ການຕັ້ງຄ່າ Single Sign-On (SSO) ດ້ວຍ SAML ຫຼື OIDC

ScribbleMaps ຮອງຮັບ Single Sign-On ລະດັບອົງກອນ ໂດຍໃຊ້ SAML 2.0 ຫຼື OpenID Connect (OIDC). ສິ່ງນີ້ເຮັດໃຫ້ສະມາຊິກທີມຂອງທ່ານສາມາດຢືນຢັນຕົວຕົນໄດ້ໂດຍໃຊ້ Identity Provider (IdP) ຂອງອົງກອນທ່ານ ເຊັ່ນ Okta, Microsoft Entra ID (Azure AD), Google Workspace, ຫຼື Auth0.

ການຕັ້ງຄ່າ SSO ມີໃຫ້ໃຊ້ທີ່ team.scribblemaps.com ແລະ ບໍ່ເສຍຄ່າໃຊ້ຈ່າຍ.

ສາລະບານ

1. ຄຸນສົມບັດທີ່ຮອງຮັບ
2. ກ່ອນທ່ານເລີ່ມຕົ້ນ
3. ຂັ້ນຕອນທີ 1: ຢືນຢັນໂດເມນອີເມວຂອງທ່ານ
4. ຂັ້ນຕອນທີ 2: ຕັ້ງຄ່າ Identity Provider ຂອງທ່ານ
5. ຂັ້ນຕອນທີ 3: ຕັ້ງຄ່າ SSO ໃນ ScribbleMaps
6. ຂັ້ນຕອນທີ 4: ທົດສອບການຕັ້ງຄ່າຂອງທ່ານ
7. ຂັ້ນຕອນທີ 5: ເປີດໃຊ້ SSO
8. SSO ທີ່ເລີ່ມຕົ້ນຈາກ SP
9. OIN Universal Logout
10. ຄູ່ມືສະເພາະຜູ້ໃຫ້ບໍລິການ
11. ຕົວເລືອກຂັ້ນສູງ
12. ການແກ້ໄຂບັນຫາ

ຄຸນສົມບັດທີ່ຮອງຮັບ

ການເຊື່ອມໂຍງ SSO ຂອງ ScribbleMaps ຮອງຮັບຄຸນສົມບັດຕໍ່ໄປນີ້:

ກ່ອນທ່ານເລີ່ມຕົ້ນ

• ທ່ານຕ້ອງເປັນ ເຈົ້າຂອງທີມ (Team Owner) ເພື່ອຕັ້ງຄ່າ SSO
• ທ່ານຕ້ອງມີສິດເຂົ້າເຖິງຄອນໂຊນຜູ້ດູແລລະບົບຂອງ Identity Provider ຂອງອົງກອນທ່ານ
• ກຽມໂດເມນອີເມວຂອງທ່ານໄວ້ (ເຊັ່ນ: yourcompany.com)

ຂັ້ນຕອນທີ 1: ຢືນຢັນໂດເມນອີເມວຂອງທ່ານ

ກ່ອນຕັ້ງຄ່າ SSO, ທ່ານຕ້ອງຢືນຢັນຄວາມເປັນເຈົ້າຂອງໂດເມນອີເມວຂອງທ່ານ. ມາດຕະການຄວາມປອດໄພນີ້ຮັບປະກັນວ່າສະເພາະອົງກອນທີ່ໄດ້ຮັບອະນຸຍາດເທົ່ານັ້ນທີ່ສາມາດຕັ້ງຄ່າ SSO ສຳລັບໂດເມນຂອງຕົນໄດ້.

1. ເຂົ້າສູ່ລະບົບທີ່ team.scribblemaps.com
2. ໄປທີ່ ການຕັ້ງຄ່າ > Single Sign-On
3. ໄປທີ່ແຖບ Domains
4. ຄລິກ Add Domain ແລ້ວປ້ອນໂດເມນອີເມວຂອງທ່ານ (ເຊັ່ນ: yourcompany.com)
5. ເລືອກວິທີການຢືນຢັນ:

ຕົວເລືອກ A: ບັນທຶກ DNS TXT (ແນະນຳ)

ເພີ່ມບັນທຶກ TXT ໃສ່ການຕັ້ງຄ່າ DNS ຂອງໂດເມນທ່ານ:

ບັນທຶກຍ່ອຍ: ການປ່ຽນແປງ DNS ອາດໃຊ້ເວລາເຖິງ 48 ຊົ່ວໂມງເພື່ອເຜີຍແຜ່ໄປທົ່ວ.

ຕົວເລືອກ B: ການອັບໂຫຼດໄຟລ໌

1. ສ້າງໄຟລ໌ຂໍ້ຄວາມຊື່ scribblemaps-verify.txt
2. ເພີ່ມລະຫັດຢືນຢັນຂອງທ່ານເປັນເນື້ອຫາດຽວ
3. ອັບໂຫຼດໄປທີ່: https://yourcompany.com/.well-known/scribblemaps-verify.txt

ຫຼັງຈາກເພີ່ມການຢືນຢັນແລ້ວ, ຄລິກ Verify Domain ເພື່ອຢືນຢັນຄວາມເປັນເຈົ້າຂອງ.

ຂັ້ນຕອນທີ 2: ຕັ້ງຄ່າ Identity Provider ຂອງທ່ານ

ເພີ່ມ ScribbleMaps ເປັນແອັບພລິເຄຊັນໃນ Identity Provider ຂອງທ່ານ. ຖ້າທ່ານໃຊ້ Okta, ທ່ານສາມາດເພີ່ມ ScribbleMaps ໂດຍກົງຈາກແຄັດຕາລັອກ Okta Integration Network (OIN) — SAML SSO URL, SP Entity ID, ACS URL, ແລະ OIDC Redirect URI ຖືກຕັ້ງຄ່າໄວ້ລ່ວງໜ້າໂດຍອັດຕະໂນມັດ.

ສຳລັບ SAML 2.0

ສຳລັບ OIDC

ຂັ້ນຕອນທີ 3: ຕັ້ງຄ່າ SSO ໃນ ScribbleMaps

ການຕັ້ງຄ່າ SAML 2.0

1. ໃນ ScribbleMaps, ໄປທີ່ ການຕັ້ງຄ່າ > Single Sign-On > ແຖບ SAML
2. ປ້ອນຂໍ້ມູນຕໍ່ໄປນີ້ຈາກ Identity Provider ຂອງທ່ານ:

3. ຄລິກ ບັນທຶກການຕັ້ງຄ່າ

ການຕັ້ງຄ່າ OIDC

1. ໃນ ScribbleMaps, ໄປທີ່ ການຕັ້ງຄ່າ > Single Sign-On > ແຖບ OIDC
2. ເລືອກ Provider Type ຂອງທ່ານ (Google, Microsoft, Okta, Auth0, ຫຼື ກຳນົດເອງ)
3. ປ້ອນຂໍ້ມູນຕໍ່ໄປນີ້:

4. ຄລິກ ບັນທຶກການຕັ້ງຄ່າ

ຂັ້ນຕອນທີ 4: ທົດສອບການຕັ້ງຄ່າຂອງທ່ານ

ກ່ອນເປີດໃຊ້ SSO ສຳລັບຜູ້ໃຊ້ທັງໝົດ, ໃຫ້ທົດສອບການຕັ້ງຄ່າຂອງທ່ານ:

1. ຄລິກປຸ່ມ Test Connection
2. ໜ້າຕ່າງໃໝ່ຈະເປີດຂຶ້ນເພື່ອຈຳລອງຂະບວນການເຂົ້າສູ່ລະບົບ SSO
3. ຢືນຢັນຕົວຕົນກັບ Identity Provider ຂອງທ່ານໃຫ້ສຳເລັດ
4. ກວດສອບວ່າທ່ານຖືກປ່ຽນເສັ້ນທາງກັບໄປທີ່ ScribbleMaps ສຳເລັດແລ້ວ

ຖ້າການທົດສອບລົ້ມເຫຼວ, ໃຫ້ກວດເບິ່ງຂໍ້ຄວາມຂໍ້ຜິດພາດ ແລະ ກວດສອບການຕັ້ງຄ່າຂອງທ່ານ.

ຂັ້ນຕອນທີ 5: ເປີດໃຊ້ SSO

ເມື່ອການທົດສອບສຳເລັດແລ້ວ:

1. ເປີດສະວິດ Enable SSO ເປັນ ON
2. ເລືອກຕົວເລືອກການບັງຄັບໃຊ້ຂອງທ່ານ:
   • Optional: ຜູ້ໃຊ້ສາມາດເລືອກ SSO ຫຼື ການເຂົ້າສູ່ລະບົບດ້ວຍລະຫັດຜ່ານ
   • Enforced: ຜູ້ໃຊ້ທີ່ມີໂດເມນອີເມວທີ່ຢືນຢັນແລ້ວຕ້ອງໃຊ້ SSO (ປິດການເຂົ້າສູ່ລະບົບດ້ວຍລະຫັດຜ່ານ)

ບັນທຶກຍ່ອຍ: ເຈົ້າຂອງທີມສາມາດໃຊ້ການເຂົ້າສູ່ລະບົບດ້ວຍລະຫັດຜ່ານເປັນທາງສຳຮອງໄດ້ສະເໝີ ເຖິງແມ່ນວ່າຈະບັງຄັບໃຊ້ SSO ກໍຕາມ.

SSO ທີ່ເລີ່ມຕົ້ນຈາກ SP

ScribbleMaps ຮອງຮັບ SSO ທີ່ເລີ່ມຕົ້ນຈາກ SP ເຊິ່ງເຮັດໃຫ້ຜູ້ໃຊ້ສາມາດເລີ່ມຂະບວນການເຂົ້າສູ່ລະບົບຈາກໜ້າເຂົ້າສູ່ລະບົບຂອງ ScribbleMaps. ວິທີການເຮັດວຽກມີດັ່ງນີ້:

1. ໄປທີ່ scribblemaps.com/account/login
2. ປ້ອນທີ່ຢູ່ອີເມວຂອງທ່ານ (ເຊັ່ນ: [email protected])
3. ຄລິກ Sign in with SSO
4. ທ່ານຈະຖືກປ່ຽນເສັ້ນທາງໄປຫາ Identity Provider ຂອງອົງກອນທ່ານ (ເຊັ່ນ: Okta) ເພື່ອຢືນຢັນຕົວຕົນ
5. ຫຼັງຈາກຢືນຢັນຕົວຕົນສຳເລັດ, ທ່ານຈະຖືກປ່ຽນເສັ້ນທາງກັບໄປທີ່ ScribbleMaps ແລະ ເຂົ້າສູ່ລະບົບໂດຍອັດຕະໂນມັດ

ຖ້າອົງກອນຂອງທ່ານບັງຄັບໃຊ້ SSO, ການປ້ອນອີເມວຂອງທ່ານໃນໜ້າເຂົ້າສູ່ລະບົບຈະປ່ຽນເສັ້ນທາງທ່ານໄປຫາ Identity Provider ໂດຍອັດຕະໂນມັດ — ຈະບໍ່ມີຊ່ອງລະຫັດຜ່ານສະແດງຂຶ້ນ.

OIN Universal Logout

ຮອງຮັບ Universal logout ໂດຍ Okta. ສຳລັບຄຳແນະນຳການຕັ້ງຄ່າ ກະລຸນາເຂົ້າເບິ່ງ ລິ້ງນີ້.

ຄູ່ມືສະເພາະຜູ້ໃຫ້ບໍລິການ

Okta

1. ໃນ Okta Admin Console, ໄປທີ່ Applications > Browse App Catalog
2. ຄົ້ນຫາ ScribbleMaps ແລ້ວຄລິກ Add Integration
3. SSO URL, Entity ID, ແລະ Redirect URI ຖືກຕັ້ງຄ່າໄວ້ລ່ວງໜ້າໂດຍອັດຕະໂນມັດ
4. ໄປທີ່ແຖບ Sign On ເພື່ອຊອກຫາລາຍລະອຽດການຕັ້ງຄ່າ IdP ຂອງທ່ານ:
   • ດາວໂຫຼດ X.509 Certificate
   • ສຳເນົາ Identity Provider Issuer (Entity ID)
   • ສຳເນົາ Single Sign-On URL
5. ປ້ອນຄ່າເຫຼົ່ານີ້ໃສ່ການຕັ້ງຄ່າ SSO ຂອງ ScribbleMaps (ເບິ່ງ ຂັ້ນຕອນທີ 3)

Microsoft Entra ID (Azure AD)

1. ໃນ Azure Portal, ໄປທີ່ Microsoft Entra ID > App registrations > New registration
2. ຕັ້ງຄ່າ:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (ແພລດຟອມເວັບ)
3. ໄປທີ່ Certificates & secrets > ສ້າງ Client secret ໃໝ່
4. ສຳເນົາ Application (client) ID ແລະ ຄ່າ Client secret
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. ໃນ Google Cloud Console, ໄປທີ່ APIs & Services > Credentials
2. ຄລິກ Create Credentials > OAuth client ID
3. ເລືອກ Web application
4. ເພີ່ມ Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
5. ສຳເນົາ Client ID ແລະ Client Secret
6. Authority URL: https://accounts.google.com

ບັນທຶກຍ່ອຍ: ເພື່ອບັງຄັບໃຊ້ MFA ສຳລັບ Google Workspace, ໃຫ້ຕັ້ງຄ່າໃນ Google Workspace Admin Console ຂອງທ່ານ.

Auth0

1. ໃນ Auth0 Dashboard, ໄປທີ່ Applications > Create Application
2. ເລືອກ Regular Web Applications
3. ຕັ້ງຄ່າ:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. ສຳເນົາ Client ID ແລະ Client Secret ຈາກແຖບ Settings
5. Authority URL: https://YOUR-DOMAIN.auth0.com

ຕົວເລືອກຂັ້ນສູງ

Just-In-Time (JIT) Provisioning

ເມື່ອເປີດໃຊ້, ຜູ້ໃຊ້ຈະຖືກສ້າງຂຶ້ນໃນ ScribbleMaps ໂດຍອັດຕະໂນມັດເມື່ອເຂົ້າສູ່ລະບົບດ້ວຍ SSO ເປັນຄັ້ງທຳອິດ. ຂໍ້ມູນໂປຣໄຟລ໌ຂອງເຂົາເຈົ້າ (ຊື່, ອີເມວ) ຖືກເຕີມຈາກ Identity Provider.

ຕ້ອງການການຢືນຢັນຕົວຕົນຫຼາຍປັດໄຈ (Multi-Factor Authentication) (OIDC ເທົ່ານັ້ນ)

ເປີດໃຊ້ຕົວເລືອກນີ້ເພື່ອຕ້ອງການການຢືນຢັນ MFA ກ່ອນອະນຸຍາດໃຫ້ເຂົ້າສູ່ລະບົບ. ScribbleMaps ຈະກວດສອບວ່າ IdP ຂອງທ່ານໄດ້ບັງຄັບໃຊ້ MFA ສຳລັບຜູ້ໃຊ້ແລ້ວ.

ສຳລັບ Okta, ທ່ານສາມາດລະບຸຄ່າ ACR ແບບກຳນົດເອງ ເຊັ່ນ:

• urn:okta:loa:2fa:any - ປັດໄຈທີສອງໃດໆກໍໄດ້
• phr - ການຢືນຢັນຕົວຕົນທີ່ທົນທານຕໍ່ການຫຼອກລວງ (phishing)
• phrh - ການຢືນຢັນຕົວຕົນທີ່ທົນທານຕໍ່ການຫຼອກລວງ ແລະ ຜູກກັບຮາດແວ

ການແມບຄຸນລັກສະນະ/Claim

ປັບແຕ່ງວິທີທີ່ຄຸນລັກສະນະຜູ້ໃຊ້ຈາກ IdP ຂອງທ່ານແມບກັບຊ່ອງຜູ້ໃຊ້ຂອງ ScribbleMaps:

ການແກ້ໄຂບັນຫາ

ບັນຫາທົ່ວໄປ

"Domain not verified"

• ໃຫ້ແນ່ໃຈວ່າບັນທຶກ DNS TXT ຫຼື ໄຟລ໌ຢືນຢັນຂອງທ່ານຖືກຕັ້ງຄ່າຢ່າງຖືກຕ້ອງ
• ການປ່ຽນແປງ DNS ອາດໃຊ້ເວລາເຖິງ 48 ຊົ່ວໂມງເພື່ອເຜີຍແຜ່ໄປທົ່ວ
• ກວດສອບວ່າບໍ່ມີຄຳຜິດໃນລະຫັດຢືນຢັນ

"Invalid certificate"

• ໃຫ້ແນ່ໃຈວ່າທ່ານໃຊ້ໃບຢັ້ງຢືນທີ່ສົມບູນ ລວມທັງ -----BEGIN CERTIFICATE----- ແລະ -----END CERTIFICATE-----
• ກວດສອບວ່າໃບຢັ້ງຢືນບໍ່ໝົດອາຍຸ
• ໃຫ້ແນ່ໃຈວ່າທ່ານສຳເນົາໃບຢັ້ງຢືນລົງລາຍເຊັນ, ບໍ່ແມ່ນໃບຢັ້ງຢືນເຂົ້າລະຫັດ

"Invalid signature"

• ກວດສອບວ່າໃບຢັ້ງຢືນກົງກັບໃບຢັ້ງຢືນລົງລາຍເຊັນປັດຈຸບັນຂອງ IdP ຂອງທ່ານ
• ກວດສອບວ່າອັລກໍຣິທຶມລາຍເຊັນກົງກັນ (SHA-256 ທຽບກັບ SHA-1)

"User not found" ຫຼື "Email mismatch"

• ໃຫ້ແນ່ໃຈວ່າອີເມວທີ່ IdP ຂອງທ່ານສົ່ງກັບມາກົງກັບໂດເມນທີ່ຢືນຢັນແລ້ວ
• ກວດສອບວ່າຮູບແບບ NameID ຖືກຕັ້ງເປັນທີ່ຢູ່ອີເມວ
• ກວດສອບວ່າການແມບຄຸນລັກສະນະ/claim ຖືກຕ້ອງ

"Security error: Your Identity Provider is not authorized for this email domain"

• ເກີດຂຶ້ນເມື່ອການຕັ້ງຄ່າ IdP ບໍ່ກົງກັບໂດເມນທີ່ຢືນຢັນແລ້ວ
• ໃຫ້ແນ່ໃຈວ່າໂດເມນອີເມວຖືກຢືນຢັນພາຍໃຕ້ທີມຂອງທ່ານ
• ກວດສອບວ່າທ່ານກຳລັງເຂົ້າສູ່ລະບົບດ້ວຍອີເມວຈາກໂດເມນທີ່ຢືນຢັນແລ້ວ

ການເບິ່ງບັນທຶກການກວດສອບ

ຕິດຕາມກິດຈະກຳ SSO ໃນ ການຕັ້ງຄ່າ > Single Sign-On > Audit Logs. ທ່ານສາມາດ:

• ກັ່ນຕອງຕາມປະເພດເຫດການ (Login, Logout, Failed Login)
• ກັ່ນຕອງຕາມຊ່ວງວັນທີ
• ສົ່ງອອກບັນທຶກເປັນ CSV ສຳລັບການລາຍງານການປະຕິບັດຕາມຂໍ້ກຳນົດ

ຕ້ອງການຄວາມຊ່ວຍເຫຼືອບໍ?

ຖ້າທ່ານປະສົບບັນຫາກັບການຕັ້ງຄ່າ SSO, ກະລຸນາຕິດຕໍ່ທີມສະໜັບສະໜູນຂອງພວກເຮົາພ້ອມດ້ວຍ:

• ຊື່ທີມຂອງທ່ານ
• Identity Provider ທີ່ທ່ານກຳລັງໃຊ້
• ຂໍ້ຄວາມຂໍ້ຜິດພາດໃດໆທີ່ທ່ານເຫັນ
• ພາບໜ້າຈໍການຕັ້ງຄ່າ IdP ຂອງທ່ານ (ລຶບຂໍ້ມູນອ່ອນໄຫວອອກ)

ພວກເຮົາຢູ່ທີ່ນີ້ເພື່ອຊ່ວຍທ່ານຕັ້ງຄ່າ SSO ສຳລັບອົງກອນຂອງທ່ານ.