Сервис единого входа (SSO) по OpenID Connect с многофакторной аутентификацией, корпоративным каталогом, ролями и журналом аудита. Вы устанавливаете его на свои серверы: учётные записи, сессии и журнал хранятся в вашей базе.
Установка из готового комплекта в Docker, Docker Compose, Docker Swarm или на виртуальной машине. Пользователи, роли, приложения, корпоративный каталог и журнал аудита настраиваются в панели администратора; доступ администратора при необходимости восстанавливается командой на сервере.
Стандартный OpenID Connect: Discovery, Authorization Code с PKCE, обновление токенов и client_credentials для сервисов. Бэкенды проверяют токены у себя по ключам JWKS и не обращаются к Zentro на каждый запрос.
Сотрудники входят один раз во все приложения организации, по умолчанию администраторы работают только со вторым фактором, действия записываются в журнал. Zentro Identity работает на ваших серверах: учётные записи, сессии и журнал хранятся в вашей базе.
Бизнес Корпоративный Метки показывают, с какого варианта лицензии доступна функция. Подробнее — в разделе «Тарифы». Тарифы →
Zentro Identity — провайдер OpenID Connect. Приложение берёт все адреса из Discovery, а токены проверяет само по ключам JWKS. Всё, что делают панель и личный кабинет, доступно и через API (OpenAPI, Swagger на /docs): можно сделать свою панель администратора, форму входа или кабинет пользователя поверх API, не меняя сервер.
| Сценарий | Что поддерживается |
|---|---|
| Вход пользователей | OpenID Connect, Authorization Code с PKCE (S256, обязателен для всех приложений), обновление токенов с ротацией |
| Сервис без пользователя | client_credentials |
| Настройка приложения | Discovery (/.well-known/openid-configuration), JWKS |
| Проверка и отзыв токенов | проверка подписи по JWKS; отзыв (RFC 7009) и интроспекция (RFC 7662) |
| Доступ к API | Resource Indicators (RFC 8707): токен для конкретного API с правами пользователя в его пространстве |
| Выход | RP-Initiated, Back-Channel и Front-Channel Logout |
| Уровни входа | acr (AAL1–AAL3), prompt, max_age, acr_values |
| Приватность | идентификатор пользователя общий (public) или свой для каждого приложения (pairwise); экран согласия |
| Подпись токенов | RS256 (по умолчанию), ES256, EdDSA; алгоритм можно задать отдельному приложению |
| Внутренние сервисы | gRPC с взаимной TLS-аутентификацией (mTLS) |
| Обмен токена (RFC 8693) | для серверной части своих приложений: конфиденциальное приложение (BFF) меняет токен входа на токен API |
Не поддерживаются: implicit и hybrid flow, Dynamic Client Registration.
Для популярных систем есть пошаговые инструкции. Любое другое приложение с OpenID Connect (Authorization Code + PKCE S256) подключается по общему сценарию.
Названия продуктов принадлежат их правообладателям.
Инструкция по установке →Установка панели и личного кабинета →
| Профиль | Сервер |
|---|---|
| Личный стенд или пилот: до 10 человек | 2 vCPU · 4 ГБ RAM · 40–60 ГБ SSD, один сервер |
| Малая организация: до 200 сотрудников и до 10 000 внешних пользователей | 4 vCPU · 8 ГБ RAM · 100 ГБ SSD/NVMe, один сервер |
| Средняя: до 1000 сотрудников | два сервера: приложения и база |
| Вход критичен для бизнеса | отказоустойчивая схема: 2+ сервера приложений, Redis, PostgreSQL с репликой, кластер Vault |
Цифры верны, когда сервисы проверяют токены у себя по ключам JWKS, а не спрашивают Zentro о каждом запросе.
Учётные записи, сессии и журнал хранятся в вашей базе PostgreSQL. Ключи подписи токенов и шифрования персональных данных можно держать во внешнем хранилище секретов.
Логины и почту можно хранить в базе в зашифрованном виде, с отдельным ключом для каждого пользователя: в рабочем режиме шифрование включается с первой записи на новой базе, выключить его потом нельзя. Пароли и резервные коды хранятся только в виде хеша argon2id.
По умолчанию без второго фактора панель администратора не открывается (порог настраивается). Для опасных операций порог можно поднять до входа только по ключу доступа (passkey; регистрация passkey — с тарифа Бизнес).
В рабочей установке сервис может только добавлять записи: изменить записи не позволяют права базы, а старые удаляются только по сроку хранения из настроек (приложение работает под отдельной ролью БД, как в рабочем комплекте). В Корпоративном тарифе записи связаны цепочкой хешей, и целостность проверяется в панели.
Личный кабинет открыт пользователям, а панель администратора рекомендуется держать во внутренней сети или за VPN. Через кабинет запросы к административному API не проходят.
Ограничение частоты запросов, блокировка после неудачных попыток входа, реальный IP только от доверенных прокси. В рабочем режиме сервис проверяет конфигурацию при запуске и не стартует с ошибками.
Согласия, выгрузка всех данных о себе (файлом JSON) и удаление аккаунта — в личном кабинете. После удаления данные становятся нечитаемыми, затем стираются окончательно в сроки, заданные в настройках.
Состав возможностей зависит от лицензии. Вход, второй фактор и уже заведённые пользователи от неё не зависят никогда; без ключа действует бесплатный тариф. Подробно о вариантах лицензии — в разделе «Тарифы».
Лицензия проверяется на вашем сервере; если установка подключена к серверу лицензий (ключ или бесплатная регистрация), раз в час она сверяется с сервером. Без ключа и регистрации к вендору она не обращается. Что при этом передаётся и как работать в закрытом контуре — в разделе «Сверка лицензии».
Zentro Identity работает на ваших серверах: учётные записи, сессии и журнал хранятся в вашей базе PostgreSQL. Ключи подписи и шифрования персональных данных хранятся в хранилище секретов (HashiCorp Vault) или, для пилота, на диске сервера.
Только если установка подключена к серверу лицензий (ключ или бесплатная регистрация): раз в час при сверке — идентификатор установки, токен лицензии, версия и счётчики использования; при активации ещё имя хоста. Учётные записи и почта пользователей, пароли, сессии и журнал аудита не передаются. При регистрации — только указанные вами название организации и контактная почта. Без ключа и регистрации установка к вендору не обращается.
Да. Бесплатный тариф не обращается к вендору. Платная лицензия без связи действует срок, указанный в лицензии; в закрытом контуре её продлевают, вставляя подписанный токен в панели.
Обновляет администратор установки сам одной командой: скрипт проверяет подпись вендора, делает резервную копию базы и при сбое возвращает прежнюю версию. Откат на прежнюю версию без восстановления базы возможен, только если обновление не меняло её схему; иначе — с базой из резервной копии. В Docker Swarm обновление выполняется по шагам из инструкции, одной команды нет.
OpenID Connect и OAuth 2.0: Authorization Code с PKCE (S256), обновление токенов, client_credentials, Discovery, JWKS, отзыв и интроспекция токенов, единый выход. SAML 2.0 и SCIM 2.0 появятся в следующих версиях.
Перед ним ставится шлюз (oauth2-proxy): он пускает к приложению только тех, кто вошёл в Zentro и у кого есть нужная роль. Собственный вход приложения при этом остаётся, а прямой доступ в обход шлюза нужно закрыть на уровне сети.
В панели администратора добавляется внешний провайдер: Active Directory, LDAP, Keycloak или корпоративный OIDC-провайдер. Учётная запись в Zentro может создаваться при первом входе, а права выдаются ролями Zentro.
Docker, Docker Compose, Docker Swarm или виртуальная машина с systemd, на серверах linux/amd64 и linux/arm64.
В личном кабинете пользователь управляет согласиями, выгружает копию своих данных (файлом JSON) и удаляет аккаунт. После удаления данные становятся нечитаемыми, а затем стираются окончательно в сроки из настроек; логины и почту можно хранить в базе в зашифрованном виде.
Вход, второй фактор, пользователи и уже подключённые приложения и каталоги продолжают работать. Действуют лимиты бесплатного тарифа: новые учётные записи, приложения и каталоги сверх них не создаются. Функции Корпоративного (цепочка аудита, SIEM, согласования «двух пар глаз») приостанавливаются до продления.
Начните с требований к серверу и инструкции по установке. Если нужна помощь с выбором конфигурации или лицензией, напишите нам.