រៀបចំ Single Sign-On (SSO) សម្រាប់ក្រុមរបស់អ្នក - (កម្មវិធីគេហទំព័រ (Web) របស់ក្រុម)

អ្វីដែល SSO ធ្វើ

Single Sign-On អនុញ្ញាតឱ្យសមាជិកក្រុមរបស់អ្នកចូលគណនីដោយប្រើអ្នកផ្តល់អត្តសញ្ញាណរបស់ក្រុមហ៊ុនអ្នក ដូចជា Okta, Microsoft Entra ID (Azure AD), Google Workspace ឬ Auth0។ អ្នករៀបចំវានៅលើទំព័រ SSO។ មានតែម្ចាស់ និងអ្នកគ្រប់គ្រងប៉ុណ្ណោះដែលអាចបើកវាបាន។ ចំណងជើងទំព័រគឺ Single Sign-On (SSO)។

ទំព័រមានផ្ទាំងបី៖ Email Domains, OIDC និង SAML 2.0។ អ្នកអាចប្រើ OIDC ឬ SAML 2.0 មួយក្នុងចំណោមពីរ មិនមែនទាំងពីរក្នុងពេលតែមួយទេ។

ជំហាន 1៖ បន្ថែម និងផ្ទៀងផ្ទាត់ដែនអ៊ីមែល

បើកផ្ទាំង Email Domains។ SSO ចាប់ផ្តើមដោយការបញ្ជាក់ថាអ្នកជាម្ចាស់ដែនអ៊ីមែលរបស់ក្រុមហ៊ុនអ្នក។ ការផ្ទៀងផ្ទាត់ដែនត្រូវបានចែករំលែករវាង SAML និង OIDC ដូច្នេះអ្នកត្រូវផ្ទៀងផ្ទាត់តែម្តងប៉ុណ្ណោះ។

1. នៅក្រោម Add Email Domain សូមវាយដែនរបស់អ្នក (ឧទាហរណ៍ example.com) រួចចុច Add Domain។
2. ដែននោះបង្ហាញជា Pending Verification។ ចុច How to Verify ដើម្បីបើកជំហានផ្ទៀងផ្ទាត់។
3. ជ្រើសរើសវិធីណាមួយ៖ - DNS TXT Record៖ បន្ថែមកំណត់ត្រា TXT ទៅ DNS របស់ដែនអ្នកជាមួយតម្លៃដែលបានបង្ហាញ។ ការផ្លាស់ប្តូរ DNS អាចចំណាយពេលរហូតដល់ 48 ម៉ោង។ - File Upload៖ ដាក់ឯកសារអត្ថបទដែលមានកូដផ្ទៀងផ្ទាត់នៅ https://yourdomain/.well-known/scribblemaps-verify.txt។ ឯកសារត្រូវតែអាចចូលប្រើបានតាម HTTPS។
4. ចុច Verify Now។ នៅពេលជោគជ័យ ទំព័របង្ហាញ "Domain verified successfully!" ហើយដែននោះបង្ហាញជា Verified។

ប្រសិនបើអ្នកមិនអាចផ្ទៀងផ្ទាត់តាម DNS ឬឯកសារបានទេ សូមផ្ញើអ៊ីមែលទៅ [email protected] ហើយក្រុមការងារអាចផ្ទៀងផ្ទាត់ដែនរបស់អ្នកដោយដៃ។

ជំហាន 2 (ជម្រើស A)៖ កំណត់រចនាសម្ព័ន្ធ OIDC

បើកផ្ទាំង OIDC។

1. ចម្លង Redirect URI / Callback URL ដែលបង្ហាញនៅក្រោម Callback URLs។ អ្នកផ្តល់វាទៅអ្នកផ្តល់អត្តសញ្ញាណរបស់អ្នកនៅពេលអ្នកបង្កើតកម្មវិធី។
2. នៅក្នុង Quick Setup អ្នកអាចបិទភ្ជាប់ discovery URL របស់អ្នកផ្តល់សេវា (URL .well-known/openid-configuration) រួចចុច នាំចូល ដើម្បីបំពេញ Authority និងប្រភេទអ្នកផ្តល់សេវាដោយស្វ័យប្រវត្តិ។
3. បំពេញវាលដែលតម្រូវនៅក្រោម Provider Settings៖ - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. បើក User Settings ដើម្បីបើក Just-In-Time (JIT) Provisioning ដែលបង្កើតគណនីអ្នកប្រើប្រាស់នៅពេលដំបូងដែលនរណាម្នាក់ចូលគណនីដោយប្រើ OIDC។
5. បើក Security Settings ដើម្បីបើក Require Multi-Factor Authentication (MFA) ប្រសិនបើអ្នកចង់បញ្ជាក់ MFA មុនពេលចូលគណនី។
6. ចុច រក្សាទុកការកំណត់ បន្ទាប់មកចុច Test Connection។ អ្នកក៏អាចប្រើ Test SSO Login ដើម្បីសាកល្បងការចូលគណនីពេញលេញក្នុងបង្អួចថ្មី។
7. បើកកុងតាក់ OIDC SSO enabled។

នៅពេលអ្នកបង្កើតកម្មវិធីក្នុងអ្នកផ្តល់អត្តសញ្ញាណរបស់អ្នក សូមជ្រើសរើស Web Application ជាប្រភេទ (មិនមែន SPA ឬ Native) ព្រោះតម្រូវឱ្យមាន Client Secret។

ជំហាន 2 (ជម្រើស B)៖ កំណត់រចនាសម្ព័ន្ធ SAML 2.0

បើកផ្ទាំង SAML 2.0។

1. ចម្លង Service Provider (SP) Information ដើម្បីផ្តល់ទៅអ្នកផ្តល់អត្តសញ្ញាណរបស់អ្នក៖ SP Entity ID / Audience URI, Single Sign-On URL / ACS URL និង SP Metadata URL។
2. នៅក្នុង Quick Setup សូមជ្រើសរើសអ្នកផ្តល់សេវារបស់អ្នក ហើយនាំចូល metadata URL របស់វាដើម្បីបំពេញការកំណត់ដោយស្វ័យប្រវត្តិ។
3. បំពេញ Identity Provider (IdP) Settings៖ - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (ស្រេចចិត្ត) - IdP X.509 Certificate ក្នុងទម្រង់ PEM
4. បើក Advanced Settings ដើម្បីកំណត់ Signature Algorithm (ណែនាំ SHA-256) និង NameID Format។
5. បើក User Settings ដើម្បីបើក Just-In-Time (JIT) Provisioning។
6. ចុច រក្សាទុកការកំណត់ បន្ទាប់មកចុច Test Connection។ ប្រើ Test SSO Login ដើម្បីសាកល្បងការចូលគណនីពេញលេញ។
7. បើកកុងតាក់ SAML SSO enabled។

មួយពិធីការក្នុងមួយពេល

អ្នកអាចបើកបានតែ OIDC ឬ SAML មួយប៉ុណ្ណោះ មិនមែនទាំងពីរទេ។ ប្រសិនបើអ្នកបើកមួយខណៈដែលមួយទៀតត្រូវបានបើករួចហើយ ទំព័រនឹងសួរថាតើអ្នកចង់បិទមួយទៀតជាមុនឬអត់។ ឧទាហរណ៍ ការបើក OIDC ខណៈដែល SAML កំពុងបើក បង្ហាញ "SAML is currently enabled. Would you like to disable it?" ជាមួយជម្រើស Disable SAML និង Keep Both។

មើលអ្នកប្រើប្រាស់ SSO របស់អ្នក

នៅខាងក្រោមទំព័រ កាត SSO Provisioned Users រាយបញ្ជីមនុស្សដែលត្រូវបានបង្កើតតាមរយៈ SSO។ ចុច បង្ហាញ ដើម្បីបើកបញ្ជី និង លាក់ ដើម្បីបិទ។ តារាងបង្ហាញអ៊ីមែល ឈ្មោះ កាលបរិច្ឆេទបង្កើត និងការចូលគណនីចុងក្រោយរបស់អ្នកប្រើប្រាស់នីមួយៗ។ ដរាបណាមិនទាន់មាននរណាចូលគណនីតាមវិធីនេះ វាបង្ហាញ "No users have been provisioned via SSO yet."