Opsæt Single Sign-On (SSO) for dit team - (Team web app)

Hvad SSO gør

Single Sign-On lader dine teammedlemmer logge ind med din virksomheds identitetsudbyder, såsom Okta, Microsoft Entra ID (Azure AD), Google Workspace eller Auth0. Du opsætter det på siden SSO. Kun ejere og administratorer kan åbne den. Sidens titel er Single Sign-On (SSO).

Siden har tre faner: Email Domains, OIDC og SAML 2.0. Du kan bruge enten OIDC eller SAML 2.0, ikke begge på samme tid.

Trin 1: Tilføj og bekræft et e-maildomæne

Åbn fanen Email Domains. SSO starter med at bevise, at du ejer din virksomheds e-maildomæne. Domænebekræftelse deles mellem SAML og OIDC, så du behøver kun at bekræfte én gang.

1. Under Add Email Domain skal du indtaste dit domæne (f.eks. example.com) og klikke på Add Domain.
2. Domænet vises som Pending Verification. Klik på How to Verify for at åbne trinene.
3. Vælg én metode: - DNS TXT Record: Tilføj en TXT-post til dit domænes DNS med den viste værdi. DNS-ændringer kan tage op til 48 timer. - File Upload: Læg en tekstfil med bekræftelseskoden på https://yourdomain/.well-known/scribblemaps-verify.txt. Filen skal kunne tilgås via HTTPS.
4. Klik på Verify Now. Når det virker, viser siden "Domain verified successfully!", og domænet vises som Verified.

Hvis du ikke kan bekræfte via DNS eller fil, kan du sende en e-mail til [email protected], så kan teamet bekræfte dit domæne manuelt.

Trin 2 (mulighed A): Konfigurer OIDC

Åbn fanen OIDC.

1. Kopier den Redirect URI / Callback URL, der vises under Callback URLs. Du giver denne til din identitetsudbyder, når du opretter appen.
2. I Quick Setup kan du indsætte din udbyders discovery-URL (URL'en .well-known/openid-configuration) og klikke på Import for automatisk at udfylde Authority og udbyderstype.
3. Udfyld de påkrævede felter under Provider Settings: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. Åbn User Settings for at aktivere Just-In-Time (JIT) Provisioning, som opretter en brugerkonto, første gang en person logger ind med OIDC.
5. Åbn Security Settings for at aktivere Require Multi-Factor Authentication (MFA), hvis du vil bekræfte MFA før login.
6. Klik på Save Settings og derefter på Test Connection. Du kan også bruge Test SSO Login til at prøve det fulde login i et nyt vindue.
7. Aktiver kontakten OIDC SSO enabled.

Når du opretter appen i din identitetsudbyder, skal du vælge Web Application som type (ikke SPA eller Native), da en Client Secret er påkrævet.

Trin 2 (mulighed B): Konfigurer SAML 2.0

Åbn fanen SAML 2.0.

1. Kopier Service Provider (SP) Information for at give dem til din identitetsudbyder: SP Entity ID / Audience URI, Single Sign-On URL / ACS URL og SP Metadata URL.
2. I Quick Setup skal du vælge din udbyder og importere dens metadata-URL for automatisk at udfylde indstillingerne.
3. Udfyld Identity Provider (IdP) Settings: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (valgfrit) - IdP X.509 Certificate i PEM-format
4. Åbn Advanced Settings for at indstille Signature Algorithm (SHA-256 anbefales) og NameID Format.
5. Åbn User Settings for at aktivere Just-In-Time (JIT) Provisioning.
6. Klik på Save Settings og derefter på Test Connection. Brug Test SSO Login til at prøve det fulde login.
7. Aktiver kontakten SAML SSO enabled.

Kun én protokol ad gangen

Du kan kun have enten OIDC eller SAML aktiveret, ikke begge dele. Hvis du aktiverer den ene, mens den anden allerede er aktiveret, spørger siden, om du vil deaktivere den anden først. For eksempel, hvis du aktiverer OIDC, mens SAML er slået til, vises "SAML is currently enabled. Would you like to disable it?" med valgmulighederne Disable SAML og Keep Both.

Se dine SSO-brugere

Længere nede på siden viser kortet SSO Provisioned Users personer, der er oprettet via SSO. Klik på Show for at åbne listen og Hide for at lukke den. Tabellen viser hver brugers Email, Name, Created date og Last Login. Indtil nogen logger ind på denne måde, står der "No users have been provisioned via SSO yet."