การกำหนดค่า Single Sign-On (SSO) ด้วย SAML หรือ OIDC

ScribbleMaps รองรับ Single Sign-On ระดับองค์กรโดยใช้ SAML 2.0 หรือ OpenID Connect (OIDC) ซึ่งช่วยให้สมาชิกในทีมของคุณยืนยันตัวตนผ่านผู้ให้บริการระบุตัวตน (IdP) ขององค์กร เช่น Okta, Microsoft Entra ID (Azure AD), Google Workspace หรือ Auth0

การกำหนดค่า SSO ใช้งานได้ที่ team.scribblemaps.com และไม่มีค่าใช้จ่ายใด ๆ

สารบัญ

1. ฟีเจอร์ที่รองรับ
2. ก่อนเริ่มต้น
3. ขั้นที่ 1: ยืนยันโดเมนอีเมลของคุณ
4. ขั้นที่ 2: กำหนดค่าผู้ให้บริการระบุตัวตนของคุณ
5. ขั้นที่ 3: กำหนดค่า SSO ใน ScribbleMaps
6. ขั้นที่ 4: ทดสอบการกำหนดค่าของคุณ
7. ขั้นที่ 5: เปิดใช้งาน SSO
8. SSO ที่เริ่มจาก SP
9. OIN Universal Logout
10. คู่มือเฉพาะผู้ให้บริการ
11. ตัวเลือกขั้นสูง
12. การแก้ไขปัญหา

ฟีเจอร์ที่รองรับ

การผสานรวม SSO ของ ScribbleMaps รองรับฟีเจอร์ต่อไปนี้:

ก่อนเริ่มต้น

• คุณต้องเป็น Team Owner จึงจะกำหนดค่า SSO ได้
• คุณต้องมีสิทธิ์เข้าถึงคอนโซลผู้ดูแลระบบของผู้ให้บริการระบุตัวตนขององค์กร
• เตรียมโดเมนอีเมลของคุณให้พร้อม (เช่น yourcompany.com)

ขั้นที่ 1: ยืนยันโดเมนอีเมลของคุณ

ก่อนกำหนดค่า SSO คุณต้องยืนยันความเป็นเจ้าของโดเมนอีเมลของคุณ มาตรการด้านความปลอดภัยนี้ช่วยให้มั่นใจว่ามีเพียงองค์กรที่ได้รับอนุญาตเท่านั้นที่กำหนดค่า SSO สำหรับโดเมนของตนได้

1. ลงชื่อเข้าใช้ที่ team.scribblemaps.com
2. ไปที่ การตั้งค่า > Single Sign-On
3. ไปที่แท็บ Domains
4. คลิก เพิ่ม Domain แล้วป้อนโดเมนอีเมลของคุณ (เช่น yourcompany.com)
5. เลือกวิธีการยืนยัน:

ตัวเลือก A: เรกคอร์ด DNS TXT (แนะนำ)

เพิ่มเรกคอร์ด TXT ในการตั้งค่า DNS ของโดเมนของคุณ:

หมายเหตุ: การเปลี่ยนแปลง DNS อาจใช้เวลานานถึง 48 ชั่วโมงจึงจะมีผลทั่วทั้งเครือข่าย

ตัวเลือก B: การอัปโหลดไฟล์

1. สร้างไฟล์ข้อความชื่อ scribblemaps-verify.txt
2. ใส่รหัสยืนยันของคุณเป็นเนื้อหาเพียงอย่างเดียว
3. อัปโหลดไปที่: https://yourcompany.com/.well-known/scribblemaps-verify.txt

หลังจากเพิ่มการยืนยันแล้ว ให้คลิก ยืนยัน Domain เพื่อยืนยันความเป็นเจ้าของ

ขั้นที่ 2: กำหนดค่าผู้ให้บริการระบุตัวตนของคุณ

เพิ่ม ScribbleMaps เป็นแอปพลิเคชันในผู้ให้บริการระบุตัวตนของคุณ หากคุณใช้ Okta คุณสามารถเพิ่ม ScribbleMaps ได้โดยตรงจากแค็ตตาล็อก Okta Integration Network (OIN) — SAML SSO URL, SP Entity ID, ACS URL และ OIDC Redirect URI จะถูกกำหนดค่าไว้ล่วงหน้าโดยอัตโนมัติ

สำหรับ SAML 2.0

สำหรับ OIDC

ขั้นที่ 3: กำหนดค่า SSO ใน ScribbleMaps

การกำหนดค่า SAML 2.0

1. ใน ScribbleMaps ไปที่ การตั้งค่า > Single Sign-On > แท็บ SAML
2. ป้อนข้อมูลต่อไปนี้จากผู้ให้บริการระบุตัวตนของคุณ:

3. คลิก บันทึกการตั้งค่า

การกำหนดค่า OIDC

1. ใน ScribbleMaps ไปที่ การตั้งค่า > Single Sign-On > แท็บ OIDC
2. เลือก ประเภทผู้ให้บริการ ของคุณ (Google, Microsoft, Okta, Auth0 หรือ กำหนดเอง)
3. ป้อนข้อมูลต่อไปนี้:

4. คลิก บันทึกการตั้งค่า

ขั้นที่ 4: ทดสอบการกำหนดค่าของคุณ

ก่อนเปิดใช้งาน SSO สำหรับผู้ใช้ทั้งหมด ให้ทดสอบการกำหนดค่าของคุณ:

1. คลิกปุ่ม ทดสอบการเชื่อมต่อ
2. หน้าต่างใหม่จะเปิดขึ้นเพื่อจำลองขั้นตอนการลงชื่อเข้าใช้ด้วย SSO
3. ยืนยันตัวตนกับผู้ให้บริการระบุตัวตนของคุณให้เสร็จสิ้น
4. ตรวจสอบว่าคุณถูกเปลี่ยนเส้นทางกลับมายัง ScribbleMaps ได้สำเร็จ

หากการทดสอบล้มเหลว ให้ตรวจสอบข้อความแสดงข้อผิดพลาดและตรวจดูการตั้งค่าการกำหนดค่าของคุณ

ขั้นที่ 5: เปิดใช้งาน SSO

เมื่อการทดสอบสำเร็จแล้ว:

1. สลับสวิตช์ เปิดใช้งาน SSO เป็น ON
2. เลือกตัวเลือกการบังคับใช้:
   • ไม่บังคับ: ผู้ใช้เลือกลงชื่อเข้าใช้ด้วย SSO หรือรหัสผ่านก็ได้
   • บังคับ: ผู้ใช้ที่มีโดเมนอีเมลที่ยืนยันแล้วต้องใช้ SSO (ปิดการลงชื่อเข้าใช้ด้วยรหัสผ่าน)

หมายเหตุ: Team Owner สามารถใช้การลงชื่อเข้าใช้ด้วยรหัสผ่านเป็นทางสำรองได้เสมอ แม้ว่าจะบังคับใช้ SSO อยู่ก็ตาม

SSO ที่เริ่มจาก SP

ScribbleMaps รองรับ SSO ที่เริ่มจาก SP ซึ่งช่วยให้ผู้ใช้เริ่มขั้นตอนการลงชื่อเข้าใช้จากหน้าลงชื่อเข้าใช้ของ ScribbleMaps ได้ โดยมีขั้นตอนดังนี้:

1. ไปที่ scribblemaps.com/account/login
2. ป้อนที่อยู่อีเมลของคุณ (เช่น [email protected])
3. คลิก ลงชื่อเข้าใช้ด้วย SSO
4. คุณจะถูกเปลี่ยนเส้นทางไปยังผู้ให้บริการระบุตัวตนขององค์กรของคุณ (เช่น Okta) เพื่อยืนยันตัวตน
5. หลังจากยืนยันตัวตนสำเร็จ คุณจะถูกเปลี่ยนเส้นทางกลับมายัง ScribbleMaps และลงชื่อเข้าใช้โดยอัตโนมัติ

หากองค์กรของคุณบังคับใช้ SSO การป้อนอีเมลของคุณในหน้าลงชื่อเข้าใช้จะเปลี่ยนเส้นทางคุณไปยังผู้ให้บริการระบุตัวตนโดยอัตโนมัติ — จะไม่แสดงช่องรหัสผ่าน

OIN Universal Logout

รองรับ Universal Logout โดย Okta สำหรับขั้นตอนการกำหนดค่า โปรดดูที่ ลิงก์นี้

คู่มือเฉพาะผู้ให้บริการ

Okta

1. ใน Okta Admin Console ไปที่ Applications > Browse App Catalog
2. ค้นหา ScribbleMaps แล้วคลิก Add Integration
3. SSO URL, Entity ID และ Redirect URI จะถูกกำหนดค่าไว้ล่วงหน้าโดยอัตโนมัติ
4. ไปที่แท็บ Sign On เพื่อดูรายละเอียดการกำหนดค่า IdP ของคุณ:
   • ดาวน์โหลด X.509 Certificate
   • คัดลอก Identity Provider Issuer (Entity ID)
   • คัดลอก Single Sign-On URL
5. ป้อนค่าเหล่านี้ลงในการตั้งค่า SSO ของ ScribbleMaps (ดู ขั้นที่ 3)

Microsoft Entra ID (Azure AD)

1. ใน Azure Portal ไปที่ Microsoft Entra ID > App registrations > New registration
2. กำหนดค่า:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (แพลตฟอร์มเว็บ)
3. ไปที่ Certificates & secrets > สร้าง Client secret ใหม่
4. คัดลอก Application (client) ID และ ค่า Client secret
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. ใน Google Cloud Console ไปที่ APIs & Services > Credentials
2. คลิก Create Credentials > OAuth client ID
3. เลือก Web application
4. เพิ่ม Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
5. คัดลอก Client ID และ Client Secret
6. Authority URL: https://accounts.google.com

หมายเหตุ: หากต้องการบังคับใช้ MFA สำหรับ Google Workspace ให้กำหนดค่าใน Google Workspace Admin Console ของคุณ

Auth0

1. ใน Auth0 Dashboard ไปที่ Applications > Create Application
2. เลือก Regular Web Applications
3. กำหนดค่า:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. คัดลอก Client ID และ Client Secret จากแท็บ Settings
5. Authority URL: https://YOUR-DOMAIN.auth0.com

ตัวเลือกขั้นสูง

Just-In-Time (JIT) Provisioning

เมื่อเปิดใช้งาน ผู้ใช้จะถูกสร้างใน ScribbleMaps โดยอัตโนมัติเมื่อลงชื่อเข้าใช้ด้วย SSO เป็นครั้งแรก ข้อมูลโปรไฟล์ของผู้ใช้ (ชื่อ อีเมล) จะถูกนำมาจากผู้ให้บริการระบุตัวตน

บังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (เฉพาะ OIDC)

เปิดใช้ตัวเลือกนี้เพื่อกำหนดให้ต้องยืนยัน MFA ก่อนอนุญาตให้ลงชื่อเข้าใช้ ScribbleMaps จะตรวจสอบว่า IdP ของคุณได้บังคับใช้ MFA สำหรับผู้ใช้แล้ว

สำหรับ Okta คุณสามารถระบุค่า ACR แบบกำหนดเอง เช่น:

• urn:okta:loa:2fa:any - ปัจจัยที่สองใดก็ได้
• phr - การยืนยันตัวตนที่ทนต่อการหลอกลวง (phishing)
• phrh - การยืนยันตัวตนที่ทนต่อการหลอกลวงและผูกกับฮาร์ดแวร์

การแมปแอตทริบิวต์/Claim

ปรับแต่งวิธีที่แอตทริบิวต์ผู้ใช้จาก IdP ของคุณแมปไปยังช่องข้อมูลผู้ใช้ของ ScribbleMaps:

การแก้ไขปัญหา

ปัญหาที่พบบ่อย

"Domain not verified"

• ตรวจสอบให้แน่ใจว่าเรกคอร์ด DNS TXT หรือไฟล์ยืนยันของคุณถูกกำหนดค่าอย่างถูกต้อง
• การเปลี่ยนแปลง DNS อาจใช้เวลานานถึง 48 ชั่วโมงจึงจะมีผลทั่วทั้งเครือข่าย
• ตรวจสอบว่าไม่มีข้อผิดพลาดในการพิมพ์รหัสยืนยัน

"Invalid certificate"

• ตรวจสอบให้แน่ใจว่าคุณใช้ใบรับรองที่สมบูรณ์ รวมถึง -----BEGIN CERTIFICATE----- และ -----END CERTIFICATE-----
• ตรวจสอบว่าใบรับรองยังไม่หมดอายุ
• ตรวจสอบให้แน่ใจว่าคุณคัดลอกใบรับรองสำหรับลงนาม ไม่ใช่ใบรับรองสำหรับเข้ารหัส

"Invalid signature"

• ตรวจสอบว่าใบรับรองตรงกับใบรับรองสำหรับลงนามปัจจุบันของ IdP ของคุณ
• ตรวจสอบว่าอัลกอริทึมลายเซ็นตรงกัน (SHA-256 หรือ SHA-1)

"User not found" หรือ "Email mismatch"

• ตรวจสอบให้แน่ใจว่าอีเมลที่ IdP ของคุณส่งกลับมาตรงกับโดเมนที่ยืนยันแล้ว
• ตรวจสอบว่ารูปแบบ NameID ตั้งค่าเป็นที่อยู่อีเมล
• ตรวจสอบว่าการแมปแอตทริบิวต์/claim ถูกต้อง

"Security error: Your Identity Provider is not authorized for this email domain"

• ข้อผิดพลาดนี้เกิดขึ้นเมื่อการกำหนดค่า IdP ไม่ตรงกับโดเมนที่ยืนยันแล้ว
• ตรวจสอบให้แน่ใจว่าโดเมนอีเมลได้รับการยืนยันภายใต้ทีมของคุณ
• ตรวจสอบว่าคุณลงชื่อเข้าใช้ด้วยอีเมลจากโดเมนที่ยืนยันแล้ว

การดูบันทึกการตรวจสอบ

ตรวจสอบกิจกรรม SSO ได้ที่ การตั้งค่า > Single Sign-On > Audit Logs คุณสามารถ:

• กรองตามประเภทเหตุการณ์ (ลงชื่อเข้าใช้ ออกจากระบบ ลงชื่อเข้าใช้ล้มเหลว)
• กรองตามช่วงวันที่
• ส่งออกบันทึกเป็น CSV เพื่อใช้ในการรายงานการปฏิบัติตามข้อกำหนด

ต้องการความช่วยเหลือ?

หากคุณประสบปัญหาในการกำหนดค่า SSO โปรดติดต่อทีมสนับสนุนของเราพร้อมข้อมูลต่อไปนี้:

• ชื่อทีมของคุณ
• ผู้ให้บริการระบุตัวตนที่คุณใช้
• ข้อความแสดงข้อผิดพลาดที่คุณพบ
• ภาพหน้าจอการกำหนดค่า IdP ของคุณ (ปกปิดข้อมูลที่ละเอียดอ่อน)

เราพร้อมช่วยให้คุณกำหนดค่า SSO สำหรับองค์กรของคุณ