Single Sign-On (SSO)-ის დაყენება თქვენი გუნდისთვის - (გუნდის ვები აპლიკაცია)

რას აკეთებს SSO

Single Sign-On საშუალებას აძლევს თქვენი გუნდის წევრებს, შევიდნენ თქვენი კომპანიის იდენტობის პროვაიდერით, როგორიცაა Okta, Microsoft Entra ID (Azure AD), Google Workspace ან Auth0. მას აყენებთ SSO გვერდზე. მის გახსნას მხოლოდ მფლობელები და ადმინისტრატორები შეძლებენ. გვერდის სათაურია Single Sign-On (SSO).

გვერდს სამი ჩანართი აქვს: Email Domains, OIDC და SAML 2.0. შეგიძლიათ გამოიყენოთ ან OIDC, ან SAML 2.0, ორივე ერთდროულად ვერა.

ნაბიჯი 1: ელფოსტის დომენის დამატება და დადასტურება

გახსენით Email Domains ჩანართი. SSO იწყება იმის დადასტურებით, რომ თქვენ ფლობთ თქვენი კომპანიის ელფოსტის დომენს. დომენის დადასტურება საერთოა SAML-სა და OIDC-ისთვის, ამიტომ დადასტურება მხოლოდ ერთხელ გჭირდებათ.

1. Add Email Domain-ის ქვეშ ჩაწერეთ თქვენი დომენი (მაგალითად, example.com) და დააწკაპუნეთ Add Domain-ზე.
2. დომენი გამოჩნდება როგორც Pending Verification. დააწკაპუნეთ How to Verify-ზე ნაბიჯების გასახსნელად.
3. აირჩიეთ ერთი მეთოდი: - DNS TXT Record: დაამატეთ TXT ჩანაწერი თქვენი დომენის DNS-ში ნაჩვენები მნიშვნელობით. DNS ცვლილებებს შეიძლება 48 საათამდე დასჭირდეს. - File Upload: განათავსეთ ტექსტური ფაილი დადასტურების კოდით მისამართზე https://yourdomain/.well-known/scribblemaps-verify.txt. ფაილი უნდა იყოს ხელმისაწვდომი HTTPS-ით.
4. დააწკაპუნეთ Verify Now-ზე. წარმატების შემთხვევაში გვერდი აჩვენებს „Domain verified successfully!“ და დომენი აისახება როგორც Verified.

თუ ვერ ახერხებთ დადასტურებას DNS-ით ან ფაილით, მისწერეთ [email protected]-ზე და გუნდს შეუძლია თქვენი დომენი ხელით დაადასტუროს.

ნაბიჯი 2 (ვარიანტი A): OIDC-ის კონფიგურაცია

გახსენით OIDC ჩანართი.

1. დააკოპირეთ Redirect URI / Callback URL, რომელიც ნაჩვენებია Callback URLs-ის ქვეშ. ამას გადასცემთ თქვენს იდენტობის პროვაიდერს აპლიკაციის შექმნისას.
2. Quick Setup-ში შეგიძლიათ ჩაწეროთ თქვენი პროვაიდერის discovery URL (.well-known/openid-configuration URL) და დააწკაპუნოთ იმპორტი-ზე, რათა ავტომატურად შეივსოს Authority და პროვაიდერის ტიპი.
3. შეავსეთ სავალდებულო ველები Provider Settings-ის ქვეშ: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. გახსენით User Settings და ჩართეთ Just-In-Time (JIT) Provisioning, რომელიც ქმნის მომხმარებლის ანგარიშს, როცა ვინმე OIDC-ით პირველად შედის.
5. გახსენით Security Settings და ჩართეთ Require Multi-Factor Authentication (MFA), თუ გსურთ MFA-ის დადასტურება შესვლამდე.
6. დააწკაპუნეთ პარამეტრების შენახვა-ზე, შემდეგ Test Connection-ზე. ასევე შეგიძლიათ გამოიყენოთ Test SSO Login სრული შესვლის ახალ ფანჯარაში გამოსაცდელად.
7. ჩართეთ OIDC SSO enabled გადამრთველი.

როცა აპლიკაციას ქმნით თქვენს იდენტობის პროვაიდერში, ტიპად აირჩიეთ Web Application (არა SPA ან Native), რადგან Client Secret სავალდებულოა.

ნაბიჯი 2 (ვარიანტი B): SAML 2.0-ის კონფიგურაცია

გახსენით SAML 2.0 ჩანართი.

1. დააკოპირეთ Service Provider (SP) Information, რომელიც უნდა გადასცეთ თქვენს იდენტობის პროვაიდერს: SP Entity ID / Audience URI, Single Sign-On URL / ACS URL და SP Metadata URL.
2. Quick Setup-ში აირჩიეთ თქვენი პროვაიდერი და გააკეთეთ მისი metadata URL-ის იმპორტი პარამეტრების ავტომატურად შესავსებად.
3. შეავსეთ Identity Provider (IdP) Settings: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (არასავალდებულო) - IdP X.509 Certificate PEM ფორმატში
4. გახსენით Advanced Settings Signature Algorithm-ისა (რეკომენდებულია SHA-256) და NameID Format-ის დასაყენებლად.
5. გახსენით User Settings და ჩართეთ Just-In-Time (JIT) Provisioning.
6. დააწკაპუნეთ პარამეტრების შენახვა-ზე, შემდეგ Test Connection-ზე. გამოიყენეთ Test SSO Login სრული შესვლის გამოსაცდელად.
7. ჩართეთ SAML SSO enabled გადამრთველი.

ერთდროულად მხოლოდ ერთი პროტოკოლი

ჩართული შეიძლება იყოს ან OIDC, ან SAML, ორივე ერთად ვერა. თუ ერთს ჩართავთ, როცა მეორე უკვე ჩართულია, გვერდი გკითხავთ, გსურთ თუ არა ჯერ მეორის გამორთვა. მაგალითად, OIDC-ის ჩართვისას, როცა SAML ჩართულია, გამოჩნდება „SAML is currently enabled. Would you like to disable it?“ Disable SAML და Keep Both ვარიანტებით.

თქვენი SSO მომხმარებლების ნახვა

გვერდის ქვედა ნაწილში SSO Provisioned Users ბარათი ჩამოთვლის SSO-ით შექმნილ ადამიანებს. დააწკაპუნეთ ჩვენება-ზე სიის გასახსნელად და დამალვა-ზე მის დასახურად. ცხრილი აჩვენებს თითოეული მომხმარებლის ელფოსტას, სახელს, შექმნის თარიღსა და ბოლო შესვლას. სანამ ვინმე ამ გზით არ შევა, წერია „No users have been provisioned via SSO yet.“