سجّل دخول فريقك عبر SSO

ما الذي ستبنيه

في نهاية هذا الدرس، سيكون لديك:

• اتصال SAML بين خادم Control Center وموفّر هوية (نستخدم Okta مثالًا)،
• مستخدم واحد يُوفَّر تلقائيًا عند أول تسجيل دخول له، و
• سياسة عضوية في مساحة العمل اخترتها عن قصد.

تحتاج إلى خادم تديره (أنت مالك الخادم — مشغّل التثبيت) وتطبيق IdP تستطيع تهيئته. خصّص 20 دقيقة.

1. افتح إعدادات تسجيل الدخول الموحد

سجّل الدخول إلى Control Center، ثم انتقل إلى الإعدادات ← الخادم ← تسجيل الدخول الموحّد. تبدّل الشاشة بين SAML وOpenID Connect، مع بطاقة توفير المستخدمين (SCIM). ابقَ على SAML.

كل ما في هذه الشاشة على نطاق الخادم: يصادق IdP واحد على بشر كل مساحة عمل، فلا يستطيع تحريرها إلا مالك الخادم.

2. الصق بيانات تعريف IdP

في Okta، افتح تبويب Sign On في تطبيقك وانسخ XML بيانات التعريف (أو نزّله والصق محتويات الملف). عد إلى Control Center، والصقه في XML لبيانات تعريف IdP واضغط اختبار الاتصال.

يبلّغ التنبيه بنقطة نهاية تسجيل الدخول لدى IdP — دليل على أن بيانات التعريف اُحلّلت، وأن الشهادة قُرئت، وأن الخادم يستطيع بناء طلب تسجيل دخول مقابلها (يجرّب الاختبار كل شيء عدا جولة المتصفح ذهابًا وإيابًا). إن فشل، فـ XML لم يكن EntityDescriptor مكتملًا (يسمّيه تبويب SAML في Okta «Metadata URL»؛ افتح العنوان وانسخ ما يقدّمه). الزر نفسه في OpenID Connect يتحقق من مستند الاكتشاف لدى مُصدِرك بدل ذلك. ولالتقاط شهادة قاربت انتهاء صلاحيتها أيضًا، ومعرفة هل يتعرّف IdP إلى Control Center، استخدم أداة التحقق في الخطوة 6.

3. سجّل Control Center لدى IdP

اضغط نسخ بيانات تعريف SP وسلّمها لمن يهيّئ جهة Okta (أو اقرأ القيمتين اللتين يطلبهما):

• ACS URL: https://<your-server>/saml/acs
• Entity ID: https://<your-server>/saml

تُشتق العناوين من الأصل الذي تبلغه متصفحات المستخدمين. إن كان الخادم يعمل خلف نفق أو بروكسي عكسي، فتأكد من ثبات الأصل (تعرض الإعدادات ← الخادم ← الاتصال والحالة ← مشاركة هذا الخادم عنوان URL العام) — أو ثبّت معرّف الكيان صراحة في حقل معرّف كيان SP.

خلف NAT؟

لا يحتاج تسجيل الدخول عبر SAML إلى عنوان IP عام أو نطاق: لا يتصل IdP بخادمك أبدًا — متصفح المستخدم هو الذي يحمل جولة الذهاب والإياب، فيعمل localhost وLAN وVPN وTailscale والنفق كلها. أمران لا يُخلط بينهما:

• يجب أن يطابق الأصل الذي يستخدمه المتصفح عنوان ACS / معرّف الكيان المسجّلين لدى IdP (ثبّت معرّف الكيان إن كان المستخدمون يبلغون الخادم تحت أكثر من أصل واحد)،
• توفير المستخدمين عبر SCIM هو الاستثناء — يستدعي IdP خادمك مباشرة، فيحتاج نفقًا أو عنوان URL عامًا (توفير المستخدمين عبر SCIM).

4. اختر ما يمنحه تسجيل الدخول

تقرّر سياستان ما يفعله أول تسجيل دخول:

• إضافة المستخدمين إلى كل مساحة عمل عند أول تسجيل دخول — أبقِه مفعّلًا في نشر لفريق واحد حيث يعني SSO الثقة. أطفئه حين يتشارك عدة فرق أو عملاء الخادم نفسه: يحتاج كل قادم عندئذٍ إلى دعوة صريحة إلى مساحة العمل، وهو الافتراض الأكثر أمانًا.
• توفير المستخدمين غير المعروفين عند أول تسجيل دخول — مفعّل افتراضيًا؛ أطفئه لرفض أي شخص لا يوجد حسابه أصلًا.

يمكنك اختياريًا تعيين سمة تحمل أسماء المجموعات (في Okta هي غالبًا groups) وترجمة المجموعات إلى أدوار عبر التعيين — مثلًا {"platform-leads": "admin"}. لا يمنح SSO دور المالك أبدًا.

5. فعّل وأتمم تسجيل الدخول

فعّل استخدام SAML لتسجيل الدخول، واضغط حفظ الاتصال، ثم افتح نافذة متصفح خاصة على https://<your-server>/saml/login. سجّل الدخول لدى Okta فتعود إلى عميل الويب — وقد سجّلت الدخول، وأُنشئ حسابك ومُنحت عضويته وفق السياسة التي اخترتها.

تظهر نقطة الدخول نفسها على شاشة الاتصال في الويب (تسجيل الدخول عبر SAML) فور كتابة عنوان الخادم — يتكيّف النموذج مع ما يعرضه الخادم (يعرض OpenID Connect تسجيل الدخول عبر OpenID Connect). يفتح الزر تسجيل الدخول في تبويب جديد؛ وحين تكتمل جولة الذهاب والإياب، يلتقط التبويب المنتظر الجلسة تلقائيًا. تفعل شاشة إعداد الخادم في تطبيق الحاسوب الأمر نفسه: اكتب عنوان URL للخادم، فيظهر زر تسجيل الدخول عبر SAML يفتح المتصفح، ويسجّل التطبيق الدخول حين تكتمل جولة الذهاب والإياب.

6. تحقق منه من هذه الصفحة

قبل تعميم SSO، أو حين يفشل تسجيل دخول، تحقق من الأجزاء هنا. تعمل أداة التحقق بالكامل في متصفحك: تقرأ بيانات التعريف التي تلصقها في هذا التبويب وتطبّق قواعد الخادم نفسها. ومع عنوان خادمك، تسأل ذلك الخادم أيضًا هل تسجيل الدخول عبر SAML مفعّل.

تلتقط ما لا يراه اختبار الاتصال في التطبيق: شهادة توقيع قاربت انتهاء صلاحيتها، وIdP يصرّ على طلبات موقّعة، ومع تسجيل الدخول التجريبي، هل يتعرّف IdP إلى Control Center أصلًا.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

إلى أين بعد ذلك

• امنح IdP التحكم في دورة الحياة أيضًا: توفير المستخدمين وإلغاء توفيرهم عبر SCIM.
• يتكلم IdP لديك OpenID Connect بدل SAML؟ ربط مزوّد OpenID Connect.
• تريد أن تعرف ما الذي تتحقق منه جولة المتصفح ذهابًا وإيابًا فعلًا؟ كيف يعمل تسجيل الدخول الموحّد.