Logg inn teamet med SSO

Dette bygger du

Når du er ferdig med denne veiledningen, har du:

• en SAML-tilkobling mellom Control Center-serveren din og en identitetsleverandør (vi bruker Okta som eksempel),
• én bruker som provisjoneres automatisk ved første innlogging, og
• en medlemskapspolicy for arbeidsområder som du selv har valgt.

Du trenger en server du administrerer (servereieren — den som drifter installasjonen) og en IdP-applikasjon du kan konfigurere. Sett av 20 minutter.

1. Åpne innstillingene for enkel pålogging

Logg inn i Control Center, og gå til Innstillinger → Server → Enkel pålogging. Skjermen veksler mellom SAML og OpenID Connect, i tillegg til et kort for Brukerprovisjonering (SCIM). Hold deg til SAML.

Alt på denne skjermen gjelder hele serveren: én IdP autentiserer menneskene i alle arbeidsområdene, så bare servereieren kan redigere det.

2. Lim inn IdP-metadataene

I Okta åpner du fanen Sign On for appen din og kopierer metadata-XML-en (eller laster den ned og limer inn innholdet i filen). Tilbake i Control Center limer du den inn i IdP-metadata-XML og trykker Test tilkobling.

Varselet viser IdP-ens påloggingsendepunkt — bevis på at metadataene ble tolket, at sertifikatet ble lest, og at serveren kan bygge en påloggingsforespørsel mot det (testen dekker alt unntatt nettleserrundturen). Hvis den mislykkes, var ikke XML-en en fullstendig EntityDescriptor (SAML-fanen i Okta kaller den «Metadata URL»; åpne URL-en og kopier det den viser). Den samme knappen på OpenID Connect sjekker utstederens discovery-dokument i stedet. Vil du også fange opp et sertifikat som er i ferd med å utløpe og se om IdP-en kjenner igjen Control Center, bruker du sjekkeren i steg 6.

3. Registrer Control Center hos IdP-en

Trykk Kopier SP-metadata og gi den til den som konfigurerer Okta-siden (eller les opp de to verdiene de spør om):

• ACS URL: https://<your-server>/saml/acs
• Entity ID: https://<your-server>/saml

URL-ene utledes fra origin-en brukernes nettlesere når. Hvis serveren kjører bak en tunnel eller en omvendt proxy, må du sørge for at origin-en er stabil (Innstillinger → Server → Tilkobling og status → Del denne serveren viser den offentlige URL-en) — eller pinn entity-ID-en eksplisitt i feltet SP entity ID.

Bak NAT?

SAML-pålogging trenger ikke en offentlig IP eller et domene: IdP-en kobler aldri til serveren din — brukerens nettleser frakter rundturen, så localhost, LAN, VPN, Tailscale eller en tunnel fungerer alle. To ting du må holde styr på:

• origin-en nettleseren bruker, må samsvare med ACS-URL-en / entity-ID-en som er registrert hos IdP-en (pinn entity-ID-en hvis brukerne når serveren under mer enn én origin),
• SCIM-provisjonering er unntaket — IdP-en kaller serveren din direkte, så den trenger en tunnel eller en offentlig URL (provisjoner brukere med SCIM).

4. Velg hva en pålogging gir

To policyer avgjør hva en første pålogging gjør:

• Legg brukere til hvert arbeidsområde ved første innlogging — la den stå på for en enkelteam-installasjon der SSO betyr tillit. Slå den av når flere team eller kunder deler serveren: hver nykommer trenger da en eksplisitt invitasjon til arbeidsområdet, som er det tryggere standardvalget.
• Provisjoner ukjente brukere ved første innlogging — på som standard; slå den av for å avvise alle hvis konto ikke allerede finnes.

Du kan også koble et attributt som bærer gruppenavn (Oktas heter vanligvis groups) og oversette grupper til roller med koblingen — for eksempel {"platform-leads": "admin"}. SSO kan aldri gi eierrollen.

5. Slå på og gjennomfør en pålogging

Slå på Bruk SAML til innlogging, trykk Lagre tilkobling, og åpne deretter et privat nettleservindu på https://<your-server>/saml/login. Logg inn hos Okta, og du lander tilbake i nettklienten — innlogget, med kontoen opprettet og medlemskapet tildelt i henhold til policyen du valgte.

Det samme inngangspunktet vises på koblingsskjermen på nettet (Logg inn med SAML) i det du skriver inn serveradressen — skjemaet tilpasser seg det serveren tilbyr (OpenID Connect viser Logg inn med OpenID Connect). Knappen åpner innlogging i en ny fane; når rundturen er fullført, henter den ventende fanen økten automatisk. Oppsettskjermen for server i skrivebordsappen gjør det samme: skriv inn server-URL-en, og det vises en Logg inn med SAML-knapp som åpner nettleseren din, og appen logger inn når rundturen er fullført.

6. Sjekk det fra denne siden

Før du ruller ut SSO, eller når en pålogging mislykkes, kan du sjekke delene her. Sjekkeren kjører helt i nettleseren din: den leser metadataene du limer inn i denne fanen, og bruker de samme reglene som serveren. Oppgir du serveradressen din, spør den også serveren om SAML-pålogging er slått på.

Den fanger opp det Test tilkobling i appen ikke kan se: et signeringssertifikat som nærmer seg utløp, en IdP som krever signerte forespørsler, og med testpåloggingen hvorvidt IdP-en kjenner igjen Control Center i det hele tatt.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

Neste steg

• Gi IdP-en livssykluskontroll også: provisjoner og deprovisjoner brukere med SCIM.
• IdP-en din snakker OpenID Connect i stedet for SAML? Koble til en OpenID Connect-leverandør.
• Nysgjerrig på hva nettleserrundturen egentlig verifiserer? Hvordan enkel pålogging virker.