OpenMetabase

Для подключения с прямой передачей учётных данных укажите имя пользователя и пароль в полях tCreds.user и tCreds.pass соответственно.

Для использования интегрированной доменной аутентификации пользователя поле tCreds.user не указывается, а в поле tCreds.pass необходимо указать пустое значение. При этом для подключения будут переданы учётные данные текущего пользователя операционной системы.

Для подключения с использованием протокола OAuth необходимо предварительно подготовить репозиторий следующим образом:

• в реестре/файле settings.xml создайте раздел OAuth, внутри него создайте подраздел и задайте настройки, необходимые для работы с внешним сервисом аутентификации по протоколу OAuth 2.0.

• в файле Metabases.xml создайте раздел для подключения к репозиторию, в качестве значения атрибута Authentication укажите значение 7. Внутри созданного раздела создайте подраздел OAuthService, в атрибуте Providers укажите наименование сервера аутентификации, которое было задано в реестре/файле settings.xml.

Подключение выполняется в несколько этапов с выполнением дополнительных операций:

1. Выполните операцию GetOAuthSettings, в поле tArg.svcKey укажите значение -1. В результате операции будет получен список внешних сервисов, созданных в подразделе OAuth в реестре/файле settings.xml. Для каждого элемента списка будет доступен идентификатор, ключ и пиктограмма - поля id, key и icon соответственно.

2. Выполните операцию CreateOAuthState, в поле tArg.svcKey укажите ключ сервиса аутентификации, а в поле tArg.redirectUri путь до корня веб-приложения, который будет использоваться в качестве адреса возврата в приложение после ввода учётных данных пользователя на внешнем сервисе. Во время выполнения операции BI-сервер сгенерирует параметр state для защиты от потенциальных атак типа CSRF при получении кода авторизации. Результатом выполнения операции будет адрес сервиса аутентификации, который задан в настройках сервиса в реестре/файле settings.xml в поле AuthUrl, дополненный адресом возврата из tArg.redirectUri и сгенерированным параметром state. Адрес, указанный в tArg.redirectUri, должен быть прописан в настройках внешнего сервиса аутентификации. В ответе через заголовок Set-Cookie BI-сервер устанавливает в браузере cookie со значением параметра state. Cookie имеет время жизни 5 минут, имеет атрибуты HttpOnly и Secure.

Важно. Cookie с атрибутом Secure передаются только по HTTPS-соединению, поэтому взаимодействие BI-сервера и веб-приложения обязательно должны быть настроены на работу по HTTPS, иначе OAuth-аутентификация будет невозможна.

3. Веб-приложение должно осуществить перенаправление по полученному адресу authUrl. Пользователь проходит аутентификацию на внешнем сервисе. При успешной аутентификации внешний сервис осуществляет обратное перенаправление в веб-приложение по адресу, который был задан в поле CreateOAuthState.tArg.redirectUri с указанием параметров code и state.

4. Выполните операцию GetOAuthToken, в поле tArg.svcKey укажите использованный ранее ключ сервиса аутентификации, в поле tArg.applicationUrl укажите путь до корня веб-приложения, который будет использоваться в качестве адреса возврата в приложение, значение должно быть равно указанному ранее в CreateOAuthState.tArg.redirectUri. В полях tArg.loginCode и tArg.state укажите значения полученных параметров code и state соответственно. При выполнении запроса BI-сервер проверит значение параметра для защиты от потенциальных CSRF-атак при получении кода авторизации. В случае успешной проверки произойдет обращение к внешнему сервису для получения токенов. BI-сервер вернёт ключ для использования токенов. Данный ключ будет доступен в поле oauth_token результата выполнения операции и далее может быть передан в операцию OpenMetabase.

5. Выполните операцию OpenMetabase, в поле tCreds.oauth.oauth_token укажите полученный ключ для использования токенов, в поле tCreds.oauth.oauth_verifier пустое значение, а в поле tCreds.oauth.svcKey использованный ранее ключ сервиса аутентификации, в поле tCreds.pass также укажите пустое значение. В поле tDef.id укажите идентификатор репозитория.

При успешном выполнении всех действий будет осуществлено подключение к репозиторию.

Для подключения с использованием цифровой подписи необходимо предварительно подготовить репозиторий следующим образом:

• в реестре необходимо сохранить зашифрованный пароль, который будет использоваться для подключения к базе данных репозитория. Для этого запустите утилиту PP.Util с ключом /save_creds <ID описания репозитория> <имя пользователя>. Утилита расположена в папке с установленным «Форсайт. Аналитическая платформа». После успешного запуска будет запрошен пароль. Введите пароль. После этого будет выведено сообщение «Password for metabase “ID описания репозитория” and login “имя пользователя” saved»;

• сохраните сертификат в репозиторий используя следующую команду: PP.Util.exe /save_cert "путь до сертификата" <ID описания репозитория> <имя пользователя>. После этого утилита запросит пароль указанного пользователя. Полученные учётные данные будут использованы для подключения к репозиторию. При удачной авторизации и сохранении сертификата будет выведено сообщение: Certificate from file "путь до сертификата" with identifier "ID сертификата" saved to metabase "ID описания репозитория";

• сохранить закрытый ключ в реестре используя следующую команду: PP.Util.exe /save_private_key "путь до ключа" <ID сертификата> <алгоритм шифрования := gos|pro, если не указан, то gos>. После удачного сохранения закрытого ключа будет выведено сообщение: "Certificate from file "путь до ключа" with identifier "ID сертификата" saved".

Примечание. Если BI-сервер установлен на веб-сервере IIS, то пул BI-сервера должен быть запущен из-под того пользователя, под которым запускали утилиту PP.Util.

Перед подключением необходимо выполнить операцию GetVerifierCode для получения блока данных, которые клиент должен будет подписать цифровой подписью. Подписанные данные необходимо указать в поле tCreds.verifier.signature, в поле tCreds.verifier.cookie необходимо указать случайное число, которое также будет получено в результате выполнения операции GetVerifierCode. В поле tCreds.verifier.user указывается пользователь, под которым осуществляется подключение. Этот пользователь может отсутствовать в СУБД репозитория и менеджере безопасности.

Примечание. Если указан пользователь, который отсутствует везде, то он будет создан в менеджере безопасности репозитория. Если было задано поле tCreds.verifier.role, то пользователь будет включен в указанную группу и будет обладать соответствующими правами. Если поле не задано, то пользователь будет включен во встроенную группу ПОЛЬЗОВАТЕЛИ. При необходимости права созданного пользователя можно изменить с помощью операции SetMbSec.

В поле tCreds.verifier.mbUser укажите пользователя, под которым будет осуществляться фактическое подключение к базе данных репозитория. Данный пользователь должен существовать в СУБД и обладать правами на вход в репозиторий. Также в поле tCreds.verifier.certificate необходимо указать идентификатор сертификата, который будет использоваться для проверки цифровой подписи. Данный сертификат должен быть сохранён в репозитории таким образом, как это было описано выше. В поле tCreds.pass задается пустая строка, данное поле не используется при подключении с использованием цифровой подписи.