Cho đội ngũ đăng nhập bằng SSO

Bạn sẽ xây dựng được gì

Đến cuối hướng dẫn này, bạn sẽ có:

một kết nối SAML giữa máy chủ Control Center của bạn và một nhà cung cấp danh tính (chúng tôi lấy Okta làm ví dụ),
một người dùng được cấp phát tự động ở lần đăng nhập đầu tiên, và
một chính sách tư cách thành viên không gian làm việc do bạn chủ động chọn.

Bạn sẽ cần một máy chủ do bạn quản trị (chủ sở hữu máy chủ — người vận hành bản cài đặt) và một ứng dụng IdP mà bạn có thể cấu hình. Dự trù 20 phút.

1. Mở phần cài đặt đăng nhập một lần

Đăng nhập vào Control Center, rồi vào Cài đặt → Máy chủ → Đăng nhập một lần. Màn hình chuyển đổi giữa SAML và OpenID Connect, cùng một thẻ Cấp phát người dùng (SCIM). Hãy ở lại SAML.

Mọi thứ trên màn hình này đều có phạm vi toàn máy chủ: một IdP xác thực con người trong mọi không gian làm việc, nên chỉ chủ sở hữu máy chủ mới sửa được.

2. Dán metadata của IdP

Trong Okta, mở tab Sign On của ứng dụng và sao chép XML metadata (hoặc tải tệp về rồi dán nội dung tệp). Quay lại Control Center, dán vào XML metadata IdP và nhấn Kiểm tra kết nối.

Thông báo nổi cho biết endpoint đăng nhập của IdP — bằng chứng rằng metadata đã được phân tích, chứng chỉ đã được đọc và máy chủ có thể dựng một yêu cầu đăng nhập dựa trên đó (phép thử này chạy hết mọi thứ, chỉ thiếu vòng khứ hồi qua trình duyệt). Nếu thất bại, XML không phải một EntityDescriptor hoàn chỉnh (tab SAML trong Okta gọi nó là “Metadata URL”; hãy mở URL đó và sao chép nội dung nó trả về). Nút tương tự trên OpenID Connect thì kiểm tra tài liệu khám phá của issuer thay vào đó. Để bắt cả trường hợp chứng chỉ sắp hết hạn và xem IdP có nhận ra Control Center hay không, hãy dùng công cụ kiểm tra ở bước 6.

3. Đăng ký Control Center tại IdP

Nhấn Sao chép metadata SP và đưa nó cho người cấu hình phía Okta (hoặc đọc hai giá trị mà họ yêu cầu):

URL ACS: https://<your-server>/saml/acs
ID thực thể: https://<your-server>/saml

Các URL này bắt nguồn từ origin mà trình duyệt của người dùng truy cập tới. Nếu máy chủ chạy sau một tunnel hay reverse proxy, hãy đảm bảo origin ổn định (Cài đặt → Máy chủ → Kết nối & trạng thái → Chia sẻ máy chủ này hiển thị URL công khai) — hoặc ghim ID thực thể một cách minh thị trong trường ID thực thể SP.

4. Chọn những gì một lần đăng nhập cấp

Hai chính sách quyết định điều gì xảy ra ở lần đăng nhập đầu tiên:

Thêm người dùng vào mọi không gian làm việc khi đăng nhập lần đầu — hãy để bật với triển khai một đội, nơi SSO đồng nghĩa với tin cậy. Tắt nó khi nhiều đội hoặc khách hàng dùng chung máy chủ: khi đó mỗi người mới cần một lời mời vào không gian làm việc minh thị, và đây là mặc định an toàn hơn.
Cấp phát người dùng chưa có khi đăng nhập lần đầu — bật theo mặc định; tắt nó để từ chối bất kỳ ai chưa có sẵn tài khoản.

Tùy chọn, hãy ánh xạ một thuộc tính mang tên nhóm (ở Okta thường là groups) và chuyển nhóm thành vai trò bằng bảng ánh xạ — ví dụ {"platform-leads": "admin"}. SSO không bao giờ cấp được vai trò chủ sở hữu.

5. Bật và thực hiện một lần đăng nhập

Bật Dùng SAML để đăng nhập, nhấn Lưu kết nối, rồi mở một cửa sổ trình duyệt riêng tư tại https://<your-server>/saml/login. Đăng nhập tại Okta và bạn quay lại máy khách web — đã đăng nhập, tài khoản đã được tạo và tư cách thành viên được cấp theo chính sách bạn đã chọn.

Điểm vào tương tự xuất hiện trên màn hình kết nối web (Đăng nhập bằng SAML) ngay khi bạn gõ địa chỉ máy chủ — biểu mẫu thích ứng với những gì máy chủ cung cấp (OpenID Connect hiển thị Đăng nhập bằng OpenID Connect). Nút này mở đăng nhập trong một tab mới; khi vòng khứ hồi hoàn tất, tab đang chờ tự động tiếp nhận phiên. Màn hình thiết lập máy chủ trên ứng dụng máy tính cũng làm điều tương tự: gõ URL máy chủ, một nút Đăng nhập bằng SAML xuất hiện, mở trình duyệt của bạn và ứng dụng đăng nhập khi vòng khứ hồi hoàn tất.

6. Kiểm tra ngay trên trang này

Trước khi triển khai SSO, hoặc khi một lần đăng nhập thất bại, hãy kiểm tra các thành phần tại đây. Công cụ kiểm tra chạy hoàn toàn trong trình duyệt của bạn: nó đọc metadata bạn dán vào tab này và áp dụng đúng các quy tắc như máy chủ. Nếu bạn nhập địa chỉ máy chủ, nó cũng hỏi máy chủ đó xem tính năng đăng nhập SAML có đang bật không.

Nó bắt được những gì Kiểm tra kết nối trong ứng dụng không thấy: một chứng chỉ ký sắp hết hạn, một IdP khăng khăng đòi yêu cầu được ký, và, với phần đăng nhập thử, liệu IdP có nhận ra Control Center hay không.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

Đi tiếp từ đây

Trao cho IdP cả quyền kiểm soát vòng đời: cấp phát và hủy cấp phát người dùng bằng SCIM.
IdP của bạn dùng OpenID Connect thay vì SAML? Kết nối một nhà cung cấp OpenID Connect.
Tò mò vòng khứ hồi qua trình duyệt thực sự xác minh điều gì? Đăng nhập một lần hoạt động như thế nào.