הגדרת כניסה יחידה (SSO) באמצעות SAML או OIDC

ScribbleMaps תומכת בכניסה יחידה ארגונית באמצעות SAML 2.0 או OpenID Connect (OIDC). כך חברי הצוות שלך יכולים להזדהות באמצעות ספק הזהויות (IdP) של הארגון שלך, כגון Okta, Microsoft Entra ID (Azure AD), Google Workspace או Auth0.

הגדרת SSO זמינה בכתובת team.scribblemaps.com וללא תשלום לחלוטין.

תוכן עניינים

1. תכונות נתמכות
2. לפני שמתחילים
3. צעד 1: אימות דומיין האימייל שלך
4. צעד 2: הגדרת ספק הזהויות שלך
5. צעד 3: הגדרת SSO ב-ScribbleMaps
6. צעד 4: בדיקת ההגדרות שלך
7. צעד 5: הפעלת SSO
8. SSO ביוזמת ספק השירות (SP)
9. OIN Universal Logout
10. מדריכים לפי ספק
11. אפשרויות מתקדמות
12. פתרון בעיות

תכונות נתמכות

שילוב ה-SSO של ScribbleMaps תומך בתכונות הבאות:

לפני שמתחילים

• עליך להיות בעלי הצוות כדי להגדיר SSO
• נדרשת גישה לקונסולת הניהול של ספק הזהויות של הארגון שלך
• הכן את דומיין האימייל שלך (למשל, yourcompany.com)

צעד 1: אימות דומיין האימייל שלך

לפני הגדרת SSO, עליך לאמת בעלות על דומיין האימייל שלך. אמצעי אבטחה זה מבטיח שרק ארגונים מורשים יוכלו להגדיר SSO עבור הדומיינים שלהם.

1. היכנס ל-team.scribblemaps.com
2. עבור אל הגדרות > Single Sign-On
3. עבור ללשונית Domains
4. לחץ על הוספת דומיין והזן את דומיין האימייל שלך (למשל, yourcompany.com)
5. בחר שיטת אימות:

אפשרות א': רשומת DNS מסוג TXT (מומלץ)

הוסף רשומת TXT להגדרות ה-DNS של הדומיין שלך:

הערה: שינויי DNS יכולים לקחת עד 48 שעות להתפשט.

אפשרות ב': העלאת קובץ

1. צור קובץ טקסט בשם scribblemaps-verify.txt
2. הוסף את קוד האימות שלך כתוכן היחיד
3. העלה אל: https://yourcompany.com/.well-known/scribblemaps-verify.txt

לאחר הוספת האימות, לחץ על אימות דומיין כדי לאשר בעלות.

צעד 2: הגדרת ספק הזהויות שלך

הוסף את ScribbleMaps כאפליקציה בספק הזהויות שלך. אם אתה משתמש ב-Okta, תוכל להוסיף את ScribbleMaps ישירות מקטלוג Okta Integration Network (OIN) — כתובת ה-SAML SSO, ה-SP Entity ID, כתובת ה-ACS וה-OIDC Redirect URI מוגדרים מראש באופן אוטומטי.

עבור SAML 2.0

עבור OIDC

צעד 3: הגדרת SSO ב-ScribbleMaps

הגדרת SAML 2.0

1. ב-ScribbleMaps, עבור אל הגדרות > Single Sign-On > לשונית SAML
2. הזן את הפרטים הבאים מספק הזהויות שלך:

3. לחץ על שמירת הגדרות

הגדרת OIDC

1. ב-ScribbleMaps, עבור אל הגדרות > Single Sign-On > לשונית OIDC
2. בחר את Provider Type שלך (Google, Microsoft, Okta, Auth0 או מותאם אישית)
3. הזן את הפרטים הבאים:

4. לחץ על שמירת הגדרות

צעד 4: בדיקת ההגדרות שלך

לפני הפעלת SSO עבור כל המשתמשים, בדוק את ההגדרות שלך:

1. לחץ על הכפתור Test Connection
2. ייפתח חלון חדש שיבצע סימולציה של תהליך כניסת ה-SSO
3. השלם את ההזדהות מול ספק הזהויות שלך
4. ודא שהופנית בהצלחה בחזרה ל-ScribbleMaps

אם הבדיקה נכשלת, עיין בהודעת השגיאה ובדוק את הגדרות התצורה שלך.

צעד 5: הפעלת SSO

לאחר שהבדיקה הצליחה:

1. העבר את המתג Enable SSO למצב פעיל
2. בחר את אפשרות האכיפה שלך:
   • Optional: משתמשים יכולים לבחור בין כניסה באמצעות SSO לכניסה באמצעות סיסמה
   • Enforced: משתמשים עם דומיינים מאומתים חייבים להשתמש ב-SSO (כניסה באמצעות סיסמה מושבתת)

הערה: בעלי הצוות תמיד יכולים להשתמש בכניסה באמצעות סיסמה כגיבוי, גם כאשר SSO נאכף.

SSO ביוזמת ספק השירות (SP)

ScribbleMaps תומכת ב-SSO ביוזמת SP, המאפשר למשתמשים להתחיל את תהליך הכניסה מדף הכניסה של ScribbleMaps. כך זה עובד:

1. עבור אל scribblemaps.com/account/login
2. הזן את כתובת האימייל שלך (למשל, [email protected])
3. לחץ על Sign in with SSO
4. תופנה לספק הזהויות של הארגון שלך (למשל, Okta) כדי להזדהות
5. לאחר הזדהות מוצלחת, תופנה אוטומטית בחזרה ל-ScribbleMaps ותהיה מחובר

אם בארגון שלך SSO נאכף, הזנת כתובת האימייל שלך בדף הכניסה תפנה אותך אוטומטית לספק הזהויות שלך — שדה סיסמה לא יוצג.

OIN Universal Logout

Universal logout של Okta נתמך. להוראות הגדרה, בקר בקישור הזה.

מדריכים לפי ספק

Okta

1. בקונסולת הניהול של Okta, עבור אל Applications > Browse App Catalog
2. חפש את ScribbleMaps ולחץ על Add Integration
3. כתובת ה-SSO, ה-Entity ID וה-Redirect URI מוגדרים מראש באופן אוטומטי
4. עבור ללשונית Sign On כדי למצוא את פרטי התצורה של ספק הזהויות שלך:
   • הורד את X.509 Certificate
   • העתק את Identity Provider Issuer (Entity ID)
   • העתק את Single Sign-On URL
5. הזן ערכים אלה בהגדרות ה-SSO של ScribbleMaps (ראה צעד 3)

Microsoft Entra ID (Azure AD)

1. בפורטל Azure, עבור אל Microsoft Entra ID > App registrations > New registration
2. הגדר:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (פלטפורמת אינטרנט)
3. עבור אל Certificates & secrets > צור Client secret חדש
4. העתק את Application (client) ID ואת ערך ה-Client secret
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. ב-Google Cloud Console, עבור אל APIs & Services > Credentials
2. לחץ על Create Credentials > OAuth client ID
3. בחר Web application
4. הוסף Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
5. העתק את Client ID ואת Client Secret
6. Authority URL: https://accounts.google.com

הערה: כדי לדרוש MFA עבור Google Workspace, הגדר זאת בקונסולת הניהול של Google Workspace.

Auth0

1. בלוח הבקרה של Auth0, עבור אל Applications > Create Application
2. בחר Regular Web Applications
3. הגדר:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. העתק את Client ID ואת Client Secret מלשונית הגדרות
5. Authority URL: https://YOUR-DOMAIN.auth0.com

אפשרויות מתקדמות

הקצאה בזמן אמת (JIT)

כאשר אפשרות זו מופעלת, משתמשים נוצרים אוטומטית ב-ScribbleMaps בכניסת ה-SSO הראשונה שלהם. פרטי הפרופיל שלהם (שם, אימייל) מאוכלסים מספק הזהויות.

דרישת אימות רב-שלבי (MFA) (OIDC בלבד)

הפעל אפשרות זו כדי לדרוש אימות MFA לפני מתן אפשרות כניסה. ScribbleMaps תוודא שספק הזהויות שלך אכף MFA עבור המשתמש.

עבור Okta, ניתן לציין ערכי ACR מותאמים אישית כגון:

• urn:okta:loa:2fa:any - כל גורם שני
• phr - הזדהות עמידה בפני פישינג
• phrh - הזדהות עמידה בפני פישינג הקשורה לחומרה

מיפוי מאפיינים/Claims

התאם אישית את אופן המיפוי של מאפייני המשתמש מספק הזהויות שלך לשדות המשתמש של ScribbleMaps:

פתרון בעיות

בעיות נפוצות

"Domain not verified"

• ודא שרשומת ה-DNS מסוג TXT או קובץ האימות מוגדרים כראוי
• שינויי DNS יכולים לקחת עד 48 שעות להתפשט
• ודא שאין שגיאות הקלדה בקוד האימות

"Invalid certificate"

• ודא שאתה משתמש באישור המלא, כולל -----BEGIN CERTIFICATE----- ו------END CERTIFICATE-----
• בדוק שתוקף האישור לא פג
• ודא שהעתקת את אישור החתימה ולא אישור הצפנה

"Invalid signature"

• ודא שהאישור תואם לאישור החתימה הנוכחי של ספק הזהויות שלך
• בדוק שאלגוריתם החתימה תואם (SHA-256 לעומת SHA-1)

"User not found" או "Email mismatch"

• ודא שהאימייל שמוחזר מספק הזהויות שלך תואם לדומיין מאומת
• בדוק ש-NameID format מוגדר ככתובת אימייל
• ודא שמיפוי המאפיינים/Claims נכון

"Security error: Your Identity Provider is not authorized for this email domain"

• שגיאה זו מתרחשת כאשר תצורת ספק הזהויות אינה תואמת לדומיין המאומת
• ודא שדומיין האימייל מאומת תחת הצוות שלך
• בדוק שאתה נכנס עם אימייל מדומיין מאומת

צפייה ביומני ביקורת

עקוב אחר פעילות ה-SSO בהגדרות > Single Sign-On > Audit Logs. ניתן:

• לסנן לפי סוג אירוע (Login, Logout, Failed Login)
• לסנן לפי טווח תאריכים
• לייצא יומנים כקובץ CSV לצורכי דיווח ציות

זקוק לעזרה?

אם אתה נתקל בבעיות בהגדרת SSO, אנא פנה לצוות התמיכה שלנו וציין:

• את שם הצוות שלך
• את ספק הזהויות שבו אתה משתמש
• כל הודעת שגיאה שאתה רואה
• צילומי מסך של הגדרות ספק הזהויות שלך (כשהנתונים הרגישים מוסתרים)

אנחנו כאן כדי לעזור לך להגדיר SSO עבור הארגון שלך.