SSO dan SCIM
Susunan tetapan log masuk akaun syarikat (IdP) dan penyegerakan pengguna automatik.
Organisasi boleh menyambungkan Keural dengan IdP yang digunakan syarikat (Okta, Microsoft Entra ID, Google Workspace, dan lain-lain). Selepas disambungkan, kakitangan log masuk menggunakan akaun syarikat dan menyertai organisasi secara automatik pada log masuk pertama.
Spesifikasi untuk pentadbir IdP dan pembangun: lihat Spesifikasi integrasi SSO·SCIM.
Prasyarat
| Item | Sebab |
|---|---|
| Akaun pemilik organisasi Keural | Hanya pemilik boleh menukar tetapan SSO. |
| Kebenaran pentadbir IdP | Aplikasi Keural dicipta dalam IdP. |
| Kebenaran menguruskan DNS domain syarikat | Pemilikan domain disahkan menggunakan rekod TXT. |
Kaedah yang disokong
| Kaedah | Kegunaan |
|---|---|
| OpenID Connect (OIDC) | Log masuk menggunakan akaun syarikat |
| SAML 2.0 | Log masuk menggunakan akaun syarikat. Permintaan pengesahan dihantar melalui Redirect, dan respons diterima melalui HTTP-POST. |
| SCIM 2.0 | Apabila IdP menambah atau menyahaktifkan pengguna, perubahan dikenakan secara automatik pada akaun Keural |
Pilih sama ada OIDC atau SAML. Jika IdP menyokong kedua-duanya, OIDC disyorkan kerana tetapannya lebih mudah.
Susunan tetapan
- Sahkan domain syarikat
- Cipta aplikasi dalam IdP
- Masukkan nilai dalam Keural dan simpan
- Hidupkan SSO dan uji log masuk
- Sambungkan SCIM (pilihan)
Semua tetapan dibuat di bawah Pengurusan organisasi → Tetapan SSO.
1. Sahkan domain syarikat
Pemilikan domain e-mel untuk SSO disahkan terlebih dahulu. Domain yang belum disahkan tidak disimpan pada langkah 3.
Masukkan domain syarikat (contoh: acme.com) dalam Domain organisasi, kemudian klik Tambah domain.
Pada baris domain, klik Sahkan. Tetingkap Sahkan domain memaparkan Nilai rekod TXT (keural-verify=…). Salin nilai tersebut.
Dalam skrin pengurusan DNS, tambahkan rekod TXT untuk domain itu dan tampal nilai yang disalin. Hos (nama) ialah domain itu sendiri (biasanya @).
Kembali ke Keural dan klik Sahkan pengesahan. Apabila Disahkan dipaparkan, langkah ini selesai. Perubahan DNS boleh mengambil masa beberapa puluh minit, jadi jika gagal, klik semula selepas seketika.
Jika terdapat beberapa domain syarikat, tambah dan sahkan setiap satu. Domain e-mel awam seperti gmail.com tidak boleh digunakan.
2. Cipta aplikasi dalam IdP
Pilih OpenID Connect (OIDC) atau SAML 2.0 pada Protokol di bahagian atas Tetapan SSO. Nilai Keural akan dipaparkan. Masukkan nilai tersebut ke dalam aplikasi IdP, kemudian simpan nilai yang diberikan oleh IdP.
| Arah | Item | Keterangan |
|---|---|---|
| Keural → IdP | URI panggil balik | Masukkan ke dalam ruangan redirect URI aplikasi IdP. |
| IdP → Keural | URL penerbit | Alamat penerbit daripada IdP. |
| IdP → Keural | ID klien · Rahsia klien | Nilai yang dijana apabila aplikasi IdP dicipta. |
IdP mesti menghantar e-mel pengguna agar log masuk berjaya.
| IdP | Tempat mencipta | Ruangan untuk URI panggil balik | URL penerbit |
|---|---|---|---|
| Okta | Applications → Create App Integration → OIDC · Web Application | Sign-in redirect URIs | https://<domain Okta> |
| Microsoft Entra ID | App registrations → New registration | Redirect URI(Web) | https://login.microsoftonline.com/<ID penyewa>/v2.0 |
| Google Workspace | Konsol Google Cloud → API & Services → Credentials → OAuth client ID (Web application) | Authorized redirect URIs | https://accounts.google.com |
- Microsoft Entra ID: Rahsia klien ialah nilai (Value) yang baharu dijana dalam Certificates & secrets. Dalam Token configuration, tambah tuntutan pilihan
emailke dalam ID token. - Okta: Dalam Assignments aplikasi, tetapkan pengguna atau kumpulan yang boleh menggunakan Keural.
3. Masukkan nilai dalam Keural dan simpan
- Masukkan nilai IdP yang diterima pada langkah 2.
- Dalam Domain e-mel, masukkan domain yang disahkan pada langkah 1, dipisahkan dengan koma. E-mel pada domain ini akan dibawa ke skrin log masuk syarikat semasa log masuk.
- Tetapkan Cipta pengguna automatik pada log masuk pertama (JIT). Jika dihidupkan, kakitangan yang belum mempunyai akaun Keural akan dicipta akaun pada log masuk SSO pertama. Jika dimatikan, hanya individu yang sudah mempunyai akaun boleh log masuk.
- Klik Simpan.
Bagi OIDC, jika IdP tidak menyediakan alamat standard (discovery), masukkan endpoint secara terus dalam Papar tetapan lanjutan. Bagi kebanyakan IdP, biarkan kosong.
4. Hidupkan SSO dan uji log masuk
- Hidupkan Dayakan SSO, kemudian klik Simpan.
- Klik Uji log masuk. Skrin log masuk syarikat dibuka dalam tetingkap baharu.
- Log masuk menggunakan akaun syarikat dan kembali ke Keural. Jika berjaya, sambungan selesai.
Ujian log masuk hanya berfungsi apabila SSO dihidupkan. Jika terdapat masalah, matikan Dayakan SSO dan simpan. Sementara itu, kakitangan pada domain tersebut log masuk menggunakan pautan e-mel.
Log masuk kakitangan
- Masukkan e-mel syarikat pada skrin log masuk Keural, dan anda dibawa ke skrin log masuk syarikat. Selepas log masuk, anda kembali ke Keural.
- Dalam aplikasi desktop, log masuk menggunakan pautan e-mel dan bukannya skrin log masuk syarikat.
- Kakitangan yang pertama kali log masuk melalui SSO menyertai organisasi sebagai Ahli. Peranan pentadbir ditetapkan secara berasingan dalam Pengurusan organisasi.
Dalam keadaan berikut, log masuk masih berjaya tetapi akaun tidak menyertai organisasi secara automatik.
- Semua kerusi yang dibeli oleh organisasi telah penuh
- Akaun tersebut sudah tergolong dalam organisasi lain
5. Sambungkan SCIM (pilihan)
Dengan SCIM, apabila pengguna ditambah atau dinyahaktifkan dalam IdP, perubahan itu terus dikenakan pada akaun Keural. Tetapkan selepas sambungan SSO selesai.
Dalam Peruntukan SCIM, hidupkan Dayakan peruntukan SCIM.
Klik Keluarkan token, kemudian salin token. Token hanya dipaparkan sekali.
Masukkan SCIM Base URL (Tenant URL) dan token dalam tetapan peruntukan IdP. Kaedah pengesahan ialah token Bearer.
| IdP | Tempat untuk dimasukkan |
|---|---|
| Okta | Aplikasi → Provisioning → SCIM connector base URL, Authentication Mode ditetapkan kepada HTTP Header |
| Microsoft Entra ID | Enterprise application → Provisioning → Automatic → Tenant URL · Secret Token |
Tindakan dalam IdP dicerminkan ke Keural seperti berikut.
| Dalam IdP | Dalam Keural |
|---|---|
| Menugaskan pengguna | Mencipta akaun dan memasukkannya ke dalam organisasi. Nama pengguna ialah e-mel. |
| Menyahaktifkan pengguna atau membatalkan tugasan | Menggantung akaun supaya log masuk disekat. Data tidak dipadam. |
| Mengaktifkan semula | Membatalkan penggantungan. |
| Menambah atau mengeluarkan daripada kumpulan Keural Admins | Menaikkan kepada pentadbir atau menurunkan kepada ahli. Pemilik tidak berubah. |
Jika token hilang, klik Keluarkan semula token dan masukkan token baharu ke dalam IdP. Token lama serta-merta tidak sah.
Penyelesaian masalah
| Gejala | Tindakan |
|---|---|
| Domain e-mel tidak dapat disimpan | Pastikan pengesahan domain pada langkah 1 telah selesai dan domain bukan domain e-mel awam. |
| Pengesahan domain gagal | Pastikan nilai TXT dimasukkan lengkap bermula dari keural-verify=, tunggu DNS dikemas kini, kemudian klik semula. |
| Selepas klik uji log masuk, skrin log masuk syarikat tidak dibuka | Pastikan Dayakan SSO telah dihidupkan dan disimpan. |
| Selepas log masuk syarikat, kembali ke skrin log masuk Keural | Untuk OIDC, semak semula URI panggil balik, URL penerbit, rahsia klien, dan tuntutan e-mel. Untuk SAML, semak semula SP EntityID, URL ACS, sijil, dan atribut e-mel. |
| Log masuk ditolak kerana akaun tidak dijumpai | Cipta pengguna automatik pada log masuk pertama (JIT) dimatikan. Hidupkannya atau jemput individu tersebut terlebih dahulu. |
| Log masuk berjaya tetapi ruang kerja organisasi tidak dipaparkan | Pastikan masih ada kerusi yang tersedia dan akaun itu tidak tergolong dalam organisasi lain. |
| Gagal apabila membuka aplikasi dari portal IdP (SAML) | Mulakan dari skrin log masuk Keural dengan e-mel syarikat. |
| Ujian sambungan SCIM gagal | Masukkan semula Base URL dan token. Jika token telah dikeluarkan semula, gantikan dengan token baharu. |