Наладка адзінага ўваходу (SSO) для вашай каманды - (Вэб-праграма каманды)

Што робіць SSO

Адзіны ўваход дазваляе членам вашай каманды ўваходзіць праз пастаўшчыка ідэнтыфікацыі вашай кампаніі, напрыклад Okta, Microsoft Entra ID (Azure AD), Google Workspace або Auth0. Вы наладжваеце яго на старонцы SSO. Адкрыць яе могуць толькі ўладальнікі і адміністратары. Назва старонкі: Single Sign-On (SSO).

На старонцы тры ўкладкі: Email Domains, OIDC і SAML 2.0. Можна выкарыстоўваць або OIDC, або SAML 2.0, але не абодва адначасова.

Крок 1: Дадайце і пацвердзіце дамен электроннай пошты

Адкрыйце ўкладку Email Domains. SSO пачынаецца з пацверджання таго, што вы валодаеце дменам электроннай пошты вашай кампаніі. Пацверджанне дамена агульнае для SAML і OIDC, таму пацвярджаць трэба толькі адзін раз.

1. У раздзеле Add Email Domain увядзіце свой дамен (напрыклад, example.com) і націсніце Add Domain.
2. Дамен будзе паказаны як Pending Verification. Націсніце How to Verify, каб адкрыць інструкцыю.
3. Абярыце адзін спосаб: - DNS TXT Record: дадайце TXT-запіс у DNS вашага дамена са значэннем, якое паказана. Змены ў DNS могуць заняць да 48 гадзін. - File Upload: змесціце тэкставы файл з кодам пацверджання па адрасе https://yourdomain/.well-known/scribblemaps-verify.txt. Файл павінен быць даступны па HTTPS.
4. Націсніце Verify Now. Калі ўсё атрымалася, на старонцы з'явіцца паведамленне «Domain verified successfully!», а дамен будзе пазначаны як Verified.

Калі не атрымліваецца пацвердзіць праз DNS або файл, напішыце на [email protected], і каманда зможа пацвердзіць ваш дамен уручную.

Крок 2 (варыянт A): Наладзьце OIDC

Адкрыйце ўкладку OIDC.

1. Скапіруйце Redirect URI / Callback URL, паказаны ў раздзеле Callback URLs. Вы перадаяце яго свайму пастаўшчыку ідэнтыфікацыі, калі ствараеце праграму.
2. У раздзеле Quick Setup можна ўставіць discovery URL вашага пастаўшчыка (URL .well-known/openid-configuration) і націснуць Імпартаваць, каб аўтаматычна запоўніць Authority і тып пастаўшчыка.
3. Запоўніце абавязковыя палі ў раздзеле Provider Settings: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. Адкрыйце User Settings, каб уключыць Just-In-Time (JIT) Provisioning, які стварае ўліковы запіс карыстальніка пры першым уваходзе праз OIDC.
5. Адкрыйце Security Settings, каб уключыць Require Multi-Factor Authentication (MFA), калі вы хочаце пацвярджаць MFA перад уваходам.
6. Націсніце Захаваць налады, затым Test Connection. Таксама можна скарыстаць Test SSO Login, каб праверыць поўны ўваход у новым акне.
7. Уключыце пераключальнік OIDC SSO enabled.

Калі вы ствараеце праграму ў свайго пастаўшчыка ідэнтыфікацыі, абярыце ў якасці тыпу Web Application (не SPA і не Native), бо патрабуецца Client Secret.

Крок 2 (варыянт B): Наладзьце SAML 2.0

Адкрыйце ўкладку SAML 2.0.

1. Скапіруйце Service Provider (SP) Information, каб перадаць свайму пастаўшчыку ідэнтыфікацыі: SP Entity ID / Audience URI, Single Sign-On URL / ACS URL і SP Metadata URL.
2. У раздзеле Quick Setup абярыце свайго пастаўшчыка і імпартуйце яго metadata URL, каб аўтаматычна запоўніць налады.
3. Запоўніце Identity Provider (IdP) Settings: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (неабавязкова) - IdP X.509 Certificate у фармаце PEM
4. Адкрыйце Advanced Settings, каб задаць Signature Algorithm (рэкамендуецца SHA-256) і NameID Format.
5. Адкрыйце User Settings, каб уключыць Just-In-Time (JIT) Provisioning.
6. Націсніце Захаваць налады, затым Test Connection. Скарыстайце Test SSO Login, каб праверыць поўны ўваход.
7. Уключыце пераключальнік SAML SSO enabled.

Толькі адзін пратакол за раз

Уключаным можа быць толькі OIDC або SAML, але не абодва. Калі вы ўключаеце адзін, калі другі ўжо ўключаны, старонка пытаецца, ці хочаце вы спачатку адключыць другі. Напрыклад, пры ўключэнні OIDC, калі SAML уключаны, паказваецца «SAML is currently enabled. Would you like to disable it?» з варыянтамі Disable SAML і Keep Both.

Прагляд карыстальнікаў SSO

Ніжэй на старонцы карта SSO Provisioned Users паказвае спіс людзей, створаных праз SSO. Націсніце Паказаць, каб адкрыць спіс, і Схаваць, каб закрыць яго. У табліцы паказаны для кожнага карыстальніка Email, Name, дата стварэння (Created) і апошні ўваход (Last Login). Пакуль ніхто не ўвайшоў такім чынам, там напісана «No users have been provisioned via SSO yet.»