Багийнхаа Single Sign-On (SSO)-г тохируулах - (Team вэб апп)

SSO юу хийдэг вэ

Single Sign-On нь багийн гишүүддээ танай байгууллагын таних үйлчилгээ үзүүлэгч (Okta, Microsoft Entra ID (Azure AD), Google Workspace, Auth0 гэх мэт)-ээр нэвтрэх боломж олгодог. Та үүнийг SSO хуудсанд тохируулна. Зөвхөн эзэмшигч болон админууд энэ хуудсыг нээж чадна. Хуудасны гарчиг нь Single Sign-On (SSO) гэж харагдана.

Хуудас гурван табтай: Email Domains, OIDC, SAML 2.0. Та OIDC эсвэл SAML 2.0-ийн аль нэгийг ашиглаж болно, хоёуланг нь нэг дор ашиглах боломжгүй.

Алхам 1: Имэйл домэйн нэмж баталгаажуулах

Email Domains табыг нээнэ үү. SSO нь танай байгууллагын имэйл домэйныг та эзэмшдэгээ баталснаар эхэлнэ. Домэйн баталгаажуулалт нь SAML болон OIDC хооронд хуваалцагддаг тул та зөвхөн нэг удаа баталгаажуулахад хангалттай.

1. Add Email Domain хэсэгт домэйнаа (жишээ нь example.com) бичээд Add Domain-г дарна уу.
2. Домэйн Pending Verification гэж харагдана. Алхмуудыг нээхийн тулд How to Verify-г дарна уу.
3. Нэг аргыг сонгоно уу: - DNS TXT Record: харуулсан утгатай TXT бичлэгийг домэйныхаа DNS-д нэмнэ. DNS өөрчлөлт 48 цаг хүртэл үргэлжилж болно. - File Upload: баталгаажуулах кодтой текст файлыг https://yourdomain/.well-known/scribblemaps-verify.txt хаяган дээр байрлуулна. Файл HTTPS-ээр хандах боломжтой байх ёстой.
4. Verify Now-г дарна уу. Амжилттай болбол хуудсанд "Domain verified successfully!" гэж харагдаж, домэйн Verified болно.

DNS эсвэл файлаар баталгаажуулж чадахгүй бол [email protected] хаягаар имэйл бичнэ үү, баг таны домэйныг гараар баталгаажуулж өгөх боломжтой.

Алхам 2 (сонголт A): OIDC-г тохируулах

OIDC табыг нээнэ үү.

1. Callback URLs хэсэгт харагдах Redirect URI / Callback URL-г хуулна уу. Үүнийг апп үүсгэхдээ таних үйлчилгээ үзүүлэгчдээ өгнө.
2. Quick Setup хэсэгт үйлчилгээ үзүүлэгчийнхээ discovery URL-г (.well-known/openid-configuration URL) буулгаад Импортлох-ыг дарж Authority болон үйлчилгээ үзүүлэгчийн төрлийг автоматаар бөглүүлж болно.
3. Provider Settings хэсгийн шаардлагатай талбаруудыг бөглөнө үү: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. Хэн нэгэн OIDC-ээр анх нэвтрэх үед хэрэглэгчийн бүртгэл үүсгэдэг Just-In-Time (JIT) Provisioning-г асаахын тулд User Settings-г нээнэ үү.
5. Нэвтрэхээс өмнө MFA-г баталгаажуулахыг хүсвэл Security Settings-г нээгээд Require Multi-Factor Authentication (MFA)-г асаана уу.
6. Тохиргоо хадгалах-ыг дараад Test Connection-г дарна уу. Мөн Test SSO Login-ыг ашиглан шинэ цонхонд нэвтрэх бүх процессыг турших боломжтой.
7. OIDC SSO enabled унтраалгыг асаана уу.

Таних үйлчилгээ үзүүлэгчдээ апп үүсгэхдээ Client Secret шаардлагатай тул төрлийг нь Web Application (SPA эсвэл Native биш) гэж сонгоно уу.

Алхам 2 (сонголт B): SAML 2.0-г тохируулах

SAML 2.0 табыг нээнэ үү.

1. Таних үйлчилгээ үзүүлэгчдээ өгөх Service Provider (SP) Information-г хуулна уу: SP Entity ID / Audience URI, Single Sign-On URL / ACS URL, SP Metadata URL.
2. Quick Setup хэсэгт үйлчилгээ үзүүлэгчээ сонгоод metadata URL-г нь импортлон тохиргоог автоматаар бөглүүлнэ үү.
3. Identity Provider (IdP) Settings-г бөглөнө үү: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (заавал биш) - PEM форматтай IdP X.509 Certificate
4. Signature Algorithm (SHA-256-г зөвлөж байна) болон NameID Format-г тохируулахын тулд Нарийвчилсан тохиргоог (Advanced Settings) нээнэ үү.
5. Just-In-Time (JIT) Provisioning-г асаахын тулд User Settings-г нээнэ үү.
6. Тохиргоо хадгалах-ыг дараад Test Connection-г дарна уу. Нэвтрэх бүх процессыг турших бол Test SSO Login-ыг ашиглана уу.
7. SAML SSO enabled унтраалгыг асаана уу.

Нэг удаад зөвхөн нэг протокол

OIDC эсвэл SAML-ийн зөвхөн аль нэгийг идэвхжүүлж болно, хоёуланг нь биш. Нөгөө нь идэвхтэй байхад нэгийг нь асаавал хуудас эхлээд нөгөөг нь идэвхгүй болгох эсэхийг асууна. Жишээлбэл, SAML асаалттай үед OIDC-г идэвхжүүлбэл "SAML is currently enabled. Would you like to disable it?" гэсэн асуулт Disable SAML болон Keep Both сонголтуудын хамт гарна.

SSO хэрэглэгчдээ харах

Хуудасны доод хэсэгт байрлах SSO Provisioned Users карт нь SSO-оор үүссэн хүмүүсийг жагсаана. Жагсаалтыг нээхийн тулд Харуулах-ыг, хаахын тулд Нуух-ыг дарна уу. Хүснэгтэд хэрэглэгч бүрийн Email, Name, Created date, Last Login харагдана. Хэн ч ингэж нэвтрээгүй байхад "No users have been provisioned via SSO yet." гэж харагдана.