SAML яки OIDC ярдәмендә Бердәм керү (SSO) көйләү

ScribbleMaps SAML 2.0 яки OpenID Connect (OIDC) ярдәмендә корпоратив Бердәм керүне (Single Sign-On) хуплый. Бу команда әгъзаларыгызга оешмагызның Identity Provider (IdP) аша, мәсәлән Okta, Microsoft Entra ID (Azure AD), Google Workspace яки Auth0 аша, аутентификацияләнергә мөмкинлек бирә.

SSO көйләве team.scribblemaps.com сайтында бар һәм бөтенләй бушлай.

Эчтәлек

1. Хупланган мөмкинлекләр
2. Башлаганчы
3. 1 нче адым: Электрон почта доменыгызны раслагыз
4. 2 нче адым: Identity Provider көйләгез
5. 3 нче адым: ScribbleMaps эчендә SSO көйләгез
6. 4 нче адым: Көйләүне тикшерегез
7. 5 нче адым: SSO кабызыгыз
8. SP башлаган SSO
9. OIN Universal Logout
10. Провайдерлар буенча кулланмалар
11. Өстәмә көйләүләр
12. Проблемаларны бетерү

Хупланган мөмкинлекләр

ScribbleMaps SSO интеграциясе түбәндәге мөмкинлекләрне хуплый:

Башлаганчы

• SSO көйләр өчен сез Team Owner булырга тиеш
• Оешмагызның Identity Provider идарә консоленә керү хокукы кирәк
• Электрон почта доменыгызны әзерләп куегыз (мәсәлән, yourcompany.com)

1 нче адым: Электрон почта доменыгызны раслагыз

SSO көйләгәнче, электрон почта доменыгызга хуҗалыгыгызны раслагыз. Бу куркынычсызлык чарасы SSO'ны үз доменнары өчен тик рөхсәт ителгән оешмалар гына көйли алуын тәэмин итә.

1. team.scribblemaps.com сайтына керегез
2. Settings > Single Sign-On бүлегенә күчегез
3. Domains өстәмәсенә керегез
4. Add Domain төймәсенә басыгыз һәм электрон почта доменыгызны кертегез (мәсәлән, yourcompany.com)
5. Раслау ысулын сайлагыз:

A варианты: DNS TXT язмасы (тәкъдим ителә)

Доменыгызның DNS көйләүләренә TXT язмасы өстәгез:

Искәрмә: DNS үзгәрешләренең таралуы 48 сәгатькә кадәр вакыт алырга мөмкин.

B варианты: Файл йөкләү

1. scribblemaps-verify.txt исемле текст файлы төзегез
2. Раслау кодыгызны бердәнбер эчтәлек итеп өстәгез
3. Түбәндәге адреска йөкләгез: https://yourcompany.com/.well-known/scribblemaps-verify.txt

Раслау өстәгәннән соң, хуҗалыкны раслау өчен Verify Domain төймәсенә басыгыз.

2 нче адым: Identity Provider көйләгез

ScribbleMaps'ны үз Identity Provider'ыгызга кушымта буларак өстәгез. Әгәр сез Okta кулланасыз икән, ScribbleMaps'ны турыдан-туры Okta Integration Network (OIN) каталогыннан өсти аласыз — SAML SSO URL, SP Entity ID, ACS URL һәм OIDC Redirect URI алдан автоматик рәвештә көйләнгән.

SAML 2.0 өчен

OIDC өчен

3 нче адым: ScribbleMaps эчендә SSO көйләгез

SAML 2.0 көйләү

1. ScribbleMaps'та Settings > Single Sign-On > SAML өстәмәсенә керегез
2. Identity Provider'ыгыздан алынган түбәндәге мәгълүматны кертегез:

3. Save Settings төймәсенә басыгыз

OIDC көйләү

1. ScribbleMaps'та Settings > Single Sign-On > OIDC өстәмәсенә керегез
2. Provider Type сайлагыз (Google, Microsoft, Okta, Auth0 яки Custom)
3. Түбәндәге мәгълүматны кертегез:

4. Save Settings төймәсенә басыгыз

4 нче адым: Көйләүне тикшерегез

SSO'ны барлык кулланучылар өчен кабызганчы, көйләүне тикшерегез:

1. Test Connection төймәсенә басыгыз
2. SSO керү агымын имитацияләү өчен яңа тәрәзә ачылачак
3. Identity Provider'ыгыз белән аутентификацияне тәмамлагыз
4. ScribbleMaps'ка уңышлы кире кайтуыгызны тикшерегез

Әгәр тест уңышсыз тәмамланса, хата хәбәрен карагыз һәм көйләү параметрларын тикшерегез.

5 нче адым: SSO кабызыгыз

Тикшерү уңышлы тәмамлангач:

1. Enable SSO күчергечен ON хәленә куегыз
2. Мәҗбүриләштерү вариантын сайлагыз:
   • Optional: Кулланучылар SSO яки пароль белән керүне сайлый ала
   • Enforced: Расланган электрон почта доменнары булган кулланучылар SSO кулланырга тиеш (пароль белән керү сүндерелә)

Искәрмә: SSO мәҗбүри булганда да, Team Owner'нар һәрвакыт резерв буларак пароль белән керә ала.

SP башлаган SSO

ScribbleMaps SP башлаган SSO'ны хуплый, бу кулланучыларга керү процессын ScribbleMaps керү битеннән башларга мөмкинлек бирә. Ул түбәндәгечә эшли:

1. scribblemaps.com/account/login битенә керегез
2. Электрон почта адресыгызны кертегез (мәсәлән, [email protected])
3. Sign in with SSO төймәсенә басыгыз
4. Сез аутентификация өчен оешмагызның Identity Provider'ына (мәсәлән, Okta'га) күчереләсез
5. Уңышлы аутентификациядән соң сез автоматик рәвештә ScribbleMaps'ка кире кайтарыласыз һәм системага керәсез

Әгәр оешмагызда SSO мәҗбүри булса, керү битендә электрон почтагызны кертү сезне автоматик рәвештә Identity Provider'ыгызга күчерәчәк — пароль кыры күрсәтелми.

OIN Universal Logout

Okta'ның Universal Logout хуплана. Көйләү күрсәтмәләре өчен зинһар, бу сылтама буенча керегез.

Провайдерлар буенча кулланмалар

Okta

1. Okta Admin Console'да Applications > Browse App Catalog бүлегенә керегез
2. ScribbleMaps дип эзләгез һәм Add Integration төймәсенә басыгыз
3. SSO URL, Entity ID һәм Redirect URI автоматик рәвештә алдан көйләнгән
4. IdP көйләү мәгълүматларын табу өчен Sign On өстәмәсенә керегез:
   • X.509 Certificate йөкләп алыгыз
   • Identity Provider Issuer (Entity ID) күчереп алыгыз
   • Single Sign-On URL күчереп алыгыз
5. Бу кыйммәтләрне ScribbleMaps SSO көйләүләренә кертегез (3 нче адымны карагыз)

Microsoft Entra ID (Azure AD)

1. Azure Portal'да Microsoft Entra ID > App registrations > New registration бүлегенә керегез
2. Көйләгез:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (Web платформасы)
3. Certificates & secrets бүлегенә керегез > яңа Client secret төзегез
4. Application (client) ID һәм Client secret value күчереп алыгыз
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. Google Cloud Console'да APIs & Services > Credentials бүлегенә керегез
2. Create Credentials > OAuth client ID сайлагыз
3. Web application сайлагыз
4. Authorized redirect URI өстәгез: https://api.scribblemaps.com/oidc/callback
5. Client ID һәм Client Secret күчереп алыгыз
6. Authority URL: https://accounts.google.com

Искәрмә: Google Workspace өчен MFA таләп итү максатында, аны Google Workspace Admin Console'да көйләгез.

Auth0

1. Auth0 Dashboard'та Applications > Create Application бүлегенә керегез
2. Regular Web Applications сайлагыз
3. Көйләгез:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Settings өстәмәсеннән Client ID һәм Client Secret күчереп алыгыз
5. Authority URL: https://YOUR-DOMAIN.auth0.com

Өстәмә көйләүләр

Just-In-Time (JIT) провизия

Кабызылган вакытта, кулланучылар ScribbleMaps'та беренче SSO керүдә автоматик рәвештә төзелә. Аларның профиль мәгълүматы (исем, электрон почта) Identity Provider'дан алына.

Күп факторлы аутентификация таләп итү (Require Multi-Factor Authentication) (OIDC өчен генә)

Керүгә рөхсәт итәр алдыннан MFA тикшерүен таләп итү өчен бу вариантны кабызыгыз. ScribbleMaps IdP'ның кулланучы өчен MFA мәҗбүри иткәнен тикшерәчәк.

Okta өчен үзегезнең ACR кыйммәтләрен күрсәтә аласыз, мәсәлән:

• urn:okta:loa:2fa:any - теләсә нинди икенче фактор
• phr - фишингка чыдам аутентификация
• phrh - фишингка чыдам, җиһазга бәйләнгән аутентификация

Атрибутларны/Claim'нарны сәгатьләштерү (Attribute/Claim Mapping)

IdP'ыгыздагы кулланучы атрибутларының ScribbleMaps кулланучы кырларына ничек туры килүен көйләгез:

Проблемаларны бетерү

Еш очрый торган проблемалар

"Domain not verified"

• DNS TXT язмагызның яки раслау файлыгызның дөрес көйләнгәнен тикшерегез
• DNS үзгәрешләренең таралуы 48 сәгатькә кадәр вакыт алырга мөмкин
• Раслау кодында хаталар юклыгына ышаныгыз

"Invalid certificate"

• -----BEGIN CERTIFICATE----- һәм -----END CERTIFICATE----- юлларын кертеп, тулы сертификат кулланганыгызны тикшерегез
• Сертификатның срогы чыкмаганын тикшерегез
• Шифрлау сертификаты түгел, ә имза сертификатын күчергәнегезгә ышаныгыз

"Invalid signature"

• Сертификатның IdP'ның хәзерге имза сертификаты белән туры килүен тикшерегез
• Имза алгоритмының туры килүен тикшерегез (SHA-256 яки SHA-1)

"User not found" яки "Email mismatch"

• IdP кайтарган электрон почтаның расланган доменга туры килүенә ышаныгыз
• NameID форматының Email Address итеп куелганын тикшерегез
• Атрибут/claim сәгатьләштерүенең дөреслеген тикшерегез

"Security error: Your Identity Provider is not authorized for this email domain"

• Бу IdP көйләвенең расланган доменга туры килмәгәндә килеп чыга
• Электрон почта доменының командагыз астында расланганына ышаныгыз
• Расланган доменнан электрон почта белән керүегезне тикшерегез

Аудит журналларын карау

SSO эшчәнлеген Settings > Single Sign-On > Audit Logs бүлегендә күзәтегез. Сез түбәндәгеләрне эшли аласыз:

• Вакыйга төре буенча сөзү (Login, Logout, Failed Login)
• Дата аралыгы буенча сөзү
• Үтәлешне хәбәр итү өчен журналларны CSV буларак экспортлау

Ярдәм кирәкме?

Әгәр SSO көйләгәндә проблемалар килеп чыкса, зинһар, ярдәм командабызга түбәндәгеләрне күрсәтеп мөрәҗәгать итегез:

• Командагызның исеме
• Кулланган Identity Provider'ыгыз
• Күргән хата хәбәрләре
• IdP көйләвегезнең скриншотлары (хосусый мәгълүмат яшерелгән)

Без оешмагыз өчен SSO көйләүдә ярдәм итәргә әзер.