Налада адзінага ўваходу (SSO) з SAML або OIDC

ScribbleMaps падтрымлівае карпаратыўны адзіны ўваход з выкарыстаннем SAML 2.0 або OpenID Connect (OIDC). Гэта дазваляе членам вашай каманды аўтэнтыфікавацца праз Identity Provider (IdP) вашай арганізацыі, напрыклад Okta, Microsoft Entra ID (Azure AD), Google Workspace або Auth0.

Налада SSO даступная на team.scribblemaps.com і з'яўляецца цалкам бясплатнай.

Змест

1. Падтрымліваемыя магчымасці
2. Перад пачаткам
3. Крок 1: Пацвердзіце дамен вашай электроннай пошты
4. Крок 2: Наладзьце ваш Identity Provider
5. Крок 3: Наладзьце SSO у ScribbleMaps
6. Крок 4: Праверце вашу канфігурацыю
7. Крок 5: Уключыце SSO
8. SSO, ініцыяваны пастаўшчыком паслуг (SP)
9. OIN Universal Logout
10. Інструкцыі для канкрэтных пастаўшчыкоў
11. Пашыраныя параметры
12. Вырашэнне праблем

Падтрымліваемыя магчымасці

Інтэграцыя SSO ScribbleMaps падтрымлівае наступныя магчымасці:

Перад пачаткам

• Для налады SSO вы павінны быць ўладальнікам каманды
• Вам патрэбны доступ да кансолі адміністратара Identity Provider вашай арганізацыі
• Падрыхтуйце дамен вашай электроннай пошты (напрыклад, yourcompany.com)

Крок 1: Пацвердзіце дамен вашай электроннай пошты

Перад наладай SSO вы павінны пацвердзіць валоданне даменам вашай электроннай пошты. Гэтая мера бяспекі гарантуе, што наладжваць SSO для сваіх даменаў могуць толькі ўпаўнаважаныя арганізацыі.

1. Увайдзіце на team.scribblemaps.com
2. Перайдзіце ў Налады > Single Sign-On
3. Перайдзіце на ўкладку Domains
4. Націсніце Дадаць Domain і ўвядзіце дамен вашай электроннай пошты (напрыклад, yourcompany.com)
5. Абярыце метад пацверджання:

Варыянт A: TXT-запіс DNS (рэкамендуецца)

Дадайце TXT-запіс у налады DNS вашага дамена:

Нататка: Распаўсюджванне змен DNS можа заняць да 48 гадзін.

Варыянт B: Запампоўванне файла

1. Стварыце тэкставы файл з назвай scribblemaps-verify.txt
2. Дадайце ваш код пацверджання ў якасці адзінага змесціва
3. Запампуйце па адрасе: https://yourcompany.com/.well-known/scribblemaps-verify.txt

Пасля дадавання пацверджання націсніце Verify Domain, каб пацвердзіць валоданне.

Крок 2: Наладзьце ваш Identity Provider

Дадайце ScribbleMaps як праграму ў ваш Identity Provider. Калі вы выкарыстоўваеце Okta, вы можаце дадаць ScribbleMaps непасрэдна з каталога Okta Integration Network (OIN) — SAML SSO URL, SP Entity ID, ACS URL і OIDC Redirect URI наладжваюцца аўтаматычна.

Для SAML 2.0

Для OIDC

Крок 3: Наладзьце SSO у ScribbleMaps

Налада SAML 2.0

1. У ScribbleMaps перайдзіце ў Налады > Single Sign-On > укладка SAML
2. Увядзіце наступную інфармацыю з вашага Identity Provider:

3. Націсніце Захаваць налады

Налада OIDC

1. У ScribbleMaps перайдзіце ў Налады > Single Sign-On > укладка OIDC
2. Абярыце ваш Provider Type (Google, Microsoft, Okta, Auth0 або Карыстальніцкі)
3. Увядзіце наступную інфармацыю:

4. Націсніце Захаваць налады

Крок 4: Праверце вашу канфігурацыю

Перад уключэннем SSO для ўсіх карыстальнікаў праверце вашу канфігурацыю:

1. Націсніце кнопку Test Connection
2. Адкрыецца новае акно для мадэлявання працэсу ўваходу праз SSO
3. Завяршыце аўтэнтыфікацыю праз ваш Identity Provider
4. Пераканайцеся, што вас паспяхова перанакіравала назад у ScribbleMaps

Калі праверка не ўдалася, прагледзьце паведамленне пра памылку і праверце налады канфігурацыі.

Крок 5: Уключыце SSO

Пасля паспяховай праверкі:

1. Пераключыце перамыкач Enable SSO у становішча ВКЛ.
2. Абярыце параметр прымусовага выкарыстання:
   • Optional: карыстальнікі могуць выбраць уваход праз SSO або па паролі
   • Enforced: карыстальнікі з пацверджанымі даменамі электроннай пошты павінны выкарыстоўваць SSO (уваход па паролі адключаны)

Нататка: Уладальнікі каманды заўсёды могуць выкарыстоўваць уваход па паролі ў якасці рэзервовага, нават калі SSO прымусова ўключаны.

SSO, ініцыяваны SP

ScribbleMaps падтрымлівае SSO, ініцыяваны SP, які дазваляе карыстальнікам пачаць працэс уваходу са старонкі ўваходу ScribbleMaps. Вось як гэта працуе:

1. Перайдзіце на scribblemaps.com/account/login
2. Увядзіце свой адрас электроннай пошты (напрыклад, [email protected])
3. Націсніце Sign in with SSO
4. Вас перанакіруюць да Identity Provider вашай арганізацыі (напрыклад, Okta) для аўтэнтыфікацыі
5. Пасля паспяховай аўтэнтыфікацыі вас аўтаматычна перанакіруюць назад у ScribbleMaps, і вы ўвойдзеце ў сістэму

Калі ў вашай арганізацыі SSO ўключаны прымусова, увод адраса электроннай пошты на старонцы ўваходу аўтаматычна перанакіруе вас да вашага Identity Provider — поле для пароля паказвацца не будзе.

OIN Universal Logout

Падтрымліваецца ўніверсальны выхад (Universal Logout) ад Okta. Інструкцыі па наладзе глядзіце па гэтай спасылцы.

Інструкцыі для канкрэтных пастаўшчыкоў

Okta

1. У кансолі адміністратара Okta перайдзіце ў Applications > Browse App Catalog
2. Знайдзіце ScribbleMaps і націсніце Add Integration
3. SSO URL, Entity ID і Redirect URI наладжваюцца аўтаматычна
4. Перайдзіце на ўкладку Sign On, каб знайсці звесткі канфігурацыі вашага IdP:
   • Спампуйце X.509 Certificate
   • Скапіруйце Identity Provider Issuer (Entity ID)
   • Скапіруйце Single Sign-On URL
5. Увядзіце гэтыя значэнні ў налады SSO ScribbleMaps (гл. Крок 3)

Microsoft Entra ID (Azure AD)

1. У Azure Portal перайдзіце ў Microsoft Entra ID > App registrations > New registration
2. Наладзьце:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (платформа Вэб)
3. Перайдзіце ў Certificates & secrets > Стварыце новы Client secret
4. Скапіруйце Application (client) ID і Client secret value
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. У Google Cloud Console перайдзіце ў APIs & Services > Credentials
2. Націсніце Стварыць Credentials > OAuth client ID
3. Абярыце Web application
4. Дадайце Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
5. Скапіруйце Client ID і Client Secret
6. Authority URL: https://accounts.google.com

Нататка: Каб патрабаваць MFA для Google Workspace, наладзьце яго ў кансолі адміністратара Google Workspace.

Auth0

1. У Auth0 Dashboard перайдзіце ў Applications > Create Application
2. Абярыце Regular Web Applications
3. Наладзьце:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Скапіруйце Client ID і Client Secret з укладкі Налады
5. Authority URL: https://YOUR-DOMAIN.auth0.com

Пашыраныя параметры

Своечасовае забеспячэнне (JIT)

Калі гэта ўключана, карыстальнікі аўтаматычна ствараюцца ў ScribbleMaps пры першым уваходзе праз SSO. Іх звесткі профілю (імя, электронная пошта) запаўняюцца з Identity Provider.

Патрабаваць шматфактарную аўтэнтыфікацыю (толькі OIDC)

Уключыце гэты параметр, каб патрабаваць пацверджанне MFA перад дазволам уваходу. ScribbleMaps праверыць, што ваш IdP прымусова ўжыў MFA для карыстальніка.

Для Okta вы можаце ўказаць карыстальніцкія значэнні ACR, напрыклад:

• urn:okta:loa:2fa:any - любы другі фактар
• phr - аўтэнтыфікацыя, устойлівая да фішынгу
• phrh - апаратная аўтэнтыфікацыя, устойлівая да фішынгу

Супастаўленне атрыбутаў/клэймаў

Наладзьце, як атрыбуты карыстальніка з вашага IdP супастаўляюцца з палямі карыстальніка ScribbleMaps:

Вырашэнне праблем

Распаўсюджаныя праблемы

"Domain not verified"

• Пераканайцеся, што ваш TXT-запіс DNS або файл пацверджання наладжаны правільна
• Распаўсюджванне змен DNS можа заняць да 48 гадзін
• Праверце, што ў кодзе пацверджання няма памылак

"Invalid certificate"

• Пераканайцеся, што вы выкарыстоўваеце поўны сертыфікат, уключаючы -----BEGIN CERTIFICATE----- і -----END CERTIFICATE-----
• Праверце, што тэрмін дзеяння сертыфіката не скончыўся
• Пераканайцеся, што вы скапіравалі сертыфікат подпісу, а не сертыфікат шыфравання

"Invalid signature"

• Праверце, што сертыфікат адпавядае бягучаму сертыфікату подпісу вашага IdP
• Праверце, што алгарытм подпісу супадае (SHA-256 супраць SHA-1)

"User not found" або "Email mismatch"

• Пераканайцеся, што электронная пошта, якую вяртае ваш IdP, адпавядае пацверджанаму дамену
• Праверце, што фармат NameID ўстаноўлены як Email Address
• Праверце правільнасць супастаўлення атрыбутаў/клэймаў

"Security error: Your Identity Provider is not authorized for this email domain"

• Гэта адбываецца, калі канфігурацыя IdP не адпавядае пацверджанаму дамену
• Пераканайцеся, што дамен электроннай пошты пацверджаны ў вашай камандзе
• Праверце, што вы ўваходзіце з выкарыстаннем электроннай пошты з пацверджанага дамена

Прагляд журналаў аўдыту

Сачыце за актыўнасцю SSO у Налады > Single Sign-On > Audit Logs. Вы можаце:

• Фільтраваць па тыпе падзеі (Login, Logout, Failed Login)
• Фільтраваць па дыяпазоне дат
• Экспартаваць журналы ў фармаце CSV для справаздачнасці па адпаведнасці патрабаванням

Патрэбна дапамога?

Калі ў вас узніклі праблемы з наладай SSO, звяжыцеся з нашай службай падтрымкі і паведаміце:

• Назву вашай каманды
• Identity Provider, які вы выкарыстоўваеце
• Любыя паведамленні пра памылкі, якія вы бачыце
• Здымкі экрана канфігурацыі вашага IdP (са схаванымі канфідэнцыйнымі данымі)

Мы гатовы дапамагчы вам наладзіць SSO для вашай арганізацыі.