Налаштування Single Sign-On (SSO) для вашої команди - (Веб-застосунок Команда)

Що робить SSO

Single Sign-On дозволяє членам вашої команди входити за допомогою постачальника ідентифікації вашої компанії, такого як Okta, Microsoft Entra ID (Azure AD), Google Workspace або Auth0. Ви налаштовуєте це на сторінці SSO. Відкрити її можуть лише власники та адміністратори. Заголовок сторінки — Single Sign-On (SSO).

Сторінка має три вкладки: Email Domains, OIDC та SAML 2.0. Ви можете використати або OIDC, або SAML 2.0, але не обидва одночасно.

Крок 1: Додайте та підтвердьте домен електронної пошти

Відкрийте вкладку Email Domains. SSO починається з підтвердження того, що ви володієте доменом електронної пошти вашої компанії. Підтвердження домену спільне для SAML і OIDC, тому вам потрібно підтвердити лише один раз.

1. У розділі Add Email Domain введіть свій домен (наприклад, example.com) і натисніть Add Domain.
2. Домен відображається як Pending Verification. Натисніть How to Verify, щоб відкрити кроки.
3. Оберіть один метод: - DNS TXT Record: додайте TXT-запис до DNS вашого домену зі вказаним значенням. Зміни DNS можуть зайняти до 48 годин. - File Upload: розмістіть текстовий файл із кодом підтвердження за адресою https://yourdomain/.well-known/scribblemaps-verify.txt. Файл має бути доступним через HTTPS.
4. Натисніть Verify Now. Якщо все вдалося, сторінка покаже «Domain verified successfully!», а домен матиме статус Verified.

Якщо ви не можете підтвердити через DNS або файл, напишіть на [email protected], і команда зможе підтвердити ваш домен вручну.

Крок 2 (варіант A): Налаштування OIDC

Відкрийте вкладку OIDC.

1. Скопіюйте Redirect URI / Callback URL, показаний у розділі Callback URLs. Ви надаєте це своєму постачальнику ідентифікації під час створення застосунку.
2. У розділі Quick Setup ви можете вставити URL-адресу відкриття вашого постачальника (URL .well-known/openid-configuration) і натиснути Import, щоб автоматично заповнити Authority та тип постачальника.
3. Заповніть обов'язкові поля в розділі Provider Settings: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. Відкрийте User Settings, щоб увімкнути Just-In-Time (JIT) Provisioning, який створює обліковий запис користувача під час першого входу через OIDC.
5. Відкрийте Security Settings, щоб увімкнути Require Multi-Factor Authentication (MFA), якщо ви хочете підтверджувати MFA перед входом.
6. Натисніть Зберегти налаштування, потім Test Connection. Ви також можете скористатися Test SSO Login, щоб перевірити повний вхід у новому вікні.
7. Увімкніть перемикач OIDC SSO enabled.

Коли ви створюєте застосунок у вашого постачальника ідентифікації, оберіть Web Application як тип (не SPA чи Native), оскільки потрібен Client Secret.

Крок 2 (варіант Б): Налаштування SAML 2.0

Відкрийте вкладку SAML 2.0.

1. Скопіюйте Service Provider (SP) Information, щоб надати своєму постачальнику ідентифікації: SP Entity ID / Audience URI, Single Sign-On URL / ACS URL та SP Metadata URL.
2. У розділі Quick Setup оберіть свого постачальника та імпортуйте URL-адресу його метаданих, щоб автоматично заповнити налаштування.
3. Заповніть Identity Provider (IdP) Settings: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (необов'язково) - IdP X.509 Certificate у форматі PEM
4. Відкрийте Advanced Settings, щоб задати Signature Algorithm (рекомендовано SHA-256) та NameID Format.
5. Відкрийте User Settings, щоб увімкнути Just-In-Time (JIT) Provisioning.
6. Натисніть Зберегти налаштування, потім Test Connection. Скористайтеся Test SSO Login, щоб перевірити повний вхід.
7. Увімкніть перемикач SAML SSO enabled.

Лише один протокол одночасно

Ви можете мати ввімкненим лише OIDC або SAML, але не обидва. Якщо ви вмикаєте один з них, коли інший уже ввімкнено, сторінка запитує, чи бажаєте ви спочатку вимкнути інший. Наприклад, увімкнення OIDC, коли SAML активний, показує «SAML is currently enabled. Would you like to disable it?» з варіантами Disable SAML та Keep Both.

Перегляд ваших SSO-користувачів

Нижче на сторінці картка SSO Provisioned Users показує список людей, створених через SSO. Натисніть Показати, щоб відкрити список, і Приховати, щоб закрити його. Таблиця показує для кожного користувача Email, Назва, дату створення (Created) та Last Login. Поки ніхто не входив у цей спосіб, там написано «No users have been provisioned via SSO yet.»