Конфигурирање на единствена најава (SSO) со SAML или OIDC

ScribbleMaps поддржува корпоративна единствена најава со користење на SAML 2.0 или OpenID Connect (OIDC). Ова им овозможува на членовите на вашиот тим да се автентицираат преку Identity Provider (IdP) на вашата организација, како што се Okta, Microsoft Entra ID (Azure AD), Google Workspace или Auth0.

Конфигурацијата на SSO е достапна на team.scribblemaps.com и е целосно бесплатна.

Содржина

1. Поддржани карактеристики
2. Пред да започнете
3. Чекор 1: Потврдете го вашиот домен за е-пошта
4. Чекор 2: Конфигурирајте го вашиот Identity Provider
5. Чекор 3: Конфигурирајте SSO во ScribbleMaps
6. Чекор 4: Тестирајте ја вашата конфигурација
7. Чекор 5: Овозможете SSO
8. SSO иницирана од SP
9. OIN Universal Logout
10. Водичи за одредени провајдери
11. Напредни опции
12. Решавање проблеми

Поддржани карактеристики

Интеграцијата на ScribbleMaps SSO ги поддржува следниве карактеристики:

Пред да започнете

• Мора да бидете сопственик на тимот за да конфигурирате SSO
• Ви е потребен пристап до администраторската конзола на Identity Provider на вашата организација
• Подгответе го вашиот домен за е-пошта (на пр. yourcompany.com)

Чекор 1: Потврдете го вашиот домен за е-пошта

Пред да конфигурирате SSO, мора да ја потврдите сопственоста на вашиот домен за е-пошта. Оваа безбедносна мерка обезбедува дека само овластени организации можат да конфигурираат SSO за своите домени.

1. Најавете се на team.scribblemaps.com
2. Одете на Поставки > Single Sign-On
3. Одете на табот Домени
4. Кликнете на Додај домен и внесете го вашиот домен за е-пошта (на пр. yourcompany.com)
5. Изберете метод на потврда:

Опција А: DNS TXT запис (препорачано)

Додајте TXT запис во DNS поставките на вашиот домен:

Белешка: Промените во DNS може да траат до 48 часа за да се пропагираат.

Опција Б: Прикачување датотека

1. Креирајте текстуална датотека со име scribblemaps-verify.txt
2. Додајте го вашиот код за потврда како единствена содржина
3. Прикачете на: https://yourcompany.com/.well-known/scribblemaps-verify.txt

Откако ќе ја додадете потврдата, кликнете на Потврди домен за да ја потврдите сопственоста.

Чекор 2: Конфигурирајте го вашиот Identity Provider

Додајте го ScribbleMaps како апликација во вашиот Identity Provider. Ако користите Okta, можете да го додадете ScribbleMaps директно од каталогот Okta Integration Network (OIN) — SAML SSO URL, SP Entity ID, ACS URL и OIDC Redirect URI се автоматски претходно конфигурирани.

За SAML 2.0

За OIDC

Чекор 3: Конфигурирајте SSO во ScribbleMaps

Конфигурирање на SAML 2.0

1. Во ScribbleMaps, одете на Поставки > Single Sign-On > табот SAML
2. Внесете ги следниве информации од вашиот Identity Provider:

3. Кликнете на Зачувај поставки

Конфигурирање на OIDC

1. Во ScribbleMaps, одете на Поставки > Single Sign-On > табот OIDC
2. Изберете го вашиот Тип на провајдер (Google, Microsoft, Okta, Auth0 или Приспособено)
3. Внесете ги следниве информации:

4. Кликнете на Зачувај поставки

Чекор 4: Тестирајте ја вашата конфигурација

Пред да овозможите SSO за сите корисници, тестирајте ја вашата конфигурација:

1. Кликнете на копчето Test Connection
2. Ќе се отвори нов прозорец за симулација на процесот на SSO најава
3. Завршете ја автентикацијата со вашиот Identity Provider
4. Проверете дали сте успешно пренасочени назад кон ScribbleMaps

Ако тестот не успее, прегледајте ја пораката за грешка и проверете ги вашите поставки за конфигурација.

Чекор 5: Овозможете SSO

Откако тестирањето ќе биде успешно:

1. Префрлете го прекинувачот Enable SSO на ВКЛУЧЕНО
2. Изберете ја вашата опција за спроведување:
   • Опционално: Корисниците можат да изберат SSO или најава со лозинка
   • Задолжително: Корисниците со потврдени домени за е-пошта мора да користат SSO (најавата со лозинка е оневозможена)

Белешка: Сопствениците на тимот секогаш можат да користат најава со лозинка како резервна опција, дури и кога SSO е задолжително.

SSO иницирана од SP

ScribbleMaps поддржува SSO иницирана од SP, што им овозможува на корисниците да го започнат процесот на најава од страницата за најава на ScribbleMaps. Еве како функционира:

1. Одете на scribblemaps.com/account/login
2. Внесете ја вашата адреса на е-пошта (на пр. [email protected])
3. Кликнете на Sign in with SSO
4. Ќе бидете пренасочени кон Identity Provider на вашата организација (на пр. Okta) за автентикација
5. По успешната автентикација, автоматски сте пренасочени назад кон ScribbleMaps и сте најавени

Ако вашата организација има задолжителен SSO, внесувањето на вашата е-пошта на страницата за најава автоматски ќе ве пренасочи кон вашиот Identity Provider — нема да се прикаже поле за лозинка.

OIN Universal Logout

Поддржана е универзална одјава од Okta. За упатства за конфигурација, посетете ја оваа врска.

Водичи за одредени провајдери

Okta

1. Во Okta Admin Console, одете на Applications > Browse App Catalog
2. Пребарајте ScribbleMaps и кликнете на Add Integration
3. SSO URL, Entity ID и Redirect URI се автоматски претходно конфигурирани
4. Одете на табот Sign On за да ги најдете деталите за конфигурацијата на вашиот IdP:
   • Преземете го X.509 сертификатот
   • Копирајте го Identity Provider Issuer (Entity ID)
   • Копирајте го Single Sign-On URL
5. Внесете ги овие вредности во поставките за SSO на ScribbleMaps (видете Чекор 3)

Microsoft Entra ID (Azure AD)

1. Во Azure Portal, одете на Microsoft Entra ID > App registrations > New registration
2. Конфигурирајте:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (Веб платформа)
3. Одете на Certificates & secrets > Креирајте нов Client secret
4. Копирајте ги Application (client) ID и Client secret value
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. Во Google Cloud Console, одете на APIs & Services > Credentials
2. Кликнете на Create Credentials > OAuth client ID
3. Изберете Web application
4. Додајте Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
5. Копирајте ги Client ID и Client Secret
6. Authority URL: https://accounts.google.com

Белешка: За да побарате MFA за Google Workspace, конфигурирајте го во вашата Google Workspace Admin Console.

Auth0

1. Во Auth0 Dashboard, одете на Applications > Create Application
2. Изберете Regular Web Applications
3. Конфигурирајте:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Копирајте ги Client ID и Client Secret од табот Settings
5. Authority URL: https://YOUR-DOMAIN.auth0.com

Напредни опции

Just-In-Time (JIT) обезбедување

Кога е овозможено, корисниците автоматски се креираат во ScribbleMaps при нивната прва SSO најава. Информациите за нивниот профил (име, е-пошта) се пополнуваат од Identity Provider.

Барање повеќефакторска автентикација (само за OIDC)

Овозможете ја оваа опција за да побарате MFA потврда пред да се дозволи најава. ScribbleMaps ќе провери дали вашиот IdP спровел MFA за корисникот.

За Okta, можете да наведете приспособени ACR вредности како на пр.:

• urn:okta:loa:2fa:any - Било кој втор фактор
• phr - Автентикација отпорна на phishing
• phrh - Автентикација отпорна на phishing, врзана за хардвер

Мапирање на атрибути/claims

Приспособете како атрибутите на корисникот од вашиот IdP се мапираат на полињата на корисникот во ScribbleMaps:

Решавање проблеми

Вообичаени проблеми

"Domain not verified"

• Проверете дали вашиот DNS TXT запис или датотеката за потврда се правилно конфигурирани
• Промените во DNS може да траат до 48 часа за да се пропагираат
• Проверете дали има грешки во куцањето во кодот за потврда

"Invalid certificate"

• Проверете дали го користите комплетниот сертификат, вклучувајќи ги -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----
• Проверете дали сертификатот не е истечен
• Погрижете се да сте го копирале сертификатот за потпишување, а не сертификатот за шифрирање

"Invalid signature"

• Проверете дали сертификатот одговара на тековниот сертификат за потпишување на вашиот IdP
• Проверете дали алгоритмот за потпис се совпаѓа (SHA-256 наспроти SHA-1)

"User not found" или "Email mismatch"

• Погрижете се е-поштата што ја враќа вашиот IdP да одговара на потврден домен
• Проверете дали форматот на NameID е поставен на адреса на е-пошта
• Проверете дали мапирањето на атрибути/claims е правилно

"Security error: Your Identity Provider is not authorized for this email domain"

• Ова се случува кога конфигурацијата на IdP не одговара на потврдениот домен
• Погрижете се доменот за е-пошта да е потврден под вашиот тим
• Проверете дали се најавувате со е-пошта од потврден домен

Преглед на записници за ревизија

Следете ја SSO активноста во Поставки > Single Sign-On > Audit Logs. Можете да:

• Филтрирате по тип на настан (Најава, Одјава, Неуспешна најава)
• Филтрирате по временски период
• Извезувате записници како CSV за извештаи за усогласеност

Ви треба помош?

Ако имате проблеми со конфигурацијата на SSO, контактирајте го нашиот тим за поддршка со:

• Името на вашиот тим
• Identity Provider што го користите
• Сите пораки за грешка што ги гледате
• Слики од екранот на вашата IdP конфигурација (со прикриени чувствителни податоци)

Тука сме да ви помогнеме да го конфигурирате SSO за вашата организација.