Συνδεθείτε με την ομάδα μέσω SSO

Τι θα φτιάξετε

Μέχρι το τέλος αυτού του οδηγού θα έχετε:

• μια σύνδεση SAML ανάμεσα στον διακομιστή σας Control Center και έναν πάροχο ταυτότητας (χρησιμοποιούμε το Okta ως παράδειγμα),
• έναν χρήστη που παρασχέθηκε αυτόματα στην πρώτη του σύνδεση και
• μια πολιτική συμμετοχής σε χώρο εργασίας που επιλέξατε συνειδητά.

Θα χρειαστείτε έναν διακομιστή που διαχειρίζεστε εσείς (ο ιδιοκτήτης του διακομιστή — ο χειριστής της εγκατάστασης) και μια εφαρμογή IdP που μπορείτε να διαμορφώσετε. Υπολογίστε 20 λεπτά.

1. Ανοίξτε τις ρυθμίσεις ενιαίας σύνδεσης

Συνδεθείτε στο Control Center και μετά μεταβείτε στις Ρυθμίσεις → Διακομιστής → Ενιαία σύνδεση. Η οθόνη εναλλάσσεται ανάμεσα σε SAML και OpenID Connect, με επιπλέον μια κάρτα Παροχή χρηστών (SCIM). Μείνετε στο SAML.

Ό,τι βρίσκεται σε αυτή την οθόνη αφορά ολόκληρο τον διακομιστή: ένας IdP αυθεντικοποιεί τους ανθρώπους κάθε χώρου εργασίας, οπότε μόνο ο ιδιοκτήτης του διακομιστή μπορεί να το επεξεργαστεί.

2. Επικολλήστε τα μεταδεδομένα του IdP

Στο Okta, ανοίξτε την καρτέλα Sign On της εφαρμογής σας και αντιγράψτε το XML των μεταδεδομένων (ή κατεβάστε το και επικολλήστε το περιεχόμενο του αρχείου). Πίσω στο Control Center, επικολλήστε το στο XML μεταδεδομένων IdP και πατήστε Δοκιμή σύνδεσης.

Το αναδυόμενο μήνυμα αναφέρει το endpoint σύνδεσης του IdP — απόδειξη ότι τα μεταδεδομένα αναλύθηκαν, το πιστοποιητικό διαβάστηκε και ο διακομιστής μπορεί να συντάξει ένα αίτημα σύνδεσης προς αυτό (η δοκιμή ασκεί τα πάντα εκτός από τον κύκλο ανταλλαγής μέσω του προγράμματος περιήγησης). Αν αποτύχει, το XML δεν ήταν ένα πλήρες EntityDescriptor (η καρτέλα SAML στο Okta το ονομάζει «Metadata URL»· ανοίξτε το URL και αντιγράψτε ό,τι σερβίρει). Το ίδιο κουμπί στο OpenID Connect ελέγχει αντ’ αυτού το έγγραφο ανακάλυψης του εκδότη σας. Για να εντοπίσετε και ένα πιστοποιητικό που πλησιάζει στη λήξη του και να δείτε αν ο IdP αναγνωρίζει το Control Center, χρησιμοποιήστε τον έλεγχο στο βήμα 6.

3. Καταχωρίστε το Control Center στον IdP

Πατήστε Αντιγραφή μεταδεδομένων SP και δώστε τα σε όποιον διαμορφώνει την πλευρά του Okta (ή διαβάστε τις δύο τιμές που ζητούν):

• ACS URL: https://<your-server>/saml/acs
• Entity ID: https://<your-server>/saml

Τα URL προκύπτουν από την προέλευση που φτάνουν τα προγράμματα περιήγησης των χρηστών σας. Αν ο διακομιστής εκτελείται πίσω από σήραγγα ή αντίστροφο διαμεσολαβητή, βεβαιωθείτε ότι η προέλευση είναι σταθερή (Ρυθμίσεις → Διακομιστής → Σύνδεση και κατάσταση → Κοινή χρήση αυτού του διακομιστή εμφανίζει το δημόσιο URL) — ή καρφιτσώστε το entity ID ρητά στο πεδίο SP entity ID.

Πίσω από NAT;

Η σύνδεση SAML δεν χρειάζεται δημόσια IP ή domain: ο IdP δεν συνδέεται ποτέ με τον διακομιστή σας — το πρόγραμμα περιήγησης του χρήστη μεταφέρει τον κύκλο ανταλλαγής, οπότε τα localhost, LAN, VPN, Tailscale ή μια σήραγγα λειτουργούν όλα. Δύο πράγματα που πρέπει να έχετε ξεκάθαρα:

• η προέλευση που χρησιμοποιεί το πρόγραμμα περιήγησης πρέπει να ταιριάζει με το ACS URL / entity ID που έχει καταχωριστεί στον IdP (καρφιτσώστε το entity ID αν οι χρήστες φτάνουν στον διακομιστή από περισσότερες από μία προελεύσεις),
• η παροχή μέσω SCIM είναι η εξαίρεση — ο IdP καλεί απευθείας τον διακομιστή σας, οπότε χρειάζεται σήραγγα ή δημόσιο URL (παροχή χρηστών με SCIM).

4. Επιλέξτε τι εκχωρεί μια σύνδεση

Δύο πολιτικές καθορίζουν τι κάνει μια πρώτη σύνδεση:

• Προσθήκη χρηστών σε κάθε χώρο εργασίας στην πρώτη σύνδεση — αφήστε το ενεργό για ανάπτυξη μίας μόνο ομάδας, όπου το SSO ισοδυναμεί με εμπιστοσύνη. Απενεργοποιήστε το όταν πολλές ομάδες ή πελάτες μοιράζονται τον διακομιστή: τότε κάθε νεοεισερχόμενος χρειάζεται ρητή πρόσκληση σε χώρο εργασίας, που είναι η ασφαλέστερη προεπιλογή.
• Παροχή άγνωστων χρηστών στην πρώτη σύνδεση — ενεργό από προεπιλογή· απενεργοποιήστε το για να απορρίπτετε όποιον δεν έχει ήδη λογαριασμό.

Προαιρετικά, αντιστοιχίστε ένα χαρακτηριστικό που μεταφέρει ονόματα ομάδων (στο Okta είναι συνήθως groups) και μετατρέψτε τις ομάδες σε ρόλους με τον χάρτη — για παράδειγμα {"platform-leads": "admin"}. Το SSO δεν μπορεί ποτέ να εκχωρήσει τον ρόλο του ιδιοκτήτη.

5. Ενεργοποιήστε και πραγματοποιήστε μια σύνδεση

Ενεργοποιήστε το Χρήση SAML για σύνδεση, πατήστε Αποθήκευση σύνδεσης και μετά ανοίξτε ένα παράθυρο ιδιωτικής περιήγησης στο https://<your-server>/saml/login. Συνδεθείτε στο Okta και επιστρέφετε στον πελάτη web — συνδεδεμένοι, με τον λογαριασμό σας να έχει δημιουργηθεί και τη συμμετοχή του να έχει εκχωρηθεί σύμφωνα με την πολιτική που επιλέξατε.

Το ίδιο σημείο εισόδου εμφανίζεται στην οθόνη σύνδεσης web (Σύνδεση με SAML) τη στιγμή που πληκτρολογείτε τη διεύθυνση του διακομιστή — η φόρμα προσαρμόζεται σε ό,τι προσφέρει ο διακομιστής (το OpenID Connect εμφανίζει Σύνδεση με OpenID Connect). Το κουμπί ανοίγει τη σύνδεση σε νέα καρτέλα· όταν ολοκληρωθεί ο κύκλος ανταλλαγής, η καρτέλα που περιμένει παραλαμβάνει αυτόματα τη συνεδρία. Το ίδιο κάνει και η οθόνη ρύθμισης διακομιστή στην εφαρμογή υπολογιστή: πληκτρολογήστε το URL του διακομιστή, εμφανίζεται ένα κουμπί Σύνδεση με SAML που ανοίγει το πρόγραμμα περιήγησής σας και η εφαρμογή συνδέεται όταν ολοκληρωθεί ο κύκλος ανταλλαγής.

6. Ελέγξτε το από αυτή τη σελίδα

Πριν διαθέσετε το SSO, ή όταν αποτύχει κάποια σύνδεση, ελέγξτε τα επιμέρους στοιχεία εδώ. Ο έλεγχος εκτελείται εξ ολοκλήρου στο πρόγραμμα περιήγησής σας: διαβάζει τα μεταδεδομένα που επικολλάτε σε αυτή την καρτέλα και εφαρμόζει τους ίδιους κανόνες με τον διακομιστή. Αν του δώσετε τη διεύθυνση του διακομιστή σας, ρωτά και τον ίδιο τον διακομιστή αν η σύνδεση SAML είναι ενεργή.

Εντοπίζει όσα δεν μπορεί να δει η Δοκιμή σύνδεσης στην εφαρμογή: ένα πιστοποιητικό υπογραφής κοντά στη λήξη του, έναν IdP που επιμένει σε υπογεγραμμένα αιτήματα και, με τη δοκιμαστική σύνδεση, αν ο IdP αναγνωρίζει καθόλου το Control Center.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

Επόμενα βήματα

• Δώστε στον IdP σας και τον έλεγχο του κύκλου ζωής: παροχή και αποπαροχή χρηστών με SCIM.
• Ο IdP σας μιλάει OpenID Connect αντί για SAML; Σύνδεση παρόχου OpenID Connect.
• Αναρωτιέστε τι επαληθεύει στην πραγματικότητα ο κύκλος ανταλλαγής μέσω του προγράμματος περιήγησης; Πώς λειτουργεί η ενιαία σύνδεση.