Konfigurowanie SSO przez SAML lub OpenID Connect
Pozwól członkom logować się do przestrzeni roboczej przez firmowego dostawcę tożsamości.
Logowanie jednokrotne (SSO) pozwala członkom logować się do aplikacji Klang przez firmowego dostawcę tożsamości zamiast kodu wysyłanego e-mailem albo logowania przez Google lub Microsoft. Klang obsługuje SAML 2.0 i OpenID Connect.
Musisz mieć uprawnienia administratora przestrzeni roboczej, a zespół Klang musi najpierw włączyć konfigurację SSO dla twojej przestrzeni roboczej. Jeśli nie widzisz opisanej niżej sekcji, skontaktuj się z zespołem Klang.
Dodawanie połączenia
Otwórz Ustawienia → Przestrzeń robocza → Bezpieczeństwo i znajdź sekcję Logowanie jednokrotne (SSO).
- Kliknij Dodaj połączenie SSO
- W polu Nazwa wpisz nazwę. Członkowie zobaczą ją na przycisku logowania
- W polu Protokół wybierz SAML 2.0 lub OpenID Connect
- Skopiuj adresy wyświetlone przez Klang do konfiguracji dostawcy tożsamości
- W polach poniżej wpisz dane od swojego dostawcy
- W sekcji Przestrzenie robocze wybierz przestrzenie robocze, które ma obsługiwać to połączenie
- Kliknij Zapisz
Klang rezerwuje adresy od razu po otwarciu okna, więc możesz je zarejestrować u dostawcy, zanim skończysz. Rezerwacja obowiązuje przez godzinę. Nic nie zostanie utworzone, dopóki nie klikniesz Zapisz, a Anuluj pozostawia ustawienia bez zmian.
Czego potrzebuje dostawca tożsamości
W przypadku SAML zarejestruj Service Provider Entity ID i ACS URL. Jeśli twój dostawca woli plik metadanych, kliknij Pobierz metadane SP. Skonfiguruj dostawcę tak, aby wysyłał podpisaną asercję, stały identyfikator NameID i prawdziwy adres e-mail użytkownika. W sekcji Ustawienia zaawansowane możesz włączyć podpisywanie żądań uwierzytelnienia i szyfrowanie asercji, ustawić format NameID oraz dodać drugi certyfikat na czas, gdy dostawca wymienia certyfikaty. Szyfrowane asercje muszą używać transportu klucza RSA-OAEP z MGF1 i SHA-1 (profil XML Encryption 1.0). Profil RSA-OAEP z XML Encryption 1.1 nie jest obsługiwany i logowanie z nim się nie powiedzie.
W przypadku OpenID Connect zarejestruj Redirect URI wyświetlony przez Klang, a następnie wpisz adres URL wystawcy (issuer), identyfikator klienta i klucz tajny klienta od swojego dostawcy.
Te adresy możesz w każdej chwili ponownie wyświetlić w oknie Dane połączenia.
Testowanie przed włączeniem
W przypadku SAML kliknij Przetestuj logowanie SAML w oknie Dane połączenia. Test sprawdza całą wymianę danych z dostawcą bez tworzenia konta i bez zmiany czyjejkolwiek metody logowania, więc możesz go bezpiecznie uruchomić, zanim członkowie zaczną korzystać z połączenia.
Udostępnianie połączenia członkom
Zapisanie połączenia nie przełącza nikogo na nową metodę. Aby ją udostępnić, przejdź do sekcji Dozwolone metody logowania, zaznacz połączenie i kliknij Zapisz.
Nowi członkowie nadal potrzebują zaproszenia do przestrzeni roboczej. Klang nie tworzy kont automatycznie na podstawie twojego katalogu, a logowanie przez dostawcę nie weryfikuje adresu e-mail członka poza tą przestrzenią roboczą. Obecni członkowie zachowują dotychczasową metodę logowania, dopóki sami nie zmienią jej w swoich ustawieniach logowania.
Warto wiedzieć
- Zmiana dozwolonych metod logowania nie wylogowuje obecnych członków
- Logowanie zaczynaj w Klang. Otwieranie Klang z kafelka w portalu dostawcy nie jest obsługiwane
- Wylogowanie jednokrotne (Single Logout) i automatyczne tworzenie kont członków nie są obsługiwane
- Aby odłączyć przestrzeń roboczą, najpierw usuń połączenie z jej dozwolonych metod logowania
Czy ten artykuł był pomocny?
Twoja opinia pomaga nam ulepszać dokumentację.
Proponowane artykuły
Potrzebujesz więcej pomocy?
Nasz zespół pomocy technicznej chętnie pomoże.