راه‌اندازی ورود یکپارچه (SSO) برای تیم شما - (برنامه وب تیم)

SSO چه کاری انجام می‌دهد

ورود یکپارچه به اعضای تیم شما اجازه می‌دهد با ارائه‌دهنده هویت شرکت خود، مانند Okta، Microsoft Entra ID (Azure AD)، Google Workspace یا Auth0 وارد شوند. شما آن را در صفحه SSO راه‌اندازی می‌کنید. فقط مالکان و مدیران می‌توانند آن را باز کنند. عنوان صفحه Single Sign-On (SSO) است.

این صفحه سه زبانه دارد: Email Domains، OIDC و SAML 2.0. می‌توانید از OIDC یا SAML 2.0 استفاده کنید، نه هر دو را همزمان.

گام ۱: افزودن و تأیید یک دامنه ایمیل

زبانه Email Domains را باز کنید. SSO با اثبات مالکیت دامنه ایمیل شرکت شما شروع می‌شود. تأیید دامنه بین SAML و OIDC مشترک است، بنابراین فقط یک بار باید آن را تأیید کنید.

1. در بخش Add Email Domain، دامنه خود را تایپ کنید (برای مثال example.com) و روی Add Domain کلیک کنید.
2. دامنه به‌صورت Pending Verification نمایش داده می‌شود. روی How to Verify کلیک کنید تا مراحل باز شود.
3. یکی از روش‌ها را انتخاب کنید: - DNS TXT Record: یک رکورد TXT با مقدار نشان‌داده‌شده به DNS دامنه خود اضافه کنید. تغییرات DNS ممکن است تا ۴۸ ساعت طول بکشد. - File Upload: یک فایل متنی حاوی کد تأیید را در https://yourdomain/.well-known/scribblemaps-verify.txt قرار دهید. فایل باید از طریق HTTPS در دسترس باشد.
4. روی Verify Now کلیک کنید. در صورت موفقیت، صفحه پیام «Domain verified successfully!» را نشان می‌دهد و دامنه به‌صورت Verified نمایش داده می‌شود.

اگر نمی‌توانید با DNS یا فایل تأیید کنید، به [email protected] ایمیل بزنید و تیم می‌تواند دامنه شما را به‌صورت دستی تأیید کند.

گام ۲ (گزینه الف): پیکربندی OIDC

زبانه OIDC را باز کنید.

1. Redirect URI / Callback URL نشان‌داده‌شده در بخش Callback URLs را کپی کنید. هنگام ساخت برنامه، این را به ارائه‌دهنده هویت خود می‌دهید.
2. در Quick Setup می‌توانید نشانی discovery ارائه‌دهنده خود (نشانی .well-known/openid-configuration) را جای‌گذاری کنید و روی وارد کردن کلیک کنید تا Authority و نوع ارائه‌دهنده به‌صورت خودکار پر شود.
3. فیلدهای الزامی را در بخش Provider Settings پر کنید: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. بخش User Settings را باز کنید تا Just-In-Time (JIT) Provisioning را روشن کنید، که اولین بار که کسی با OIDC وارد می‌شود یک حساب کاربری ایجاد می‌کند.
5. بخش Security Settings را باز کنید تا اگر می‌خواهید MFA پیش از ورود تأیید شود، Require Multi-Factor Authentication (MFA) را روشن کنید.
6. روی ذخیره تنظیمات و سپس Test Connection کلیک کنید. همچنین می‌توانید از Test SSO Login برای آزمایش ورود کامل در یک پنجره جدید استفاده کنید.
7. کلید OIDC SSO enabled را روشن کنید.

هنگام ساخت برنامه در ارائه‌دهنده هویت خود، Web Application را به‌عنوان نوع انتخاب کنید (نه SPA یا Native)، زیرا Client Secret الزامی است.

گام ۲ (گزینه ب): پیکربندی SAML 2.0

زبانه SAML 2.0 را باز کنید.

1. Service Provider (SP) Information را برای دادن به ارائه‌دهنده هویت خود کپی کنید: SP Entity ID / Audience URI، Single Sign-On URL / ACS URL و SP Metadata URL.
2. در Quick Setup، ارائه‌دهنده خود را انتخاب کنید و نشانی فراداده آن را وارد کنید تا تنظیمات به‌صورت خودکار پر شود.
3. Identity Provider (IdP) Settings را پر کنید: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (اختیاری) - IdP X.509 Certificate با قالب PEM
4. بخش پیشرفته Settings را باز کنید تا Signature Algorithm (SHA-256 توصیه می‌شود) و NameID Format را تنظیم کنید.
5. بخش User Settings را باز کنید تا Just-In-Time (JIT) Provisioning را روشن کنید.
6. روی ذخیره تنظیمات و سپس Test Connection کلیک کنید. از Test SSO Login برای آزمایش ورود کامل استفاده کنید.
7. کلید SAML SSO enabled را روشن کنید.

هر بار فقط یک پروتکل

فقط می‌توانید OIDC یا SAML را فعال داشته باشید، نه هر دو را. اگر یکی را روشن کنید در حالی که دیگری از قبل فعال است، صفحه می‌پرسد آیا می‌خواهید ابتدا دیگری را غیرفعال کنید. برای مثال، فعال‌کردن OIDC در حالی که SAML روشن است، پیام «SAML is currently enabled. Would you like to disable it?» را با گزینه‌های Disable SAML و Keep Both نشان می‌دهد.

مشاهده کاربران SSO خود

در پایین‌تر صفحه، کارت SSO Provisioned Users افرادی را که از طریق SSO ایجاد شده‌اند فهرست می‌کند. روی نمایش کلیک کنید تا فهرست باز شود و روی پنهان کردن تا بسته شود. جدول ایمیل، نام، تاریخ ایجاد و آخرین ورود هر کاربر را نشان می‌دهد. تا زمانی که کسی از این طریق وارد نشده باشد، پیام «No users have been provisioned via SSO yet.» نمایش داده می‌شود.