SSO dan SCIM

Urutan pengaturan login akun perusahaan (IdP) dan sinkronisasi pengguna otomatis.

Setelah IdP perusahaan (Okta, Microsoft Entra ID, Google Workspace, dan lainnya) terhubung ke Keural, karyawan login dengan akun perusahaan dan otomatis bergabung ke organisasi saat pertama kali login.

Spesifikasi untuk penanggung jawab IdP dan pengembang: lihat Spesifikasi integrasi SSO·SCIM.

Persiapan

Item	Alasan
Akun pemilik organisasi Keural	Hanya pemilik yang dapat mengubah pengaturan SSO.
Hak admin IdP	Aplikasi Keural dibuat di IdP.
Hak pengelolaan DNS domain perusahaan	Kepemilikan domain diverifikasi dengan record TXT.

Metode yang didukung

Metode	Kegunaan
OpenID Connect (OIDC)	Login dengan akun perusahaan
SAML 2.0	Login dengan akun perusahaan. Permintaan autentikasi dikirim melalui Redirect, dan respons diterima melalui HTTP-POST.
SCIM 2.0	Saat IdP menambah atau menonaktifkan pengguna, perubahan langsung diterapkan ke akun Keural

Pilih salah satu dari OIDC atau SAML. Jika IdP mendukung keduanya, OIDC direkomendasikan karena pengaturannya lebih sederhana.

Urutan pengaturan

Verifikasi domain perusahaan
Membuat aplikasi di IdP
Memasukkan nilai di Keural lalu menyimpan
Mengaktifkan SSO dan login uji
Menghubungkan SCIM (opsional)

Semua pengaturan dilakukan di Manajemen organisasi → Pengaturan SSO.

1. Verifikasi domain perusahaan

Verifikasi kepemilikan domain email yang akan dipakai untuk SSO terlebih dahulu. Domain yang belum diverifikasi tidak akan tersimpan pada langkah 3.

Masukkan domain perusahaan (contoh: acme.com) di Domain organisasi, lalu klik Tambah domain.

Pada baris domain tersebut di daftar, klik Verifikasi. Jendela Verifikasi domain menampilkan Nilai record TXT (keural-verify=…). Salin nilai tersebut.

Di layar pengelolaan DNS, tambahkan record TXT untuk domain tersebut dan tempel nilai yang sudah disalin. Host (nama) adalah domain itu sendiri (biasanya @).

Kembali ke Keural lalu klik Konfirmasi verifikasi. Jika Terverifikasi ditampilkan, langkah ini selesai. Perubahan DNS dapat memerlukan beberapa puluh menit. Jika gagal, klik lagi beberapa saat kemudian.

Jika ada beberapa domain perusahaan, tambahkan dan verifikasi masing-masing. Domain email publik seperti gmail.com tidak dapat digunakan.

2. Membuat aplikasi di IdP

Pilih OpenID Connect (OIDC) atau SAML 2.0 pada Protokol di bagian atas Pengaturan SSO, maka nilai Keural yang didaftarkan ke IdP ditampilkan. Masukkan nilai tersebut ke aplikasi IdP, lalu salin nilai yang diterbitkan IdP.

Arah	Item	Keterangan
Keural → IdP	URI callback	Masukkan ke redirect URI pada aplikasi IdP.
IdP → Keural	Issuer URL	Alamat issuer dari IdP.
IdP → Keural	Client ID · Client Secret	Nilai yang diterbitkan setelah aplikasi IdP dibuat.

IdP	Tempat membuat	Kolom untuk URI callback	Issuer URL
Okta	Applications → Create App Integration → OIDC · Web Application	Sign-in redirect URIs	`https://<domain Okta>`
Microsoft Entra ID	App registrations → New registration	Redirect URI(Web)	`https://login.microsoftonline.com/<ID tenant>/v2.0`
Google Workspace	Konsol Google Cloud → API & Services → Credentials → OAuth client ID (Web application)	Authorized redirect URIs	`https://accounts.google.com`

Microsoft Entra ID: Client Secret adalah nilai (Value) yang dibuat baru di Certificates & secrets. Di Token configuration, tambahkan klaim opsional email ke ID token.
Okta: Di Assignments aplikasi, tentukan pengguna atau grup yang boleh memakai Keural.

3. Memasukkan nilai di Keural lalu menyimpan

Masukkan nilai IdP yang diterima pada langkah 2.
Di Domain email, masukkan domain yang sudah diverifikasi pada langkah 1, dipisahkan koma. Login dengan email di domain ini akan diarahkan ke layar login perusahaan.
Atur pembuatan otomatis pengguna yang belum terdaftar (JIT). Jika diaktifkan, karyawan yang belum memiliki akun Keural akan dibuatkan akun saat pertama kali login SSO. Jika dinonaktifkan, hanya orang yang sudah memiliki akun yang dapat login.
Klik Simpan.

Pada OIDC, jika IdP tidak menyediakan alamat standar (discovery), masukkan endpoint secara langsung di Buka pengaturan lanjutan. Untuk sebagian besar IdP, biarkan kosong.

4. Mengaktifkan SSO dan login uji

Aktifkan Aktifkan SSO, lalu klik Simpan.
Klik Uji login. Layar login perusahaan terbuka di jendela baru.
Login dengan akun perusahaan, lalu kembali ke Keural. Jika berhasil, koneksi selesai.

Uji login hanya berfungsi jika SSO sudah diaktifkan. Jika ada masalah, nonaktifkan Aktifkan SSO lalu simpan. Selama itu, karyawan di domain tersebut login dengan tautan email.

Masukkan email perusahaan di layar login Keural, lalu Anda dialihkan ke layar login perusahaan. Setelah login, Anda kembali ke Keural.
Di aplikasi desktop, login menggunakan tautan email, bukan layar login perusahaan.
Karyawan yang pertama kali login dengan SSO bergabung ke organisasi sebagai Anggota. Peran admin ditetapkan di Manajemen organisasi.

Dalam kondisi berikut, login tetap berhasil tetapi akun tidak otomatis bergabung ke organisasi.

Semua kursi yang dibeli organisasi sudah terisi
Akun tersebut sudah termasuk dalam organisasi lain

5. Menghubungkan SCIM (opsional)

Dengan SCIM terhubung, saat IdP menambah atau menonaktifkan pengguna, perubahan langsung diterapkan ke akun Keural. Atur setelah koneksi SSO selesai.

Di Provisioning SCIM, aktifkan Aktifkan provisioning SCIM.

Klik Terbitkan token dan salin token. Token hanya ditampilkan sekali saat diterbitkan.

Masukkan SCIM Base URL (Tenant URL) dan token ke pengaturan provisioning di IdP. Metode autentikasinya adalah token Bearer.

IdP	Lokasi input
Okta	Aplikasi → Provisioning → SCIM connector base URL, Authentication Mode diisi HTTP Header
Microsoft Entra ID	Enterprise application → Provisioning → Automatic → Tenant URL · Secret Token

Tindakan di IdP diterapkan ke Keural sebagai berikut.

Di IdP	Di Keural
Menugaskan pengguna	Membuat akun dan memasukkannya ke organisasi. Nama pengguna adalah email.
Menonaktifkan pengguna atau mencabut penugasan	Menangguhkan akun sehingga tidak bisa login. Data tidak dihapus.
Mengaktifkan kembali	Mencabut penangguhan.
Menambah atau mengeluarkan dari grup Keural Admins	Menaikkan menjadi admin atau menurunkan menjadi anggota. Pemilik tidak berubah.

Jika token hilang, klik Terbitkan ulang token, lalu masukkan token baru ke IdP. Token lama langsung tidak berlaku.

Pemecahan masalah

Gejala	Tindakan
Domain email tidak tersimpan	Pastikan verifikasi domain pada langkah 1 sudah selesai dan domain bukan domain email publik.
Verifikasi domain gagal	Pastikan nilai TXT dimasukkan lengkap mulai dari `keural-verify=`, tunggu DNS berlaku, lalu klik lagi.
Layar login perusahaan tidak terbuka saat menekan uji login	Pastikan Aktifkan SSO sudah diaktifkan dan disimpan.
Setelah login perusahaan, kembali ke layar login Keural	Pada OIDC, periksa ulang URI callback, Issuer URL, Client Secret, dan klaim email. Pada SAML, periksa ulang SP EntityID, ACS URL, sertifikat, dan atribut email.
Login ditolak karena akun tidak ditemukan	pembuatan otomatis pengguna yang belum terdaftar (JIT) nonaktif. Aktifkan, atau undang karyawan tersebut terlebih dahulu.
Login berhasil tetapi workspace organisasi tidak terlihat	Pastikan masih ada kursi tersisa dan akun tersebut tidak termasuk organisasi lain.
Gagal saat membuka aplikasi dari portal IdP (SAML)	Mulai dari layar login Keural dengan email perusahaan.
Uji koneksi SCIM gagal	Masukkan ulang Base URL dan token. Jika token diterbitkan ulang, ganti dengan token baru.

SSO dan SCIM

PersiapanSalin tautan judul

Metode yang didukungSalin tautan judul

Urutan pengaturanSalin tautan judul

1. Verifikasi domain perusahaanSalin tautan judul

2. Membuat aplikasi di IdPSalin tautan judul

3. Memasukkan nilai di Keural lalu menyimpanSalin tautan judul

4. Mengaktifkan SSO dan login ujiSalin tautan judul

Login karyawanSalin tautan judul

5. Menghubungkan SCIM (opsional)Salin tautan judul

Pemecahan masalahSalin tautan judul

Di halaman ini