы, которые использует ваш сервер. Если на запросы по вашему домену отвечает внутренний DNS компании, добавьте запись и туда. Автоматически добавленные люди учитываются в числе мест по вашей лицензии.

Часть 1. Регистрация приложения в Microsoft Entra

1. В Digital Workspace откройте Настройки рабочей области → Безопасность и найдите карточку Единый вход (SSO). В разделе Подключите Microsoft 365 нажмите Копировать рядом с полем Адрес перенаправления (вставьте в Entra). Не закрывайте эту вкладку.
2. В новой вкладке войдите на entra.microsoft.com.
3. Откройте App registrations (Регистрация приложений) — в левом меню в разделе Entra ID или Identity → Applications, в зависимости от версии портала, либо через строку поиска вверху — и нажмите New registration (Новая регистрация).
4. Заполните форму:
   • Name (Имя): Digital Workspace. Это название сотрудники увидят на странице входа Microsoft.
   • Supported account types (Поддерживаемые типы учётных записей): Accounts in this organizational directory only (Single tenant) — только учётные записи этого каталога.
   • Redirect URI (URI перенаправления): платформа Web, вставьте скопированный адрес. Он должен совпадать полностью.
5. Нажмите Register (Зарегистрировать). Откроется страница Overview (Обзор) приложения.
6. Скопируйте со страницы Overview два значения для части 2:
   • Application (client) ID — идентификатор приложения
   • Directory (tenant) ID — идентификатор каталога
7. Откройте Certificates & secrets → Client secrets и нажмите New client secret. Введите описание (например Digital Workspace SSO), выберите срок действия (обычно 12 или 24 месяца) и нажмите Add.
8. Сразу скопируйте Value (значение) секрета и запомните дату в столбце Expires.

   Копируйте столбец Value, а не Secret ID. Microsoft показывает значение только один раз. Если вы ушли со страницы, не скопировав его, удалите секрет и создайте новый.

Рекомендуем: ограничьте круг пользователей

По умолчанию приложением может пользоваться любой человек из вашего каталога Microsoft. Чтобы разрешить вход только тем, кому нужен Digital Workspace:

1. В Entra откройте Enterprise applications (Корпоративные приложения, рядом с App registrations) и выберите Digital Workspace.
2. В разделе Properties установите Assignment required? (Требуется назначение) в Yes и нажмите Save.
3. В разделе Users and groups нажмите Add user/group и назначьте людей или группы, которым нужен доступ.

Часть 2. Подключение и проверка в Digital Workspace

1. Вернитесь в Настройки рабочей области → Безопасность → Единый вход (SSO) и заполните раздел Подключите Microsoft 365:
   • Идентификатор каталога (клиента)
   • Идентификатор приложения (клиента)
   • Секрет клиента: вставьте значение (Value) секрета
   • Срок действия секрета: дата Expires из Entra. Администраторы получат предупреждение за 30 и 7 дней.
2. Нажмите Сохранить. Перед сохранением Digital Workspace проверяет секрет в Microsoft. Если он принят, появится Сохранено. Теперь проверьте подключение. Секрет хранится в зашифрованном виде и больше не показывается.
3. Нажмите Проверить подключение. Вы перейдёте на страницу Microsoft. Войдите со своей рабочей учётной записью — с той же почтой, что и в Digital Workspace.
4. Вы вернётесь в настройки с одним из сообщений:
   • Подключение работает — вы вошли через Microsoft. Переходите к части 3.
   • Подключение работает, но вы вошли в Microsoft с другой почтой… Подключение исправно, но повторите проверку со своей рабочей учётной записью. Без этого SSO нельзя сделать обязательным.

Часть 3. Подтверждение почтового домена

Digital Workspace направляет людей в Microsoft по домену их почты. Владение доменом подтверждается записью DNS.

1. В разделе Ваши почтовые домены введите домен (например yourcompany.com) и нажмите Добавить домен.
2. Домен появится со статусом Ожидает DNS, а рядом — Имя и Значение. У своего DNS-провайдера создайте TXT-запись:

   Тип	Имя / хост	Значение
   TXT	_dw-verify (полностью: _dw-verify.yourcompany.com)	dw-verify= и ваш код — точно как показано

3. Сохранив запись, нажмите Проверить. Когда запись найдена, домен получает статус Подтверждён. Если видите Запись пока не видна, подождите несколько минут и проверьте снова. Изменения DNS могут занять до часа.
4. Повторите для каждого почтового домена компании.

Не удаляйте TXT-запись. Digital Workspace проверяет её каждый день. Если её нет два дня, домен перестаёт считаться подтверждённым, а все администраторы получают уведомление. Публичные почтовые домены, например gmail.com или mail.ru, добавить нельзя, а один домен может подтвердить только одна рабочая область. Домен, который так и не был подтверждён, удаляется через 14 дней.

С этого момента каждый, кто вводит на странице входа почту с подтверждённого домена, видит кнопку Продолжить с Microsoft 365.

Часть 4. Правила

1. Сделать SSO обязательным: пароли перестают работать для этой рабочей области, и все, кто вошёл по паролю (кроме администраторов), выходят из системы. Переключатель доступен только после успешной проверки подключения с вашей рабочей учётной записью и подтверждения хотя бы одного домена — так вы не потеряете доступ сами. Подтвердите запрос, чтобы включить его.
2. Добавлять новых людей автоматически: человек с подтверждённого домена при первом входе попадает в рабочую область без приглашения. Входить он сможет только через SSO, и он учитывается в лимите пользователей тарифа.
3. Назначить роль: роль доступа, которую получают автоматически добавленные люди. Роль администратора нельзя выбрать по умолчанию.
4. Нажмите Сохранить правила.

Вошедших через SSO просят войти снова каждые 12 часов. Поэтому сотрудник, отключённый в Microsoft, теряет доступ не позже чем через 12 часов.

Что видят сотрудники

1. На странице входа сотрудник вводит рабочую почту и нажимает Продолжить.
2. Он нажимает Продолжить с Microsoft 365, входит на странице Microsoft и сразу возвращается в рабочую область.
3. Существующие участники: первый вход через Microsoft связывает их учётную запись. Дальше они входят через Microsoft. Прежний пароль Digital Workspace перестаёт работать, а другие их сеансы завершаются.

Резервный вход для администраторов

Если вход через Microsoft не работает, а SSO обязателен, администратор рабочей области всё равно может войти: на странице входа в блоке Вы администратор, а Microsoft не работает? выберите Войти с паролем. Каждый такой вход записывается, а остальные администраторы получают уведомление в колокольчике и письмо.

Повседневное администрирование

• Замена секрета клиента: до истечения срока создайте новый секрет в Entra (часть 1, шаги 7–8). Вставьте его в поле Секрет клиента, обновите Срок действия секрета и нажмите Сохранить. SSO продолжает работать, повторная проверка не нужна. Затем удалите старый секрет в Entra.
• Смена каталога или приложения: если вы меняете идентификатор каталога или приложения, снова выполните Проверить подключение. До этого SSO не будет обязательным, а текущие сеансы SSO завершатся.
• Журнал: раздел Последние события единого входа внизу карточки показывает подключения, проверки, изменения доменов, входы и резервные входы.
• Отключение SSO: нажмите Отключить SSO и подтвердите. Все снова входят по паролю. Те, кто входил только через SSO, задают пароль через Забыли пароль? на странице входа.

Устранение проблем