Csapat bejelentkeztetése SSO-val

Mit fog felépíteni

Az oktatóanyag végére a következőkkel rendelkezik majd:

SAML-kapcsolat a Control Center szervere és egy identitásszolgáltató között (a példában az Okta szerepel),
egy felhasználó, aki az első bejelentkezésekor automatikusan létrejön, és
egy munkaterület-tagsági szabályzat, amelyet Ön választott meg szándékosan.

Szüksége lesz egy szerverre, amelyet Ön igazgat (a szervertulajdonos — a telepítés üzemeltetője), valamint egy IdP-alkalmazásra, amelyet be tud állítani. Szánjon rá 20 percet.

1. Nyissa meg az egyszeri bejelentkezés beállításait

Jelentkezzen be a Control Centerbe, majd nyissa meg a Beállítások → Szerver → Egyszeri bejelentkezés oldalt. A képernyő a SAML és az OpenID Connect között vált, és van rajta egy Felhasználó-provisioning (SCIM) kártya is. Maradjon a SAML-nál.

Az ezen a képernyőn látható beállítások a teljes szerverre érvényesek: egyetlen IdP hitelesíti az összes munkaterület felhasználóit, ezért csak a szervertulajdonos szerkesztheti őket.

2. Illessze be az IdP metaadatait

Az Oktában nyissa meg az alkalmazás Sign On fülét, és másolja ki a metaadat XML-t (vagy töltse le, és illessze be a fájl tartalmát). A Control Centerben illessze be az IdP-metaadat XML mezőbe, majd nyomja meg a Kapcsolat tesztelése gombot.

A felugró értesítés az IdP bejelentkezési végpontját közli — ami azt bizonyítja, hogy a metaadat feldolgozása sikerült, a tanúsítvány beolvasható, és a szerver képes bejelentkezési kérést építeni rá (a teszt a böngészős körfordulón kívül mindent lefed). Ha meghiúsul, az XML nem volt teljes EntityDescriptor (az Okta SAML fülén ezt „Metadata URL” néven találja; nyissa meg az URL-t, és másolja le, amit kiszolgál). Ugyanez a gomb az OpenID Connect esetében helyette a kibocsátó felfedezési dokumentumát ellenőrzi. Ha a lejáróban lévő tanúsítványt is el szeretné kapni, és látni szeretné, hogy az IdP egyáltalán felismeri-e a Control Centert, használja a 6. lépés ellenőrzőjét.

3. Regisztrálja a Control Centert az IdP-nél

Nyomja meg az SP-metaadat másolása gombot, és adja át annak, aki az Okta oldalt konfigurálja (vagy olvassa fel a két értéket, amit kérdez):

ACS URL: https://<your-server>/saml/acs
Entity ID: https://<your-server>/saml

Az URL-ek abból az originből származnak, amelyet a felhasználók böngészője elér. Ha a szerver alagút vagy fordított proxy mögött fut, ügyeljen rá, hogy az origin stabil legyen (Beállítások → Szerver → Kapcsolat és állapot → Szerver megosztása mutatja a nyilvános URL-t) — vagy rögzítse az entity ID-t kifejezetten az SP entity ID mezőben.

4. Válassza ki, mit engedélyez egy bejelentkezés

Két szabályzat dönti el, mit tesz az első bejelentkezés:

Felhasználók hozzáadása minden munkaterülethez az első bejelentkezéskor — hagyja bekapcsolva egyetlen csapatot kiszolgáló telepítésnél, ahol az SSO a bizalmat jelenti. Kapcsolja ki, ha több csapat vagy ügyfél osztozik a szerveren: ilyenkor minden új belépőnek kifejezett munkaterület-meghívóra van szüksége, ami a biztonságosabb alapértelmezés.
Ismeretlen felhasználók provisionálása az első bejelentkezéskor — alapértelmezés szerint be van kapcsolva; kapcsolja ki, ha el szeretné utasítani mindazokat, akiknek még nincs fiókjuk.

Opcionálisan leképezhet egy csoportneveket hordozó attribútumot (az Okta esetében ez általában a groups), és a leképezéssel csoportokat fordíthat szerepekre — például {"platform-leads": "admin"}. Az SSO soha nem adhatja meg a tulajdonos szerepet.

5. Kapcsolja be, és vigyen végig egy bejelentkezést

Kapcsolja be az SAML használata a bejelentkezéshez lehetőséget, nyomja meg a Kapcsolat mentése gombot, majd nyisson egy privát böngészőablakot a https://<your-server>/saml/login címen. Jelentkezzen be az Oktánál, és visszakerül a webes kliensre — bejelentkezve, a fiókja létrejött, a tagsága pedig a választott szabályzat szerint megadva.

Ugyanez a belépési pont jelenik meg a webes csatlakozási képernyőn (Bejelentkezés ezzel: SAML), amint beírja a szerver címét — az űrlap alkalmazkodik ahhoz, amit a szerver kínál (OpenID Connect esetén a Bejelentkezés ezzel: OpenID Connect jelenik meg). A gomb új lapon nyitja meg a bejelentkezést; amikor a körforduló befejeződik, a várakozó lap automatikusan átveszi a munkamenetet. Az asztali szerverbeállító képernyő ugyanezt teszi: írja be a szerver URL-jét, megjelenik egy Bejelentkezés ezzel: SAML gomb, amely megnyitja a böngészőt, és az alkalmazás bejelentkezik, amikor a körforduló befejeződik.

6. Ellenőrzés erről az oldalról

Mielőtt bevezetné az SSO-t, vagy amikor egy bejelentkezés meghiúsul, ellenőrizze itt az egyes elemeket. Az ellenőrző teljes egészében a böngészőjében fut: beolvassa az ezen a lapon beillesztett metaadatot, és ugyanazokat a szabályokat alkalmazza, mint a szerver. Ha megadja a szerver címét, azt is megkérdezi a szervertől, hogy be van-e kapcsolva a SAML-bejelentkezés.

Azokat is elkapja, amelyeket az alkalmazás Kapcsolat tesztelése funkciója nem lát: a lejárathoz közeli aláíró tanúsítványt, a szigorúan aláírt kéréseket követelő IdP-t, valamint a próbabejelentkezéssel azt, hogy az IdP egyáltalán felismeri-e a Control Centert.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

Következő lépések

Adjon életciklus-vezérlést az IdP-jének is: felhasználók provisionálása és deprovisionálása SCIM-mel.
Az IdP-je inkább OpenID Connectet beszél a SAML helyett? OpenID Connect szolgáltató csatlakoztatása.
Kíváncsi, mit ellenőriz valójában a böngészős körforduló? Hogyan működik az egyszeri bejelentkezés.