ตั้งค่า Single Sign-On (SSO) สำหรับทีมของคุณ - (เว็บแอปทีม)

SSO ทำอะไรได้บ้าง

Single Sign-On ช่วยให้สมาชิกในทีมของคุณลงชื่อเข้าใช้ด้วยผู้ให้บริการข้อมูลประจำตัวของบริษัทคุณ เช่น Okta, Microsoft Entra ID (Azure AD), Google Workspace หรือ Auth0 คุณตั้งค่าได้ที่หน้า SSO เฉพาะเจ้าของและผู้ดูแลระบบเท่านั้นที่เปิดหน้านี้ได้ ชื่อหน้าคือ Single Sign-On (SSO)

หน้านี้มีสามแท็บ ได้แก่ Email Domains, OIDC และ SAML 2.0 คุณใช้ได้ทั้ง OIDC หรือ SAML 2.0 อย่างใดอย่างหนึ่ง ไม่สามารถใช้พร้อมกันได้

ขั้น 1: เพิ่มและยืนยันโดเมนอีเมล

เปิดแท็บ Email Domains SSO เริ่มต้นด้วยการพิสูจน์ว่าคุณเป็นเจ้าของโดเมนอีเมลของบริษัท การยืนยันโดเมนใช้ร่วมกันระหว่าง SAML และ OIDC ดังนั้นคุณต้องยืนยันเพียงครั้งเดียว

1. ใต้ Add Email Domain ให้พิมพ์โดเมนของคุณ (เช่น example.com) แล้วคลิก Add Domain
2. โดเมนจะแสดงเป็น Pending Verification คลิก How to Verify เพื่อเปิดขั้นตอน
3. เลือกวิธีใดวิธีหนึ่ง: - DNS TXT Record: เพิ่มระเบียน TXT ใน DNS ของโดเมนคุณด้วยค่าที่แสดง การเปลี่ยนแปลง DNS อาจใช้เวลาถึง 48 ชั่วโมง - File Upload: วางไฟล์ข้อความที่มีรหัสยืนยันไว้ที่ https://yourdomain/.well-known/scribblemaps-verify.txt ไฟล์ต้องเข้าถึงได้ผ่าน HTTPS
4. คลิก Verify Now เมื่อสำเร็จ หน้าจะแสดง "Domain verified successfully!" และโดเมนจะแสดงเป็น Verified

หากคุณยืนยันด้วย DNS หรือไฟล์ไม่ได้ ให้ส่งอีเมลถึง [email protected] แล้วทีมงานสามารถยืนยันโดเมนของคุณด้วยตนเองได้

ขั้น 2 (ตัวเลือก A): กำหนดค่า OIDC

เปิดแท็บ OIDC

1. คัดลอก Redirect URI / Callback URL ที่แสดงใต้ Callback URLs คุณจะนำค่านี้ไปให้ผู้ให้บริการข้อมูลประจำตัวของคุณเมื่อสร้างแอป
2. ใน Quick Setup คุณสามารถวาง discovery URL ของผู้ให้บริการ (URL .well-known/openid-configuration) แล้วคลิก นำเข้า เพื่อกรอก Authority และประเภทผู้ให้บริการโดยอัตโนมัติ
3. กรอกช่องที่จำเป็นใต้ Provider Settings: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. เปิด User Settings เพื่อเปิดใช้ Just-In-Time (JIT) Provisioning ซึ่งจะสร้างบัญชีผู้ใช้ในครั้งแรกที่มีคนลงชื่อเข้าใช้ด้วย OIDC
5. เปิด Security Settings เพื่อเปิดใช้ Require Multi-Factor Authentication (MFA) หากคุณต้องการยืนยัน MFA ก่อนลงชื่อเข้าใช้
6. คลิก บันทึกการตั้งค่า แล้วคลิก Test Connection คุณยังใช้ Test SSO Login เพื่อทดลองการลงชื่อเข้าใช้แบบเต็มในหน้าต่างใหม่ได้
7. เปิดสวิตช์ OIDC SSO enabled

เมื่อคุณสร้างแอปในผู้ให้บริการข้อมูลประจำตัวของคุณ ให้เลือก Web Application เป็นประเภท (ไม่ใช่ SPA หรือ Native) เพราะต้องใช้ Client Secret

ขั้น 2 (ตัวเลือก B): กำหนดค่า SAML 2.0

เปิดแท็บ SAML 2.0

1. คัดลอก Service Provider (SP) Information เพื่อนำไปให้ผู้ให้บริการข้อมูลประจำตัวของคุณ ได้แก่ SP Entity ID / Audience URI, Single Sign-On URL / ACS URL และ SP Metadata URL
2. ใน Quick Setup ให้เลือกผู้ให้บริการของคุณ แล้วนำเข้า metadata URL เพื่อกรอกการตั้งค่าโดยอัตโนมัติ
3. กรอก Identity Provider (IdP) Settings: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (ไม่บังคับ) - IdP X.509 Certificate ในรูปแบบ PEM
4. เปิด Advanced Settings เพื่อตั้งค่า Signature Algorithm (แนะนำ SHA-256) และ NameID Format
5. เปิด User Settings เพื่อเปิดใช้ Just-In-Time (JIT) Provisioning
6. คลิก บันทึกการตั้งค่า แล้วคลิก Test Connection ใช้ Test SSO Login เพื่อทดลองการลงชื่อเข้าใช้แบบเต็ม
7. เปิดสวิตช์ SAML SSO enabled

ใช้ได้ครั้งละหนึ่งโปรโตคอลเท่านั้น

คุณเปิดใช้ได้เพียง OIDC หรือ SAML อย่างใดอย่างหนึ่ง ไม่สามารถเปิดทั้งสองอย่างได้ หากคุณเปิดอย่างหนึ่งในขณะที่อีกอย่างหนึ่งเปิดอยู่แล้ว หน้าจะถามว่าคุณต้องการปิดอีกอย่างหนึ่งก่อนหรือไม่ ตัวอย่างเช่น การเปิด OIDC ขณะที่ SAML เปิดอยู่ จะแสดง "SAML is currently enabled. Would you like to disable it?" พร้อมตัวเลือก Disable SAML และ Keep Both

ดูผู้ใช้ SSO ของคุณ

ด้านล่างของหน้า การ์ด SSO Provisioned Users แสดงรายชื่อผู้ที่ถูกสร้างผ่าน SSO คลิก แสดง เพื่อเปิดรายการ และ ซ่อน เพื่อปิด ตารางแสดงอีเมล ชื่อ วันที่สร้าง และการลงชื่อเข้าใช้ล่าสุดของผู้ใช้แต่ละราย จนกว่าจะมีใครลงชื่อเข้าใช้ด้วยวิธีนี้ จะแสดงข้อความ "No users have been provisioned via SSO yet."