Ekibinizi SSO ile oturum açtırın

Neler oluşturacaksınız

Bu öğreticinin sonunda şunlara sahip olacaksınız:

• Control Center sunucunuz ile bir kimlik sağlayıcı arasında bir SAML bağlantısı (örnek olarak Okta’yı kullanıyoruz),
• ilk girişinde otomatik olarak sağlanan bir kullanıcı ve
• bilinçli olarak seçtiğiniz bir çalışma alanı üyelik ilkesi.

Yönettiğiniz bir sunucuya (sunucu sahibi — kurulumun işletmecisi) ve yapılandırabileceğiniz bir IdP uygulamasına ihtiyacınız olacak. 20 dakika ayırın.

1. Tek oturum açma ayarlarını açın

Control Center’a giriş yapın, ardından Ayarlar → Sunucu → Tek oturum açma bölümüne gidin. Ekran SAML ile OpenID Connect arasında geçiş yapar ve ayrıca bir Kullanıcı sağlama (SCIM) kartı içerir. SAML’de kalın.

Bu ekrandaki her şey sunucu genelindedir: tek bir IdP her çalışma alanındaki kişilerin kimliğini doğrular, dolayısıyla bunu yalnızca sunucu sahibi düzenleyebilir.

2. IdP metadata’sını yapıştırın

Okta’da uygulamanızın Sign On sekmesini açın ve metadata XML’ini kopyalayın (ya da indirip dosyanın içeriğini yapıştırın). Control Center’a dönün, bunu IdP metadata XML alanına yapıştırın ve Bağlantıyı dene’ye basın.

Bildirim, IdP’nin oturum açma uç noktasını bildirir — bu, metadata’nın ayrıştırıldığının, sertifikanın okunduğunun ve sunucunun buna karşı bir oturum açma isteği oluşturabildiğinin kanıtıdır (test, tarayıcı gidiş-dönüşü dışındaki her şeyi çalıştırır). Başarısız olursa, XML tam bir EntityDescriptor değildi (Okta’daki SAML sekmesi buna “Metadata URL” der; URL’yi açın ve sunduğu içeriği kopyalayın). OpenID Connect üzerindeki aynı düğme ise bunun yerine sağlayıcınızın discovery belgesini denetler. Süresi dolmak üzere olan bir sertifikayı da yakalamak ve IdP’nin Control Center’ı tanıyıp tanımadığını görmek için 6. adımdaki denetleyiciyi kullanın.

3. Control Center’ı IdP’ye kaydedin

SP metadata’sını kopyala’ya basın ve Okta tarafını yapılandıran kişiye verin (ya da isteyecekleri iki değeri okuyun):

• ACS URL: https://<your-server>/saml/acs
• Entity ID: https://<your-server>/saml

URL’ler, kullanıcılarınızın tarayıcılarının ulaştığı origin’den türetilir. Sunucu bir tünel veya ters proxy arkasında çalışıyorsa origin’in sabit olduğundan emin olun (Ayarlar → Sunucu → Bağlantı ve durum → Bu sunucuyu paylaş herkese açık URL’yi gösterir) — ya da varlık kimliğini SP entity ID alanında açıkça sabitleyin.

NAT arkasında mı?

SAML oturum açma herkese açık bir IP veya alan adı gerektirmez: IdP sunucunuza asla bağlanmaz — gidiş-dönüşü kullanıcının tarayıcısı taşır, bu yüzden localhost, LAN, VPN, Tailscale veya bir tünel, hepsi çalışır. Akılda tutulacak iki şey:

• tarayıcının kullandığı origin, IdP’de kayıtlı ACS URL / varlık kimliğiyle eşleşmelidir (kullanıcılar sunucuya birden fazla origin üzerinden ulaşıyorsa varlık kimliğini sabitleyin),
• SCIM sağlama istisnadır — IdP doğrudan sunucunuzu çağırır, bu yüzden bir tünele veya herkese açık bir URL’ye ihtiyaç duyar (SCIM ile kullanıcı sağlama).

4. Bir oturum açmanın ne verdiğini seçin

İlk oturum açmanın ne yapacağına iki ilke karar verir:

• Kullanıcıları ilk girişte her çalışma alanına ekle — SSO’nun güven anlamına geldiği tek ekipli kurulumlar için açık bırakın. Sunucuyu birkaç ekip veya müşteri paylaşıyorsa kapatın: o zaman her yeni gelen açık bir çalışma alanı daveti gerektirir ve bu daha güvenli varsayılandır.
• Bilinmeyen kullanıcıları ilk girişte sağla — varsayılan olarak açıktır; hesabı zaten var olmayan herkesi reddetmek için kapatın.

İsteğe bağlı olarak grup adlarını taşıyan bir özniteliği eşleyin (Okta’da bu genellikle groups olur) ve grupları bu eşlemeyle rollere dönüştürün — örneğin {"platform-leads": "admin"}. SSO sahip rolünü asla veremez.

5. Etkinleştirin ve bir oturum açma gerçekleştirin

Oturum açmak için SAML kullan seçeneğini açın, Bağlantıyı kaydet’e basın, ardından https://<your-server>/saml/login adresinde gizli bir tarayıcı penceresi açın. Okta’da oturum açın ve web istemcisine geri dönersiniz — oturum açmış olarak, hesabınız oluşturulmuş ve üyeliği seçtiğiniz ilkeye göre verilmiş şekilde.

Sunucu adresini yazdığınız anda web bağlanma ekranında da aynı giriş noktası belirir (SAML ile oturum aç) — form, sunucunun sunduğuna uyum sağlar (OpenID Connect, OpenID Connect ile oturum aç gösterir). Düğme, oturum açmayı yeni bir sekmede açar; gidiş-dönüş tamamlandığında bekleyen sekme oturumu otomatik olarak devralır. Masaüstü sunucu kurulum ekranı da aynısını yapar: sunucu URL’sini yazın, tarayıcınızı açan bir SAML ile oturum aç düğmesi belirir ve gidiş-dönüş tamamlandığında uygulama oturum açar.

6. Bu sayfadan denetleyin

SSO’yu devreye almadan önce ya da bir oturum açma başarısız olduğunda parçaları buradan denetleyin. Denetleyici tamamen tarayıcınızda çalışır: bu sekmede yapıştırdığınız metadata’yı okur ve sunucuyla aynı kuralları uygular. Sunucu adresinizi verdiğinizde, o sunucuya SAML oturum açmanın açık olup olmadığını da sorar.

Uygulamadaki Bağlantıyı dene’nin göremediğini yakalar: süresi dolmak üzere olan bir imzalama sertifikası, imzalı isteklerde ısrar eden bir IdP ve test oturum açmasıyla birlikte IdP’nin Control Center’ı tanıyıp tanımadığını.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

IdP metadata XMLLoad a file

Server address (optional)

The address your users open. Adds a reachability check and a test sign-in.

SP entity ID (optional)

Only if you pinned one in the app.

Check metadata

Bundan sonra nereye gidilir

• IdP’nize yaşam döngüsü denetimi de verin: SCIM ile kullanıcıları sağlayın ve sağlamayı kaldırın.
• IdP’niz SAML yerine OpenID Connect mi konuşuyor? Bir OpenID Connect sağlayıcısı bağlayın.
• Tarayıcı gidiş-dönüşünün gerçekte neyi doğruladığını mı merak ediyorsunuz? Tek oturum açma nasıl çalışır.