התחברות הצוות באמצעות SSO

מה תבנו

בסוף המדריך הזה יהיו לכם:

• חיבור SAML בין שרת ה-Control Center שלכם לספק זהויות (בדוגמה כאן נשתמש ב-Okta),
• משתמש אחד שיוקצה אוטומטית בהתחברות הראשונה שלו, ו־
• מדיניות חברות בסביבת עבודה שבחרתם במכוון.

תצטרכו שרת שאתם מנהלים (הבעלים של השרת — המפעיל של ההתקנה) ואפליקציית IdP שתוכלו להגדיר. הקצו לכך 20 דקות.

1. פתחו את הגדרות הכניסה המאוחדת

היכנסו ל-Control Center ואז עברו אל הגדרות ← שרת ← כניסה מאוחדת. המסך עובר בין SAML ל-OpenID Connect, ובנוסף יש כרטיס הקצאת משתמשים (SCIM). הישארו ב-SAML.

כל מה שבמסך הזה הוא ברמת השרת: IdP אחד מאמת את האנשים בכל סביבות העבודה, ולכן רק הבעלים של השרת יכול לערוך אותו.

2. הדביקו את המטא-נתונים של ה-IdP

ב-Okta, פתחו את הלשונית Sign On של האפליקציה שלכם והעתיקו את ה-XML של המטא-נתונים (או הורידו אותו והדביקו את תוכן הקובץ). חזרו ל-Control Center, הדביקו אותו במטא-נתוני ה-IdP (XML) ולחצו על בדיקת חיבור.

הודעת הטוסט מדווחת על נקודת הקצה של ההתחברות ב-IdP — הוכחה שהמטא-נתונים פוענחו, התעודה נקראה והשרת יכול לבנות מולם בקשת התחברות (הבדיקה מתרגלת הכול למעט סבב הדפדפן). אם היא נכשלת, ה-XML לא היה EntityDescriptor שלם (הלשונית SAML ב-Okta מכנה אותו “Metadata URL”; פתחו את הכתובת והעתיקו את מה שהיא מגישה). אותו כפתור ב-OpenID Connect בודק במקום זאת את מסמך הגילוי של המנפיק שלכם. כדי לתפוס גם תעודה שעומדת לפוג ולראות אם ה-IdP מזהה את Control Center, השתמשו בבודק שבשלב 6.

3. רשמו את Control Center אצל ה-IdP

לחצו על העתקת מטא-נתוני SP ומסרו אותו למי שמגדיר את הצד של Okta (או קראו את שני הערכים שהם מבקשים):

• כתובת ACS: https://<your-server>/saml/acs
• מזהה ישות: https://<your-server>/saml

הכתובות נגזרות מהמקור שדפדפני המשתמשים שלכם מגיעים אליו. אם השרת פועל מאחורי מנהרה או פרוקסי הפוך, ודאו שהמקור יציב (הגדרות ← שרת ← חיבור וסטטוס ← שתף שרת זה מציג את הכתובת הציבורית) — או קבעו את מזהה הישות במפורש בשדה מזהה ישות SP.

מאחורי NAT?

ההתחברות ב-SAML אינה צריכה כתובת IP ציבורית או דומיין: ה-IdP לעולם אינו מתחבר לשרת שלכם — הדפדפן של המשתמש הוא שנושא את הסבב, ולכן localhost, LAN, VPN, Tailscale או מנהרה — כולם עובדים. שני דברים שכדאי לשמור ישר:

• המקור שהדפדפן משתמש בו חייב לתאום לכתובת ה-ACS / מזהה הישות שרשומים אצל ה-IdP (קבעו את מזהה הישות אם משתמשים מגיעים לשרת תחת יותר ממקור אחד),
• הקצאת SCIM היא היוצא מן הכלל — ה-IdP פונה ישירות לשרת שלכם, ולכן היא צריכה מנהרה או כתובת ציבורית (הקצאת משתמשים עם SCIM).

4. בחרו מה מעניקה ההתחברות

שתי מדיניות קובעות מה עושה התחברות ראשונה:

• הוספת משתמשים לכל סביבת עבודה בהתחברות הראשונה — השאירו דלוק בפריסה של צוות אחד, שבה SSO שווה לאמון. כבו אותה כשכמה צוותים או לקוחות חולקים את השרת: אז כל מצטרף חדש צריך הזמנה מפורשת לסביבת עבודה, וזו ברירת המחדל הבטוחה יותר.
• הקצאת משתמשים לא מוכרים בהתחברות הראשונה — דלוק כברירת מחדל; כבו אותו כדי לדחות כל מי שחשבונו עדיין אינו קיים.

אפשר גם למפות מאפיין הנושא שמות קבוצות (ב-Okta הוא בדרך כלל groups) ולתרגם קבוצות לתפקידים באמצעות המפה — לדוגמה {"platform-leads": "admin"}. SSO לעולם לא יכול להעניק את תפקיד הבעלים.

5. הפעילו ובצעו התחברות

הפעילו את שימוש ב-SAML לכניסה, לחצו על שמירת החיבור, ואז פתחו חלון דפדפן פרטי בכתובת https://<your-server>/saml/login. היכנסו ב-Okta ואתם נוחתים חזרה בלקוח האינטרנט — מחוברים, כשהחשבון שלכם נוצר והחברות בו הוענקה לפי המדיניות שבחרתם.

אותה נקודת כניסה מופיעה במסך ההתחברות האינטרנטי (כניסה עם SAML) ברגע שאתם מקלידים את כתובת השרת — הטופס מתאים את עצמו למה שהשרת מציע (OpenID Connect מציג כניסה עם OpenID Connect). הכפתור פותח את ההתחברות בלשונית חדשה; כשהסבב מסתיים, הלשונית שממתינה קולטת את הסשן אוטומטית. מסך הגדרת השרת בשולחן העבודה עושה את אותו הדבר: הקלידו את כתובת השרת, יופיע כפתור כניסה עם SAML שפותח את הדפדפן שלכם והאפליקציה מתחברת כשהסבב מסתיים.

6. בדקו זאת מהדף הזה

לפני שאתם פורסים את SSO, או כשהתחברות נכשלת, בדקו כאן את החלקים. הבודק פועל כולו בדפדפן שלכם: הוא קורא את המטא-נתונים שאתם מדביקים בלשונית הזו ומחיל את אותם כללים כמו השרת. אם תספקו את כתובת השרת, הוא גם שואל את השרת הזה אם הכניסה ב-SAML דלוקה.

הוא תופס את מה שבדיקת חיבור באפליקציה אינה יכולה לראות: תעודת חתימה קרובה לפקיעה, IdP שמתעקש על בקשות חתומות, ובאמצעות התחברות הניסיון — אם ה-IdP מזהה את Control Center בכלל.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

לאן ממשיכים

• תנו ל-IdP שלכם גם שליטה על מחזור החיים: הקצאת משתמשים וביטול הקצאה עם SCIM.
• ה-IdP שלכם מדבר OpenID Connect במקום SAML? חיבור ספק OpenID Connect.
• סקרנים מה באמת מאמת סבב הדפדפן? איך עובדת הכניסה המאוחדת.