Помощен център на Scribble Maps
Смяна на езика

Конфигуриране на Single Sign-On (SAML/OIDC)

Конфигуриране на Single Sign-On (SSO) със SAML или OIDC

ScribbleMaps поддържа корпоративен Single Sign-On чрез SAML 2.0 или OpenID Connect (OIDC). Това позволява на членовете на вашия екип да се удостоверяват чрез Identity Provider (IdP) на вашата организация, като Okta, Microsoft Entra ID (Azure AD), Google Workspace или Auth0.

Конфигурирането на SSO е достъпно на team.scribblemaps.com и е напълно безплатно.

Съдържание

  1. Поддържани функции
  2. Преди да започнете
  3. Стъпка 1: Потвърдете имейл домейна си
  4. Стъпка 2: Конфигурирайте своя Identity Provider
  5. Стъпка 3: Конфигурирайте SSO в ScribbleMaps
  6. Стъпка 4: Тествайте конфигурацията си
  7. Стъпка 5: Активирайте SSO
  8. SP-Initiated SSO
  9. OIN Universal Logout
  10. Ръководства за конкретни доставчици
  11. Разширени опции
  12. Отстраняване на проблеми

Поддържани функции

Интеграцията на ScribbleMaps със SSO поддържа следните функции:

Функция Описание
SP-Initiated SSO Потребителите могат да започнат процеса на вход от страницата за вход на ScribbleMaps, като въведат своя имейл адрес. ScribbleMaps пренасочва потребителя към вашия Identity Provider за удостоверяване.
IdP-Initiated SSO Потребителите могат да влязат в ScribbleMaps директно от таблото на своя Identity Provider (напр. като щракнат върху плочката на ScribbleMaps в Okta).
Just-In-Time (JIT) Provisioning Нови потребителски акаунти се създават автоматично в ScribbleMaps при първия вход чрез SSO. Потребителите се добавят към екипа с роля Зрител по подразбиране.

Преди да започнете

  • Трябва да сте собственик на екипа (Team Owner), за да конфигурирате SSO
  • Имате нужда от достъп до администраторската конзола на Identity Provider на вашата организация
  • Подгответе своя имейл домейн (напр. yourcompany.com)

Стъпка 1: Потвърдете имейл домейна си

Преди да конфигурирате SSO, трябва да потвърдите собствеността върху своя имейл домейн. Тази мярка за сигурност гарантира, че само упълномощени организации могат да конфигурират SSO за своите домейни.

  1. Влезте в team.scribblemaps.com
  2. Отидете на Настройки > Single Sign-On
  3. Отворете раздела Domains
  4. Щракнете върху Добави домейн и въведете своя имейл домейн (напр. yourcompany.com)
  5. Изберете метод за потвърждение:

Вариант А: DNS TXT запис (препоръчително)

Добавете TXT запис в DNS настройките на вашия домейн:

Тип Host/Name Стойност
TXT @ или yourcompany.com scribblemaps-verify=YOUR_VERIFICATION_CODE

Бележка: Промените в DNS може да отнемат до 48 часа, за да се разпространят.

Вариант Б: Качване на файл

  1. Създайте текстов файл с име scribblemaps-verify.txt
  2. Добавете своя код за потвърждение като единствено съдържание
  3. Качете го на: https://yourcompany.com/.well-known/scribblemaps-verify.txt

След като добавите потвърждението, щракнете върху Потвърди домейна, за да потвърдите собствеността.

Стъпка 2: Конфигурирайте своя Identity Provider

Добавете ScribbleMaps като приложение във вашия Identity Provider. Ако използвате Okta, можете да добавите ScribbleMaps директно от каталога на Okta Integration Network (OIN) — SAML SSO URL, SP Entity ID, ACS URL и OIDC Redirect URI се конфигурират предварително автоматично.

За SAML 2.0

Настройка Стойност
NameID Format Email Address
Signature Algorithm SHA-256 (препоръчително)

За OIDC

Настройка Стойност
Scopes openid email profile

Стъпка 3: Конфигурирайте SSO в ScribbleMaps

Конфигуриране на SAML 2.0

  1. В ScribbleMaps отидете на Настройки > Single Sign-On > раздел SAML
  2. Въведете следната информация от вашия Identity Provider:
Поле Описание
Entity ID Entity ID на вашия IdP (нарича се още Issuer)
SSO URL URL адресът, към който се изпращат заявките за вход
Certificate X.509 сертификатът за подписване на вашия IdP (формат PEM)
  1. Щракнете върху Запиши настройките

Конфигуриране на OIDC

  1. В ScribbleMaps отидете на Настройки > Single Sign-On > раздел OIDC
  2. Изберете своя Provider Type (Google, Microsoft, Okta, Auth0 или Персонализиран)
  3. Въведете следната информация:
Поле Описание
Client ID OAuth Client ID от вашия IdP
Client Secret OAuth Client Secret от вашия IdP
Authority URL Issuer URL на вашия IdP (вижте ръководствата за доставчици по-долу)
  1. Щракнете върху Запиши настройките

Стъпка 4: Тествайте конфигурацията си

Преди да активирате SSO за всички потребители, тествайте конфигурацията си:

  1. Щракнете върху бутона Test Connection
  2. Ще се отвори нов прозорец, който симулира процеса на вход чрез SSO
  3. Завършете удостоверяването чрез своя Identity Provider
  4. Проверете дали сте успешно пренасочени обратно към ScribbleMaps

Ако тестът е неуспешен, прегледайте съобщението за грешка и проверете настройките на конфигурацията си.

Стъпка 5: Активирайте SSO

След като тестът е успешен:

  1. Включете превключвателя Enable SSO
  2. Изберете опция за прилагане:
    • Optional: Потребителите могат да избират между SSO и вход с парола
    • Enforced: Потребителите с потвърдени имейл домейни трябва да използват SSO (входът с парола е изключен)

Бележка: Собствениците на екипа (Team Owners) винаги могат да използват вход с парола като резервен вариант, дори когато SSO е задължително.

SP-Initiated SSO

ScribbleMaps поддържа SP-initiated SSO, което позволява на потребителите да започнат процеса на вход от страницата за вход на ScribbleMaps. Ето как работи това:

  1. Отидете на scribblemaps.com/account/login
  2. Въведете своя имейл адрес (напр. [email protected])
  3. Щракнете върху Sign in with SSO
  4. Ще бъдете пренасочени към Identity Provider на вашата организация (напр. Okta), за да се удостоверите
  5. След успешно удостоверяване автоматично сте пренасочени обратно към ScribbleMaps и сте влезли в системата

Ако във вашата организация SSO е задължително, въвеждането на имейла ви на страницата за вход автоматично ще ви пренасочи към вашия Identity Provider — поле за парола няма да се покаже.

OIN Universal Logout

Universal logout от Okta се поддържа. За инструкции за конфигуриране, моля, посетете тази връзка.

Ръководства за конкретни доставчици

Okta

  1. В Okta Admin Console отидете на Applications > Browse App Catalog
  2. Потърсете ScribbleMaps и щракнете върху Add Integration
  3. SSO URL, Entity ID и Redirect URI се конфигурират предварително автоматично
  4. Отидете на раздела Sign On, за да намерите данните за конфигурацията на вашия IdP:
    • Изтеглете X.509 Certificate
    • Копирайте Identity Provider Issuer (Entity ID)
    • Копирайте Single Sign-On URL
  5. Въведете тези стойности в настройките на SSO в ScribbleMaps (вижте Стъпка 3)

Microsoft Entra ID (Azure AD)

  1. В Azure Portal отидете на Microsoft Entra ID > App registrations > New registration
  2. Конфигурирайте:
    • Redirect URI: https://api.scribblemaps.com/oidc/callback (платформа Web)
  3. Отидете на Certificates & secrets > Създайте нов Client secret
  4. Копирайте Application (client) ID и стойността на Client secret
  5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

  1. В Google Cloud Console отидете на APIs & Services > Credentials
  2. Щракнете върху Create Credentials > OAuth client ID
  3. Изберете Web application
  4. Добавете Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
  5. Копирайте Client ID и Client Secret
  6. Authority URL: https://accounts.google.com

Бележка: За да изисквате MFA за Google Workspace, конфигурирайте го в Google Workspace Admin Console.

Auth0

  1. В Auth0 Dashboard отидете на Applications > Create Application
  2. Изберете Regular Web Applications
  3. Конфигурирайте:
    • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
    • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
  4. Копирайте Client ID и Client Secret от раздела Settings
  5. Authority URL: https://YOUR-DOMAIN.auth0.com

Разширени опции

Just-In-Time (JIT) Provisioning

Когато е активирано, потребителите се създават автоматично в ScribbleMaps при първия им вход чрез SSO. Информацията от техния профил (име, имейл) се попълва от Identity Provider.

Изискване на многофакторно удостоверяване (само за OIDC)

Активирайте тази опция, за да изисквате MFA проверка, преди да бъде разрешен входът. ScribbleMaps ще провери дали вашият IdP е приложил MFA за потребителя.

За Okta можете да зададете персонализирани ACR стойности, като например:

  • urn:okta:loa:2fa:any - Всякакъв втори фактор
  • phr - Удостоверяване, устойчиво на фишинг
  • phrh - Удостоверяване, устойчиво на фишинг и обвързано с хардуер

Съпоставяне на атрибути/claims

Персонализирайте как атрибутите на потребителите от вашия IdP се съпоставят с полетата на потребителите в ScribbleMaps:

Поле в ScribbleMaps Често срещан SAML атрибут Често срещан OIDC claim
Имейл http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress email
Собствено име http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname given_name
Фамилия http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname family_name

Отстраняване на проблеми

Често срещани проблеми

„Domain not verified“

  • Уверете се, че вашият DNS TXT запис или файлът за потвърждение са конфигурирани правилно
  • Промените в DNS може да отнемат до 48 часа, за да се разпространят
  • Проверете дали няма грешки в кода за потвърждение

„Invalid certificate“

  • Уверете се, че използвате пълния сертификат, включително -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----
  • Проверете дали сертификатът не е изтекъл
  • Уверете се, че сте копирали сертификата за подписване, а не сертификат за криптиране

„Invalid signature“

  • Проверете дали сертификатът съвпада с текущия сертификат за подписване на вашия IdP
  • Проверете дали алгоритъмът за подпис съвпада (SHA-256 или SHA-1)

„User not found“ или „Email mismatch“

  • Уверете се, че имейлът, върнат от вашия IdP, съответства на потвърден домейн
  • Проверете дали форматът на NameID е зададен на Email Address
  • Проверете дали съпоставянето на атрибути/claims е правилно

„Security error: Your Identity Provider is not authorized for this email domain“

  • Това се случва, когато конфигурацията на IdP не съвпада с потвърдения домейн
  • Уверете се, че имейл домейнът е потвърден във вашия екип
  • Проверете дали влизате с имейл от потвърден домейн

Преглед на одитните регистри

Наблюдавайте активността на SSO в Настройки > Single Sign-On > Audit Logs. Можете да:

  • Филтрирате по тип събитие (Login, Logout, Failed Login)
  • Филтрирате по период от време
  • Експортирате регистрите като CSV за отчети за съответствие

Нуждаете се от помощ?

Ако имате проблеми с конфигурирането на SSO, моля, свържете се с нашия екип за поддръжка и посочете:

  • Името на вашия екип
  • Identity Provider, който използвате
  • Всички съобщения за грешки, които виждате
  • Екранни снимки на конфигурацията на вашия IdP (със скрити чувствителни данни)

Тук сме, за да ви помогнем да конфигурирате SSO за вашата организация.

Последна промяна