Agordi Single Sign-On (SSO) por via teamo - (Team web app)

Kion SSO faras

Single Sign-On lasas viajn teamanojn ensaluti per la identeca provizanto de via firmao, kiel Okta, Microsoft Entra ID (Azure AD), Google Workspace aŭ Auth0. Vi agordas ĝin en la paĝo SSO. Nur posedantoj kaj administrantoj povas malfermi ĝin. La titolo de la paĝo estas Single Sign-On (SSO).

La paĝo havas tri langetojn: Email Domains, OIDC kaj SAML 2.0. Vi povas uzi aŭ OIDC aŭ SAML 2.0, ne ambaŭ samtempe.

Paŝo 1: Aldoni kaj kontroli retpoŝtan domajnon

Malfermu la langeton Email Domains. SSO komenciĝas per pruvo, ke vi posedas la retpoŝtan domajnon de via firmao. La kontrolo de domajno estas komuna por SAML kaj OIDC, do vi bezonas kontroli nur unufoje.

1. Sub Add Email Domain, tajpu vian domajnon (ekzemple example.com) kaj alklaku Add Domain.
2. La domajno montriĝas kiel Pending Verification. Alklaku How to Verify por malfermi la paŝojn.
3. Elektu unu metodon: - DNS TXT Record: aldonu TXT-rekordon al la DNS de via domajno kun la montrata valoro. Ŝanĝoj de DNS povas daŭri ĝis 48 horojn. - File Upload: metu tekstan dosieron kun la kontrola kodo ĉe https://yourdomain/.well-known/scribblemaps-verify.txt. La dosiero devas esti atingebla per HTTPS.
4. Alklaku Verify Now. Kiam ĝi sukcesas, la paĝo montras "Domain verified successfully!" kaj la domajno montriĝas kiel Verified.

Se vi ne povas kontroli per DNS aŭ dosiero, skribu al [email protected] kaj la teamo povas mane kontroli vian domajnon.

Paŝo 2 (opcio A): Agordi OIDC

Malfermu la langeton OIDC.

1. Kopiu la Redirect URI / Callback URL montratan sub Callback URLs. Vi donas ĉi tion al via identeca provizanto kiam vi kreas la aplikaĵon.
2. En Quick Setup, vi povas alglui la discovery URL de via provizanto (la URL .well-known/openid-configuration) kaj alklaki Enporti por aŭtomate plenigi la Authority kaj la tipon de provizanto.
3. Plenigu la deviga kampojn sub Provider Settings: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. Malfermu User Settings por ŝalti Just-In-Time (JIT) Provisioning, kiu kreas uzantan konton la unuan fojon kiam iu ensalutas per OIDC.
5. Malfermu Security Settings por ŝalti Require Multi-Factor Authentication (MFA) se vi volas konfirmi MFA antaŭ ensaluto.
6. Alklaku Konservi agordojn, poste Test Connection. Vi ankaŭ povas uzi Test SSO Login por provi la plenan ensaluton en nova fenestro.
7. Ŝaltu la ŝaltilon OIDC SSO enabled.

Kiam vi kreas la aplikaĵon en via identeca provizanto, elektu Web Application kiel tipon (ne SPA aŭ Native), ĉar Client Secret estas necesa.

Paŝo 2 (opcio B): Agordi SAML 2.0

Malfermu la langeton SAML 2.0.

1. Kopiu la Service Provider (SP) Information por doni al via identeca provizanto: la SP Entity ID / Audience URI, la Single Sign-On URL / ACS URL kaj la SP Metadata URL.
2. En Quick Setup, elektu vian provizanton kaj enportu ĝian metadata URL por aŭtomate plenigi la agordojn.
3. Plenigu la Identity Provider (IdP) Settings: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (laŭvola) - IdP X.509 Certificate en PEM-formato
4. Malfermu Altnivela por agordi la Signature Algorithm (SHA-256 estas rekomendata) kaj la NameID Format.
5. Malfermu User Settings por ŝalti Just-In-Time (JIT) Provisioning.
6. Alklaku Konservi agordojn, poste Test Connection. Uzu Test SSO Login por provi la plenan ensaluton.
7. Ŝaltu la ŝaltilon SAML SSO enabled.

Nur unu protokolo samtempe

Vi povas havi nur OIDC aŭ SAML ŝaltita, ne ambaŭ. Se vi ŝaltas unu dum la alia jam estas ŝaltita, la paĝo demandas ĉu vi volas unue malŝalti la alian. Ekzemple, ŝalti OIDC dum SAML estas ŝaltita montras "SAML is currently enabled. Would you like to disable it?" kun la opcioj Disable SAML kaj Gardi ambaŭ.

Vidi viajn SSO-uzantojn

Pli malsupre en la paĝo, la karto SSO Provisioned Users listigas homojn kreitajn per SSO. Alklaku Montri por malfermi la liston kaj Kaŝi por fermi ĝin. La tabelo montras por ĉiu uzanto la Retpoŝton, Nomon, Created-daton kaj Last Login. Ĝis iu ensalutas tiumaniere, ĝi montras "No users have been provisioned via SSO yet."