SAML немесе OIDC көмегімен бір рет кіруді (SSO) баптау

ScribbleMaps SAML 2.0 немесе OpenID Connect (OIDC) арқылы корпоративтік бір рет кіруді қолдайды. Бұл команда мүшелеріне ұйымыңыздың сәйкестендіру провайдері (IdP) арқылы, мысалы Okta, Microsoft Entra ID (Azure AD), Google Workspace немесе Auth0 арқылы аутентификациядан өтуге мүмкіндік береді.

SSO баптауы team.scribblemaps.com сайтында қолжетімді және толығымен тегін.

Мазмұны

1. Қолдау көрсетілетін мүмкіндіктер
2. Бастамас бұрын
3. 1-қадам: Электрондық пошта доменін растау
4. 2-қадам: Сәйкестендіру провайдерін баптау
5. 3-қадам: ScribbleMaps-та SSO баптау
6. 4-қадам: Баптауды тестілеу
7. 5-қадам: SSO қосу
8. SP бастамалы SSO
9. OIN Universal Logout
10. Провайдерлерге арналған нұсқаулықтар
11. Кеңейтілген параметрлер
12. Ақауларды жою

Қолдау көрсетілетін мүмкіндіктер

ScribbleMaps SSO интеграциясы келесі мүмкіндіктерді қолдайды:

Бастамас бұрын

• SSO баптау үшін сіз Команда иесі болуыңыз керек
• Ұйымыңыздың сәйкестендіру провайдерінің әкімші консоліне қолжетімділік қажет
• Электрондық пошта доменіңізді дайындап қойыңыз (мысалы, yourcompany.com)

1-қадам: Электрондық пошта доменін растау

SSO баптамас бұрын электрондық пошта доменіңізге иелік етуді растауыңыз керек. Бұл қауіпсіздік шарасы тек өкілетті ұйымдардың өз домендері үшін SSO баптай алуын қамтамасыз етеді.

1. team.scribblemaps.com сайтына кіріңіз
2. Баптаулар > Бір рет кіру бөліміне өтіңіз
3. Домендер қойындысына өтіңіз
4. Домен қосу түймесін басып, электрондық пошта доменіңізді енгізіңіз (мысалы, yourcompany.com)
5. Растау әдісін таңдаңыз:

А нұсқасы: DNS TXT жазбасы (ұсынылады)

Доменіңіздің DNS баптауларына TXT жазбасын қосыңыз:

Ескертпе: DNS өзгерістерінің таралуы 48 сағатқа дейін созылуы мүмкін.

Б нұсқасы: Файл жүктеп салу

1. scribblemaps-verify.txt атты мәтіндік файл жасаңыз
2. Растау кодын жалғыз мазмұн ретінде қосыңыз
3. Мына мекенжайға жүктеп салыңыз: https://yourcompany.com/.well-known/scribblemaps-verify.txt

Растауды қосқаннан кейін иелікті растау үшін Доменді растау түймесін басыңыз.

2-қадам: Сәйкестендіру провайдерін баптау

ScribbleMaps-ты сәйкестендіру провайдеріңізге қолданба ретінде қосыңыз. Okta қолданатын болсаңыз, ScribbleMaps-ты Okta Integration Network (OIN) каталогынан тікелей қоса аласыз — SAML SSO URL, SP Entity ID, ACS URL және OIDC Redirect URI автоматты түрде алдын ала бапталады.

SAML 2.0 үшін

OIDC үшін

3-қадам: ScribbleMaps-та SSO баптау

SAML 2.0 баптау

1. ScribbleMaps-та Баптаулар > Бір рет кіру > SAML қойындысына өтіңіз
2. Сәйкестендіру провайдеріңіздегі келесі ақпаратты енгізіңіз:

3. Баптауларды сақтау түймесін басыңыз

OIDC баптау

1. ScribbleMaps-та Баптаулар > Бір рет кіру > OIDC қойындысына өтіңіз
2. Провайдер түрін таңдаңыз (Google, Microsoft, Okta, Auth0 немесе Арнайы)
3. Келесі ақпаратты енгізіңіз:

4. Баптауларды сақтау түймесін басыңыз

4-қадам: Баптауды тестілеу

Барлық пайдаланушылар үшін SSO қоспас бұрын баптауыңызды тестіленіз:

1. Байланысты тексеру түймесін басыңыз
2. SSO арқылы кіру процесін имитациялау үшін жаңа терезе ашылады
3. Сәйкестендіру провайдеріңізбен аутентификацияны аяқтаңыз
4. ScribbleMaps-қа сәтті қайта бағытталғаныңызды тексеріңіз

Тест сәтсіз аяқталса, қате хабарламасын қарап шығып, баптау параметрлерін тексеріңіз.

5-қадам: SSO қосу

Тестілеу сәтті аяқталғаннан кейін:

1. SSO қосу қосқышын ҚОСУЛЫ күйіне ауыстырыңыз
2. Мәжбүрлеу параметрін таңдаңыз:
   • Міндетті емес: Пайдаланушылар SSO немесе құпия сөзбен кіруді таңдай алады
   • Мәжбүрлі: Расталған электрондық пошта домендері бар пайдаланушылар SSO қолдануы керек (құпия сөзбен кіру өшіріледі)

Ескертпе: Команда иелері SSO мәжбүрлі болған кезде де резерв ретінде құпия сөзбен кіруді әрдайым қолдана алады.

SP бастамалы SSO

ScribbleMaps SP бастамалы SSO-ны қолдайды, ол пайдаланушыларға кіру процесін ScribbleMaps кіру бетінен бастауға мүмкіндік береді. Ол былай жұмыс істейді:

1. scribblemaps.com/account/login бетіне өтіңіз
2. Электрондық пошта мекенжайыңызды енгізіңіз (мысалы, [email protected])
3. SSO арқылы кіру түймесін басыңыз
4. Аутентификациядан өту үшін сіз ұйымыңыздың сәйкестендіру провайдеріне (мысалы, Okta) бағытталасыз
5. Сәтті аутентификациядан кейін сіз автоматты түрде ScribbleMaps-қа қайта бағытталып, жүйеге кіресіз

Ұйымыңызда SSO мәжбүрлі болса, кіру бетінде электрондық поштаңызды енгізгенде сіз автоматты түрде сәйкестендіру провайдеріңізге бағытталасыз — құпия сөз өрісі көрсетілмейді.

OIN Universal Logout

Okta-ның Universal Logout қолдау көрсетіледі. Баптау нұсқаулары үшін мына сілтемеге өтіңіз.

Провайдерлерге арналған нұсқаулықтар

Okta

1. Okta Admin Console-да Applications > Browse App Catalog бөліміне өтіңіз
2. ScribbleMaps деп іздеп, Add Integration түймесін басыңыз
3. SSO URL, Entity ID және Redirect URI автоматты түрде алдын ала бапталады
4. IdP баптау мәліметтерін табу үшін Sign On қойындысына өтіңіз:
   • X.509 Certificate жүктеп алыңыз
   • Identity Provider Issuer (Entity ID) мәнін көшіріңіз
   • Single Sign-On URL мәнін көшіріңіз
5. Осы мәндерді ScribbleMaps SSO баптауларына енгізіңіз (3-қадамды қараңыз)

Microsoft Entra ID (Azure AD)

1. Azure Portal-да Microsoft Entra ID > App registrations > New registration бөліміне өтіңіз
2. Баптаңыз:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (Веб платформасы)
3. Certificates & secrets бөліміне өтіп, жаңа Client secret жасаңыз
4. Application (client) ID және Client secret value мәндерін көшіріңіз
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. Google Cloud Console-да APIs & Services > Credentials бөліміне өтіңіз
2. Create Credentials > OAuth client ID түймесін басыңыз
3. Web application таңдаңыз
4. Authorized redirect URI қосыңыз: https://api.scribblemaps.com/oidc/callback
5. Client ID және Client Secret мәндерін көшіріңіз
6. Authority URL: https://accounts.google.com

Ескертпе: Google Workspace үшін MFA талап ету үшін оны Google Workspace Admin Console-да баптаңыз.

Auth0

1. Auth0 Dashboard-та Applications > Create Application бөліміне өтіңіз
2. Regular Web Applications таңдаңыз
3. Баптаңыз:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Settings қойындысынан Client ID және Client Secret мәндерін көшіріңіз
5. Authority URL: https://YOUR-DOMAIN.auth0.com

Кеңейтілген параметрлер

Just-In-Time (JIT) провизиялау

Қосылған кезде пайдаланушылар алғашқы SSO арқылы кіру кезінде ScribbleMaps-та автоматты түрде жасалады. Олардың профиль ақпараты (аты, электрондық пошта) сәйкестендіру провайдерінен толтырылады.

Көпфакторлы аутентификацияны талап ету (тек OIDC)

Кіруге рұқсат бермес бұрын MFA растауын талап ету үшін осы параметрді қосыңыз. ScribbleMaps IdP-ңіздің пайдаланушы үшін MFA мәжбүрлегенін тексереді.

Okta үшін арнайы ACR мәндерін көрсетуге болады, мысалы:

• urn:okta:loa:2fa:any - Кез келген екінші фактор
• phr - Фишингке төзімді аутентификация
• phrh - Аппараттық құрылғыға байланған фишингке төзімді аутентификация

Атрибут/Claim сәйкестендіру

IdP-ңіздегі пайдаланушы атрибуттарының ScribbleMaps пайдаланушы өрістерімен сәйкестендірілуін реттеңіз:

Ақауларды жою

Жиі кездесетін мәселелер

"Домен расталмаған"

• DNS TXT жазбасы немесе растау файлы дұрыс бапталғанына көз жеткізіңіз
• DNS өзгерістерінің таралуы 48 сағатқа дейін созылуы мүмкін
• Растау кодында қате жоқтығын тексеріңіз

"Жарамсыз сертификат"

• -----BEGIN CERTIFICATE----- және -----END CERTIFICATE----- жолдарын қоса, толық сертификатты қолданып жатқаныңызға көз жеткізіңіз
• Сертификаттың мерзімі өтпегенін тексеріңіз
• Шифрлау сертификатын емес, қол қою сертификатын көшіргеніңізге көз жеткізіңіз

"Жарамсыз қол"

• Сертификаттың IdP-ңіздің ағымдағы қол қою сертификатына сәйкес келетінін тексеріңіз
• Қол қою алгоритмінің сәйкес келетінін тексеріңіз (SHA-256 немесе SHA-1)

"Пайдаланушы табылмады" немесе "Электрондық пошта сәйкес келмейді"

• IdP қайтарған электрондық пошта расталған домендердің біріне сәйкес келетініне көз жеткізіңіз
• NameID форматы Электрондық пошта мекенжайы болып орнатылғанын тексеріңіз
• Атрибут/claim сәйкестендіруінің дұрыстығын тексеріңіз

"Қауіпсіздік қатесі: Сәйкестендіру провайдеріңізге бұл электрондық пошта доменін қолдануға рұқсат берілмеген"

• Бұл IdP баптауы расталған доменге сәйкес келмегенде орын алады
• Электрондық пошта домені командаңыз астында расталғанына көз жеткізіңіз
• Расталған доменнің электрондық поштасымен кіріп жатқаныңызды тексеріңіз

Аудит журналдарын қарау

SSO белсенділігін Баптаулар > Бір рет кіру > Аудит журналдары бөлімінде бақылаңыз. Мыналарды жасай аласыз:

• Оқиға түрі бойынша сүзу (Кіру, Шығу, Сәтсіз кіру)
• Күн аралығы бойынша сүзу
• Сәйкестік есептілігі үшін журналдарды CSV ретінде экспорттау

Көмек қажет пе?

SSO баптауында мәселелер туындаса, қолдау қызметімізге мына ақпаратты жіберіп хабарласыңыз:

• Команда атауыңыз
• Қолданып жатқан сәйкестендіру провайдеріңіз
• Көрініп жатқан кез келген қате хабарламалары
• IdP баптауыңыздың скриншоттары (құпия деректер жасырылған)

Ұйымыңыз үшін SSO баптауға көмектесуге әрдайым дайынбыз.