Налаштування єдиного входу (SSO) за допомогою SAML або OIDC

ScribbleMaps підтримує корпоративний єдиний вхід за допомогою SAML 2.0 або OpenID Connect (OIDC). Це дозволяє учасникам вашої команди автентифікуватися за допомогою постачальника ідентифікації (IdP) вашої організації, такого як Okta, Microsoft Entra ID (Azure AD), Google Workspace або Auth0.

Налаштування SSO доступне на team.scribblemaps.com і є абсолютно безкоштовним.

Зміст

1. Підтримувані функції
2. Перш ніж почати
3. Крок 1: Підтвердіть домен вашої електронної пошти
4. Крок 2: Налаштуйте вашого постачальника ідентифікації
5. Крок 3: Налаштуйте SSO у ScribbleMaps
6. Крок 4: Перевірте ваше налаштування
7. Крок 5: Увімкніть SSO
8. SSO, ініційований SP
9. Універсальний вихід OIN
10. Посібники для конкретних постачальників
11. Додаткові параметри
12. Усунення несправностей

Підтримувані функції

Інтеграція SSO у ScribbleMaps підтримує такі функції:

Перш ніж почати

• Ви повинні бути власником команди, щоб налаштувати SSO
• Вам потрібен доступ до адміністративної консолі постачальника ідентифікації вашої організації
• Підготуйте домен вашої електронної пошти (наприклад, yourcompany.com)

Крок 1: Підтвердіть домен вашої електронної пошти

Перш ніж налаштовувати SSO, ви повинні підтвердити право власності на домен вашої електронної пошти. Цей захід безпеки гарантує, що лише авторизовані організації можуть налаштовувати SSO для своїх доменів.

1. Увійдіть на team.scribblemaps.com
2. Перейдіть до Налаштування > Single Sign-On
3. Перейдіть на вкладку Domains
4. Натисніть Add Domain і введіть домен вашої електронної пошти (наприклад, yourcompany.com)
5. Виберіть метод підтвердження:

Варіант А: DNS TXT-запис (рекомендовано)

Додайте TXT-запис до налаштувань DNS вашого домену:

Примітка: зміни DNS можуть поширюватися до 48 годин.

Варіант Б: Завантаження файлу

1. Створіть текстовий файл під назвою scribblemaps-verify.txt
2. Додайте ваш код підтвердження як єдиний вміст
3. Завантажте за адресою: https://yourcompany.com/.well-known/scribblemaps-verify.txt

Після додавання підтвердження натисніть Verify Domain, щоб підтвердити право власності.

Крок 2: Налаштуйте вашого постачальника ідентифікації

Додайте ScribbleMaps як застосунок у вашого постачальника ідентифікації. Якщо ви використовуєте Okta, ви можете додати ScribbleMaps безпосередньо з каталогу Okta Integration Network (OIN) — SAML SSO URL, SP Entity ID, ACS URL та OIDC Redirect URI будуть налаштовані автоматично попередньо.

Для SAML 2.0

Для OIDC

Крок 3: Налаштуйте SSO у ScribbleMaps

Налаштування SAML 2.0

1. У ScribbleMaps перейдіть до Налаштування > Single Sign-On > вкладка SAML
2. Введіть наступну інформацію від вашого постачальника ідентифікації:

3. Натисніть Зберегти налаштування

Налаштування OIDC

1. У ScribbleMaps перейдіть до Налаштування > Single Sign-On > вкладка OIDC
2. Виберіть ваш Тип постачальника (Google, Microsoft, Okta, Auth0 або Власний)
3. Введіть наступну інформацію:

4. Натисніть Зберегти налаштування

Крок 4: Перевірте ваше налаштування

Перш ніж увімкнути SSO для всіх користувачів, перевірте ваше налаштування:

1. Натисніть кнопку Test Connection
2. Відкриється нове вікно, щоб симулювати процес входу через SSO
3. Завершіть автентифікацію з вашим постачальником ідентифікації
4. Переконайтеся, що вас успішно перенаправлено назад до ScribbleMaps

Якщо тест не вдався, перегляньте повідомлення про помилку та перевірте налаштування конфігурації.

Крок 5: Увімкніть SSO

Після успішного тестування:

1. Перемкніть перемикач Enable SSO у положення УВІМК
2. Виберіть варіант примусового застосування:
   • Необов'язково: користувачі можуть вибирати між SSO та входом за паролем
   • Примусово: користувачі з підтвердженими доменами електронної пошти повинні використовувати SSO (вхід за паролем вимкнено)

Примітка: власники команди завжди можуть використовувати вхід за паролем як резервний варіант, навіть якщо SSO примусово застосовується.

SSO, ініційований SP

ScribbleMaps підтримує SSO, ініційований SP, що дозволяє користувачам розпочати процес входу зі сторінки входу ScribbleMaps. Ось як це працює:

1. Перейдіть на scribblemaps.com/account/login
2. Введіть вашу електронну адресу (наприклад, [email protected])
3. Натисніть Sign in with SSO
4. Вас буде перенаправлено до постачальника ідентифікації вашої організації (наприклад, Okta) для автентифікації
5. Після успішної автентифікації вас автоматично перенаправляють назад до ScribbleMaps та входять у систему

Якщо у вашій організації примусово застосовується SSO, введення вашої електронної адреси на сторінці входу автоматично перенаправить вас до вашого постачальника ідентифікації — поле пароля не відображатиметься.

Універсальний вихід OIN

Підтримується універсальний вихід від Okta. Інструкції щодо налаштування можна знайти за цим посиланням.

Посібники для конкретних постачальників

Okta

1. У консолі адміністратора Okta перейдіть до Applications > Browse App Catalog
2. Знайдіть ScribbleMaps і натисніть Add Integration
3. SSO URL, Entity ID та Redirect URI будуть налаштовані автоматично попередньо
4. Перейдіть на вкладку Sign On, щоб знайти деталі налаштування вашого IdP:
   • Завантажте X.509 Certificate
   • Скопіюйте Identity Provider Issuer (Entity ID)
   • Скопіюйте Single Sign-On URL
5. Введіть ці значення в налаштування SSO ScribbleMaps (див. Крок 3)

Microsoft Entra ID (Azure AD)

1. У Azure Portal перейдіть до Microsoft Entra ID > App registrations > New registration
2. Налаштуйте:
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (платформа Web)
3. Перейдіть до Certificates & secrets > Створіть новий Client secret
4. Скопіюйте Application (client) ID та значення Client secret
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. У Google Cloud Console перейдіть до APIs & Services > Credentials
2. Натисніть Create Credentials > OAuth client ID
3. Виберіть Web application
4. Додайте Authorized redirect URI: https://api.scribblemaps.com/oidc/callback
5. Скопіюйте Client ID та Client Secret
6. Authority URL: https://accounts.google.com

Примітка: щоб вимагати MFA для Google Workspace, налаштуйте це в адміністративній консолі Google Workspace.

Auth0

1. У панелі Auth0 перейдіть до Applications > Create Application
2. Виберіть Regular Web Applications
3. Налаштуйте:
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Скопіюйте Client ID та Client Secret з вкладки Налаштування
5. Authority URL: https://YOUR-DOMAIN.auth0.com

Додаткові параметри

Миттєве (JIT) надання доступу

Коли увімкнено, користувачі автоматично створюються в ScribbleMaps під час першого входу через SSO. Їхня інформація профілю (ім'я, електронна пошта) заповнюється з постачальника ідентифікації.

Вимагати багатофакторну автентифікацію (лише для OIDC)

Увімкніть цей параметр, щоб вимагати перевірку MFA перед дозволом входу. ScribbleMaps перевірить, чи ваш IdP примусово застосовує MFA для користувача.

Для Okta ви можете вказати власні значення ACR, такі як:

• urn:okta:loa:2fa:any - будь-який другий фактор
• phr - автентифікація, стійка до фішингу
• phrh - автентифікація, стійка до фішингу, прив'язана до апаратного забезпечення

Зіставлення атрибутів/тверджень

Налаштуйте, як атрибути користувача від вашого IdP зіставляються з полями користувача ScribbleMaps:

Усунення несправностей

Поширені проблеми

"Домен не підтверджено"

• Переконайтеся, що ваш DNS TXT-запис або файл підтвердження налаштовано правильно
• Зміни DNS можуть поширюватися до 48 годин
• Перевірте, чи немає помилок у коді підтвердження

"Недійсний сертифікат"

• Переконайтеся, що ви використовуєте повний сертифікат, включаючи -----BEGIN CERTIFICATE----- та -----END CERTIFICATE-----
• Перевірте, чи не закінчився термін дії сертифіката
• Переконайтеся, що ви скопіювали сертифікат підпису, а не сертифікат шифрування

"Недійсний підпис"

• Перевірте, чи відповідає сертифікат поточному сертифікату підпису вашого IdP
• Перевірте, чи збігається алгоритм підпису (SHA-256 проти SHA-1)

"Користувача не знайдено" або "Невідповідність електронної пошти"

• Переконайтеся, що електронна пошта, повернута вашим IdP, відповідає підтвердженому домену
• Перевірте, чи формат NameID встановлено на Адресу електронної пошти
• Перевірте правильність зіставлення атрибутів/тверджень

"Помилка безпеки: ваш постачальник ідентифікації не авторизований для цього домену електронної пошти"

• Це трапляється, коли конфігурація IdP не відповідає підтвердженому домену
• Переконайтеся, що домен електронної пошти підтверджено у вашій команді
• Перевірте, чи входите ви з електронної пошти з підтвердженого домену

Перегляд журналів аудиту

Відстежуйте активність SSO у Налаштування > Single Sign-On > Audit Logs. Ви можете:

• Фільтрувати за типом події (вхід, вихід, невдалий вхід)
• Фільтрувати за діапазоном дат
• Експортувати журнали у форматі CSV для звітності з дотримання вимог

Потрібна допомога?

Якщо у вас виникли проблеми з налаштуванням SSO, будь ласка, зв'яжіться з нашою командою підтримки, вказавши:

• Назву вашої Команди
• Постачальника ідентифікації, яким ви користуєтеся
• Будь-які повідомлення про помилки, які ви бачите
• Знімки екрана вашого налаштування IdP (з прихованими конфіденційними даними)

Ми готові допомогти вам налаштувати SSO для вашої організації.