پیکربندی ورود یکپارچه (SSO) با SAML یا OIDC

ScribbleMaps از ورود یکپارچه سازمانی با استفاده از SAML 2.0 یا OpenID Connect (OIDC) پشتیبانی می‌کند. این امکان به اعضای تیم شما اجازه می‌دهد با ارائه‌دهندهٔ هویت (IdP) سازمان خود مانند Okta، Microsoft Entra ID (Azure AD)، Google Workspace یا Auth0 احراز هویت کنند.

پیکربندی SSO در team.scribblemaps.com در دسترس است و کاملاً رایگان است.

فهرست مطالب

1. قابلیت‌های پشتیبانی‌شده
2. قبل از شروع
3. گام ۱: دامنهٔ ایمیل خود را تأیید کنید
4. گام ۲: ارائه‌دهندهٔ هویت خود را پیکربندی کنید
5. گام ۳: SSO را در ScribbleMaps پیکربندی کنید
6. گام ۴: پیکربندی خود را آزمایش کنید
7. گام ۵: SSO را فعال کنید
8. SSO آغازشده از سمت SP
9. خروج جهانی OIN
10. راهنماهای مخصوص هر ارائه‌دهنده
11. گزینه‌های پیشرفته
12. عیب‌یابی

قابلیت‌های پشتیبانی‌شده

یکپارچه‌سازی SSO در ScribbleMaps از قابلیت‌های زیر پشتیبانی می‌کند:

قبل از شروع

• برای پیکربندی SSO باید مالک تیم باشید
• به کنسول مدیریت ارائه‌دهندهٔ هویت سازمان خود دسترسی داشته باشید
• دامنهٔ ایمیل خود را آماده داشته باشید (مثلاً yourcompany.com)

گام ۱: دامنهٔ ایمیل خود را تأیید کنید

پیش از پیکربندی SSO، باید مالکیت دامنهٔ ایمیل خود را تأیید کنید. این اقدام امنیتی تضمین می‌کند که فقط سازمان‌های مجاز می‌توانند SSO را برای دامنه‌های خود پیکربندی کنند.

1. وارد team.scribblemaps.com شوید
2. به تنظیمات > Single Sign-On بروید
3. به زبانهٔ Domains بروید
4. روی Add Domain کلیک کنید و دامنهٔ ایمیل خود را وارد کنید (مثلاً yourcompany.com)
5. یک روش تأیید انتخاب کنید:

گزینهٔ الف: رکورد TXT در DNS (توصیه‌شده)

یک رکورد TXT به تنظیمات DNS دامنهٔ خود اضافه کنید:

یادداشت: اعمال تغییرات DNS ممکن است تا ۴۸ ساعت طول بکشد.

گزینهٔ ب: بارگذاری فایل

1. یک فایل متنی با نام scribblemaps-verify.txt ایجاد کنید
2. کد تأیید خود را به‌عنوان تنها محتوای آن قرار دهید
3. آن را در این نشانی بارگذاری کنید: https://yourcompany.com/.well-known/scribblemaps-verify.txt

پس از افزودن تأییدیه، برای تأیید مالکیت روی Verify Domain کلیک کنید.

گام ۲: ارائه‌دهندهٔ هویت خود را پیکربندی کنید

ScribbleMaps را به‌عنوان یک برنامه در ارائه‌دهندهٔ هویت خود اضافه کنید. اگر از Okta استفاده می‌کنید، می‌توانید ScribbleMaps را مستقیماً از فهرست Okta Integration Network (OIN) اضافه کنید — نشانی SAML SSO، شناسهٔ SP Entity، نشانی ACS و نشانی بازگشت OIDC به‌طور خودکار از پیش پیکربندی شده‌اند.

برای SAML 2.0

برای OIDC

گام ۳: SSO را در ScribbleMaps پیکربندی کنید

پیکربندی SAML 2.0

1. در ScribbleMaps، به تنظیمات > Single Sign-On > زبانهٔ SAML بروید
2. اطلاعات زیر را از ارائه‌دهندهٔ هویت خود وارد کنید:

3. روی ذخیره تنظیمات کلیک کنید

پیکربندی OIDC

1. در ScribbleMaps، به تنظیمات > Single Sign-On > زبانهٔ OIDC بروید
2. Provider Type خود را انتخاب کنید (Google، Microsoft، Okta، Auth0 یا سفارشی)
3. اطلاعات زیر را وارد کنید:

4. روی ذخیره تنظیمات کلیک کنید

گام ۴: پیکربندی خود را آزمایش کنید

پیش از فعال‌سازی SSO برای همهٔ کاربران، پیکربندی خود را آزمایش کنید:

1. روی دکمهٔ Test Connection کلیک کنید
2. یک پنجرهٔ جدید برای شبیه‌سازی فرایند ورود SSO باز می‌شود
3. احراز هویت را با ارائه‌دهندهٔ هویت خود تکمیل کنید
4. بررسی کنید که با موفقیت به ScribbleMaps بازگردانده شده‌اید

اگر آزمایش ناموفق بود، پیام خطا را بررسی کنید و تنظیمات پیکربندی خود را مرور کنید.

گام ۵: SSO را فعال کنید

پس از موفقیت آزمایش:

1. کلید Enable SSO را روشن کنید
2. گزینهٔ اجرای الزامی را انتخاب کنید:
   • Optional: کاربران می‌توانند بین SSO یا ورود با رمز عبور یکی را انتخاب کنند
   • Enforced: کاربرانی که دامنهٔ ایمیل تأییدشده دارند باید از SSO استفاده کنند (ورود با رمز عبور غیرفعال می‌شود)

یادداشت: مالکان تیم همیشه می‌توانند به‌عنوان پشتیبان از ورود با رمز عبور استفاده کنند، حتی وقتی SSO الزامی شده باشد.

SSO آغازشده از سمت SP

ScribbleMaps از SSO آغازشده از سمت SP پشتیبانی می‌کند، که به کاربران اجازه می‌دهد فرایند ورود را از صفحهٔ ورود ScribbleMaps شروع کنند. روش کار به این صورت است:

1. به scribblemaps.com/account/login بروید
2. نشانی ایمیل خود را وارد کنید (مثلاً [email protected])
3. روی Sign in with SSO کلیک کنید
4. برای احراز هویت به ارائه‌دهندهٔ هویت سازمان خود (مثلاً Okta) هدایت می‌شوید
5. پس از احراز هویت موفق، به‌طور خودکار به ScribbleMaps بازگردانده می‌شوید و وارد می‌شوید

اگر SSO در سازمان شما الزامی شده باشد، وارد کردن ایمیل در صفحهٔ ورود، شما را به‌طور خودکار به ارائه‌دهندهٔ هویت هدایت می‌کند — هیچ فیلد رمز عبوری نمایش داده نخواهد شد.

خروج جهانی OIN

خروج جهانی (Universal Logout) توسط Okta پشتیبانی می‌شود. برای دستورالعمل‌های پیکربندی لطفاً از این پیوند بازدید کنید.

راهنماهای مخصوص هر ارائه‌دهنده

Okta

1. در Okta Admin Console، به Applications > Browse App Catalog بروید
2. ScribbleMaps را جستجو کنید و روی Add Integration کلیک کنید
3. نشانی SSO، شناسهٔ Entity و نشانی بازگشت (Redirect URI) به‌طور خودکار از پیش پیکربندی شده‌اند
4. برای یافتن جزئیات پیکربندی IdP خود به زبانهٔ Sign On بروید:
   • X.509 Certificate را بارگیری کنید
   • Identity Provider Issuer (شناسهٔ Entity) را کپی کنید
   • Single Sign-On URL را کپی کنید
5. این مقادیر را در تنظیمات SSO در ScribbleMaps وارد کنید (به گام ۳ مراجعه کنید)

Microsoft Entra ID (Azure AD)

1. در Azure Portal، به Microsoft Entra ID > App registrations > New registration بروید
2. پیکربندی کنید:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (پلتفرم Web)
3. به Certificates & secrets بروید > یک Client secret جدید ایجاد کنید
4. Application (client) ID و Client secret value را کپی کنید
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. در Google Cloud Console، به APIs & Services > Credentials بروید
2. روی Create Credentials > OAuth client ID کلیک کنید
3. Web application را انتخاب کنید
4. Authorized redirect URI را اضافه کنید: https://api.scribblemaps.com/oidc/callback
5. Client ID و Client Secret را کپی کنید
6. Authority URL: https://accounts.google.com

یادداشت: برای الزامی کردن MFA در Google Workspace، آن را در Google Workspace Admin Console پیکربندی کنید.

Auth0

1. در Auth0 Dashboard، به Applications > Create Application بروید
2. Regular Web Applications را انتخاب کنید
3. پیکربندی کنید:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Client ID و Client Secret را از زبانهٔ Settings کپی کنید
5. Authority URL: https://YOUR-DOMAIN.auth0.com

گزینه‌های پیشرفته

تأمین به‌هنگام (JIT)

وقتی فعال باشد، کاربران به‌طور خودکار در اولین ورود با SSO در ScribbleMaps ایجاد می‌شوند. اطلاعات نمایهٔ آن‌ها (نام، ایمیل) از ارائه‌دهندهٔ هویت دریافت می‌شود.

الزام احراز هویت چندعاملی (فقط OIDC)

این گزینه را فعال کنید تا پیش از اجازهٔ ورود، تأیید MFA الزامی شود. ScribbleMaps بررسی می‌کند که ارائه‌دهندهٔ هویت شما MFA را برای کاربر اعمال کرده باشد.

برای Okta می‌توانید مقادیر ACR سفارشی مانند موارد زیر را مشخص کنید:

• urn:okta:loa:2fa:any - هر عامل دوم
• phr - احراز هویت مقاوم در برابر فیشینگ
• phrh - احراز هویت مقاوم در برابر فیشینگ و مبتنی بر سخت‌افزار

نگاشت ویژگی/Claim

نحوهٔ نگاشت ویژگی‌های کاربر از ارائه‌دهندهٔ هویت شما به فیلدهای کاربر در ScribbleMaps را سفارشی کنید:

عیب‌یابی

مشکلات رایج

«Domain not verified»

• مطمئن شوید رکورد TXT در DNS یا فایل تأیید به‌درستی پیکربندی شده است
• اعمال تغییرات DNS ممکن است تا ۴۸ ساعت طول بکشد
• بررسی کنید که در کد تأیید غلط تایپی وجود نداشته باشد

«Invalid certificate»

• مطمئن شوید از گواهی کامل شامل -----BEGIN CERTIFICATE----- و -----END CERTIFICATE----- استفاده می‌کنید
• بررسی کنید که گواهی منقضی نشده باشد
• مطمئن شوید گواهی امضا را کپی کرده‌اید، نه گواهی رمزنگاری

«Invalid signature»

• بررسی کنید که گواهی با گواهی امضای فعلی ارائه‌دهندهٔ هویت شما مطابقت داشته باشد
• بررسی کنید که الگوریتم امضا مطابقت داشته باشد (SHA-256 در برابر SHA-1)

«User not found» یا «Email mismatch»

• مطمئن شوید ایمیلی که ارائه‌دهندهٔ هویت شما برمی‌گرداند با یک دامنهٔ تأییدشده مطابقت دارد
• بررسی کنید که قالب NameID روی Email Address تنظیم شده باشد
• بررسی کنید که نگاشت ویژگی/Claim درست باشد

«Security error: Your Identity Provider is not authorized for this email domain»

• این خطا زمانی رخ می‌دهد که پیکربندی ارائه‌دهندهٔ هویت با دامنهٔ تأییدشده مطابقت نداشته باشد
• مطمئن شوید دامنهٔ ایمیل زیر تیم شما تأیید شده است
• بررسی کنید که با ایمیلی از یک دامنهٔ تأییدشده وارد می‌شوید

مشاهدهٔ گزارش‌های ممیزی

فعالیت SSO را در تنظیمات > Single Sign-On > Audit Logs رصد کنید. می‌توانید:

• بر اساس نوع رویداد فیلتر کنید (ورود، خروج، ورود ناموفق)
• بر اساس بازهٔ زمانی فیلتر کنید
• گزارش‌ها را برای گزارش‌دهی انطباق به‌صورت CSV صادر کنید

به کمک نیاز دارید؟

اگر در پیکربندی SSO با مشکل مواجه هستید، لطفاً با تیم پشتیبانی ما تماس بگیرید و این اطلاعات را ارائه دهید:

• نام تیم شما
• ارائه‌دهندهٔ هویتی که استفاده می‌کنید
• هر پیام خطایی که می‌بینید
• تصاویر پیکربندی ارائه‌دهندهٔ هویت شما (با حذف داده‌های حساس)

ما اینجا هستیم تا به شما کمک کنیم SSO را برای سازمان خود پیکربندی کنید.