ការកំណត់រចនាសម្ព័ន្ធ Single Sign-On (SSO) ជាមួយ SAML ឬ OIDC

ScribbleMaps គាំទ្រ Single Sign-On សម្រាប់សហគ្រាសដោយប្រើ SAML 2.0 ឬ OpenID Connect (OIDC)។ នេះអនុញ្ញាតឱ្យសមាជិកក្រុមរបស់អ្នកផ្ទៀងផ្ទាត់អត្តសញ្ញាណដោយប្រើ Identity Provider (IdP) របស់អង្គការអ្នក ដូចជា Okta, Microsoft Entra ID (Azure AD), Google Workspace ឬ Auth0។

ការកំណត់រចនាសម្ព័ន្ធ SSO មាននៅ team.scribblemaps.com ហើយគឺឥតគិតថ្លៃទាំងស្រុង។

មាតិកា

1. លក្ខណៈពិសេសដែលគាំទ្រ
2. មុនពេលអ្នកចាប់ផ្តើម
3. ជំហានទី 1៖ ផ្ទៀងផ្ទាត់ដែនអ៊ីមែលរបស់អ្នក
4. ជំហានទី 2៖ កំណត់រចនាសម្ព័ន្ធ Identity Provider របស់អ្នក
5. ជំហានទី 3៖ កំណត់រចនាសម្ព័ន្ធ SSO ក្នុង ScribbleMaps
6. ជំហានទី 4៖ សាកល្បងការកំណត់រចនាសម្ព័ន្ធរបស់អ្នក
7. ជំហានទី 5៖ បើក SSO
8. SSO ដែលចាប់ផ្តើមដោយ SP
9. OIN Universal Logout
10. មគ្គុទ្ទេសក៍ជាក់លាក់តាមអ្នកផ្តល់សេវា
11. ជម្រើសកម្រិតខ្ពស់
12. ការដោះស្រាយបញ្ហា

លក្ខណៈពិសេសដែលគាំទ្រ

ការរួមបញ្ចូល SSO របស់ ScribbleMaps គាំទ្រលក្ខណៈពិសេសខាងក្រោម៖

មុនពេលអ្នកចាប់ផ្តើម

• អ្នកត្រូវតែជា Team Owner ដើម្បីកំណត់រចនាសម្ព័ន្ធ SSO
• អ្នកត្រូវការចូលប្រើកុងសូលអ្នកគ្រប់គ្រង Identity Provider របស់អង្គការអ្នក
• រៀបចំដែនអ៊ីមែលរបស់អ្នកឱ្យរួចរាល់ (ឧទាហរណ៍ yourcompany.com)

ជំហានទី 1៖ ផ្ទៀងផ្ទាត់ដែនអ៊ីមែលរបស់អ្នក

មុនពេលកំណត់រចនាសម្ព័ន្ធ SSO អ្នកត្រូវតែផ្ទៀងផ្ទាត់ភាពជាម្ចាស់នៃដែនអ៊ីមែលរបស់អ្នក។ វិធានការសុវត្ថិភាពនេះធានាថាមានតែអង្គការដែលមានការអនុញ្ញាតប៉ុណ្ណោះដែលអាចកំណត់រចនាសម្ព័ន្ធ SSO សម្រាប់ដែនរបស់ពួកគេ។

1. ចូលគណនីនៅ team.scribblemaps.com
2. ចូលទៅ ការកំណត់ > Single Sign-On
3. ចូលទៅផ្ទាំង Domains
4. ចុច បន្ថែម Domain ហើយបញ្ចូលដែនអ៊ីមែលរបស់អ្នក (ឧទាហរណ៍ yourcompany.com)
5. ជ្រើសរើសវិធីសាស្ត្រផ្ទៀងផ្ទាត់៖

ជម្រើស A៖ កំណត់ត្រា DNS TXT (បានណែនាំ)

បន្ថែមកំណត់ត្រា TXT ទៅក្នុងការកំណត់ DNS នៃដែនរបស់អ្នក៖

កំណត់ចំណាំ៖ ការផ្លាស់ប្តូរ DNS អាចចំណាយពេលរហូតដល់ 48 ម៉ោងដើម្បីផ្សព្វផ្សាយ។

ជម្រើស B៖ ការបង្ហោះឡើងឯកសារ

1. បង្កើតឯកសារអត្ថបទមួយឈ្មោះ scribblemaps-verify.txt
2. បន្ថែមលេខកូដផ្ទៀងផ្ទាត់របស់អ្នកជាមាតិកាតែមួយគត់
3. បង្ហោះឡើងទៅ៖ https://yourcompany.com/.well-known/scribblemaps-verify.txt

បន្ទាប់ពីបន្ថែមការផ្ទៀងផ្ទាត់ សូមចុច Verify Domain ដើម្បីបញ្ជាក់ភាពជាម្ចាស់។

ជំហានទី 2៖ កំណត់រចនាសម្ព័ន្ធ Identity Provider របស់អ្នក

បន្ថែម ScribbleMaps ជាកម្មវិធីមួយក្នុង Identity Provider របស់អ្នក។ ប្រសិនបើអ្នកប្រើ Okta អ្នកអាចបន្ថែម ScribbleMaps ដោយផ្ទាល់ពីកាតាឡុក Okta Integration Network (OIN) — SAML SSO URL, SP Entity ID, ACS URL និង OIDC Redirect URI ត្រូវបានកំណត់ទុកជាមុនដោយស្វ័យប្រវត្តិ។

សម្រាប់ SAML 2.0

សម្រាប់ OIDC

ជំហានទី 3៖ កំណត់រចនាសម្ព័ន្ធ SSO ក្នុង ScribbleMaps

ការកំណត់រចនាសម្ព័ន្ធ SAML 2.0

1. ក្នុង ScribbleMaps ចូលទៅ ការកំណត់ > Single Sign-On > ផ្ទាំង SAML
2. បញ្ចូលព័ត៌មានខាងក្រោមពី Identity Provider របស់អ្នក៖

3. ចុច រក្សាទុកការកំណត់

ការកំណត់រចនាសម្ព័ន្ធ OIDC

1. ក្នុង ScribbleMaps ចូលទៅ ការកំណត់ > Single Sign-On > ផ្ទាំង OIDC
2. ជ្រើសរើស Provider Type របស់អ្នក (Google, Microsoft, Okta, Auth0 ឬ ផ្ទាល់ខ្លួន)
3. បញ្ចូលព័ត៌មានខាងក្រោម៖

4. ចុច រក្សាទុកការកំណត់

ជំហានទី 4៖ សាកល្បងការកំណត់រចនាសម្ព័ន្ធរបស់អ្នក

មុនពេលបើក SSO សម្រាប់អ្នកប្រើប្រាស់ទាំងអស់ សូមសាកល្បងការកំណត់រចនាសម្ព័ន្ធរបស់អ្នក៖

1. ចុចប៊ូតុង Test Connection
2. បង្អួចថ្មីមួយនឹងបើកដើម្បីក្លែងធ្វើដំណើរការចូលគណនី SSO
3. បំពេញការផ្ទៀងផ្ទាត់អត្តសញ្ញាណជាមួយ Identity Provider របស់អ្នក
4. ផ្ទៀងផ្ទាត់ថាអ្នកត្រូវបានប្តូរទិសត្រឡប់ទៅ ScribbleMaps ដោយជោគជ័យ

ប្រសិនបើការសាកល្បងបរាជ័យ សូមពិនិត្យមើលសារកំហុស ហើយពិនិត្យការកំណត់រចនាសម្ព័ន្ធរបស់អ្នក។

ជំហានទី 5៖ បើក SSO

នៅពេលការសាកល្បងជោគជ័យ៖

1. បើកកុងតាក់ Enable SSO ទៅ ON
2. ជ្រើសរើសជម្រើសបង្ខំរបស់អ្នក៖
   • Optional៖ អ្នកប្រើប្រាស់អាចជ្រើសរើស SSO ឬការចូលគណនីដោយពាក្យសម្ងាត់
   • Enforced៖ អ្នកប្រើប្រាស់ដែលមានដែនអ៊ីមែលបានផ្ទៀងផ្ទាត់ត្រូវតែប្រើ SSO (ការចូលគណនីដោយពាក្យសម្ងាត់ត្រូវបានបិទ)

កំណត់ចំណាំ៖ Team Owners តែងតែអាចប្រើការចូលគណនីដោយពាក្យសម្ងាត់ជាការបម្រុងទុក ទោះបីជា SSO ត្រូវបានបង្ខំក៏ដោយ។

SSO ដែលចាប់ផ្តើមដោយ SP

ScribbleMaps គាំទ្រ SSO ដែលចាប់ផ្តើមដោយ SP ដែលអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ចាប់ផ្តើមដំណើរការចូលគណនីពីទំព័រចូលគណនី ScribbleMaps។ នេះជារបៀបដែលវាដំណើរការ៖

1. ចូលទៅ scribblemaps.com/account/login
2. បញ្ចូលអាសយដ្ឋានអ៊ីមែលរបស់អ្នក (ឧទាហរណ៍ [email protected])
3. ចុច Sign in with SSO
4. អ្នកនឹងត្រូវបានប្តូរទិសទៅ Identity Provider របស់អង្គការអ្នក (ឧទាហរណ៍ Okta) ដើម្បីផ្ទៀងផ្ទាត់អត្តសញ្ញាណ
5. បន្ទាប់ពីការផ្ទៀងផ្ទាត់អត្តសញ្ញាណជោគជ័យ អ្នកនឹងត្រូវបានប្តូរទិសត្រឡប់ទៅ ScribbleMaps ដោយស្វ័យប្រវត្តិ ហើយចូលគណនី

ប្រសិនបើអង្គការរបស់អ្នកបានបង្ខំ SSO ការបញ្ចូលអ៊ីមែលរបស់អ្នកនៅលើទំព័រចូលគណនីនឹងប្តូរទិសអ្នកទៅ Identity Provider របស់អ្នកដោយស្វ័យប្រវត្តិ — វាលពាក្យសម្ងាត់នឹងមិនត្រូវបានបង្ហាញទេ។

OIN Universal Logout

Universal logout ដោយ Okta ត្រូវបានគាំទ្រ។ សម្រាប់ការណែនាំអំពីការកំណត់រចនាសម្ព័ន្ធ សូមចូលមើល តំណនេះ។

មគ្គុទ្ទេសក៍ជាក់លាក់តាមអ្នកផ្តល់សេវា

Okta

1. ក្នុង Okta Admin Console ចូលទៅ Applications > Browse App Catalog
2. ស្វែងរក ScribbleMaps ហើយចុច Add Integration
3. SSO URL, Entity ID និង Redirect URI ត្រូវបានកំណត់ទុកជាមុនដោយស្វ័យប្រវត្តិ
4. ចូលទៅផ្ទាំង Sign On ដើម្បីរកព័ត៌មានលម្អិតនៃការកំណត់រចនាសម្ព័ន្ធ IdP របស់អ្នក៖
   • ទាញយក X.509 Certificate
   • ចម្លង Identity Provider Issuer (Entity ID)
   • ចម្លង Single Sign-On URL
5. បញ្ចូលតម្លៃទាំងនេះទៅក្នុងការកំណត់ SSO របស់ ScribbleMaps (សូមមើល ជំហានទី 3)

Microsoft Entra ID (Azure AD)

1. ក្នុង Azure Portal ចូលទៅ Microsoft Entra ID > App registrations > New registration
2. កំណត់រចនាសម្ព័ន្ធ៖
   • Redirect URI៖ https://api.scribblemaps.com/oidc/callback (វេទិកា គេហទំព័រ (Web))
3. ចូលទៅ Certificates & secrets > បង្កើត Client secret ថ្មី
4. ចម្លង Application (client) ID និង Client secret value
5. Authority URL៖ https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. ក្នុង Google Cloud Console ចូលទៅ APIs & Services > Credentials
2. ចុច Create Credentials > OAuth client ID
3. ជ្រើសរើស Web application
4. បន្ថែម Authorized redirect URI៖ https://api.scribblemaps.com/oidc/callback
5. ចម្លង Client ID និង Client Secret
6. Authority URL៖ https://accounts.google.com

កំណត់ចំណាំ៖ ដើម្បីតម្រូវឱ្យមាន MFA សម្រាប់ Google Workspace សូមកំណត់រចនាសម្ព័ន្ធវាក្នុង Google Workspace Admin Console របស់អ្នក។

Auth0

1. ក្នុង Auth0 Dashboard ចូលទៅ Applications > Create Application
2. ជ្រើសរើស Regular Web Applications
3. កំណត់រចនាសម្ព័ន្ធ៖
   • Allowed Callback URLs៖ https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs៖ https://api.scribblemaps.com/oidc/logout-callback
4. ចម្លង Client ID និង Client Secret ពីផ្ទាំង ការកំណត់
5. Authority URL៖ https://YOUR-DOMAIN.auth0.com

ជម្រើសកម្រិតខ្ពស់

ការផ្តល់សិទ្ធិភ្លាមៗ (Just-In-Time Provisioning)

នៅពេលបើក អ្នកប្រើប្រាស់ត្រូវបានបង្កើតដោយស្វ័យប្រវត្តិក្នុង ScribbleMaps នៅពេលចូលគណនីដោយ SSO លើកដំបូង។ ព័ត៌មានទម្រង់របស់ពួកគេ (ឈ្មោះ អ៊ីមែល) ត្រូវបានបំពេញពី Identity Provider។

តម្រូវឱ្យមាន Multi-Factor Authentication (OIDC តែប៉ុណ្ណោះ)

បើកជម្រើសនេះដើម្បីតម្រូវឱ្យមានការផ្ទៀងផ្ទាត់ MFA មុនពេលអនុញ្ញាតឱ្យចូលគណនី។ ScribbleMaps នឹងផ្ទៀងផ្ទាត់ថា IdP របស់អ្នកបានបង្ខំ MFA សម្រាប់អ្នកប្រើប្រាស់។

សម្រាប់ Okta អ្នកអាចបញ្ជាក់តម្លៃ ACR ផ្ទាល់ខ្លួន ដូចជា៖

• urn:okta:loa:2fa:any - កត្តាទីពីរណាមួយ
• phr - ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណដែលធន់នឹង phishing
• phrh - ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណដែលធន់នឹង phishing និងចងភ្ជាប់នឹងផ្នែករឹង

ការផ្គូផ្គង គុណលក្ខណៈ/Claim

ប្ដូរតាមបំណងរបៀបដែលគុណលក្ខណៈអ្នកប្រើប្រាស់ពី IdP របស់អ្នកផ្គូផ្គងទៅនឹងវាលអ្នកប្រើប្រាស់ ScribbleMaps៖

ការដោះស្រាយបញ្ហា

បញ្ហាទូទៅ

"Domain not verified"

• ត្រូវប្រាកដថាកំណត់ត្រា DNS TXT ឬឯកសារផ្ទៀងផ្ទាត់របស់អ្នកត្រូវបានកំណត់រចនាសម្ព័ន្ធត្រឹមត្រូវ
• ការផ្លាស់ប្តូរ DNS អាចចំណាយពេលរហូតដល់ 48 ម៉ោងដើម្បីផ្សព្វផ្សាយ
• ផ្ទៀងផ្ទាត់ថាគ្មានកំហុសវាយអក្សរក្នុងលេខកូដផ្ទៀងផ្ទាត់

"Invalid certificate"

• ត្រូវប្រាកដថាអ្នកកំពុងប្រើវិញ្ញាបនបត្រពេញលេញ រួមទាំង -----BEGIN CERTIFICATE----- និង -----END CERTIFICATE-----
• ពិនិត្យថាវិញ្ញាបនបត្រមិនទាន់ផុតកំណត់
• ត្រូវប្រាកដថាអ្នកបានចម្លងវិញ្ញាបនបត្រចុះហត្ថលេខា មិនមែនវិញ្ញាបនបត្រអ៊ិនគ្រីបទេ

"Invalid signature"

• ផ្ទៀងផ្ទាត់ថាវិញ្ញាបនបត្រត្រូវនឹងវិញ្ញាបនបត្រចុះហត្ថលេខាបច្ចុប្បន្នរបស់ IdP របស់អ្នក
• ពិនិត្យថាក្បួនដោះស្រាយហត្ថលេខាត្រូវគ្នា (SHA-256 ឬ SHA-1)

"User not found" ឬ "Email mismatch"

• ត្រូវប្រាកដថាអ៊ីមែលដែល IdP របស់អ្នកបញ្ជូនមកត្រូវនឹងដែនដែលបានផ្ទៀងផ្ទាត់
• ពិនិត្យថាទម្រង់ NameID ត្រូវបានកំណត់ទៅ អាសយដ្ឋានអ៊ីមែល
• ផ្ទៀងផ្ទាត់ថាការផ្គូផ្គង គុណលក្ខណៈ/claim ត្រឹមត្រូវ

"Security error: Your Identity Provider is not authorized for this email domain"

• នេះកើតឡើងនៅពេលការកំណត់រចនាសម្ព័ន្ធ IdP មិនត្រូវនឹងដែនដែលបានផ្ទៀងផ្ទាត់
• ត្រូវប្រាកដថាដែនអ៊ីមែលត្រូវបានផ្ទៀងផ្ទាត់នៅក្រោមក្រុមរបស់អ្នក
• ពិនិត្យថាអ្នកកំពុងចូលគណនីដោយប្រើអ៊ីមែលពីដែនដែលបានផ្ទៀងផ្ទាត់

ការមើលកំណត់ហេតុសវនកម្ម

តាមដានសកម្មភាព SSO នៅក្នុង ការកំណត់ > Single Sign-On > Audit Logs។ អ្នកអាច៖

• ត្រង តាមប្រភេទព្រឹត្តិការណ៍ (Login, Logout, Failed Login)
• ត្រង តាមចន្លោះកាលបរិច្ឆេទ
• នាំចេញ កំណត់ហេតុជា CSV សម្រាប់ការរាយការណ៍អនុលោមភាព

ត្រូវការជំនួយ?

ប្រសិនបើអ្នកជួបបញ្ហាជាមួយការកំណត់រចនាសម្ព័ន្ធ SSO សូមទាក់ទងក្រុមជំនួយរបស់យើងជាមួយ៖

• ឈ្មោះក្រុមរបស់អ្នក
• Identity Provider ដែលអ្នកកំពុងប្រើ
• សារកំហុសណាមួយដែលអ្នកឃើញ
• រូបថតអេក្រង់នៃការកំណត់រចនាសម្ព័ន្ធ IdP របស់អ្នក (ដោយបិទបាំងទិន្នន័យរសើប)

យើងនៅទីនេះដើម្បីជួយអ្នកកំណត់រចនាសម្ព័ន្ធ SSO សម្រាប់អង្គការរបស់អ្នក។