Agordo de unuopa ensaluto (SSO) per SAML aŭ OIDC

ScribbleMaps subtenas entreprenan unuopan ensaludon per SAML 2.0 aŭ OpenID Connect (OIDC). Tio ebligas al viaj teamanoj aŭtentikiĝi per la identeca provizanto (IdP) de via organizo, ekzemple Okta, Microsoft Entra ID (Azure AD), Google Workspace aŭ Auth0.

La agordo de SSO disponeblas ĉe team.scribblemaps.com kaj estas tute senpaga.

Enhavtabelo

1. Subtenataj trajtoj
2. Antaŭ ol vi komencas
3. Paŝo 1: Kontrolu vian retpoŝtan domajnon
4. Paŝo 2: Agordu vian identecan provizanton
5. Paŝo 3: Agordu SSO en ScribbleMaps
6. Paŝo 4: Testu vian agordon
7. Paŝo 5: Ŝaltu SSO
8. SSO iniciatita de SP
9. OIN Universal Logout
10. Gvidiloj por specifaj provizantoj
11. Altnivelaj opcioj
12. Solvado de problemoj

Subtenataj trajtoj

La SSO-integriĝo de ScribbleMaps subtenas la jenajn trajtojn:

Antaŭ ol vi komencas

• Vi devas esti Teamo-posedanto por agordi SSO
• Vi bezonas aliron al la administra konzolo de la identeca provizanto de via organizo
• Havu pretan vian retpoŝtan domajnon (ekz. yourcompany.com)

Paŝo 1: Kontrolu vian retpoŝtan domajnon

Antaŭ ol agordi SSO, vi devas kontroli posedon de via retpoŝta domajno. Tiu sekureca mezuro certigas, ke nur rajtigitaj organizoj povas agordi SSO por siaj domajnoj.

1. Ensalutu en team.scribblemaps.com
2. Navigu al Agordoj > Single Sign-On
3. Iru al la langeto Domains
4. Alklaku Aldoni Domain kaj enigu vian retpoŝtan domajnon (ekz. yourcompany.com)
5. Elektu kontrolmetodon:

Opcio A: DNS TXT-rekordo (rekomendita)

Aldonu TXT-rekordon al la DNS-agordoj de via domajno:

Noto: DNS-ŝanĝoj povas bezoni ĝis 48 horojn por propagiĝi.

Opcio B: Dosieralŝuto

1. Kreu tekstdosieron nomitan scribblemaps-verify.txt
2. Aldonu vian kontrolkodon kiel la solan enhavon
3. Alŝutu al: https://yourcompany.com/.well-known/scribblemaps-verify.txt

Post aldono de la kontrolo, alklaku Verify Domain por konfirmi posedon.

Paŝo 2: Agordu vian identecan provizanton

Aldonu ScribbleMaps kiel aplikaĵon en via identeca provizanto. Se vi uzas Okta, vi povas aldoni ScribbleMaps rekte el la katalogo de Okta Integration Network (OIN) — la SAML SSO URL, SP Entity ID, ACS URL kaj OIDC Redirect URI estas aŭtomate antaŭagorditaj.

Por SAML 2.0

Por OIDC

Paŝo 3: Agordu SSO en ScribbleMaps

Agordo de SAML 2.0

1. En ScribbleMaps, iru al Agordoj > Single Sign-On > langeto SAML
2. Enigu la jenajn informojn de via identeca provizanto:

3. Alklaku Konservi agordojn

Agordo de OIDC

1. En ScribbleMaps, iru al Agordoj > Single Sign-On > langeto OIDC
2. Elektu vian Provider Type (Google, Microsoft, Okta, Auth0 aŭ Propra)
3. Enigu la jenajn informojn:

4. Alklaku Konservi agordojn

Paŝo 4: Testu vian agordon

Antaŭ ol ŝalti SSO por ĉiuj uzantoj, testu vian agordon:

1. Alklaku la butonon Test Connection
2. Nova fenestro malfermiĝos por simuli la SSO-ensalutan procezon
3. Finu la aŭtentikiĝon ĉe via identeca provizanto
4. Kontrolu, ke vi sukcese revenis al ScribbleMaps

Se la testo malsukcesas, kontrolu la erarmesaĝon kaj reviziu viajn agordojn.

Paŝo 5: Ŝaltu SSO

Kiam la testado sukcesis:

1. Ŝaltu la ŝaltilon Enable SSO
2. Elektu vian devigan opcion:
   • Optional: Uzantoj povas elekti SSO aŭ pasvortan ensaludon
   • Enforced: Uzantoj kun kontrolitaj retpoŝtaj domajnoj devas uzi SSO (pasvorta ensaluto malŝaltita)

Noto: Teamo-posedantoj ĉiam povas uzi pasvortan ensaludon kiel rezervon, eĉ kiam SSO estas deviga.

SSO iniciatita de SP

ScribbleMaps subtenas SSO iniciatitan de SP, kiu ebligas al uzantoj komenci la ensalutan procezon de la ensaluta paĝo de ScribbleMaps. Jen kiel ĝi funkcias:

1. Navigu al scribblemaps.com/account/login
2. Enigu vian retpoŝtan adreson (ekz. [email protected])
3. Alklaku Sign in with SSO
4. Vi estos resendita al la identeca provizanto de via organizo (ekz. Okta) por aŭtentikiĝi
5. Post sukcesa aŭtentikiĝo, vi estas aŭtomate resendita al ScribbleMaps kaj ensalutita

Se via organizo havas devigitan SSO, enigo de via retpoŝto en la ensaluta paĝo aŭtomate resendos vin al via identeca provizanto — neniu pasvorta kampo estos montrata.

OIN Universal Logout

Universal logout de Okta estas subtenata. Por agordaj instrukcioj bonvolu viziti ĉi tiun ligilon.

Gvidiloj por specifaj provizantoj

Okta

1. En la Okta Admin Console, iru al Applications > Browse App Catalog
2. Serĉu ScribbleMaps kaj alklaku Add Integration
3. La SSO URL, Entity ID kaj Redirect URI estas aŭtomate antaŭagorditaj
4. Iru al la langeto Sign On por trovi la agordajn detalojn de via IdP:
   • Elŝutu la X.509 Certificate
   • Kopiu la Identity Provider Issuer (Entity ID)
   • Kopiu la Single Sign-On URL
5. Enigu tiujn valorojn en la SSO-agordojn de ScribbleMaps (vidu Paŝon 3)

Microsoft Entra ID (Azure AD)

1. En Azure Portal, iru al Microsoft Entra ID > App registrations > New registration
2. Agordu:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (platformo Reto)
3. Iru al Certificates & secrets > Kreu novan Client secret
4. Kopiu la Application (client) ID kaj la Client secret value
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. En Google Cloud Console, iru al APIs & Services > Credentials
2. Alklaku Krei Credentials > OAuth client ID
3. Elektu Web application
4. Aldonu Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
5. Kopiu la Client ID kaj Client Secret
6. Authority URL: https://accounts.google.com

Noto: Por postuli MFA por Google Workspace, agordu ĝin en via Google Workspace Admin Console.

Auth0

1. En Auth0 Dashboard, iru al Applications > Krei Application
2. Elektu Regular Web Applications
3. Agordu:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Kopiu la Client ID kaj Client Secret el la langeto Agordoj
5. Authority URL: https://YOUR-DOMAIN.auth0.com

Altnivelaj opcioj

Provizado ĝustatempe (JIT)

Kiam ŝaltita, uzantoj estas aŭtomate kreataj en ScribbleMaps ĉe sia unua SSO-ensaluto. Iliaj profilaj informoj (nomo, retpoŝto) estas plenigataj el la identeca provizanto.

Postuli plurfaktoran aŭtentikigon (nur OIDC)

Ŝaltu tiun opcion por postuli MFA-kontrolon antaŭ ol permesi ensaludon. ScribbleMaps kontrolos, ke via IdP devigis MFA por la uzanto.

Por Okta, vi povas specifi proprajn ACR-valorojn, ekzemple:

• urn:okta:loa:2fa:any - Iu ajn dua faktoro
• phr - Aŭtentikigo rezistema kontraŭ ŝteliĝo de datumoj (phishing)
• phrh - Aŭtentikigo rezistema kontraŭ ŝteliĝo de datumoj (phishing), ligita al aparataro

Mapado de atributoj/asertoj

Adaptu kiel uzantaj atributoj el via IdP mapiĝas al uzantaj kampoj de ScribbleMaps:

Solvado de problemoj

Oftaj problemoj

"Domain not verified"

• Certigu, ke via DNS TXT-rekordo aŭ kontroldosiero estas ĝuste agordita
• DNS-ŝanĝoj povas bezoni ĝis 48 horojn por propagiĝi
• Kontrolu, ke ne ekzistas tajperaroj en la kontrolkodo

"Invalid certificate"

• Certigu, ke vi uzas la kompletan atestilon inkluzive de -----BEGIN CERTIFICATE----- kaj -----END CERTIFICATE-----
• Kontrolu, ke la atestilo ne eksvalidiĝis
• Certigu, ke vi kopiis la subskriban atestilon, ne ĉifran atestilon

"Invalid signature"

• Kontrolu, ke la atestilo kongruas kun la nuna subskriba atestilo de via IdP
• Kontrolu, ke la subskriba algoritmo kongruas (SHA-256 vs SHA-1)

"User not found" aŭ "Email mismatch"

• Certigu, ke la retpoŝto resendita de via IdP kongruas kun kontrolita domajno
• Kontrolu, ke la NameID-formato estas agordita al Retpoŝta adreso
• Kontrolu, ke la mapado de atributoj/asertoj estas ĝusta

"Security error: Your Identity Provider is not authorized for this email domain"

• Tio okazas kiam la IdP-agordo ne kongruas kun la kontrolita domajno
• Certigu, ke la retpoŝta domajno estas kontrolita sub via teamo
• Kontrolu, ke vi ensalutas per retpoŝto de kontrolita domajno

Rigardado de revizi-protokoloj

Observu SSO-agadon en Agordoj > Single Sign-On > Audit Logs. Vi povas:

• Filtri laŭ evento-tipo (Ensaluto, Elsaluto, Malsukcesa ensaluto)
• Filtri laŭ dato-amplekso
• Eksporti protokolojn kiel CSV por plenumo-raportado

Ĉu vi bezonas helpon?

Se vi renkontas problemojn kun SSO-agordo, bonvolu kontakti nian subtenan teamon kun:

• La nomo de via Teamo
• La identeca provizanto, kiun vi uzas
• Iuj ajn erarmesaĝoj, kiujn vi vidas
• Ekrankopioj de via IdP-agordo (kun sentemaj datumoj kaŝitaj)

Ni estas ĉi tie por helpi vin agordi SSO por via organizo.