Logga in teamet med SSO

Vad du bygger

I slutet av den här guiden har du:

• en SAML-anslutning mellan din Control Center-server och en identitetsleverantör (vi använder Okta som exempel),
• en användare som provisioneras automatiskt vid sin första inloggning och
• en medlemskapsregel för arbetsytan som du själv valt.

Du behöver en server som du administrerar (serverägaren — installationens operatör) och en IdP-applikation som du kan konfigurera. Räkna med 20 minuter.

1. Öppna inställningarna för enkel inloggning

Logga in i Control Center och gå till Inställningar → Server → Enkel inloggning. Skärmen växlar mellan SAML och OpenID Connect, plus ett kort för Användarprovisionering (SCIM). Stanna på SAML.

Allt på den här skärmen gäller hela servern: en IdP autentiserar människorna i varje arbetsyta, så bara serverägaren kan redigera den.

2. Klistra in IdP-metadata

I Okta öppnar du appens flik Sign On och kopierar metadata-XML:en (eller laddar ner den och klistrar in filens innehåll). Tillbaka i Control Center klistrar du in den i IdP-metadata-XML och trycker på Testa anslutning.

Toastmeddelandet rapporterar IdP:ns inloggningsendpunkt — ett bevis på att metadata parsades, att certifikatet lästes och att servern kan bygga en inloggningsbegäran mot den (testet utövar allt utom rundturen i webbläsaren). Om det misslyckas var XML:en inte en fullständig EntityDescriptor (SAML-fliken i Okta kallar den “Metadata URL”; öppna URL:en och kopiera det den levererar). Samma knapp under OpenID Connect kontrollerar i stället din utfärdares discovery-dokument. För att även fånga ett certifikat som snart går ut och se om IdP:n känner igen Control Center använder du kontrollverktyget i steg 6.

3. Registrera Control Center hos IdP:n

Tryck på Kopiera SP-metadata och ge den till den som konfigurerar Okta-sidan (eller läs upp de två värdena som efterfrågas):

• ACS URL: https://<your-server>/saml/acs
• Entity ID: https://<your-server>/saml

URL:erna härleds från det origin som dina användares webbläsare når. Om servern körs bakom en tunnel eller en omvänd proxy måste du se till att originet är stabilt (Inställningar → Server → Anslutning och status → Dela den här servern visar den publika URL:en) — eller lås entitets-ID:t uttryckligen i fältet SP entity ID.

Bakom NAT?

En SAML-inloggning behöver ingen publik IP-adress eller domän: IdP:n ansluter aldrig till din server — användarens webbläsare står för rundturen, så localhost, LAN, VPN, Tailscale eller en tunnel fungerar lika bra. Två saker att hålla isär:

• det origin som webbläsaren använder måste matcha ACS-URL:en / entitets-ID:t som är registrerat hos IdP:n (lås entitets-ID:t om användare når servern under mer än ett origin),
• SCIM-provisionering är undantaget — IdP:n anropar din server direkt, så den behöver en tunnel eller en publik URL (provisionera användare med SCIM).

4. Välj vad en inloggning ger

Två regler avgör vad en första inloggning gör:

• Lägg till användare i varje arbetsyta vid första inloggningen — låt den vara på för en driftsättning med ett enda team där SSO är lika med tillit. Slå av den när flera team eller kunder delar servern: varje nykomling behöver då en uttrycklig inbjudan till arbetsytan, vilket är det säkrare standardvalet.
• Provisionera okända användare vid första inloggningen — på som standard; slå av den för att avvisa alla vars konto inte redan finns.

Du kan också mappa ett attribut som bär gruppnamn (Oktas är vanligtvis groups) och översätta grupper till roller med mappningen — till exempel {"platform-leads": "admin"}. SSO kan aldrig ge ägarrollen.

5. Aktivera och genomför en inloggning

Slå på Använd SAML för inloggning, tryck på Spara anslutning och öppna sedan ett privat webbläsarfönster på https://<your-server>/saml/login. Logga in hos Okta och du landar tillbaka i webbklienten — inloggad, med kontot skapat och dess medlemskap beviljat enligt regeln du valde.

Samma ingång visas på webbens anslutningsskärm (Logga in med SAML) i samma stund som du skriver serveradressen — formuläret anpassar sig efter vad servern erbjuder (OpenID Connect visar Logga in med OpenID Connect). Knappen öppnar inloggningen i en ny flik; när rundturen är klar tar den väntande fliken automatiskt över sessionen. Skärmen för serverinstallation i skrivbordsappen gör samma sak: skriv in serverns URL, så visas en knapp Logga in med SAML som öppnar din webbläsare, och appen loggar in när rundturen är klar.

6. Kontrollera det från den här sidan

Innan du rullar ut SSO, eller när en inloggning misslyckas, kan du kontrollera delarna här. Kontrollverktyget körs helt i din webbläsare: det läser metadata som du klistrar in i den här fliken och tillämpar samma regler som servern. Om du anger din serveradress frågar det också den servern om SAML-inloggning är på.

Det fångar det som Testa anslutning i appen inte kan se: ett signeringscertifikat som snart går ut, en IdP som kräver signerade förfrågningar och, med testinloggningen, om IdP:n över huvud taget känner igen Control Center.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

Nästa steg

• Ge din IdP livscykelkontroll också: provisionera och avprovisionera användare med SCIM.
• Talar din IdP OpenID Connect i stället för SAML? Anslut en OpenID Connect-leverantör.
• Nyfiken på vad rundturen i webbläsaren faktiskt verifierar? Så fungerar enkel inloggning.