اپنی ٹیم کو SSO سے سائن اِن کرائیں

آپ کیا بنائیں گے

اِس ٹیوٹوریل کے اختتام تک آپ کے پاس یہ سب ہوگا:

آپ کے Control Center سرور اور ایک شناخت فراہم کنندہ کے درمیان ایک SAML کنکشن (مثال کے طور پر ہم Okta استعمال کرتے ہیں)،
ایک صارف جو اُس کے پہلے لاگ اِن پر خودکار طور پر پروویژن ہو جائے اور
ایک ورک اسپیس رکنیت پالیسی جو آپ نے خود سوچ سمجھ کر چنی ہو۔

آپ کو ایک ایسا سرور درکار ہوگا جس کے آپ منتظم ہوں (سرور مالک — اِس انسٹال کا آپریٹر) اور ایک IdP ایپلیکیشن جسے آپ کنفیگر کر سکیں۔ 20 منٹ کا وقت رکھیں۔

1. سنگل سائن آن کی ترتیبات کھولیں

Control Center میں سائن اِن کریں، پھر ترتیبات → سرور → سنگل سائن آن پر جائیں۔ اسکرین SAML اور OpenID Connect کے درمیان بدلتی ہے، اور اُس پر ایک صارف پروویژنگ (SCIM) کارڈ بھی ہے۔ SAML ہی پر رہیں۔

اِس اسکرین کی ہر چیز سرور بھر کی ہے: ایک IdP ہر ورک اسپیس کے انسانوں کی تصدیق کرتا ہے، اس لیے صرف سرور مالک ہی اِس میں ترمیم کر سکتا ہے۔

2. IdP میٹا ڈیٹا چسپاں کریں

Okta میں اپنی ایپ کا Sign On ٹیب کھولیں اور میٹا ڈیٹا XML کاپی کریں (یا اُسے ڈاؤن لوڈ کر کے فائل کا مواد چسپاں کریں)۔ واپس Control Center میں، اُسے IdP میٹا ڈیٹا XML میں چسپاں کریں اور کنکشن ٹیسٹ کریں دبائیں۔

ٹوسٹ IdP کے سائن آن اینڈ پوائنٹ کی اطلاع دیتا ہے — ثبوت کہ میٹا ڈیٹا پارس ہو گیا، سرٹیفکیٹ پڑھ لیا گیا اور سرور اُس کے خلاف لاگ اِن درخواست بنا سکتا ہے (یہ ٹیسٹ براؤزر راؤنڈ ٹرپ کے سوا سب کچھ جانچ لیتا ہے)۔ اگر یہ ناکام ہو تو XML مکمل EntityDescriptor نہیں تھا (Okta کے SAML ٹیب میں اِسے “Metadata URL” کہا جاتا ہے؛ وہ URL کھولیں اور جو وہ پیش کرے وہ کاپی کریں)۔ OpenID Connect پر وہی بٹن اِس کے بجائے آپ کے جاری کنندہ کی discovery دستاویز جانچتا ہے۔ میعاد ختم ہونے کے قریب سرٹیفکیٹ بھی پکڑنا ہو اور دیکھنا ہو کہ IdP Control Center کو پہچانتا ہے یا نہیں، تو قدم 6 کا چیکر استعمال کریں۔

3. IdP پر Control Center رجسٹر کریں

SP میٹا ڈیٹا کاپی کریں دبائیں اور یہ اُس شخص کے حوالے کریں جو Okta کی طرف کنفیگر کرتا ہے (یا وہ دو اقدار پڑھ دیں جو وہ طلب کرتا ہے):

ACS URL: https://<your-server>/saml/acs
Entity ID: https://<your-server>/saml

یہ URLs اُس اوریجن سے اخذ ہوتے ہیں جہاں آپ کے صارفین کے براؤزر پہنچتے ہیں۔ اگر سرور کسی ٹنل یا ریورس پراکسی کے پیچھے چلتا ہو تو یقینی بنائیں کہ اوریجن مستحکم ہے (ترتیبات → سرور → کنکشن اور اسٹیٹس → یہ سرور شیئر کریں عوامی URL دکھاتا ہے) — یا SP entity ID فیلڈ میں entity ID کو واضح طور پر پن کر دیں۔

SAML لاگ اِن کے لیے عوامی IP یا ڈومین درکار نہیں: IdP کبھی آپ کے سرور سے کنیکشن نہیں جوڑتا — راؤنڈ ٹرپ صارف کا براؤزر اُٹھاتا ہے، چنانچہ localhost، LAN، VPN، Tailscale یا کوئی ٹنل — سب کام کرتے ہیں۔ دو باتیں یاد رکھیں:

براؤزر جو اوریجن استعمال کرتا ہے وہ IdP پر رجسٹرڈ ACS URL / entity ID سے مطابقت رکھنا چاہیے (اگر صارفین سرور تک ایک سے زیادہ اوریجن سے پہنچتے ہیں تو entity ID پن کر دیں)،
SCIM پروویژنگ اِس کی استثنا ہے — IdP سیدھا آپ کے سرور کو کال کرتا ہے، اس لیے اُسے ٹنل یا عوامی URL درکار ہوتا ہے (SCIM سے صارفین فراہم کریں)۔

4. طے کریں کہ ایک لاگ اِن کیا دیتا ہے

دو پالیسیاں فیصلہ کرتی ہیں کہ پہلا لاگ اِن کیا کرتا ہے:

پہلے لاگ اِن پر صارفین ہر ورک اسپیس میں شامل کریں — ایک ہی ٹیم والی ڈیپلائمنٹ کے لیے آن رہنے دیں جہاں SSO کا مطلب بھروسا ہو۔ جب کئی ٹیمیں یا گاہک ایک ہی سرور شیئر کریں تو اُسے بند کر دیں: پھر ہر نیا آنے والا ایک واضح ورک اسپیس دعوت کا محتاج ہوتا ہے، جو زیادہ محفوظ ڈیفالٹ ہے۔
پہلے لاگ اِن پر نامعلوم صارفین پروویژن کریں — ڈیفالٹ طور پر آن؛ اُسے بند کر دیں تو ہر وہ شخص مسترد ہو جاتا ہے جس کا اکاؤنٹ پہلے سے موجود نہ ہو۔

اختیاری طور پر ایسی صفت میپ کریں جو گروپ نام رکھتی ہو (Okta کی عموماً groups ہوتی ہے) اور میپ کے ذریعے گروپس کو کرداروں میں بدلیں — مثلاً {"platform-leads": "admin"}۔ SSO کبھی مالک کا کردار نہیں دے سکتا۔

5. فعال کریں اور ایک لاگ اِن آزمائیں

سائن اِن کے لیے SAML استعمال کریں آن کریں، کنکشن محفوظ کریں دبائیں، پھر https://<your-server>/saml/login پر ایک نجی براؤزر ونڈو کھولیں۔ Okta پر سائن اِن کریں اور آپ واپس ویب کلائنٹ پر اُتر آتے ہیں — سائن اِن شدہ، آپ کا اکاؤنٹ بن چکا اور اُس کی رکنیت آپ کی چنی ہوئی پالیسی کے مطابق دے دی گئی۔

یہی انٹری پوائنٹ ویب کنیکٹ اسکرین پر (SAML سے سائن اِن) اُس لمحے ظاہر ہوتا ہے جب آپ سرور کا پتہ لکھتے ہیں — فارم خود کو ڈھال لیتا ہے کہ سرور کیا پیش کرتا ہے (OpenID Connect OpenID Connect سے سائن اِن دکھاتا ہے)۔ بٹن سائن اِن ایک نئے ٹیب میں کھولتا ہے؛ راؤنڈ ٹرپ مکمل ہونے پر انتظار کرتا ٹیب سیشن خودکار طور پر اُٹھا لیتا ہے۔ ڈیسک ٹاپ کی سرور سیٹ اپ اسکرین بھی یہی کرتی ہے: سرور کا URL لکھیں، ایک SAML سے سائن اِن بٹن ظاہر ہوتا ہے جو آپ کا براؤزر کھولتا ہے اور راؤنڈ ٹرپ مکمل ہونے پر ایپ سائن اِن کر لیتی ہے۔

6. یہیں اِس صفحے سے جانچیں

SSO رول آؤٹ کرنے سے پہلے، یا جب کوئی لاگ اِن ناکام ہو، یہاں پرزوں کو جانچیں۔ چیکر مکمل طور پر آپ کے براؤزر میں چلتا ہے: یہ اُس میٹا ڈیٹا کو پڑھتا ہے جو آپ اِس ٹیب میں چسپاں کرتے ہیں اور وہی اصول لاگو کرتا ہے جو سرور لگاتا ہے۔ آپ کے سرور کا پتہ دینے پر یہ اُس سرور سے یہ بھی پوچھتا ہے کہ SAML سائن اِن آن ہے یا نہیں۔

یہ وہ چیزیں پکڑتا ہے جو ایپ میں کنکشن ٹیسٹ کریں نہیں دیکھ سکتا: میعاد ختم ہونے کے قریب سائننگ سرٹیفکیٹ، ایسا IdP جو دستخط شدہ درخواستوں پر اصرار کرتا ہو، اور ٹیسٹ سائن اِن کے ذریعے یہ کہ IdP Control Center کو پہچانتا بھی ہے یا نہیں۔

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

آگے کہاں جائیں

اپنے IdP کو بھی لائف سائیکل کنٹرول دیں: SCIM سے صارفین فراہم کریں۔
آپ کا IdP SAML کے بجائے OpenID Connect بولتا ہے؟ OpenID Connect فراہم کنندہ جوڑیں۔
جاننا چاہتے ہیں کہ براؤزر کا راؤنڈ ٹرپ حقیقت میں کس چیز کی تصدیق کرتا ہے؟ سنگل سائن اَن کیسے کام کرتا ہے۔