Daftar masuk pasukan anda dengan SSO

Apa yang akan anda bina

Menjelang akhir tutorial ini, anda akan mempunyai:

• satu sambungan SAML antara pelayan Control Center anda dan pembekal identiti (kami menggunakan Okta sebagai contoh),
• satu pengguna yang diperuntukkan secara automatik pada log masuk pertama mereka dan
• satu polisi keahlian ruang kerja yang anda pilih secara sedar.

Anda memerlukan pelayan yang anda tadbir (pemilik pelayan — operator pemasangan itu) dan aplikasi IdP yang boleh anda konfigurasikan. Sediakan masa 20 minit.

1. Buka tetapan daftar masuk tunggal

Log masuk ke Control Center, kemudian pergi ke Tetapan → Pelayan → Daftar masuk tunggal. Skrin itu bertukar antara SAML dan OpenID Connect, serta kad Peruntukan pengguna (SCIM). Kekal pada SAML.

Semua pada skrin ini adalah pada peringkat pelayan: satu IdP mengesahkan setiap manusia dalam semua ruang kerja, jadi hanya pemilik pelayan boleh mengeditnya.

2. Tampal metadata IdP

Dalam Okta, buka tab Sign On aplikasi anda dan salin XML metadata (atau muat turunnya dan tampal kandungan fail itu). Kembali dalam Control Center, tampalkannya ke dalam XML metadata IdP dan tekan Uji sambungan.

Toast itu melaporkan titik akhir daftar masuk IdP — bukti bahawa metadata itu dihuraikan, sijil dibaca dan pelayan boleh membina permintaan log masuk terhadapnya (ujian itu melaksanakan segala-galanya kecuali perjalanan pergi-balik penyemak imbas). Jika ia gagal, XML itu bukan EntityDescriptor yang lengkap (tab SAML dalam Okta memanggilnya “Metadata URL”; buka URL itu dan salin apa yang disajikannya). Butang yang sama pada OpenID Connect menyemak dokumen penemuan penerbit anda sebaliknya. Untuk turut mengesan sijil yang hampir luput dan melihat sama ada IdP mengenali Control Center, gunakan pemeriksa dalam langkah 6.

3. Daftarkan Control Center pada IdP

Tekan Salin metadata SP dan serahkannya kepada sesiapa yang mengkonfigurasi bahagian Okta (atau bacakan dua nilai yang mereka minta):

• URL ACS: https://<your-server>/saml/acs
• ID entiti: https://<your-server>/saml

URL itu diperoleh daripada asalan yang dicapai oleh penyemak imbas pengguna anda. Jika pelayan berjalan di sebalik terowong atau proksi terbalik, pastikan asalan itu stabil (Tetapan → Pelayan → Sambungan & status → Kongsi pelayan ini menunjukkan URL awam) — atau sematkan ID entiti secara eksplisit dalam medan ID entiti SP.

Di sebalik NAT?

Log masuk SAML tidak memerlukan IP awam atau domain: IdP tidak pernah menyambung ke pelayan anda — penyemak imbas pengguna membawa perjalanan pergi-balik itu, jadi localhost, LAN, VPN, Tailscale atau terowong semuanya berfungsi. Dua perkara yang perlu anda pastikan betul:

• asalan yang digunakan oleh penyemak imbas mesti sepadan dengan URL ACS / ID entiti yang didaftarkan pada IdP (sematkan ID entiti jika pengguna mencapai pelayan di bawah lebih daripada satu asalan),
• peruntukan SCIM ialah pengecualian — IdP memanggil pelayan anda secara terus, jadi ia memerlukan terowong atau URL awam (peruntukkan pengguna dengan SCIM).

4. Pilih apa yang diberikan oleh satu log masuk

Dua polisi menentukan apa yang dilakukan oleh log masuk pertama:

• Tambah pengguna ke setiap ruang kerja pada log masuk pertama — biarkan hidup untuk penggunaan satu pasukan yang menganggap SSO sama dengan kepercayaan. Matikannya apabila beberapa pasukan atau pelanggan berkongsi pelayan: setiap pendatang baharu kemudiannya memerlukan jemputan ruang kerja yang eksplisit, iaitu lalai yang lebih selamat.
• Peruntukkan pengguna tidak diketahui pada log masuk pertama — hidup secara lalai; matikannya untuk menolak sesiapa yang akaunnya belum wujud.

Secara pilihan, petakan atribut yang membawa nama kumpulan (milik Okta lazimnya groups) dan terjemahkan kumpulan kepada peranan menggunakan peta itu — contohnya {"platform-leads": "admin"}. SSO tidak pernah boleh memberikan peranan pemilik.

5. Hidupkan dan lakukan satu log masuk

Hidupkan Gunakan SAML untuk log masuk, tekan Simpan sambungan, kemudian buka tetingkap penyemak imbas peribadi di https://<your-server>/saml/login. Log masuk di Okta dan anda kembali ke klien web — sudah log masuk, dengan akaun anda dicipta dan keahliannya diberikan mengikut polisi yang anda pilih.

Titik masuk yang sama muncul pada skrin sambung web (Log masuk dengan SAML) sebaik sahaja anda menaip alamat pelayan — borang itu menyesuaikan diri dengan apa yang ditawarkan pelayan (OpenID Connect menunjukkan Log masuk dengan OpenID Connect). Butang itu membuka log masuk dalam tab baharu; apabila perjalanan pergi-balik selesai, tab yang menunggu itu mengambil sesi tersebut secara automatik. Skrin persediaan pelayan desktop melakukan perkara yang sama: taip URL pelayan, butang Log masuk dengan SAML muncul yang membuka penyemak imbas anda dan apl itu log masuk apabila perjalanan pergi-balik selesai.

6. Semaknya dari halaman ini

Sebelum anda melancarkan SSO, atau apabila log masuk gagal, semak komponennya di sini. Pemeriksa itu berjalan sepenuhnya dalam penyemak imbas anda: ia membaca metadata yang anda tampal dalam tab ini dan menggunakan peraturan yang sama seperti pelayan. Dengan alamat pelayan anda, ia juga bertanya kepada pelayan itu sama ada log masuk SAML dihidupkan.

Ia menangkap apa yang Uji sambungan dalam apl tidak dapat lihat: sijil tandatangan yang hampir luput, IdP yang berkeras pada permintaan bertandatangan dan, dengan ujian log masuk itu, sama ada IdP mengenali Control Center sama sekali.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

Langkah seterusnya

• Berikan kawalan kitaran hayat kepada IdP anda juga: peruntukkan dan nyahperuntukkan pengguna dengan SCIM.
• IdP anda bertutur OpenID Connect dan bukan SAML? Sambungkan pembekal OpenID Connect.
• Ingin tahu apa yang sebenarnya disahkan oleh perjalanan pergi-balik penyemak imbas? Cara daftar masuk tunggal berfungsi.