Määritä kertakirjautuminen (SSO) tiimillesi - (Team-verkkosovellus)

Mitä SSO tekee

Kertakirjautumisen (SSO) avulla tiimisi jäsenet voivat kirjautua sisään yrityksesi identiteetintarjoajalla, kuten Okta, Microsoft Entra ID (Azure AD), Google Workspace tai Auth0. Määrität sen SSO -sivulla. Vain omistajat ja järjestelmänvalvojat voivat avata sen. Sivun otsikko on Kertakirjautuminen (SSO).

Sivulla on kolme välilehteä: Sähköpostiverkkotunnukset (Email Domains), OIDC, ja SAML 2.0. Voit käyttää joko OIDC- tai SAML 2.0 -protokollaa, et molempia samanaikaisesti.

Vaihe 1: Lisää ja vahvista sähköpostiverkkotunnus

Avaa Sähköpostiverkkotunnukset (Email Domains) -välilehti. SSO:n käyttöönotto alkaa siitä, että todistat omistavasi yrityksesi sähköpostiverkkotunnuksen. Verkkotunnuksen vahvistus on yhteinen SAML- ja OIDC-protokollille, joten sinun tarvitsee vahvistaa se vain kerran.

1. Kohdassa Lisää sähköpostiverkkotunnus (Add Email Domain), kirjoita verkkotunnuksesi (esimerkiksi example.com) ja napsauta Lisää verkkotunnus (Add Domain).
2. Verkkotunnuksen tilana näkyy Odottaa vahvistusta (Pending Verification). Napsauta Miten vahvistetaan (How to Verify) nähdäksesi vaiheet.
3. Valitse yksi menetelmä: - DNS TXT -tietue (DNS TXT Record): lisää TXT-tietue verkkotunnuksesi DNS-asetuksiin näytetyllä arvolla. DNS-muutosten voimaantulo voi kestää jopa 48 tuntia. - Tiedoston lataus (File Upload): aseta vahvistuskoodin sisältävä tekstitiedosto osoitteeseen https://yourdomain/.well-known/scribblemaps-verify.txt. Tiedoston on oltava saatavilla HTTPS-yhteyden kautta.
4. Napsauta Vahvista nyt (Verify Now). Kun se onnistuu, sivulla näkyy "Domain verified successfully!" ja verkkotunnuksen tilana näkyy Vahvistettu (Verified).

Jos et voi vahvistaa DNS-tietueen tai tiedoston avulla, lähetä sähköpostia osoitteeseen [email protected] ja tiimi voi vahvistaa verkkotunnuksesi manuaalisesti.

Vaihe 2 (vaihtoehto A): Määritä OIDC

Avaa OIDC -välilehti.

1. Kopioi uudelleenohjaus-URI / takaisinkutsun URL (Redirect URI / Callback URL) joka näkyy kohdassa takaisinkutsun URL-osoitteet (Callback URLs). Anna tämä identiteetintarjoajallesi, kun luot sovelluksen.
2. Kohdassa Pika-asetukset (Quick Setup), voit liittää palveluntarjoajasi discovery-URL-osoitteen (eli .well-known/openid-configuration -URL-osoitteen) ja napsauttaa Tuo (Import) täyttääksesi automaattisesti Authority-kentän ja palveluntarjoajan tyypin.
3. Täytä pakolliset kentät kohdassa Palveluntarjoajan asetukset (Provider Settings): - Palveluntarjoajan tyyppi (Provider Type) - Asiakastunnus (Client ID) - Asiakassalaisuus (Client Secret) - Varmenneviranomaisen / julkaisijan URL (Authority / Issuer URL)
4. Avaa Käyttäjäasetukset (User Settings) ottaaksesi käyttöön Just-In-Time (JIT) -provisioinnin (Just-In-Time (JIT) Provisioning), joka luo käyttäjätilin, kun joku kirjautuu ensimmäisen kerran sisään OIDC-tunnuksilla.
5. Avaa Turvallisuusasetukset (Security Settings) ottaaksesi käyttöön vaadi monivaiheinen tunnistautuminen (Require Multi-Factor Authentication / MFA) jos haluat vaatia monivaiheisen tunnistautumisen (MFA) ennen kirjautumista.
6. Napsauta Tallenna asetukset (Save Settings), ja sitten Testaa yhteys (Test Connection). Voit myös käyttää painiketta Testaa SSO-kirjautumista (Test SSO Login) kokeillaksesi täyttä kirjautumista uudessa ikkunassa.
7. Ota käyttöön OIDC SSO käytössä (OIDC SSO enabled) -kytkin.

Kun luot sovelluksen identiteetintarjoajallasi, valitse tyypiksi Verkkosovellus (Web Application) (ei SPA tai Native), koska Client Secret on pakollinen.

Vaihe 2 (vaihtoehto B): Määritä SAML 2.0

Avaa SAML 2.0 -välilehti.

1. Kopioi Palveluntarjoajan (SP) tiedot (Service Provider (SP) Information) annettavaksi identiteetintarjoajallesi: SP-kohteen tunnus / kohdeyleisön URI (SP Entity ID / Audience URI), Kertakirjautumisen URL / ACS URL (Single Sign-On URL / ACS URL) ja SP-metatietojen URL (SP Metadata URL).
2. Kohdassa Pika-asetukset (Quick Setup), valitse palveluntarjoajasi ja tuo sen metatietojen URL-osoite täyttääksesi asetukset automaattisesti.
3. Täytä Identiteetintarjoajan (IdP) asetukset (Identity Provider (IdP) Settings): - IdP-kohteen tunnus / julkaisija (IdP Entity ID / Issuer) - IdP-kertakirjautumisen URL (IdP Single Sign-On URL) - IdP-uloskirjautumisen URL (IdP Single Logout URL) (valinnainen) - IdP X.509 -varmenne (IdP X.509 Certificate) PEM-muodossa
4. Avaa Edistyneet asetukset (Advanced Settings) asettaaksesi allekirjoitusalgoritmin (Signature Algorithm) (SHA-256 on suositeltava) ja NameID-muodon (NameID Format).
5. Avaa Käyttäjäasetukset (User Settings) ottaaksesi käyttöön Just-In-Time (JIT) -provisioinnin (Just-In-Time (JIT) Provisioning).
6. Napsauta Tallenna asetukset (Save Settings), ja sitten Testaa yhteys (Test Connection). Käytä painiketta Testaa SSO-kirjautumista (Test SSO Login) kokeillaksesi täyttä kirjautumista.
7. Ota käyttöön SAML SSO käytössä (SAML SSO enabled) -kytkin.

Vain yksi protokolla kerrallaan

Voit ottaa käyttöön vain joko OIDC- tai SAML-protokollan, et molempia. Jos otat toisen käyttöön, kun toinen on jo käytössä, sivu kysyy, haluatko poistaa toisen ensin käytöstä. Esimerkiksi OIDC:n ottaminen käyttöön SAML:n ollessa päällä näyttää tekstin "SAML is currently enabled. Would you like to disable it?" sekä vaihtoehdot Poista SAML käytöstä (Disable SAML) ja Säilytä molemmat (Keep Both) -vaihtoehdot.

Tarkastele SSO-käyttäjiäsi

Alempana sivulla SSO-provisioidut käyttäjät (SSO Provisioned Users) -kortti luettelee SSO:n kautta luodut käyttäjät. Napsauta Näytä (Show) avataksesi luettelon ja Piilota (Hide) sulkeaksesi sen. Taulukossa näkyy kunkin käyttäjän sähköposti (Email), nimi (Name), luontipäivämäärä (Created date) ja viimeisin kirjautuminen (Last Login). Ennen kuin kukaan kirjautuu tällä tavalla, siinä lukee "No users have been provisioned via SSO yet."