Jednotné přihlášení (SSO)

Jednotné přihlášení umožňuje členům organizace Enterprise přihlašovat se do CCTV Design Tool pomocí poskytovatele identity, kterého vaše společnost již používá, místo samostatného hesla. Nástroj se připojuje k Microsoft Entra ID nebo k libovolnému poskytovateli OpenID Connect, jako je Okta, Auth0, Keycloak nebo Google Workspace. Jakmile je SSO povoleno, váš tým se přihlašuje volbou Sign in with SSO na přihlašovací stránce a zadáním pracovní e‑mailové adresy. Administrátoři mohou také vynutit SSO, aby se členové již nemohli přihlašovat heslem ani účtem Google.

Kdy to použít

• Když vaše organizace chce jednu sadu přihlašovacích údajů pro všechny firemní aplikace
• Když potřebujete začlenit nové členy týmu bez vytváření a posílání hesel
• Když vaše bezpečnostní politika vyžaduje, aby přístup byl řízen centrálně vaším poskytovatelem identity
• Když chcete zajistit, že osoba, která opustí společnost, ztratí přístup okamžitě po deaktivaci svého účtu u poskytovatele identity

Než začnete

• Váš účet musí patřit do organizace Enterprise. Viz Verze Free / Premium / Enterprise.
• Potřebujete oprávnění Manage SSO settings. Skupina ADMIN vlastníka organizace je má ve výchozím nastavení. Chcete‑li povolit jiné skupině konfigurovat SSO, zapněte pro ni Manage SSO settings v Správa skupin.
• Potřebujete administrátorský přístup k poskytovateli identity, abyste v něm zaregistrovali CCTV Design Tool jako aplikaci.

Otevření nastavení SSO

1. Klikněte na nabídku User v levém panelu nástrojů.
2. V rozbalovací nabídce vyberte Profile.
3. V sekci Company na postranním panelu User Profile vyberte Single Sign-On.

Stránka obsahuje dvě karty: SSO configuration, kam zadáte údaje o svém poskytovateli identity, a Test & activation, která se zobrazí po uložení konfigurace.

Krok 1: Zaregistrujte aplikaci u svého poskytovatele identity

CCTV Design Tool musí být u vašeho poskytovatele identity zaregistrován jako webová aplikace. Jediná hodnota, kterou z nástroje potřebujete, je Callback URL zobrazená ve spodní části karty SSO configuration. Klikněte na tlačítko kopírování vedle ní a zaregistrujte ji jako přesměrovací URI aplikace.

Microsoft Entra ID

1. V centru pro správu Microsoft Entra otevřete App registrations a klikněte na New registration.
2. Zadejte název aplikace, například CCTV Design Tool.
3. V části Redirect URI zvolte platformu Web a vložte Callback URL zkopírovanou z nástroje.
4. Zaregistrujte aplikaci a poznamenejte si Application (client) ID a Directory (tenant) ID ze stránku přehledu.
5. Otevřete Certificates & secrets, vytvořte nový client secret a jeho value si ihned zkopírujte. Hodnota je zobrazena pouze jednou.

Jiní poskytovatelé OpenID Connect

1. Vytvořte novou webovou aplikaci (někdy označovanou jako regular web app nebo confidential client) s client secret.
2. Zaregistrujte Callback URL zkopírovanou z nástroje jako povolenou přesměrovací URI.
3. Poznamenejte si client ID a client secret.
4. Najděte issuer URL svého poskytovatele. Musí přesně odpovídat hodnotě issuer zveřejněné v discovery dokumentu poskytovatele na /.well-known/openid-configuration, například https://your-company.okta.com.

Krok 2: Zadejte konfiguraci

Vyplňte kartu SSO configuration a klikněte na Save.

Pole	Co zadat
Provider	Microsoft Entra ID, nebo Other (OpenID Connect) pro jakéhokoli jiného poskytovatele.
Tenant ID	Pouze Entra ID. Directory (tenant) ID vašeho tenant Microsoftu.
Issuer URL	Pouze jiní poskytovatelé. Issuer URL přesně tak, jak je zveřejněna v discovery dokumentu poskytovatele.
Client ID	Application (client) ID vámi zaregistrované aplikace.
Client secret	Tajnou hodnotu vytvořenou pro tuto aplikaci.
Callback URL	Pouze pro čtení. Tuto přesměrovací URI zaregistrujte u svého poskytovatele identity.

INFO

Tajný klíč klienta je uložen šifrovaně a již se znovu nezobrazuje. Když budete konfiguraci později upravovat, ponechte pole Client secret prázdné, aby zůstal zachován stávající klíč.

WARNING

Uložení jakékoli změny konfigurace vymaže výsledek posledního testu a deaktivuje SSO do té doby, než konfiguraci znovu otestujete a znovu povolíte. Pokud bylo SSO vynuceno, vynucení se také zruší. Plánujte změny konfigurace, jako je rotace expirovaného tajného klíče klienta, na chvíli, kdy je krátké přerušení přijatelné.

Krok 3: Otestujte konfiguraci

Na kartě Test & activation klikněte na Test configuration. Test ověřuje, že:

• je dostupný discovery dokument poskytovatele identity pro zadaného tenanta nebo issuer,
• poskytovatel zveřejňuje své klíče pro podepisování tokenů,
• u Microsoft Entra ID tenanta přijímá zadané ID klienta a tajný klíč klienta.

U poskytovatelů Other (OpenID Connect) nelze tajný klíč klienta ověřit bez skutečného přihlášení, takže úspěšný test pouze potvrzuje, že je poskytovatel dosažitelný. Tajný klíč se ověří při prvním přihlášení uživatele.

Výsledek posledního testu se zobrazuje vedle tlačítka. Neúspěšný test zobrazí důvod, například chybné ID tenanta nebo odmítnutý tajný klíč klienta. SSO nelze povolit, dokud test neproběhne úspěšně.

Krok 4: Povolte SSO

Jakmile test proběhne úspěšně, přepněte Enable SSO na zapnuto. Od této chvíle:

• Členové vaší organizace se mohou přihlásit pomocí Sign in with SSO na přihlašovací stránce.
• Přihlášení heslem i přes Google nadále funguje. SSO je v tomto okamžiku nepovinné.
• Každému členovi, který se poprvé přihlásí pomocí SSO, se identita spojí s jeho stávajícím účtem podle e‑mailu.

Vypnutí Enable SSO okamžitě zastaví přihlašování přes SSO a rovněž zruší vynucení.

Vynucení SSO

Zapněte Enforce SSO, aby byl poskytovatel identity jedinou cestou dovnitř. Přepínač je k dispozici pouze tehdy, když je SSO povoleno. Když je SSO vynuceno:

• Členové se mohou přihlásit pouze přes Sign in with SSO. Přihlášení heslem a přes Google je odmítnuto se zprávou Your organization requires single sign-on.
• Pozvaní uživatelé se nemohou zaregistrovat ani nastavit heslo. Do organizace se přidají tím, že se poprvé přihlásí přes SSO (viz Přidávání uživatelů).
• Členové skupiny ADMIN zůstávají vyňati a vždy se mohou přihlásit heslem. To zaručuje, že chybná konfigurace poskytovatele identity nikdy neuzamkne organizaci mimo její vlastní nastavení.

TIP

Nejprve povolte SSO bez vynucení a požádejte několik členů, aby vyzkoušeli Sign in with SSO. Vynucení zapněte až poté, co potvrdíte, že přihlášení funguje běžným členům.

Jak se váš tým přihlašuje

1. Na přihlašovací stránce klikněte na Sign in with SSO.
2. Zadejte svou pracovní e‑mailovou adresu a klikněte na Continue with SSO.
3. Budete přesměrováni k poskytovateli identity vaší organizace. Přihlaste se tam stejným účtem, jehož e‑mail jste právě zadali.
4. Budete vráceni do CCTV Design Tool, již přihlášeni.

Organizace se určuje podle e‑mailové adresy: musí patřit členu organizace s povoleným SSO nebo čekající pozvánce z takové organizace. Pokud je na účtu zapnuto dvoufaktorové ověřování, bude kód vyžádán i po tom, co vás poskytovatel identity přihlásil.

Přidávání uživatelů, když je SSO aktivní

Uživatelé se přidávají jako obvykle v Správa uživatelů. Další průběh závisí na tom, zda je SSO vynuceno.

SSO povoleno, nevynucováno

• E‑mail, který už má účet v CCTV Design Tool, obdrží pozvánku, kterou dotyčný přijme v aplikaci.
• Nový e‑mail vyžaduje dočasné heslo, stejně jako bez SSO. Dotyčný se nejprve přihlásí tímto heslem a poté může přejít na SSO.

SSO vynuceno

• Nový e‑mail je pozván bez hesla. Dotyčný na přihlašovací stránce jednoduše zvolí Sign in with SSO. Jeho první úspěšné přihlášení přijme pozvánku, zařadí ho do skupiny zvolené při pozvání a přiřadí volnou licenci, pokud je k dispozici.
• E‑mail, který už má aktivní účet, se musí nejprve přihlásit svým heslem a v aplikaci pozvánku přijmout. Teprve poté může tento člověk používat SSO.

INFO

Pozvánky vyprší. Pokud se dotyčný nepřihlásil před vypršením pozvánky, zrušte ji a pozvěte ho znovu z Manage Users.

Auditní záznamy

Každá změna se zaznamenává v auditním logu organizace: uložení konfigurace, spuštění testu s jeho výsledkem a povolení, zakázání nebo vynucení SSO. Uživatelé, kteří se připojí přes pozvánku SSO, se zobrazí jako Invite Accepted.

Řešení problémů

Zpráva	Co to znamená
Identity provider discovery failed (HTTP …) — check the tenant ID	ID tenanta nebo issuer URL je chybné, nebo je poskytovatel nedostupný.
The discovery document publishes a different issuer	Pro Other (OpenID Connect) zadejte issuer URL přesně tak, jak ji poskytovatel zveřejňuje, včetně či bez koncové cesty.
Client credentials check failed	ID klienta nebo tajný klíč klienta je chybně, případně klíč expiroval. Vytvořte u svého poskytovatele nový klíč a uložte jej.
Test the configuration successfully before enabling SSO	Spusťte Test configuration a před zapnutím Enable SSO opravte nahlášený problém.
SSO is not available for this account	Zadaný e‑mail nepatří členu nebo pozvanému do organizace s povoleným SSO. Zkontrolujte, že byl dotyčný přidán v Manage Users.
You signed in to the identity provider with a different account than the email you entered	Účet zvolený u poskytovatele identity neodpovídá e‑mailu zadanému na přihlašovací stránce. Začněte znovu a zvolte odpovídající účet.
You already have an account. Sign in with your password and accept the organization invitation first	Pozvaný už měl před pozváním aktivní účet. Musí ji jednou přijmout v aplikaci, pak bude SSO fungovat.
Your invitation has expired	Pozvěte dotyčného znovu z Manage Users.
Your organization requires single sign-on	SSO je vynuceno. Použijte Sign in with SSO místo hesla nebo Google.

Tipy

• Mějte poznamenáno, kdy vyprší platnost vašeho tajného klíče klienta, a proveďte jeho rotaci před tímto datem. Expirovaný klíč zastaví SSO pro celou organizaci.
• Vynucení zapínejte až poté, co běžní členové potvrdí, že se jim přihlášení přes SSO daří.
• Mějte alespoň jednoho administrátora ve skupině ADMIN, který zná své heslo. Administrátoři jsou pojistkou, když je poskytovatel identity nedostupný.
• Když je SSO vynuceno, zvěte nové kolegy pouze e‑mailem. Od vás nikdy nebudou potřebovat heslo.
• Po změnách konfigurace zkontrolujte auditní log, abyste potvrdili, kdo co a kdy změnil.

Související témata

• Nastavení Enterprise
• Uživatelský profil
• Verze Free / Premium / Enterprise