Командагыз өчен Single Sign-On (SSO) көйләү - (Team web app)

SSO нәрсә эшли

Single Sign-On командагыз әгъзаларына компаниягезнең identity provider аша керергә мөмкинлек бирә, мәсәлән, Okta, Microsoft Entra ID (Azure AD), Google Workspace яки Auth0. Аны SSO битендә көйлисез. Аны ачарга бары тик owners һәм admins гына мөмкин. Битнең исеме — Single Sign-On (SSO).

Биттә өч tab бар: Email Domains, OIDC һәм SAML 2.0. Сез OIDC яки SAML 2.0 файдалана аласыз, икесен бердәм түгел.

1 нче адым: email domain өстәү һәм раслау

Email Domains tab-ын ачыгыз. SSO компаниягезнең email domain-ы сезгә караганын исбатлаудан башлана. Domain раслау SAML һәм OIDC өчен уртак, шуңа күрә бер тапкыр гына раслау җитә.

1. Add Email Domain астында domain-ыгызны языгыз (мәсәлән, example.com) һәм Add Domain төймәсенә басыгыз.
2. Domain Pending Verification булып күренә. Адымнарны ачу өчен How to Verify төймәсенә басыгыз.
3. Бер ысулны сайлагыз: - DNS TXT Record: domain-ыгызның DNS-ына күрсәтелгән кыйммәт белән TXT record өстәгез. DNS үзгәрешләре 48 сәгатькә кадәр вакыт алырга мөмкин. - File Upload: раслау коды булган текст файлны https://yourdomain/.well-known/scribblemaps-verify.txt адресына куегыз. Файл HTTPS аша ачыла торган булырга тиеш.
4. Verify Now төймәсенә басыгыз. Барысы да уңышлы булса, бит "Domain verified successfully!" дип күрсәтә, ә domain Verified булып күренә.

Әгәр DNS яки файл аша раслый алмасагыз, [email protected] адресына хат языгыз, команда domain-ыгызны кул белән раслый ала.

2 нче адым (A вариант): OIDC көйләү

OIDC tab-ын ачыгыз.

1. Callback URLs астында күрсәтелгән Redirect URI / Callback URL-ны күчереп алыгыз. Аны app төзегәндә identity provider-ыгызга бирәсез.
2. Quick Setup бүлегендә provider-ыгызның discovery URL-ын (.well-known/openid-configuration URL) куеп, Import төймәсенә басып, Authority һәм provider төрен автоматик тутыра аласыз.
3. Provider Settings астында кирәкле кырларны тутырыгыз: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. Кемдер OIDC белән беренче тапкыр кергәндә кулланучы хисабын булдыручы Just-In-Time (JIT) Provisioning-ны кабызу өчен User Settings бүлеген ачыгыз.
5. Кергәнче MFA-ны раслау теләсәгез, Require Multi-Factor Authentication (MFA)-ны кабызу өчен Security Settings бүлеген ачыгыз.
6. Save Settings төймәсенә, аннары Test Connection төймәсенә басыгыз. Шулай ук тулы керүне яңа тәрәзәдә сынау өчен Test SSO Login файдалана аласыз.
7. OIDC SSO enabled күчергечен кабызыгыз.

Identity provider-ыгызда app төзегәндә, тип итеп Web Application сайлагыз (SPA яки Native түгел), чөнки Client Secret кирәк.

2 нче адым (B вариант): SAML 2.0 көйләү

SAML 2.0 tab-ын ачыгыз.

1. Identity provider-ыгызга бирү өчен Service Provider (SP) Information-ны күчереп алыгыз: SP Entity ID / Audience URI, Single Sign-On URL / ACS URL һәм SP Metadata URL.
2. Quick Setup бүлегендә provider-ыгызны сайлап, көйләүләрне автоматик тутыру өчен аның metadata URL-ын import итегез.
3. Identity Provider (IdP) Settings-ны тутырыгыз: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (мәҗбүри түгел) - PEM форматындагы IdP X.509 Certificate
4. Signature Algorithm (SHA-256 тәкъдим ителә) һәм NameID Format-ны билгеләү өчен Advanced Settings бүлеген ачыгыз.
5. Just-In-Time (JIT) Provisioning-ны кабызу өчен User Settings бүлеген ачыгыз.
6. Save Settings төймәсенә, аннары Test Connection төймәсенә басыгыз. Тулы керүне сынау өчен Test SSO Login файдаланыгыз.
7. SAML SSO enabled күчергечен кабызыгыз.

Бер үк вакытта бер протокол гына

OIDC яки SAML-ның берсе генә кабызылган булырга мөмкин, икесе дә түгел. Икенчесе кабызылган вакытта берсен кабызсагыз, бит башта икенчесен сүндерергә телисезме дип сорый. Мәсәлән, SAML кабызылган вакытта OIDC кабызсагыз, "SAML is currently enabled. Would you like to disable it?" дигән сорау Disable SAML һәм Keep Both вариантлары белән күрсәтелә.

SSO кулланучыларын карау

Битнең түбәнрәк өлешендә SSO Provisioned Users карточкасы SSO аша булдырылган кешеләрне күрсәтә. Исемлекне ачу өчен Show, ябу өчен Hide төймәсенә басыгыз. Таблицада һәр кулланучының Email, Name, Created датасы һәм Last Login күрсәтелә. Беркем дә бу рәвешле кермәгән вакытта "No users have been provisioned via SSO yet." дип языла.