Вход, пароль и безопасность

Страница описывает, как устроен вход в кабинет, что хранится в браузере и на сервере, и какие правила безопасности должен соблюдать пользователь и администратор.

Как выполняется вход

В Assist нет полей для ввода логина и пароля. Вход выполняется через Keycloak — отдельную систему входа компании.

Браузер        Assist              Keycloak
  │  Войти ───▶│                      │
  │◀── перенаправление ──────────────▶│
  │  логин и пароль ─────────────────▶│
  │◀──────── возврат в Assist ────────│
  │  сессия создана, открыта «Моя работа»

1. Вы нажимаете Войти на странице Assist.
2. Браузер переходит на страницу Keycloak.
3. Вы вводите логин и пароль на странице Keycloak. Assist эти данные не получает.
4. Keycloak подтверждает вашу личность и возвращает вас в Assist.
5. Assist создаёт сессию на сервере и выдаёт браузеру служебную cookie thor.sid.

Что хранится в браузере

• Cookie thor.sid — подписанный идентификатор сессии. Она недоступна скриптам на странице (HttpOnly) и привязана к сайту (SameSite=Lax). Пароль в ней не хранится.
• Выбранные тема и язык интерфейса, а также некоторые настройки отображения (например, свёрнутая панель досок).

Пароль

• Пароль меняется только в Keycloak. В профиле Assist поля пароля нет.
• Адрес электронной почты в профиле Assist изменить нельзя: он приходит из Keycloak. Чтобы изменить адрес, обратитесь к администратору.

Сессии

Сессия — один вход с одного браузера или устройства. Сессия действует, пока Keycloak считает вход действительным.

• Пользователь видит и завершает свои сессии на странице «Мои сессии».
• Администратор видит сессии всех пользователей на странице «Сессии» и может завершить любую.
• После завершения сессии браузер немедленно теряет доступ. Для продолжения нужно войти заново.
• Кнопка Выйти закрывает только сессию в текущем браузере.

Внимание

Если вы работали на чужом компьютере или потеряли устройство, завершите сессию на странице «Мои сессии» с любого другого устройства и смените пароль в Keycloak.

Права доступа

Что видит и меняет человек, определяет его роль. Если у роли нет права на страницу, пункт меню скрыт, а прямая ссылка перенаправляет на «Мою работу». Подробно: «Роли и доступ» и таблица прав.

API-ключи

API-ключ — это пароль для программ. Правила:

1. Ключ действует с правами выбранной при создании роли, а не всех ваших прав.
2. Для ключа можно выбрать свою роль или роль с более низким приоритетом.
3. Полный токен показывается один раз. Сохраните его сразу в надёжном месте.
4. Ключ можно перевыпустить (старый токен перестаёт работать) или отозвать.
5. Создавать, перевыпускать и отзывать ключи можно только через интерфейс, самим ключом это сделать нельзя.
6. Не отправляйте токен в мессенджерах и не храните его в репозитории с исходным кодом.

Подробно: «API-ключи», «Интеграции».

Секреты каналов уведомлений

Пароли почты, токены ботов, ключи шифрования хранятся зашифрованными и после сохранения не показываются. При редактировании транспорта оставьте секретное поле пустым, чтобы сохранить текущее значение. Подробно: «Транспорты уведомлений».

Журнал действий

Все изменения данных записываются в журнал аудита: кто, когда и что сделал. Изменения конкретной задачи, релиза или проекта видны на вкладке «История» этой записи.

Правила для пользователя

1. Не сообщайте пароль другим людям.
2. Завершайте работу кнопкой Выйти на чужих компьютерах.
3. Раз в месяц просматривайте «Мои сессии» и завершайте незнакомые.
4. Не создавайте API-ключ без необходимости и отзывайте ключи, которые больше не нужны.
5. Если подозреваете чужой вход, завершите сессию, смените пароль в Keycloak и сообщите администратору.

Правила для администратора

1. Назначайте каждой роли минимально необходимые права.
2. При увольнении сотрудника отключите его профиль и завершите его сессии: «Увольнение сотрудника».
3. Периодически проверяйте журнал аудита и список API-ключей.
4. Не выдавайте право создавать API-ключи всем ролям.