Конфигурисање јединствене пријаве (SSO) помоћу SAML-а или OIDC-а

ScribbleMaps подржава предузећску јединствену пријаву помоћу SAML 2.0 или OpenID Connect (OIDC). Ово омогућава члановима вашег тима да се аутентификују помоћу провајдера идентитета (IdP) ваше организације, као што су Okta, Microsoft Entra ID (Azure AD), Google Workspace или Auth0.

SSO конфигурација је доступна на team.scribblemaps.com и потпуно је бесплатна.

Садржај

1. Подржане функције
2. Пре него што почнете
3. Корак 1: Верификујте свој домен е-поште
4. Корак 2: Конфигуришите свој провајдер идентитета
5. Корак 3: Конфигуришите SSO у ScribbleMaps-у
6. Корак 4: Тестирајте своју конфигурацију
7. Корак 5: Омогућите SSO
8. SSO покренут од стране пружаоца услуге (SP-Initiated SSO)
9. OIN универзална одјава
10. Водичи по провајдерима
11. Напредне опције
12. Решавање проблема

Подржане функције

ScribbleMaps SSO интеграција подржава следеће функције:

Пре него што почнете

• Морате бити власник тима (Team Owner) да бисте конфигурисали SSO
• Потребан вам је приступ администраторској конзоли провајдера идентитета ваше организације
• Припремите свој домен е-поште (нпр. yourcompany.com)

Корак 1: Верификујте свој домен е-поште

Пре конфигурисања SSO-а, морате верификовати власништво над својим доменом е-поште. Ова безбедносна мера обезбеђује да само овлашћене организације могу конфигурисати SSO за своје домене.

1. Пријавите се на team.scribblemaps.com
2. Идите на Подешавања > Single Sign-On
3. Идите на картицу Domains
4. Кликните Додај домен и унесите свој домен е-поште (нпр. yourcompany.com)
5. Изаберите методу верификације:

Опција A: DNS TXT запис (препоручено)

Додајте TXT запис у DNS подешавања свог домена:

Белешка: DNS промене могу трајати до 48 сати да се пропагирају.

Опција B: Отпремање датотеке

1. Направите текстуалну датотеку под називом scribblemaps-verify.txt
2. Додајте свој верификациони код као једини садржај
3. Отпремите на: https://yourcompany.com/.well-known/scribblemaps-verify.txt

Након додавања верификације, кликните Верификуј домен да потврдите власништво.

Корак 2: Конфигуришите свој провајдер идентитета

Додајте ScribbleMaps као апликацију у свом провајдеру идентитета. Ако користите Okta-у, можете додати ScribbleMaps директно из Okta Integration Network (OIN) каталога — SAML SSO URL, SP Entity ID, ACS URL и OIDC Redirect URI су аутоматски унапред конфигурисани.

За SAML 2.0

За OIDC

Корак 3: Конфигуришите SSO у ScribbleMaps-у

Конфигурисање SAML 2.0

1. У ScribbleMaps-у идите на Подешавања > Single Sign-On > картица SAML
2. Унесите следеће информације од свог провајдера идентитета:

3. Кликните Сачувај подешавања

Конфигурисање OIDC-а

1. У ScribbleMaps-у идите на Подешавања > Single Sign-On > картица OIDC
2. Изаберите свој тип провајдера (Google, Microsoft, Okta, Auth0 или Прилагођено)
3. Унесите следеће информације:

4. Кликните Сачувај подешавања

Корак 4: Тестирајте своју конфигурацију

Пре него што омогућите SSO за све кориснике, тестирајте своју конфигурацију:

1. Кликните дугме Test Connection
2. Отвориће се нови прозор који симулира ток SSO пријаве
3. Завршите аутентификацију код свог провајдера идентитета
4. Проверите да ли сте успешно преусмерени назад на ScribbleMaps

Ако тест не успе, прегледајте поруку о грешци и проверите подешавања конфигурације.

Корак 5: Омогућите SSO

Када тестирање успе:

1. Пребаците прекидач Enable SSO на ON
2. Изаберите опцију примене:
   • Опционо: Корисници могу изабрати SSO или пријаву лозинком
   • Обавезно: Корисници са верификованим доменима е-поште морају користити SSO (пријава лозинком је онемогућена)

Белешка: Власници тима увек могу користити пријаву лозинком као резервну опцију, чак и када је SSO обавезан.

SP-Initiated SSO

ScribbleMaps подржава SP-initiated SSO, који омогућава корисницима да започну процес пријаве са ScribbleMaps странице за пријаву. Ево како то функционише:

1. Идите на scribblemaps.com/account/login
2. Унесите своју адресу е-поште (нпр. [email protected])
3. Кликните Sign in with SSO
4. Бићете преусмерени на провајдер идентитета ваше организације (нпр. Okta) ради аутентификације
5. Након успешне аутентификације, аутоматски сте преусмерени назад на ScribbleMaps и пријављени сте

Ако ваша организација има обавезан SSO, уношење ваше е-поште на страници за пријаву ће вас аутоматски преусмерити на ваш провајдер идентитета — поље за лозинку неће бити приказано.

OIN универзална одјава

Универзална одјава од стране Okta-е је подржана. За упутства о конфигурацији посетите овај линк.

Водичи по провајдерима

Okta

1. У Okta Admin Console идите на Applications > Browse App Catalog
2. Потражите ScribbleMaps и кликните Add Integration
3. SSO URL, Entity ID и Redirect URI су аутоматски унапред конфигурисани
4. Идите на картицу Sign On да пронађете детаље конфигурације свог IdP-а:
   • Преузмите X.509 сертификат
   • Копирајте Identity Provider Issuer (Entity ID)
   • Копирајте Single Sign-On URL
5. Унесите ове вредности у ScribbleMaps SSO подешавања (погледајте Корак 3)

Microsoft Entra ID (Azure AD)

1. У Azure Portal-у идите на Microsoft Entra ID > App registrations > New registration
2. Конфигуришите:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (Web платформа)
3. Идите на Certificates & secrets > Направите нову Client secret
4. Копирајте Application (client) ID и вредност Client secret-а
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. У Google Cloud Console идите на APIs & Services > Credentials
2. Кликните Create Credentials > OAuth client ID
3. Изаберите Web application
4. Додајте Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
5. Копирајте Client ID и Client Secret
6. Authority URL: https://accounts.google.com

Белешка: Да бисте захтевали MFA за Google Workspace, конфигуришите га у свом Google Workspace Admin Console-у.

Auth0

1. У Auth0 Dashboard-у идите на Applications > Create Application
2. Изаберите Regular Web Applications
3. Конфигуришите:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Копирајте Client ID и Client Secret са картице Settings
5. Authority URL: https://YOUR-DOMAIN.auth0.com

Напредне опције

Just-In-Time (JIT) провизионисање

Када је омогућено, корисници се аутоматски праве у ScribbleMaps-у при првој SSO пријави. Информације о њиховом профилу (име, е-пошта) попуњавају се из провајдера идентитета.

Захтевај вишефакторску аутентификацију (само OIDC)

Омогућите ову опцију да бисте захтевали MFA верификацију пре дозвољавања пријаве. ScribbleMaps ће проверити да ли је ваш IdP применио MFA за корисника.

За Okta-у можете навести прилагођене ACR вредности, као што су:

• urn:okta:loa:2fa:any - Било који други фактор
• phr - Аутентификација отпорна на фишинг
• phrh - Аутентификација отпорна на фишинг везана за хардвер

Мапирање атрибута/claim-ова

Прилагодите начин на који се атрибути корисника из вашег IdP-а мапирају на поља корисника у ScribbleMaps-у:

Решавање проблема

Уобичајени проблеми

„Домен није верификован“

• Уверите се да су ваш DNS TXT запис или верификациона датотека исправно конфигурисани
• DNS промене могу трајати до 48 сати да се пропагирају
• Проверите да нема грешака у куцању у верификационом коду

„Неважећи сертификат“

• Уверите се да користите комплетан сертификат, укључујући -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----
• Проверите да сертификат није истекао
• Уверите се да сте копирали сертификат за потписивање, а не сертификат за шифровање

„Неважећи потпис“

• Проверите да сертификат одговара тренутном сертификату за потписивање вашег IdP-а
• Проверите да се алгоритам потписа подудара (SHA-256 наспрам SHA-1)

„Корисник није пронађен“ или „Неподударање е-поште“

• Уверите се да е-пошта коју враћа ваш IdP одговара верификованом домену
• Проверите да је NameID формат подешен на Адреса е-поште
• Проверите да је мапирање атрибута/claim-ова исправно

„Безбедносна грешка: Ваш провајдер идентитета није овлашћен за овај домен е-поште“

• Ово се дешава када конфигурација IdP-а не одговара верификованом домену
• Уверите се да је домен е-поште верификован у оквиру вашег тима
• Проверите да се пријављујете е-поштом из верификованог домена

Преглед евиденција ревизије

Пратите SSO активност у Подешавања > Single Sign-On > Audit Logs. Можете:

• Филтрирати по типу догађаја (Пријава, Одјава, Неуспешна пријава)
• Филтрирати по временском опсегу
• Извести евиденције као CSV за потребе извештавања о усклађености

Потребна вам је помоћ?

Ако имате проблема са SSO конфигурацијом, контактирајте наш тим за подршку и наведите:

• Назив вашег тима
• Провајдер идентитета који користите
• Све поруке о грешци које видите
• Снимке екрана ваше IdP конфигурације (са уклоњеним осетљивим подацима)

Ту смо да вам помогнемо да конфигуришете SSO за своју организацију.