OGOwnGate

· Команда OwnGate

Корпоративный чат без бывших коллег: интеграция Mattermost со шлюзом

Уволили сотрудника из Active Directory, но забыли про сессии в мобильном приложении Mattermost? Он продолжит читать закрытые каналы руководства и коммерческие тайны ещё месяц. Разбираем, как связать чат со шлюзом по OIDC и мгновенно выбивать сессии.

Мгновенный отзыв сессий в Mattermost через шлюз доступа

Реальная история из жизни одной ИТ-компании на 150 человек: коммерческий директор со скандалом увольняется и переходит работать к прямому конкуренту.

Служба безопасности сработала образцово:

  • Почту отключили в течение десяти минут;
  • В Active Directory поставили флаг Disabled;
  • Пропуск в офис заблокировали на турникете;
  • Доступ к CRM и 1С закрыли.

Проходит три недели. В закрытом канале топ-менеджмента обсуждают стратегию участия в крупном тендере: маржинальность, скидки для заказчика, слабые места продукта.

Через два дня конкурент выходит на тендер с ценовым предложением ровно на 2% ниже, забирает контракт на 40 миллионов рублей и оставляет компанию с носом.

Как произошла утечка? Очень просто: на личном iPhone бывшего коммерческого директора всё это время преспокойно стояло официальное приложение Mattermost. Оно продолжало послушно принимать пуши и синхронизировать историю всех закрытых каналов.

Никто просто не вспомнил, что у мобильных сессий в мессенджере свой собственный, абсолютно бессмертный жизненный цикл.

---

Анатомия граблей: почему сессии чата живут дольше дружбы

В большинстве компаний Mattermost разворачивают как альтернативу Slack. Сисадмин ставит Docker-контейнер, настраивает отправку сообщений и лезет в System Console крутить настройки сессий.

И тут начинается суровая офисная реальность:

  • Если поставить срок жизни сессии 1 день — генеральный директор начинает орать, почему ему каждое утро на телефоне нужно заново вбивать логин и сложный пароль;
  • Сисадмин вздыхает и выставляет в параметре SessionLengthMobileInDays комфортные 30, 60 или 180 дней.

А теперь следите за руками:

1. Мобильный клиент при первом входе получает долгоживущий Device Token.

2. Даже если вы нажмёте Disable Account в Active Directory, Mattermost не проверяет статус пользователя в AD на каждое сообщение. Он считает, что раз токен сессии валиден — пользователь имеет право читать чат.

3. В бесплатной версии Mattermost синхронизация с LDAP происходит по расписанию (раз в сутки, а иногда и реже).

В итоге уволенный сотрудник неделями носит в кармане всю актуальную переписку компании, включая скриншоты клиентских баз, пароли и обсуждение зарплат.

---

Правильная схема: Mattermost + OIDC-шлюз OwnGate

Чтобы мессенджер перестал быть решетом для коммерческих тайн, аутентификация должна быть вынесена из локальной базы Mattermost на централизованный шлюз доступа.

В шлюзе OwnGate процесс строится по современному стандарту OpenID Connect:


[Пользователь] ──► [Mattermost App]

                         │ (Авторизация через шлюз)

                         ▼

                 [Шлюз OwnGate]

                         │

          (AD / LDAP + Обязательный TOTP 2FA)

Что это даёт:

1. Вход в один клик без паролей. Пользователь нажимает «Войти через корпоративный аккаунт». На мобильном телефоне открывается системное безопасное окно шлюза, запрашивается биометрия или TOTP-код.

2. Никаких локальных учёток. Уволили человека в каталоге — шлюз немедленно перестаёт продлевать его токены.

3. Автоматическое управление каналами (Team Sync). При смене должности сотрудника шлюз передаёт обновлённый список групп в JWT. Mattermost сам добавляет человека в нужные каналы и исключает из закрытых чатов предыдущего отдела.

---

Контрольный выстрел: мгновенный сброс сессий (Force Revoke)

Главная фишка связки Mattermost с OwnGate — это поддержка сценария немедленного отзыва сессий:

Когда HR или сисадмин нажимает кнопку блокировки в кадровой системе или Active Directory:

1. Шлюз OwnGate перехватывает событие блокировки;

2. Через административный API Mattermost (POST /api/v4/users/{user_id}/sessions/revoke/all) шлюз принудительно уничтожает все активные токены на всех смартфонах, планшетах и ноутбуках уволенного сотрудника;

3. В эту же секунду мобильное приложение на телефоне бывшего коллеги выбрасывает его на экран ввода логина, а локальный кэш сообщений блокируется.

Корпоративный чат — это сердце операционной информации компании. Не оставляйте его на милость полугодовых сессионных кук. Настройка SSO через шлюз доступа занимает 20 минут, но гарантирует, что ваши закрытые каналы читают только те, кто действительно работает в компании сегодня.

← Все статьи