Přihlaste tým přes SSO

Co postavíš

Na konci tohohle tutoriálu budeš mít:

• připojení SAML mezi serverem Control Center a poskytovatelem identity (jako příklad bereme Okta),
• jednoho uživatele založeného automaticky při prvním přihlášení a
• politiku členství v pracovním prostoru, kterou zvolíš schválně.

Potřebuješ server, který spravuješ (vlastník serveru — operátor instalace), a aplikaci u IdP, kterou umíš nastavit. Počítej s 20 minutami.

1. Otevři nastavení jednotného přihlášení

Přihlas se do Control Center a jdi na Nastavení → Server → Jednotné přihlášení. Na obrazovce se přepíná mezi SAML a OpenID Connect a je tu i karta Provisionování uživatelů (SCIM). Zůstaň na SAML.

Všechno na téhle obrazovce platí pro celý server: jeden IdP ověřuje lidi ve všech pracovních prostorech, takže to smí upravovat jen vlastník serveru.

2. Vlož metadata IdP

V Okta otevři u aplikace kartu Sign On a zkopíruj metadata XML (nebo je stáhni a vlož obsah souboru). Zpátky v Control Center je vlož do XML metadat IdP a stiskni Otestovat připojení.

Toast ohlásí endpoint přihlášení IdP — důkaz, že se metadata rozebrala, certifikát se načetl a server z nich umí sestavit požadavek na přihlášení (test ověří všechno kromě cesty prohlížeče tam a zpět). Když to selže, XML není úplný EntityDescriptor (karta SAML v Okta tomu říká „Metadata URL“; otevři tu URL a zkopíruj, co vrací). Stejné tlačítko na OpenID Connect místo toho kontroluje discovery dokument vydavatele. Abys chytil i certifikát před koncem platnosti a viděl, jestli IdP Control Center vůbec pozná, použij kontrolu v kroku 6.

3. Zaregistruj Control Center u IdP

Stiskni Kopírovat metadata SP a předej je tomu, kdo nastavuje stranu Okta (nebo si přečti dvě hodnoty, na které se ptá):

• ACS URL: https://<your-server>/saml/acs
• Entity ID: https://<your-server>/saml

URL vycházejí z originu, na který se prohlížeče uživatelů dostanou. Když server běží za tunelem nebo reverzní proxy, ať je origin stabilní (Nastavení → Server → Připojení a stav → Sdílet tento server ukazuje veřejnou URL) — nebo entity ID připni výslovně v poli SP entity ID.

Za NAT?

Přihlášení přes SAML nepotřebuje veřejnou IP ani doménu: IdP se k tvému serveru nikdy nepřipojí — cestu tam a zpět nese prohlížeč uživatele, takže localhost, LAN, VPN, Tailscale i tunel fungují. Dvě věci si nepleť:

• origin, který prohlížeč používá, se musí shodovat s ACS URL / entity ID zaregistrovanými u IdP (entity ID připni, když se uživatelé k serveru dostávají pod víc než jedním originem),
• provisioning přes SCIM je výjimka — IdP volá tvůj server přímo, takže potřebuje tunel nebo veřejnou URL (provisioning uživatelů přes SCIM).

4. Zvol, co přihlášení udělí

O tom, co udělá první přihlášení, rozhodují dvě politiky:

• Přidat uživatele do každého pracovního prostoru při prvním přihlášení — nech zapnuto u nasazení pro jeden tým, kde SSO znamená důvěru. Vypni to, když server sdílí víc týmů nebo zákazníků: každý nový člověk pak potřebuje výslovnou pozvánku do pracovního prostoru, a to je bezpečnější výchozí nastavení.
• Provisionovat neznámé uživatele při prvním přihlášení — ve výchozím stavu zapnuto; vypni to, když chceš odmítnout každého, jehož účet ještě neexistuje.

Volitelně namapuj atribut s názvy skupin (u Okta to bývá groups) a mapou je převeď na role — třeba {"platform-leads": "admin"}. SSO nikdy neudělí roli vlastníka.

5. Zapni a projdi přihlášení

Zapni Použít SAML k přihlášení, stiskni Uložit připojení a otevři soukromé okno prohlížeče na https://<your-server>/saml/login. Přihlas se v Okta a vrátíš se na webového klienta — přihlášený, s založeným účtem a členstvím podle zvolené politiky.

Stejný vstup se ukáže na obrazovce připojení na webu (Přihlásit se přes SAML) v okamžiku, kdy napíšeš adresu serveru — formulář se přizpůsobí tomu, co server nabízí (OpenID Connect ukáže Přihlásit se přes OpenID Connect). Tlačítko otevře přihlášení v nové kartě; až cesta tam a zpět doběhne, čekající karta si relaci převezme sama. Obrazovka nastavení serveru na desktopu dělá totéž: napiš URL serveru, objeví se tlačítko Přihlásit se přes SAML, které otevře prohlížeč, a aplikace se přihlásí, až cesta tam a zpět doběhne.

6. Zkontroluj to z téhle stránky

Než SSO nasadíš, nebo když přihlášení selže, zkontroluj tady jednotlivé díly. Kontrola běží celá v prohlížeči: přečte metadata, která do téhle karty vložíš, a uplatní stejná pravidla jako server. Když jí dáš adresu serveru, zeptá se ho taky, jestli je přihlášení přes SAML zapnuté.

Chytí to, co Otestovat připojení v aplikaci nevidí: podpisový certifikát těsně před koncem platnosti, IdP, který trvá na podepsaných požadavcích, a se zkušebním přihlášením i to, jestli IdP Control Center vůbec pozná.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

Kam dál

• Dej IdP kontrolu i nad životním cyklem: provisioning a deprovisioning uživatelů přes SCIM.
• Tvůj IdP mluví OpenID Connect místo SAML? Připojte poskytovatele OpenID Connect.
• Zajímá tě, co cesta prohlížeče tam a zpět vlastně ověřuje? Jak funguje jednotné přihlášení.