SSO மற்றும் SCIM
நிறுவனக் கணக்கு (IdP) உள்நுழைவையும் பயனர் தானியங்கு ஒத்திசைவையும் அமைக்கும் வரிசை.
ஒரு நிறுவனம் தான் பயன்படுத்தும் IdP உடன் (Okta, Microsoft Entra ID, Google Workspace போன்றவை) Keural ஐ இணைக்கலாம். இணைத்த பிறகு பணியாளர்கள் நிறுவனக் கணக்கின் மூலம் Keural இல் உள்நுழைவார்கள், முதல் உள்நுழைவின் போது அவர்கள் தானாக நிறுவனத்தில் சேர்க்கப்படுவார்கள்.
IdP நிர்வாகிகளுக்கும் டெவலப்பர்களுக்கும் உரிய முழுமையான தொழில்நுட்ப விவரக்குறிப்பு SSO·SCIM ஒருங்கிணைப்பு விவரக்குறிப்பு இல் உள்ளது.
தயாரிப்பு
| தேவையானவை | காரணம் |
|---|---|
| Keural நிறுவனத்தின் உரிமையாளர் கணக்கு | SSO அமைப்பை உரிமையாளர் மட்டுமே மாற்ற முடியும். |
| IdP நிர்வாகி அனுமதி | IdP இல் Keural பயன்பாட்டை உருவாக்க வேண்டும். |
| நிறுவன டொமைனின் DNS நிர்வாக அனுமதி | டொமைன் உரிமையை TXT பதிவின் மூலம் சரிபார்க்க வேண்டும். |
ஆதரிக்கப்படும் முறைகள்
| முறை | பயன்பாடு |
|---|---|
| OpenID Connect (OIDC) | நிறுவனக் கணக்கின் மூலம் உள்நுழைதல் |
| SAML 2.0 | நிறுவனக் கணக்கின் மூலம் உள்நுழைதல். அங்கீகாரக் கோரிக்கை Redirect மூலமும், பதில் HTTP-POST மூலமும் வரும். |
| SCIM 2.0 | IdP இல் பயனர்களைச் சேர்க்கும்போதோ முடக்கும்போதோ Keural கணக்குகளில் தானாகப் பிரதிபலிக்கும் |
OIDC அல்லது SAML இரண்டில் ஒன்றைத் தேர்ந்தெடுக்கவும். IdP இரண்டையும் ஆதரித்தால், அமைப்பு எளிதானதால் OIDC பரிந்துரைக்கப்படுகிறது.
அமைப்பு வரிசை
- நிறுவன டொமைனைச் சரிபார்க்கவும்
- IdP இல் பயன்பாட்டை உருவாக்கவும்
- Keural இல் மதிப்புகளை உள்ளிட்டுச் சேமிக்கவும்
- SSO ஐ இயக்கி உள்நுழைவைச் சோதிக்கவும்
- SCIM ஐ இணைக்கவும் (விருப்பத்தேர்வு)
அனைத்து அமைப்புத் திரைகளும் நிறுவன நிர்வாகம் → SSO அமைப்புகள் இல் உள்ளன.
1. நிறுவன டொமைனைச் சரிபார்க்கவும்
SSO க்குப் பயன்படுத்தும் மின்னஞ்சல் டொமைனின் உரிமையை முதலில் சரிபார்க்க வேண்டும். சரிபார்க்கப்படாத டொமைன் படி 3 இல் சேமிக்கப்படாது.
நிறுவன டொமைன் இல் நிறுவன டொமைனை (எ.கா. acme.com) உள்ளிட்டு டொமைனைச் சேர் ஐ அழுத்தவும்.
பட்டியலில் அந்த டொமைன் வரியில் சரிபார் ஐ அழுத்தவும். டொமைன் சரிபார்ப்பு சாளரத்தில் TXT பதிவு மதிப்பு (keural-verify=…) தோன்றும். மதிப்பை நகலெடுக்கவும்.
DNS நிர்வாகத் திரையில் அந்த டொமைனுக்கு TXT பதிவைச் சேர்த்து, நகலெடுத்த மதிப்பை ஒட்டவும். ஹோஸ்ட் (பெயர்) டொமைனே (பொதுவாக @).
Keural க்குத் திரும்பி சரிபார்ப்பை உறுதிப்படுத்து ஐ அழுத்தவும். வரியில் சரிபார்க்கப்பட்டது என்று காட்டினால் முடிந்தது. DNS மாற்றம் செயல்பட பல நிமிடங்கள் ஆகலாம். தோல்வியடைந்தால் சிறிது நேரம் கழித்து மீண்டும் அழுத்தவும்.
பல நிறுவன டொமைன்கள் இருந்தால், ஒவ்வொன்றையும் சேர்த்துச் சரிபார்க்கவும். gmail.com போன்ற பொது மின்னஞ்சல் டொமைன்களைப் பயன்படுத்த முடியாது.
2. IdP இல் பயன்பாட்டை உருவாக்கவும்
SSO அமைப்புகள் மேலே உள்ள நெறிமுறை இல் OpenID Connect (OIDC) அல்லது SAML 2.0 ஐத் தேர்ந்தெடுக்கவும். IdP இல் பதிவு செய்ய வேண்டிய Keural மதிப்புகள் திரையில் தோன்றும். அவற்றை நகலெடுத்து IdP பயன்பாட்டில் ஒட்டி, IdP தரும் மதிப்புகளைக் குறித்து வைக்கவும்.
| திசை | உருப்படி | விவரம் |
|---|---|---|
| Keural → IdP | Callback URI | IdP பயன்பாட்டின் redirect URI இல் உள்ளிடவும். |
| IdP → Keural | Issuer URL | IdP இன் வழங்குநர் முகவரி. |
| IdP → Keural | Client ID · Client Secret | IdP பயன்பாட்டை உருவாக்கும்போது கிடைக்கும் மதிப்புகள். |
IdP பயனரின் மின்னஞ்சலை அனுப்புமாறு அமைத்தால் மட்டுமே உள்நுழைவு நடக்கும்.
| IdP | உருவாக்கும் இடம் | Callback URI உள்ளிட வேண்டிய புலம் | Issuer URL |
|---|---|---|---|
| Okta | Applications → Create App Integration → OIDC · Web Application | Sign-in redirect URIs | https://<Okta டொமைன்> |
| Microsoft Entra ID | App registrations → New registration | Redirect URI(Web) | https://login.microsoftonline.com/<டெனன்ட் ID>/v2.0 |
| Google Workspace | Google Cloud console → API மற்றும் சேவைகள் → நற்சான்றுகள் → OAuth client ID (Web application) | Authorized redirect URIs | https://accounts.google.com |
- Microsoft Entra ID: Client Secret என்பது Certificates & secrets இல் புதிதாக உருவாக்கப்படும் Value மதிப்பு. Token configuration இல், ID token இல் விருப்ப
emailclaim ஐச் சேர்க்கவும். - Okta: பயன்பாட்டின் Assignments இல் Keural ஐப் பயன்படுத்தக்கூடிய பயனர்கள் அல்லது குழுக்களைக் குறிப்பிடவும்.
3. Keural இல் மதிப்புகளை உள்ளிட்டுச் சேமிக்கவும்
- படி 2 இல் பெற்ற IdP மதிப்புகளை உள்ளிடவும்.
- மின்னஞ்சல் டொமைன்கள் இல், படி 1 இல் சரிபார்த்த டொமைனை காற்புள்ளியால் பிரித்து உள்ளிடவும். இந்த டொமைன் மின்னஞ்சலுடன் உள்நுழைந்தால் நிறுவன உள்நுழைவுத் திரைக்குச் செல்லும்.
- முதல் உள்நுழைவில் பயனர்களைத் தானாக உருவாக்கு (JIT) ஐ முடிவு செய்யவும். இயக்கினால், Keural கணக்கு இல்லாத பணியாளருக்கு முதல் SSO உள்நுழைவின் போது கணக்கு உருவாக்கப்படும். முடக்கினால், ஏற்கனவே கணக்கு உள்ளவர்கள் மட்டுமே உள்நுழைய முடியும்.
- சேமி ஐ அழுத்தவும்.
OIDC இல், IdP நிலையான முகவரியைத் தானாகத் தெரிவிக்கவில்லையெனில் மேம்பட்ட அமைப்புகளைக் காட்டு இல் endpoint களை நேரடியாக உள்ளிடலாம். பெரும்பாலான IdP களுக்கு காலியாக விட்டாலே போதும்.
4. SSO ஐ இயக்கி உள்நுழைவைச் சோதிக்கவும்
- SSO ஐ இயக்கு ஐ இயக்கி சேமி ஐ அழுத்தவும்.
- சோதனை உள்நுழைவு ஐ அழுத்தவும். நிறுவன உள்நுழைவுத் திரை புதிய சாளரத்தில் திறக்கும்.
- நிறுவனக் கணக்கில் உள்நுழைந்து Keural க்குத் திரும்பினால், இணைப்பு முடிந்தது.
SSO இயக்கத்தில் இருந்தால் மட்டுமே சோதனை உள்நுழைவு செயல்படும். ஏதேனும் சிக்கல் இருந்தால் SSO ஐ இயக்கு ஐ அணைத்துச் சேமிக்கவும். அந்த டொமைனின் பணியாளர்கள் மீண்டும் மின்னஞ்சல் இணைப்பு மூலம் உள்நுழைவார்கள்.
பணியாளர் உள்நுழைவு
- Keural உள்நுழைவுத் திரையில் நிறுவன மின்னஞ்சலை உள்ளிட்டால் நிறுவன உள்நுழைவுத் திரைக்குச் செல்லும். உள்நுழைந்த பிறகு Keural க்குத் திரும்பும்.
- டெஸ்க்டாப் செயலியில், நிறுவன உள்நுழைவுத் திரைக்குப் பதிலாக மின்னஞ்சல் இணைப்பின் மூலம் உள்நுழையலாம்.
- SSO மூலம் முதல் முறை உள்நுழையும் பணியாளர் உறுப்பினராக நிறுவனத்தில் சேர்வார். நிர்வாகப் பங்கு நிறுவன நிர்வாகத்தில் தனியாக வழங்கப்படும்.
பின்வரும் நிலைகளில் உள்நுழைவு நடக்கும்; ஆனால் கணக்கு நிறுவனத்தில் தானாகச் சேராது.
- நிறுவனம் வாங்கிய இருக்கைகள் அனைத்தும் நிரம்பியிருந்தால்
- அந்தக் கணக்கு ஏற்கனவே வேறு நிறுவனத்தில் இருந்தால்
5. SCIM ஐ இணைக்கவும் (விருப்பத்தேர்வு)
SCIM ஐ இணைத்தால், IdP இல் பயனர்களைச் சேர்க்கும்போதும் முடக்கும்போதும் Keural கணக்கில் உடனடியாகப் பிரதிபலிக்கும். SSO இணைப்பை முடித்த பிறகு அமைக்கவும்.
SCIM வழங்குதல் இல் SCIM வழங்குதலை இயக்கு ஐ இயக்கவும்.
டோக்கனை வழங்கு ஐ அழுத்தவும். டோக்கன் இப்போது ஒருமுறை மட்டுமே காட்டப்படும்; உடனே நகலெடுக்கவும்.
IdP இன் வழங்குதல் அமைப்பில் SCIM Base URL (Tenant URL) மற்றும் டோக்கனை உள்ளிடவும். அங்கீகார முறை Bearer டோக்கன் ஆகும்.
| IdP | உள்ளிட வேண்டிய இடம் |
|---|---|
| Okta | Application → Provisioning → SCIM connector base URL, Authentication Mode ஐ HTTP Header ஆக அமைக்கவும் |
| Microsoft Entra ID | Enterprise application → Provisioning → Automatic → Tenant URL · Secret Token |
IdP இல் செய்யும் மாற்றங்கள் Keural இல் பின்வருமாறு பிரதிபலிக்கும்.
| IdP இல் | Keural இல் |
|---|---|
| பயனருக்கு ஒதுக்குதல் | கணக்கு உருவாக்கி நிறுவனத்தில் சேர்க்கும். பயனர் பெயர் மின்னஞ்சல். |
| பயனரை முடக்குதல் அல்லது ஒதுக்கீட்டை நீக்குதல் | கணக்கை இடைநிறுத்தி உள்நுழைவைத் தடுக்கும். தரவு நீக்கப்படாது. |
| மீண்டும் இயக்குதல் | இடைநிறுத்தத்தை நீக்கும். |
| Keural Admins குழுவில் சேர்த்தல் அல்லது நீக்குதல் | நிர்வாகியாக உயர்த்தப்படும் அல்லது உறுப்பினராகக் குறைக்கப்படும். உரிமையாளர் மாறாது. |
டோக்கனை இழந்தால் டோக்கனை மீண்டும் வழங்கு ஐ அழுத்தவும். பழைய டோக்கன் உடனடியாகச் செல்லாததாகும்; எனவே புதிய டோக்கனை IdP இல் மீண்டும் உள்ளிடவும்.
சிக்கல் தீர்வு
| அறிகுறி | நடவடிக்கை |
|---|---|
| மின்னஞ்சல் டொமைன் சேமிக்கப்படவில்லை | படி 1 டொமைன் சரிபார்ப்பை முடித்துள்ளீர்களா, டொமைன் பொது மின்னஞ்சல் டொமைன் அல்ல என்பதையும் உறுதிசெய்யவும். |
| டொமைன் சரிபார்ப்பு தோல்வி | TXT மதிப்பை keural-verify= இலிருந்து முழுமையாக உள்ளிட்டுள்ளீர்களா என்று பார்த்து, DNS புதுப்பிக்க காத்திருந்து மீண்டும் அழுத்தவும். |
| சோதனை உள்நுழைவை அழுத்தியும் நிறுவன உள்நுழைவுத் திரை திறக்கவில்லை | SSO ஐ இயக்கு இயக்கப்பட்டு சேமிக்கப்பட்டுள்ளதா என்று பார்க்கவும். |
| நிறுவன உள்நுழைவுக்குப் பிறகு Keural உள்நுழைவுத் திரைக்குத் திரும்புகிறது | OIDC எனில் Callback URI, Issuer URL, Client Secret, மின்னஞ்சல் claim ஐ மீண்டும் சரிபார்க்கவும். SAML எனில் SP EntityID, ACS URL, சான்றிதழ், மின்னஞ்சல் பண்பை மீண்டும் சரிபார்க்கவும். |
| கணக்கு இல்லை என்பதால் உள்நுழைய முடியவில்லை | முதல் உள்நுழைவில் பயனர்களைத் தானாக உருவாக்கு (JIT) முடக்கப்பட்டுள்ளது. அதை இயக்கவும் அல்லது அந்தப் பணியாளரை முதலில் அழைக்கவும். |
| உள்நுழைந்தும் நிறுவனப் பணியிடம் தெரியவில்லை | இருக்கைகள் மீதமுள்ளனவா, கணக்கு வேறு நிறுவனத்தில் இல்லையா என்று பார்க்கவும். |
| IdP போர்ட்டலில் பயன்பாட்டைத் திறக்கும்போது தோல்வி (SAML) | நிறுவன மின்னஞ்சலுடன் Keural உள்நுழைவுத் திரையில் இருந்து தொடங்கவும். |
| SCIM இணைப்புச் சோதனை தோல்வி | Base URL மற்றும் டோக்கனை மீண்டும் உள்ளிடவும். டோக்கனை மீண்டும் வழங்கியிருந்தால் புதிய டோக்கனைப் பயன்படுத்தவும். |