SAML эсвэл OIDC ашиглан Нэг удаагийн нэвтрэлт (SSO) тохируулах

ScribbleMaps нь SAML 2.0 эсвэл OpenID Connect (OIDC) ашиглан байгууллагын Нэг удаагийн нэвтрэлтийг дэмждэг. Ингэснээр таны багийн гишүүд Okta, Microsoft Entra ID (Azure AD), Google Workspace, Auth0 зэрэг байгууллагынхаа Identity Provider (IdP)-ийг ашиглан баталгаажих боломжтой болно.

SSO тохиргоо team.scribblemaps.com дээр байдаг бөгөөд бүрэн үнэгүй.

Агуулга

1. Дэмжигдэх боломжууд
2. Эхлэхийн өмнө
3. Алхам 1: Имэйл домэйнээ баталгаажуулах
4. Алхам 2: Identity Provider-ээ тохируулах
5. Алхам 3: ScribbleMaps дээр SSO тохируулах
6. Алхам 4: Тохиргоогоо турших
7. Алхам 5: SSO-г идэвхжүүлэх
8. SP-Initiated SSO
9. OIN Universal Logout
10. Провайдер тус бүрийн заавар
11. Нарийвчилсан сонголтууд
12. Алдаа засварлах

Дэмжигдэх боломжууд

ScribbleMaps SSO интеграци дараах боломжуудыг дэмждэг:

Эхлэхийн өмнө

• SSO тохируулахын тулд та Багийн эзэмшигч (Team Owner) байх ёстой
• Байгууллагынхаа Identity Provider-ийн админ консолд хандах эрхтэй байх шаардлагатай
• Имэйл домэйнээ бэлэн байлгах (жишээ нь yourcompany.com)

Алхам 1: Имэйл домэйнээ баталгаажуулах

SSO тохируулахын өмнө имэйл домэйныхоо эзэмшлийг баталгаажуулах ёстой. Энэ аюулгүй байдлын арга хэмжээ нь зөвхөн эрх бүхий байгууллагууд өөрсдийн домэйнд SSO тохируулах боломжтой байхыг хангана.

1. team.scribblemaps.com руу нэвтэрнэ
2. Тохиргоо > Single Sign-On руу очно
3. Domains табыг нээнэ
4. Add Domain дээр дарж имэйл домэйнээ оруулна (жишээ нь yourcompany.com)
5. Баталгаажуулах аргаа сонгоно:

Сонголт A: DNS TXT бичлэг (Зөвлөмж болгосон)

Домэйнийхээ DNS тохиргоонд TXT бичлэг нэмнэ:

Тэмдэглэл: DNS өөрчлөлт хүчин төгөлдөр болоход 48 цаг хүртэл хугацаа шаардагдаж болно.

Сонголт B: Файл байршуулах

1. scribblemaps-verify.txt нэртэй текст файл үүсгэнэ
2. Файлын цорын ганц агуулгаар баталгаажуулах кодоо оруулна
3. Дараах хаяг руу байршуулна: https://yourcompany.com/.well-known/scribblemaps-verify.txt

Баталгаажуулалтыг нэмсний дараа эзэмшлээ батлахын тулд Verify Domain дээр дарна.

Алхам 2: Identity Provider-ээ тохируулах

Identity Provider-ээ дээрээ ScribbleMaps-ийг аппликейшн болгон нэмнэ. Хэрэв та Okta ашиглаж байгаа бол ScribbleMaps-ийг Okta Integration Network (OIN) каталогоос шууд нэмж болно — SAML SSO URL, SP Entity ID, ACS URL, OIDC Redirect URI автоматаар урьдчилан тохируулагдсан байдаг.

SAML 2.0-д зориулсан

OIDC-д зориулсан

Алхам 3: ScribbleMaps дээр SSO тохируулах

SAML 2.0 тохируулах

1. ScribbleMaps дээр Тохиргоо > Single Sign-On > SAML таб руу очно
2. Identity Provider-ээс авсан дараах мэдээллийг оруулна:

3. Тохиргоо хадгалах дээр дарна

OIDC тохируулах

1. ScribbleMaps дээр Тохиргоо > Single Sign-On > OIDC таб руу очно
2. Provider Type-аа сонгоно (Google, Microsoft, Okta, Auth0 эсвэл Тусгай)
3. Дараах мэдээллийг оруулна:

4. Тохиргоо хадгалах дээр дарна

Алхам 4: Тохиргоогоо турших

Бүх хэрэглэгчдэд SSO-г идэвхжүүлэхийн өмнө тохиргоогоо турших:

1. Test Connection товчийг дарна
2. SSO нэвтрэх урсгалыг дуурайлган шинэ цонх нээгдэнэ
3. Identity Provider-ээрээ баталгаажилтыг дуусгана
4. ScribbleMaps руу амжилттай буцаж шилжсэнийг шалгана

Хэрэв тест амжилтгүй болбол алдааны мэдээллийг үзэж тохиргоогоо шалгана уу.

Алхам 5: SSO-г идэвхжүүлэх

Тест амжилттай болсны дараа:

1. Enable SSO унтраалгыг ON болгоно
2. Мөрдөх сонголтоо сонгоно:
   • Optional: Хэрэглэгчид SSO эсвэл нууц үгээр нэвтрэхийг сонгож болно
   • Enforced: Баталгаажсан имэйл домэйнтэй хэрэглэгчид заавал SSO ашиглах ёстой (нууц үгээр нэвтрэх боломжгүй болно)

Тэмдэглэл: SSO заавал болгосон үед ч Багийн эзэмшигчид нөөц хувилбар болгон нууц үгээр нэвтэрч болно.

SP-Initiated SSO

ScribbleMaps нь SP-initiated SSO-г дэмждэг бөгөөд хэрэглэгчид ScribbleMaps-ийн нэвтрэх хуудаснаас нэвтрэх үйл явцыг эхлүүлэх боломжтой. Энэ нь дараах байдлаар ажиллана:

1. scribblemaps.com/account/login руу очно
2. Имэйл хаягаа оруулна (жишээ нь [email protected])
3. Sign in with SSO дээр дарна
4. Баталгаажихын тулд таныг байгууллагынхаа Identity Provider (жишээ нь Okta) руу шилжүүлнэ
5. Амжилттай баталгаажсаны дараа таныг ScribbleMaps руу автоматаар буцаан шилжүүлж, нэвтрүүлнэ

Хэрэв таны байгууллага SSO-г заавал болгосон бол нэвтрэх хуудсанд имэйлээ оруулахад таныг Identity Provider руу автоматаар шилжүүлнэ — нууц үгийн талбар харагдахгүй.

OIN Universal Logout

Okta-ийн Universal Logout дэмжигдэнэ. Тохиргооны зааврыг энэ холбоосоос үзнэ үү.

Провайдер тус бүрийн заавар

Okta

1. Okta Admin Console дээр Applications > Browse App Catalog руу очно
2. ScribbleMaps гэж хайгаад Add Integration дээр дарна
3. SSO URL, Entity ID, Redirect URI автоматаар урьдчилан тохируулагдсан байна
4. IdP-ийн тохиргооны мэдээллийг олохын тулд Sign On таб руу очно:
   • X.509 Certificate-ийг татаж авна
   • Identity Provider Issuer (Entity ID)-ийг хуулна
   • Single Sign-On URL-ийг хуулна
5. Эдгээр утгыг ScribbleMaps-ийн SSO тохиргоонд оруулна (Алхам 3-ийг үзнэ үү)

Microsoft Entra ID (Azure AD)

1. Azure Portal дээр Microsoft Entra ID > App registrations > New registration руу очно
2. Тохируулна:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (Web platform)
3. Certificates & secrets руу очиж шинэ Client secret үүсгэнэ
4. Application (client) ID болон Client secret value-г хуулна
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. Google Cloud Console дээр APIs & Services > Credentials руу очно
2. Create Credentials > OAuth client ID дээр дарна
3. Web application-г сонгоно
4. Authorized redirect URI нэмнэ: https://api.scribblemaps.com/oidc/callback
5. Client ID болон Client Secret-г хуулна
6. Authority URL: https://accounts.google.com

Тэмдэглэл: Google Workspace-д MFA шаардахын тулд Google Workspace Admin Console дээрээ тохируулна уу.

Auth0

1. Auth0 Dashboard дээр Applications > Create Application руу очно
2. Regular Web Applications-г сонгоно
3. Тохируулна:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Settings таб дээрээс Client ID болон Client Secret-г хуулна
5. Authority URL: https://YOUR-DOMAIN.auth0.com

Нарийвчилсан сонголтууд

Just-In-Time (JIT) Provisioning

Идэвхжүүлсэн үед хэрэглэгчид SSO-оор анх нэвтрэх үедээ ScribbleMaps дээр автоматаар үүснэ. Тэдний профайлын мэдээлэл (нэр, имэйл) Identity Provider-ээс бөглөгдөнө.

Олон шатлалт баталгаажуулалт шаардах (зөвхөн OIDC)

Нэвтрэхийг зөвшөөрөхөөс өмнө MFA баталгаажуулалт шаардахын тулд энэ сонголтыг идэвхжүүлнэ. ScribbleMaps таны IdP тухайн хэрэглэгчид MFA мөрдүүлсэн эсэхийг шалгана.

Okta-д дараах мэт тусгай ACR утгуудыг зааж өгч болно:

• urn:okta:loa:2fa:any - Дурын хоёр дахь хүчин зүйл
• phr - Фишингээс хамгаалагдсан баталгаажуулалт
• phrh - Фишингээс хамгаалагдсан, төхөөрөмжид уягдсан баталгаажуулалт

Шинж чанар/Claim тохируулга

Таны IdP-ийн хэрэглэгчийн шинж чанарууд ScribbleMaps-ийн хэрэглэгчийн талбарууд руу хэрхэн харгалзахыг өөрчлөх:

Алдаа засварлах

Түгээмэл асуудлууд

"Domain not verified"

• DNS TXT бичлэг эсвэл баталгаажуулах файл зөв тохируулагдсан эсэхийг шалгана уу
• DNS өөрчлөлт хүчин төгөлдөр болоход 48 цаг хүртэл хугацаа шаардагдаж болно
• Баталгаажуулах кодод үсгийн алдаа байхгүй эсэхийг шалгана уу

"Invalid certificate"

• -----BEGIN CERTIFICATE----- болон -----END CERTIFICATE----- мөрүүдийг оруулаад бүтэн сертификатыг ашиглаж байгаагаа шалгана уу
• Сертификатын хугацаа дуусаагүй эсэхийг шалгана уу
• Шифрлэлтийн сертификат биш, гарын үсгийн сертификатыг хуулсан эсэхээ шалгана уу

"Invalid signature"

• Сертификат таны IdP-ийн одоогийн гарын үсгийн сертификаттай таарч байгаа эсэхийг шалгана уу
• Гарын үсгийн алгоритм таарч байгаа эсэхийг шалгана уу (SHA-256 эсвэл SHA-1)

"User not found" эсвэл "Email mismatch"

• IdP-ээс буцаасан имэйл баталгаажсан домэйнтэй таарч байгаа эсэхийг шалгана уу
• NameID format нь Email Address гэж тохируулагдсан эсэхийг шалгана уу
• Шинж чанар/claim тохируулга зөв эсэхийг шалгана уу

"Security error: Your Identity Provider is not authorized for this email domain"

• Энэ нь IdP тохиргоо баталгаажсан домэйнтэй таарахгүй үед гарна
• Имэйл домэйн таны багийн дор баталгаажсан эсэхийг шалгана уу
• Баталгаажсан домэйны имэйлээр нэвтэрч байгаа эсэхээ шалгана уу

Аудитын бүртгэл харах

SSO үйл ажиллагааг Тохиргоо > Single Sign-On > Audit Logs хэсгээс хянана. Та дараах зүйлсийг хийж чадна:

• Үйл явдлын төрлөөр шүүх (Нэвтрэлт, Гарах, Амжилтгүй нэвтрэлт)
• Огнооны мужаар шүүх
• Дагаж мөрдөх тайлангийн зорилгоор бүртгэлийг CSV болгон экспортлох

Тусламж хэрэгтэй юу?

Хэрэв SSO тохиргоотой холбоотой асуудал гарвал манай дэмжлэгийн багтай дараах мэдээллийг оруулан холбогдоно уу:

• Таны Багийн нэр
• Таны ашиглаж буй Identity Provider
• Таны харж буй дурын алдааны мэдээлэл
• IdP тохиргооныхоо дэлгэцийн зураг (нууц мэдээллийг далдлан)

Бид таны байгууллагад SSO тохируулахад туслахад бэлэн байна.