ერთიანი შესვლის (SSO) კონფიგურაცია SAML-ით ან OIDC-ით

ScribbleMaps მხარს უჭერს საწარმოო დონის ერთიან შესვლას SAML 2.0-ის ან OpenID Connect-ის (OIDC) გამოყენებით. ეს თქვენი გუნდის წევრებს საშუალებას აძლევს, ავტორიზაცია გაიარონ თქვენი ორგანიზაციის იდენტიფიკაციის პროვაიდერის (IdP) მეშვეობით, როგორიცაა Okta, Microsoft Entra ID (Azure AD), Google Workspace ან Auth0.

SSO-ის კონფიგურაცია ხელმისაწვდომია მისამართზე team.scribblemaps.com და სრულიად უფასოა.

სარჩევი

1. მხარდაჭერილი შესაძლებლობები
2. დაწყებამდე
3. ნაბიჯი 1: დაადასტურეთ თქვენი ელფოსტის დომენი
4. ნაბიჯი 2: გააკონფიგურირეთ თქვენი იდენტიფიკაციის პროვაიდერი
5. ნაბიჯი 3: გააკონფიგურირეთ SSO ScribbleMaps-ში
6. ნაბიჯი 4: გამოსცადეთ თქვენი კონფიგურაცია
7. ნაბიჯი 5: ჩართეთ SSO
8. SP-ის მიერ ინიცირებული SSO
9. OIN უნივერსალური გამოსვლა
10. პროვაიდერების სპეციფიკური სახელმძღვანელოები
11. გაფართოებული პარამეტრები
12. პრობლემების აღმოფხვრა

მხარდაჭერილი შესაძლებლობები

ScribbleMaps-ის SSO ინტეგრაცია მხარს უჭერს შემდეგ შესაძლებლობებს:

დაწყებამდე

• SSO-ს გასაკონფიგურირებლად უნდა იყოთ გუნდის მფლობელი
• გჭირდებათ წვდომა თქვენი ორგანიზაციის იდენტიფიკაციის პროვაიდერის ადმინისტრატორის კონსოლზე
• მოამზადეთ თქვენი ელფოსტის დომენი (მაგ., yourcompany.com)

ნაბიჯი 1: დაადასტურეთ თქვენი ელფოსტის დომენი

SSO-ს კონფიგურაციამდე უნდა დაადასტუროთ თქვენი ელფოსტის დომენის საკუთრება. ეს უსაფრთხოების ღონისძიება უზრუნველყოფს, რომ მხოლოდ უფლებამოსილ ორგანიზაციებს შეეძლოთ SSO-ს კონფიგურაცია თავიანთი დომენებისთვის.

1. შედით team.scribblemaps.com-ზე
2. გადადით: პარამეტრები > Single Sign-On
3. გახსენით Domains ჩანართი
4. დააწკაპუნეთ Add Domain-ზე და შეიყვანეთ თქვენი ელფოსტის დომენი (მაგ., yourcompany.com)
5. აირჩიეთ დადასტურების მეთოდი:

ვარიანტი A: DNS TXT ჩანაწერი (რეკომენდებული)

დაამატეთ TXT ჩანაწერი თქვენი დომენის DNS პარამეტრებში:

შენიშვნა: DNS ცვლილებების გავრცელებას შეიძლება 48 საათამდე დასჭირდეს.

ვარიანტი B: ფაილის ატვირთვა

1. შექმენით ტექსტური ფაილი სახელით scribblemaps-verify.txt
2. ფაილში ერთადერთ შიგთავსად ჩაწერეთ თქვენი დადასტურების კოდი
3. ატვირთეთ მისამართზე: https://yourcompany.com/.well-known/scribblemaps-verify.txt

დადასტურების დამატების შემდეგ დააწკაპუნეთ Verify Domain-ზე საკუთრების დასადასტურებლად.

ნაბიჯი 2: გააკონფიგურირეთ თქვენი იდენტიფიკაციის პროვაიდერი

დაამატეთ ScribbleMaps აპლიკაციად თქვენს იდენტიფიკაციის პროვაიდერში. თუ იყენებთ Okta-ს, ScribbleMaps-ის დამატება შეგიძლიათ უშუალოდ Okta Integration Network-ის (OIN) კატალოგიდან — SAML SSO URL, SP Entity ID, ACS URL და OIDC Redirect URI ავტომატურად წინასწარ არის გაკონფიგურირებული.

SAML 2.0-ისთვის

OIDC-ისთვის

ნაბიჯი 3: გააკონფიგურირეთ SSO ScribbleMaps-ში

SAML 2.0-ის კონფიგურაცია

1. ScribbleMaps-ში გადადით: პარამეტრები > Single Sign-On > SAML ჩანართი
2. შეიყვანეთ შემდეგი ინფორმაცია თქვენი იდენტიფიკაციის პროვაიდერიდან:

3. დააწკაპუნეთ პარამეტრების შენახვა-ზე

OIDC-ის კონფიგურაცია

1. ScribbleMaps-ში გადადით: პარამეტრები > Single Sign-On > OIDC ჩანართი
2. აირჩიეთ თქვენი პროვაიდერის ტიპი (Google, Microsoft, Okta, Auth0 ან მორგებული)
3. შეიყვანეთ შემდეგი ინფორმაცია:

4. დააწკაპუნეთ პარამეტრების შენახვა-ზე

ნაბიჯი 4: გამოსცადეთ თქვენი კონფიგურაცია

სანამ SSO-ს ყველა მომხმარებლისთვის ჩართავთ, გამოსცადეთ თქვენი კონფიგურაცია:

1. დააწკაპუნეთ Test Connection ღილაკზე
2. გაიხსნება ახალი ფანჯარა SSO შესვლის პროცესის სიმულაციისთვის
3. დაასრულეთ ავტორიზაცია თქვენს იდენტიფიკაციის პროვაიდერთან
4. დარწმუნდით, რომ წარმატებით დაბრუნდით ScribbleMaps-ში

თუ ტესტი ვერ მოხერხდა, გადახედეთ შეცდომის შეტყობინებას და შეამოწმეთ თქვენი კონფიგურაციის პარამეტრები.

ნაბიჯი 5: ჩართეთ SSO

წარმატებული ტესტირების შემდეგ:

1. ჩართეთ Enable SSO გადამრთველი
2. აირჩიეთ აღსრულების ვარიანტი:
   • არჩევითი: მომხმარებლებს შეუძლიათ აირჩიონ SSO ან პაროლით შესვლა
   • სავალდებულო: დადასტურებული ელფოსტის დომენების მქონე მომხმარებლებმა უნდა გამოიყენონ SSO (პაროლით შესვლა გათიშულია)

შენიშვნა: გუნდის მფლობელებს ყოველთვის შეუძლიათ პაროლით შესვლის გამოყენება სარეზერვო ვარიანტად, მაშინაც კი, როცა SSO სავალდებულოა.

SP-ის მიერ ინიცირებული SSO

ScribbleMaps მხარს უჭერს SP-ის მიერ ინიცირებულ SSO-ს, რაც მომხმარებლებს საშუალებას აძლევს, შესვლის პროცესი დაიწყონ ScribbleMaps-ის შესვლის გვერდიდან. ასე მუშაობს ეს:

1. გადადით scribblemaps.com/account/login გვერდზე
2. შეიყვანეთ თქვენი ელფოსტის მისამართი (მაგ., [email protected])
3. დააწკაპუნეთ Sign in with SSO-ზე
4. თქვენ გადაგამისამართებენ თქვენი ორგანიზაციის იდენტიფიკაციის პროვაიდერთან (მაგ., Okta) ავტორიზაციისთვის
5. წარმატებული ავტორიზაციის შემდეგ ავტომატურად დაბრუნდებით ScribbleMaps-ში და შესული იქნებით სისტემაში

თუ თქვენს ორგანიზაციაში SSO სავალდებულოა, შესვლის გვერდზე ელფოსტის შეყვანისას ავტომატურად გადაგამისამართებთ თქვენს იდენტიფიკაციის პროვაიდერთან — პაროლის ველი არ გამოჩნდება.

OIN უნივერსალური გამოსვლა

Okta-ს უნივერსალური გამოსვლა მხარდაჭერილია. კონფიგურაციის ინსტრუქციებისთვის ეწვიეთ ამ ბმულს.

პროვაიდერების სპეციფიკური სახელმძღვანელოები

Okta

1. Okta Admin Console-ში გადადით: Applications > Browse App Catalog
2. მოძებნეთ ScribbleMaps და დააწკაპუნეთ Add Integration-ზე
3. SSO URL, Entity ID და Redirect URI ავტომატურად წინასწარ არის გაკონფიგურირებული
4. გახსენით Sign On ჩანართი თქვენი IdP-ის კონფიგურაციის დეტალების მოსაძებნად:
   • ჩამოტვირთეთ X.509 Certificate
   • დააკოპირეთ Identity Provider Issuer (Entity ID)
   • დააკოპირეთ Single Sign-On URL
5. შეიყვანეთ ეს მნიშვნელობები ScribbleMaps-ის SSO პარამეტრებში (იხილეთ ნაბიჯი 3)

Microsoft Entra ID (Azure AD)

1. Azure Portal-ში გადადით: Microsoft Entra ID > App registrations > New registration
2. გააკონფიგურირეთ:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (ვები პლატფორმა)
3. გადადით Certificates & secrets-ზე > შექმენით ახალი Client secret
4. დააკოპირეთ Application (client) ID და Client secret value
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. Google Cloud Console-ში გადადით: APIs & Services > Credentials
2. დააწკაპუნეთ Create Credentials > OAuth client ID
3. აირჩიეთ Web application
4. დაამატეთ Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
5. დააკოპირეთ Client ID და Client Secret
6. Authority URL: https://accounts.google.com

შენიშვნა: Google Workspace-ისთვის MFA-ს მოთხოვნის დასაწესებლად გააკონფიგურირეთ ის თქვენს Google Workspace Admin Console-ში.

Auth0

1. Auth0 Dashboard-ში გადადით: Applications > Create Application
2. აირჩიეთ Regular Web Applications
3. გააკონფიგურირეთ:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. დააკოპირეთ Client ID და Client Secret Settings ჩანართიდან
5. Authority URL: https://YOUR-DOMAIN.auth0.com

გაფართოებული პარამეტრები

დროული პროვიზიონინგი (JIT)

ჩართვისას მომხმარებლები ავტომატურად იქმნებიან ScribbleMaps-ში პირველივე SSO შესვლისას. მათი პროფილის ინფორმაცია (სახელი, ელფოსტა) ივსება იდენტიფიკაციის პროვაიდერიდან.

მრავალფაქტორიანი ავტორიზაციის მოთხოვნა (მხოლოდ OIDC)

ჩართეთ ეს პარამეტრი, რათა შესვლის დაშვებამდე მოითხოვოთ MFA-ს დადასტურება. ScribbleMaps შეამოწმებს, რომ თქვენმა IdP-მ მომხმარებლისთვის MFA აღასრულა.

Okta-სთვის შეგიძლიათ მიუთითოთ მორგებული ACR მნიშვნელობები, მაგალითად:

• urn:okta:loa:2fa:any - ნებისმიერი მეორე ფაქტორი
• phr - ფიშინგისადმი მდგრადი ავტორიზაცია
• phrh - ფიშინგისადმი მდგრადი, აპარატურაზე მიბმული ავტორიზაცია

ატრიბუტების/Claim-ების შესაბამისობა

მოარგეთ, როგორ შეესაბამება თქვენი IdP-ის მომხმარებლის ატრიბუტები ScribbleMaps-ის მომხმარებლის ველებს:

პრობლემების აღმოფხვრა

გავრცელებული პრობლემები

"Domain not verified"

• დარწმუნდით, რომ თქვენი DNS TXT ჩანაწერი ან დადასტურების ფაილი სწორად არის გაკონფიგურირებული
• DNS ცვლილებების გავრცელებას შეიძლება 48 საათამდე დასჭირდეს
• შეამოწმეთ, რომ დადასტურების კოდში არ არის შეცდომები

"Invalid certificate"

• დარწმუნდით, რომ იყენებთ სრულ სერტიფიკატს, მათ შორის -----BEGIN CERTIFICATE----- და -----END CERTIFICATE-----
• შეამოწმეთ, რომ სერტიფიკატს ვადა არ გასვლია
• დარწმუნდით, რომ დააკოპირეთ ხელმოწერის სერტიფიკატი და არა დაშიფვრის სერტიფიკატი

"Invalid signature"

• შეამოწმეთ, რომ სერტიფიკატი ემთხვევა თქვენი IdP-ის მიმდინარე ხელმოწერის სერტიფიკატს
• შეამოწმეთ, რომ ხელმოწერის ალგორითმი ემთხვევა (SHA-256 თუ SHA-1)

"User not found" ან "Email mismatch"

• დარწმუნდით, რომ თქვენი IdP-ის მიერ დაბრუნებული ელფოსტა ემთხვევა დადასტურებულ დომენს
• შეამოწმეთ, რომ NameID ფორმატი დაყენებულია ელფოსტის მისამართზე
• შეამოწმეთ ატრიბუტების/claim-ების შესაბამისობის სისწორე

"Security error: Your Identity Provider is not authorized for this email domain"

• ეს ხდება მაშინ, როდესაც IdP-ის კონფიგურაცია არ ემთხვევა დადასტურებულ დომენს
• დარწმუნდით, რომ ელფოსტის დომენი დადასტურებულია თქვენს გუნდში
• შეამოწმეთ, რომ შედიხართ დადასტურებული დომენის ელფოსტით

აუდიტის ჟურნალების ნახვა

თვალყური ადევნეთ SSO-ს აქტივობას აქ: პარამეტრები > Single Sign-On > Audit Logs. შეგიძლიათ:

• გაფილტროთ მოვლენის ტიპის მიხედვით (შესვლა, გამოსვლა, წარუმატებელი შესვლა)
• გაფილტროთ თარიღის დიაპაზონის მიხედვით
• ჟურნალები CSV ფორმატში გააექსპორტოთ შესაბამისობის ანგარიშგებისთვის

გჭირდებათ დახმარება?

თუ SSO-ს კონფიგურაციისას პრობლემები შეგექმნათ, გთხოვთ, დაგვიკავშირდეთ მხარდაჭერის გუნდს და მიუთითოთ:

• თქვენი გუნდის სახელი
• იდენტიფიკაციის პროვაიდერი, რომელსაც იყენებთ
• ნებისმიერი შეცდომის შეტყობინება, რომელსაც ხედავთ
• თქვენი IdP-ის კონფიგურაციის სკრინშოტები (მგრძნობიარე მონაცემების დაფარვით)

ჩვენ აქ ვართ, რათა დაგეხმაროთ SSO-ს გაკონფიგურირებაში თქვენი ორგანიზაციისთვის.