Masukkan tim Anda dengan SSO

Yang akan Anda bangun

Pada akhir tutorial ini, Anda akan memiliki:

• koneksi SAML antara server Control Center Anda dan penyedia identitas (kami memakai Okta sebagai contoh),
• satu pengguna yang disediakan secara otomatis pada login pertamanya dan
• kebijakan keanggotaan ruang kerja yang Anda pilih dengan sengaja.

Anda memerlukan server yang Anda kelola (sang pemilik server — operator instalasi) dan aplikasi IdP yang dapat Anda konfigurasi. Sediakan waktu 20 menit.

1. Buka pengaturan single sign-on

Masuk ke Control Center, lalu buka Pengaturan → Server → Single sign-on. Layar ini beralih antara SAML dan OpenID Connect, plus kartu Penyediaan pengguna (SCIM). Tetap di SAML.

Semua yang ada di layar ini bersifat server-wide: satu IdP mengautentikasi setiap manusia di semua ruang kerja, jadi hanya pemilik server yang dapat mengeditnya.

2. Tempel metadata IdP

Di Okta, buka tab Sign On aplikasi Anda dan salin XML metadata (atau unduh lalu tempelkan isi filenya). Kembali di Control Center, tempelkan ke XML metadata IdP lalu tekan Uji koneksi.

Toast melaporkan endpoint sign-on milik IdP — bukti bahwa metadata berhasil diurai, sertifikat berhasil dibaca, dan server dapat membangun permintaan login terhadapnya (uji ini menguji semuanya kecuali perjalanan bolak-balik browser). Jika gagal, XML tersebut bukan EntityDescriptor yang lengkap (tab SAML di Okta menyebutnya “Metadata URL”; buka URL tersebut dan salin yang disajikannya). Tombol yang sama di OpenID Connect memeriksa dokumen discovery issuer Anda sebagai gantinya. Untuk sekaligus menangkap sertifikat yang mendekati kedaluwarsa dan melihat apakah IdP mengenali Control Center, gunakan pemeriksa di langkah 6.

3. Daftarkan Control Center di IdP

Tekan Salin metadata SP dan serahkan kepada orang yang mengonfigurasi sisi Okta (atau bacakan dua nilai yang mereka tanyakan):

• ACS URL: https://<your-server>/saml/acs
• Entity ID: https://<your-server>/saml

URL diturunkan dari origin yang dijangkau browser pengguna Anda. Jika server berjalan di balik tunnel atau reverse proxy, pastikan origin-nya stabil (Pengaturan → Server → Koneksi & status → Bagikan server ini menampilkan URL publik) — atau sematkan entity ID secara eksplisit di kolom ID entitas SP.

Di balik NAT?

Login SAML tidak memerlukan IP publik atau domain: IdP tidak pernah terhubung ke server Anda — browser pengguna yang membawa perjalanan bolak-balik, sehingga localhost, LAN, VPN, Tailscale, atau tunnel semuanya berfungsi. Dua hal yang perlu diperhatikan dengan benar:

• origin yang dipakai browser harus cocok dengan ACS URL / entity ID yang terdaftar di IdP (sematkan entity ID jika pengguna menjangkau server melalui lebih dari satu origin),
• provisioning SCIM adalah pengecualiannya — IdP memanggil server Anda secara langsung, jadi diperlukan tunnel atau URL publik (provision pengguna dengan SCIM).

4. Pilih apa yang diberikan oleh login

Dua kebijakan menentukan apa yang dilakukan login pertama:

• Tambahkan pengguna ke setiap ruang kerja pada login pertama — biarkan aktif untuk deployment satu tim di mana SSO berarti kepercayaan. Matikan ketika beberapa tim atau pelanggan berbagi server: setiap pendatang baru kemudian memerlukan undangan ruang kerja eksplisit, yang merupakan default yang lebih aman.
• Sediakan pengguna yang belum dikenal pada login pertama — aktif secara default; matikan untuk menolak siapa pun yang akunnya belum ada.

Secara opsional, petakan atribut yang membawa nama grup (milik Okta umumnya groups) dan terjemahkan grup menjadi peran dengan peta tersebut — misalnya {"platform-leads": "admin"}. SSO tidak pernah dapat memberikan peran pemilik.

5. Aktifkan dan lakukan login

Aktifkan Gunakan SAML untuk masuk, tekan Simpan koneksi, lalu buka jendela browser privat di https://<your-server>/saml/login. Masuk di Okta dan Anda kembali ke klien web — sudah login, dengan akun Anda dibuat dan keanggotaannya diberikan sesuai kebijakan yang Anda pilih.

Titik masuk yang sama muncul di layar koneksi web (Masuk dengan SAML) begitu Anda mengetikkan alamat server — formulir menyesuaikan dengan apa yang ditawarkan server (OpenID Connect menampilkan Masuk dengan OpenID Connect). Tombol tersebut membuka login di tab baru; saat perjalanan bolak-balik selesai, tab yang menunggu mengambil sesi itu secara otomatis. Layar penyiapan server di desktop melakukan hal yang sama: ketik URL server, tombol Masuk dengan SAML muncul yang membuka browser Anda dan aplikasi login saat perjalanan bolak-balik selesai.

6. Periksa dari halaman ini

Sebelum Anda meluncurkan SSO, atau ketika login gagal, periksa komponennya di sini. Pemeriksa berjalan sepenuhnya di browser Anda: ia membaca metadata yang Anda tempelkan di tab ini dan menerapkan aturan yang sama seperti server. Diberikan alamat server Anda, ia juga menanyakan ke server tersebut apakah login SAML aktif.

Ia menangkap apa yang tidak dapat dilihat oleh Uji koneksi di aplikasi: sertifikat penandatangan yang mendekati kedaluwarsa, IdP yang memaksa permintaan bertanda tangan, dan, dengan uji login, apakah IdP mengenali Control Center sama sekali.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

Panduan terkait

• Berikan juga kendali siklus hidup kepada IdP Anda: sediakan dan deprovision pengguna dengan SCIM.
• IdP Anda berbicara OpenID Connect, bukan SAML? Hubungkan penyedia OpenID Connect.
• Penasaran apa yang sebenarnya diverifikasi oleh perjalanan bolak-balik browser? Cara kerja masuk tunggal.