Scribble Maps 說明中心
變更語言

單一登入設定 (SAML/OIDC)

使用 SAML 或 OIDC 設定單一登入 (SSO)

ScribbleMaps 支援使用 SAML 2.0 或 OpenID Connect (OIDC) 的企業單一登入。這讓您的團隊成員可以使用貴組織的身分提供者 (IdP) 進行驗證,例如 Okta、Microsoft Entra ID (Azure AD)、Google Workspace 或 Auth0。

SSO 設定可在 team.scribblemaps.com 進行,且完全免費。

目錄

  1. 支援的功能
  2. 開始之前
  3. 步驟 1:驗證您的電子郵件網域
  4. 步驟 2:設定您的身分提供者
  5. 步驟 3:在 ScribbleMaps 中設定 SSO
  6. 步驟 4:測試您的設定
  7. 步驟 5:啟用 SSO
  8. SP 發起的 SSO
  9. OIN 通用登出
  10. 各提供者專用指南
  11. 進階選項
  12. 疑難排解

支援的功能

ScribbleMaps SSO 整合支援下列功能:

功能 說明
SP 發起的 SSO 使用者可在 ScribbleMaps 登入頁面輸入電子郵件地址以啟動登入流程。ScribbleMaps 會將使用者重新導向至您的身分提供者進行驗證。
IdP 發起的 SSO 使用者可直接從其身分提供者的儀表板登入 ScribbleMaps (例如,點選 Okta 中的 ScribbleMaps 圖磚)。
即時 (JIT) 佈建 新的使用者帳戶會在其首次 SSO 登入時自動於 ScribbleMaps 中建立。使用者會以預設的檢視者角色加入團隊。

開始之前

  • 您必須是團隊擁有者才能設定 SSO
  • 您需要能夠存取貴組織身分提供者的管理主控台
  • 請準備好您的電子郵件網域 (例如 yourcompany.com)

步驟 1:驗證您的電子郵件網域

設定 SSO 之前,您必須驗證電子郵件網域的所有權。此保全措施可確保只有獲授權的組織才能為其網域設定 SSO。

  1. 登入 team.scribblemaps.com
  2. 前往設定 > 單一登入
  3. 前往網域索引標籤
  4. 點選新增網域並輸入您的電子郵件網域 (例如 yourcompany.com)
  5. 選擇驗證方式:

選項 A:DNS TXT 記錄 (建議)

在您網域的 DNS 設定中新增一筆 TXT 記錄:

類型 主機/名稱 值
TXT @ 或 yourcompany.com scribblemaps-verify=YOUR_VERIFICATION_CODE

附註:DNS 變更最多可能需要 48 小時才會生效。

選項 B:檔案上傳

  1. 建立一個名為 scribblemaps-verify.txt 的文字檔案
  2. 僅將您的驗證碼加入作為檔案內容
  3. 上傳至:https://yourcompany.com/.well-known/scribblemaps-verify.txt

新增驗證後,點選驗證網域以確認所有權。

步驟 2:設定您的身分提供者

在您的身分提供者中將 ScribbleMaps 新增為應用程式。如果您使用 Okta,可以直接從 Okta Integration Network (OIN) 目錄新增 ScribbleMaps — SAML SSO URL、SP Entity ID、ACS URL 及 OIDC 重新導向 URI 都會自動預先設定。

適用於 SAML 2.0

設定 值
NameID 格式 電子郵件地址
簽章演算法 SHA-256 (建議)

適用於 OIDC

設定 值
範圍 openid email profile

步驟 3:在 ScribbleMaps 中設定 SSO

設定 SAML 2.0

  1. 在 ScribbleMaps 中,前往設定 > 單一登入 > SAML 索引標籤
  2. 輸入來自您身分提供者的下列資訊:
欄位 說明
實體 ID 您 IdP 的實體 ID (亦稱為簽發者)
SSO URL 登入要求的傳送位址
憑證 您 IdP 的 X.509 簽章憑證 (PEM 格式)
  1. 點選儲存設定

設定 OIDC

  1. 在 ScribbleMaps 中,前往設定 > 單一登入 > OIDC 索引標籤
  2. 選取您的提供者類型 (Google、Microsoft、Okta、Auth0 或自訂)
  3. 輸入下列資訊:
欄位 說明
用戶端 ID 來自您 IdP 的 OAuth 用戶端 ID
用戶端密鑰 來自您 IdP 的 OAuth 用戶端密鑰
授權單位 URL 您 IdP 的簽發者 URL (請參閱下方的提供者指南)
  1. 點選儲存設定

步驟 4:測試您的設定

在對所有使用者啟用 SSO 之前,請先測試您的設定:

  1. 點選測試連線按鈕
  2. 會開啟新視窗以模擬 SSO 登入流程
  3. 使用您的身分提供者完成驗證
  4. 確認您已成功被重新導向回 ScribbleMaps

如果測試失敗,請檢閱錯誤訊息並檢查您的設定。

步驟 5:啟用 SSO

測試成功後:

  1. 將啟用 SSO開關切換為開啟
  2. 選擇您的強制執行選項:
    • 選用:使用者可以選擇 SSO 或密碼登入
    • 強制:擁有已驗證電子郵件網域的使用者必須使用 SSO (停用密碼登入)

附註:即使已強制使用 SSO,團隊擁有者仍可使用密碼登入作為備援。

SP 發起的 SSO

ScribbleMaps 支援 SP 發起的 SSO,讓使用者可以從 ScribbleMaps 登入頁面開始登入程序。運作方式如下:

  1. 前往 scribblemaps.com/account/login
  2. 輸入您的電子郵件地址 (例如 [email protected])
  3. 點選使用 SSO 登入
  4. 您會被重新導向至貴組織的身分提供者 (例如 Okta) 進行驗證
  5. 驗證成功後,您會自動被重新導向回 ScribbleMaps 並完成登入

如果貴組織已強制使用 SSO,在登入頁面輸入您的電子郵件後會自動重新導向至您的身分提供者 — 不會顯示密碼欄位。

OIN 通用登出

支援 Okta 的通用登出。如需設定說明,請參閱此連結。

各提供者專用指南

Okta

  1. 在 Okta 管理主控台中,前往應用程式 > 瀏覽應用程式目錄
  2. 搜尋 ScribbleMaps 並點選新增整合
  3. SSO URL、實體 ID 與重新導向 URI 會自動預先設定
  4. 前往登入索引標籤以找到您的 IdP 設定詳細資料:
    • 下載 X.509 憑證
    • 複製身分提供者簽發者 (實體 ID)
    • 複製單一登入 URL
  5. 將這些值輸入 ScribbleMaps 的 SSO 設定中 (請參閱步驟 3)

Microsoft Entra ID (Azure AD)

  1. 在 Azure 入口網站中,前往 Microsoft Entra ID > 應用程式註冊 > 新增註冊
  2. 設定:
    • 重新導向 URI:https://api.scribblemaps.com/oidc/callback (Web 平台)
  3. 前往憑證與密碼 > 建立新的用戶端密碼
  4. 複製應用程式 (用戶端) ID 與用戶端密碼值
  5. 授權單位 URL:https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

  1. 在 Google Cloud Console 中,前往 API 和服務 > 憑證
  2. 點選建立憑證 > OAuth 用戶端 ID
  3. 選取 Web 應用程式
  4. 新增授權的重新導向 URI:https://api.scribblemaps.com/oidc/callback
  5. 複製用戶端 ID 與用戶端密鑰
  6. 授權單位 URL:https://accounts.google.com

附註:若要要求 Google Workspace 使用 MFA,請在您的 Google Workspace 管理主控台中進行設定。

Auth0

  1. 在 Auth0 儀表板中,前往應用程式 > 建立應用程式
  2. 選取一般 Web 應用程式
  3. 設定:
    • 允許的回呼 URL:https://api.scribblemaps.com/oidc/callback
    • 允許的登出 URL:https://api.scribblemaps.com/oidc/logout-callback
  4. 從設定索引標籤複製用戶端 ID 與用戶端密鑰
  5. 授權單位 URL:https://YOUR-DOMAIN.auth0.com

進階選項

即時 (JIT) 佈建

啟用後,使用者會在其首次 SSO 登入時自動於 ScribbleMaps 中建立。其個人資料資訊 (名稱、電子郵件) 會由身分提供者填入。

要求多重要素驗證 (僅限 OIDC)

啟用此選項可在允許登入之前要求 MFA 驗證。ScribbleMaps 會確認您的 IdP 已對該使用者強制執行 MFA。

對於 Okta,您可以指定自訂 ACR 值,例如:

  • urn:okta:loa:2fa:any - 任何第二重要素
  • phr - 防網路釣魚驗證
  • phrh - 防網路釣魚且綁定硬體的驗證

屬性/宣告對應

自訂來自您 IdP 的使用者屬性如何對應至 ScribbleMaps 的使用者欄位:

ScribbleMaps 欄位 常見的 SAML 屬性 常見的 OIDC 宣告
電子郵件 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress email
名字 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname given_name
姓氏 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname family_name

疑難排解

常見問題

「網域未驗證」

  • 請確認您的 DNS TXT 記錄或驗證檔案已正確設定
  • DNS 變更最多可能需要 48 小時才會生效
  • 請確認驗證碼沒有打字錯誤

「憑證無效」

  • 請確認您使用的是完整的憑證,包含 -----BEGIN CERTIFICATE----- 與 -----END CERTIFICATE-----
  • 檢查憑證是否已過期
  • 請確認您複製的是簽章憑證,而非加密憑證

「簽章無效」

  • 請確認憑證與您 IdP 目前的簽章憑證相符
  • 檢查簽章演算法是否相符 (SHA-256 與 SHA-1)

「找不到使用者」或「電子郵件不符」

  • 請確認您的 IdP 傳回的電子郵件與已驗證的網域相符
  • 檢查 NameID 格式是否設為電子郵件地址
  • 確認屬性/宣告對應是否正確

「保全錯誤:您的身分提供者未獲授權使用此電子郵件網域」

  • 當 IdP 設定與已驗證的網域不符時會發生此情況
  • 請確認該電子郵件網域已在您的團隊下完成驗證
  • 檢查您是否使用來自已驗證網域的電子郵件登入

檢視稽核記錄

在設定 > 單一登入 > 稽核記錄中監控 SSO 活動。您可以:

  • 依事件類型篩選 (登入、登出、登入失敗)
  • 依日期範圍篩選
  • 將記錄匯出為 CSV 以供合規報告使用

需要說明嗎?

如果您在設定 SSO 時遇到問題,請聯絡我們的支援團隊,並提供:

  • 您的團隊名稱
  • 您使用的身分提供者
  • 您看到的任何錯誤訊息
  • 您 IdP 設定的螢幕截圖 (請遮蔽敏感資料)

我們隨時協助您為貴組織完成 SSO 設定。

最後更新