Идентификация и доступ
SSO, провижининг через SCIM и беспарольная разблокировка.
Вход OIDC в ваш IdP, SCIM 2.0 для автоматического создания пользователей и групп и passkey WebAuthn-PRF, открывающие личное хранилище без ввода парольной фразы. Группы из IdP сопоставляются с ролями компании, а членство в командах ставится в очередь на одобрение. SSO и SCIM входят в тариф Enterprise.
IdP
Okta / Entra / Google
OIDC + SCIM
login + provisioning
Caldyr
teams · roles · passkey unlock
Как это работает
1
Пользователь нажимает «Войти через SSO»
Стандартный OIDC discovery по домену рабочей почты.
2
Редирект OIDC
Переход к вашему IdP: Okta, Entra, Google, любой OIDC.
3
SCIM синхронизирует и создаёт JIT
Пользователь при необходимости создаётся при первом входе (настройка на уровне компании). Данные о группах сопоставляются с ролями компании; членство в командах ставится в очередь на одобрение.
4
Passkey открывает личное хранилище
WebAuthn-PRF выводит ключ-обёртку. Парольная фраза не вводится. Ваш мастер-ключ никогда не покидает устройство.
Подробнее
Провижининг SCIM 2.0
Отключение в вашем IdP распространяется за секунды. Никакого забытого доступа. Стандартные эндпоинты /scim/v2/Users и /Groups.
Сопоставление группа → команда/роль
Данные о группах из IdP сопоставляются с ролями компании; сопоставление настраивается для каждой компании и применяется при каждом входе через SSO. Членство в командах ставится в очередь на одобрение, а не выдаётся сразу.
Авторазблокировка WebAuthn-PRF
Passkey выдаёт детерминированный PRF-выход внутри аутентификатора. HKDF выводит из него ключ обёртки для личного хранилища — целиком в браузере. Мы не получаем ни PRF-выход, ни производный ключ, только обёрнутый блоб.
Пример сопоставления SCIM
config · company_idp_configs.role_mapping (JSON)
# IdP group → company role and, optionally, a team (queued for approval)
{
"acme-platform-eng": { "company_role": "admin",
"team_id": "<platform-team-uuid>",
"team_role": "admin" },
"acme-backend-eng": { "company_role": "member",
"team_id": "<backend-team-uuid>",
"team_role": "member" },
"acme-contractors": { "company_role": "viewer" }
}
# Company roles: admin, member, viewer. Groups with no entry get the
# IdP config's default role (member or viewer).
Отключение в вашем IdP = мгновенный отзыв доступа здесь.
Отключите пользователя в Okta в пятницу днём: его доступ исчезнет ещё до того, как он закроет ноутбук. Никаких проверок «а кто-нибудь не забыл убрать…» в понедельник.
Сравнение
| Caldyr | Ручное управление пользователями | SSO без SCIM | |
|---|---|---|---|
| JIT-провижининг | при первом входе, если включено | создание вручную | вход работает · без профиля |
| Автоотзыв доступа | push по SCIM | вручную | устаревает до ручной правки |
| Сопоставление группа → роль | данные о группах из IdP сопоставляются с ролями компании; доступ к командам ставится в очередь на одобрение | назначение вручную | только роль по умолчанию |
| Беспарольная разблокировка | WebAuthn-PRF | только пароль | откат к паролю |
| Личное хранилище при SSO | личное хранилище с zero-knowledge | неприменимо | нет клиентского хранилища |
Частые вопросы
Любой совместимый со стандартами OIDC IdP, с SCIM 2.0 для провижининга. Мы тестируем на Keycloak; скажите, каким IdP вы пользуетесь, и мы проверим его вместе с вами.
Нет, OIDC работает и сам по себе, с опциональным just-in-time провижинингом при первом входе (настройка на уровне компании). Но без SCIM вы теряете автоматический отзыв доступа и синхронизацию групп. Большинство корпоративных клиентов включают SCIM.
Встроенный TOTP с кодами восстановления и вход по passkey (WebAuthn) поддерживаются для аккаунтов с паролем. При SSO действуют собственные политики входа вашего IdP, включая любой MFA.
WebAuthn-PRF возвращает детерминированный секрет, выведенный внутри аутентификатора. Мы разворачиваем его через HKDF в ключ-обёртку вашего хранилища, целиком на стороне клиента. Мы видим только зашифрованный блоб хранилища.
Готовы управлять своей ИИ-инфраструктурой?
Запросите доступ за пару минут, или обсудите с нами установку в air-gap.