Ενιαία Σύνδεση (SSO)

Η Ενιαία Σύνδεση επιτρέπει στα μέλη ενός οργανισμού Enterprise να συνδέονται στο CCTV Design Tool με τον πάροχο ταυτότητας που ήδη χρησιμοποιεί η εταιρεία σας, αντί για ξεχωριστό κωδικό πρόσβασης. Το εργαλείο συνδέεται με το Microsoft Entra ID ή με οποιονδήποτε πάροχο OpenID Connect όπως Okta, Auth0, Keycloak ή Google Workspace. Μόλις ενεργοποιηθεί το SSO, η ομάδα σας συνδέεται επιλέγοντας Sign in with SSO στη σελίδα σύνδεσης και εισάγοντας το εργασιακό τους email. Οι διαχειριστές μπορούν επίσης να επιβάλλουν το SSO ώστε τα μέλη να μην μπορούν πλέον να συνδεθούν με κωδικό πρόσβασης ή λογαριασμό Google.

Πότε να το χρησιμοποιήσετε

• Όταν ο οργανισμός σας θέλει ένα ενιαίο σετ διαπιστευτηρίων για όλες τις επιχειρησιακές εφαρμογές
• Όταν χρειάζεται να εντάξετε νέα μέλη στην ομάδα χωρίς να δημιουργείτε και να τους στέλνετε κωδικούς πρόσβασης
• Όταν η πολιτική ασφαλείας σας απαιτεί ο έλεγχος πρόσβασης να γίνεται κεντρικά από τον πάροχο ταυτότητάς σας
• Όταν θέλετε να βεβαιωθείτε ότι ένα άτομο που αποχωρεί από την εταιρεία χάνει την πρόσβαση μόλις απενεργοποιηθεί ο λογαριασμός του στον πάροχο ταυτότητας

Πριν ξεκινήσετε

• Ο λογαριασμός σας πρέπει να ανήκει σε οργανισμό Enterprise. Δείτε Εκδόσεις Free / Premium / Enterprise.
• Χρειάζεστε το δικαίωμα Manage SSO settings. Η ομάδα ADMIN του ιδιοκτήτη του οργανισμού το έχει από προεπιλογή. Για να επιτρέψετε σε άλλη ομάδα να ρυθμίζει το SSO, ενεργοποιήστε το Manage SSO settings για εκείνη την ομάδα στο Manage Groups.
• Χρειάζεστε πρόσβαση διαχειριστή στον πάροχο ταυτότητάς σας για να καταχωρίσετε το CCTV Design Tool ως εφαρμογή εκεί.

Άνοιγμα ρυθμίσεων SSO

1. Κάντε κλικ στο μενού User στην αριστερή εργαλειοθήκη.
2. Επιλέξτε Profile από το αναπτυσσόμενο μενού.
3. Στην ενότητα Company της πλευρικής μπάρας του User Profile, επιλέξτε Single Sign-On.

Η σελίδα έχει δύο κάρτες: SSO configuration, όπου εισάγετε τα στοιχεία του παρόχου ταυτότητάς σας, και Test & activation, η οποία εμφανίζεται αφού αποθηκευτεί μια διαμόρφωση.

Βήμα 1: Καταχωρίστε την εφαρμογή στον πάροχο ταυτότητάς σας

Το CCTV Design Tool πρέπει να είναι καταχωρισμένο ως web εφαρμογή στον πάροχο ταυτότητάς σας. Η μοναδική τιμή που χρειάζεστε από το εργαλείο είναι το Callback URL που εμφανίζεται στο κάτω μέρος της κάρτας SSO configuration. Κάντε κλικ στο κουμπί αντιγραφής δίπλα του και καταχωρίστε το ως redirect URI της εφαρμογής.

Microsoft Entra ID

1. Στο Microsoft Entra admin center, ανοίξτε το App registrations και κάντε κλικ στο New registration.
2. Δώστε ένα όνομα στην εφαρμογή, για παράδειγμα CCTV Design Tool.
3. Κάτω από Redirect URI, επιλέξτε την πλατφόρμα Web και επικολλήστε το Callback URL που αντιγράψατε από το εργαλείο.
4. Καταχωρίστε την εφαρμογή και σημειώστε το Application (client) ID και το Directory (tenant) ID από τη σελίδα επισκόπησης.
5. Ανοίξτε το Certificates & secrets, δημιουργήστε ένα νέο client secret και αντιγράψτε αμέσως την value του. Η τιμή εμφανίζεται μόνο μία φορά.

Άλλοι πάροχοι OpenID Connect

1. Δημιουργήστε μια νέα web εφαρμογή (μερικές φορές αποκαλείται regular web app ή confidential client) με client secret.
2. Καταχωρίστε το Callback URL που αντιγράψατε από το εργαλείο ως επιτρεπόμενο redirect URI.
3. Σημειώστε το client ID και το client secret.
4. Βρείτε το issuer URL του παρόχου σας. Πρέπει να ταιριάζει ακριβώς με την τιμή issuer που δημοσιεύεται στο discovery document του παρόχου στο /.well-known/openid-configuration, για παράδειγμα https://your-company.okta.com.

Βήμα 2: Εισαγωγή της διαμόρφωσης

Συμπληρώστε την κάρτα SSO configuration και κάντε κλικ στο Save.

Πεδίο	Τι να εισαγάγετε
Provider	Microsoft Entra ID, ή Other (OpenID Connect) για οποιονδήποτε άλλο πάροχο.
Tenant ID	Μόνο για Entra ID. Το Directory (tenant) ID του Microsoft tenant σας.
Issuer URL	Μόνο για άλλους παρόχους. Το issuer URL ακριβώς όπως δημοσιεύεται στο discovery document του παρόχου.
Client ID	Το Application (client) ID της εφαρμογής που καταχωρίσατε.
Client secret	Η μυστική τιμή που δημιουργήθηκε για εκείνη την εφαρμογή.
Callback URL	Μόνο για ανάγνωση. Καταχωρίστε αυτό το redirect URI στον πάροχο ταυτότητάς σας.

INFO

Το client secret αποθηκεύεται κρυπτογραφημένο και δεν εμφανίζεται ξανά. Όταν επεξεργάζεστε αργότερα τη διαμόρφωση, αφήστε κενό το πεδίο Client secret για να διατηρήσετε το τρέχον μυστικό.

WARNING

Η αποθήκευση οποιασδήποτε αλλαγής στη διαμόρφωση καθαρίζει το τελευταίο αποτέλεσμα δοκιμής και απενεργοποιεί το SSO μέχρι να δοκιμάσετε ξανά τη διαμόρφωση και να το ενεργοποιήσετε εκ νέου. Αν το SSO είχε επιβληθεί, η επιβολή αίρεται επίσης. Προγραμματίστε τις αλλαγές διαμόρφωσης, όπως η περιστροφή ενός εκπνευσμένου client secret, για στιγμή που είναι αποδεκτή μια σύντομη διακοπή.

Βήμα 3: Δοκιμή της διαμόρφωσης

Στην κάρτα Test & activation, κάντε κλικ στο Test configuration. Η δοκιμή επαληθεύει ότι:

• μπορεί να προσεγγιστεί το discovery document του παρόχου ταυτότητας για τον tenant ή το issuer που εισαγάγατε,
• ο πάροχος δημοσιεύει τα κλειδιά υπογραφής των διακριτικών του,
• για το Microsoft Entra ID, το client ID και το client secret γίνονται αποδεκτά από τον tenant.

Για παρόχους Other (OpenID Connect) το client secret δεν μπορεί να ελεγχθεί χωρίς πραγματική σύνδεση, οπότε μια επιτυχής δοκιμή επιβεβαιώνει μόνο ότι ο πάροχος είναι προσβάσιμος. Το μυστικό επαληθεύεται από τον πρώτο χρήστη που συνδέεται.

Το αποτέλεσμα της τελευταίας δοκιμής εμφανίζεται δίπλα στο κουμπί. Μια αποτυχημένη δοκιμή εμφανίζει τον λόγο, για παράδειγμα λάθος tenant ID ή απόρριψη του client secret. Το SSO δεν μπορεί να ενεργοποιηθεί μέχρι να πετύχει μια δοκιμή.

Βήμα 4: Ενεργοποίηση SSO

Αφού μια δοκιμή πετύχει, ενεργοποιήστε το Enable SSO. Από εδώ και στο εξής:

• Τα μέλη του οργανισμού σας μπορούν να συνδεθούν με Sign in with SSO στη σελίδα σύνδεσης.
• Η σύνδεση με κωδικό πρόσβασης και Google συνεχίζει να λειτουργεί. Το SSO είναι προαιρετικό σε αυτό το στάδιο.
• Κάθε μέλος που συνδέεται με SSO για πρώτη φορά έχει τη ταυτότητά του συνδεδεμένη με τον υπάρχοντα λογαριασμό του μέσω email.

Η απενεργοποίηση του Enable SSO σταματά αμέσως τη σύνδεση μέσω SSO και αίρει επίσης την επιβολή.

Επιβολή SSO

Ενεργοποιήστε το Enforce SSO για να καταστήσετε τον πάροχο ταυτότητας τον μοναδικό τρόπο εισόδου. Ο διακόπτης είναι διαθέσιμος μόνο όσο το SSO είναι ενεργοποιημένο. Όταν το SSO επιβάλλεται:

• Τα μέλη μπορούν να συνδεθούν μόνο με Sign in with SSO. Η σύνδεση με κωδικό πρόσβασης και Google απορρίπτεται με το μήνυμα Your organization requires single sign-on.
• Οι προσκεκλημένοι χρήστες δεν μπορούν να κάνουν εγγραφή ή να ορίσουν κωδικό πρόσβασης. Εντάσσονται στον οργανισμό συνδεόμενοι με SSO για πρώτη φορά (δείτε Προσθήκη χρηστών).
• Τα μέλη της ομάδας ADMIN εξαιρούνται και μπορούν πάντα να συνδέονται με τον κωδικό πρόσβασής τους. Αυτό εγγυάται ότι μια εσφαλμένη διαμόρφωση παρόχου ταυτότητας δεν θα κλειδώσει ποτέ τον οργανισμό έξω από τις δικές του ρυθμίσεις.

TIP

Ενεργοποιήστε πρώτα το SSO χωρίς επιβολή και ζητήστε από μερικά μέλη να δοκιμάσουν το Sign in with SSO. Επιβάλετέ το μόνο αφότου επιβεβαιώσετε ότι η σύνδεση λειτουργεί για τους κανονικούς χρήστες.

Πώς συνδέεται η ομάδα σας

1. Στη σελίδα σύνδεσης, κάντε κλικ στο Sign in with SSO.
2. Εισάγετε τη διεύθυνση email εργασίας σας και κάντε κλικ στο Continue with SSO.
3. Ανακατευθύνεστε στον πάροχο ταυτότητας του οργανισμού σας. Συνδεθείτε εκεί με τον ίδιο λογαριασμό του οποίου το email μόλις εισαγάγατε.
4. Επιστρέφετε στο CCTV Design Tool, ήδη συνδεδεμένοι.

Ο οργανισμός εντοπίζεται από τη διεύθυνση email: πρέπει να ανήκει σε μέλος οργανισμού με ενεργοποιημένο SSO ή σε εκκρεμή πρόσκληση από τέτοιον οργανισμό. Αν είναι ενεργοποιημένος ο έλεγχος ταυτότητας δύο παραγόντων στον λογαριασμό, ο κωδικός εξακολουθεί να ζητείται αφού σας συνδέσει ο πάροχος ταυτότητας.

Προσθήκη χρηστών όταν το SSO είναι ενεργό

Οι χρήστες προστίθενται στο Manage Users όπως συνήθως. Το τι συμβαίνει μετά εξαρτάται από το αν το SSO επιβάλλεται.

SSO ενεργό, όχι επιβεβλημένο

• Ένα email που έχει ήδη λογαριασμό στο CCTV Design Tool λαμβάνει πρόσκληση, την οποία το άτομο αποδέχεται μέσα στην εφαρμογή.
• Ένα νέο email απαιτεί προσωρινό κωδικό πρόσβασης, όπως και χωρίς SSO. Το άτομο συνδέεται πρώτα με αυτόν τον κωδικό και μπορεί να μεταβεί σε SSO στη συνέχεια.

Επιβεβλημένο SSO

• Ένα νέο email προσκαλείται χωρίς κωδικό πρόσβασης. Το άτομο απλώς επιλέγει Sign in with SSO στη σελίδα σύνδεσης. Η πρώτη επιτυχής σύνδεση αποδέχεται την πρόσκληση, το τοποθετεί στην ομάδα που επιλέχθηκε κατά την πρόσκληση και εκχωρεί μια διαθέσιμη άδεια εφόσον υπάρχει.
• Ένα email που έχει ήδη ενεργό λογαριασμό πρέπει πρώτα να συνδεθεί με τον κωδικό πρόσβασής του και να αποδεχτεί την πρόσκληση μέσα στην εφαρμογή. Μόνο τότε μπορεί αυτό το άτομο να χρησιμοποιήσει SSO.

INFO

Οι προσκλήσεις λήγουν. Αν ένα άτομο δεν έχει συνδεθεί πριν λήξει η πρόσκληση, ακυρώστε την και προσκαλέστε το ξανά από το Manage Users.

Ίχνος ελέγχου

Κάθε αλλαγή καταγράφεται στο audit log του οργανισμού: η αποθήκευση της διαμόρφωσης, η εκτέλεση δοκιμής μαζί με το αποτέλεσμά της, και η ενεργοποίηση, απενεργοποίηση ή επιβολή του SSO. Οι χρήστες που εντάσσονται μέσω πρόσκλησης SSO εμφανίζονται ως Invite Accepted.

Αντιμετώπιση προβλημάτων

Μήνυμα	Τι σημαίνει
Identity provider discovery failed (HTTP …) — check the tenant ID	Το tenant ID ή το issuer URL είναι λάθος ή ο πάροχος δεν είναι προσβάσιμος.
The discovery document publishes a different issuer	Για Other (OpenID Connect), εισαγάγετε το issuer URL ακριβώς όπως το δημοσιεύει ο πάροχος, συμπεριλαμβανομένου ή εξαιρώντας τυχόν τελικού path.
Client credentials check failed	Το client ID ή το client secret είναι λάθος ή το μυστικό έχει λήξει. Δημιουργήστε νέο μυστικό στον πάροχο ταυτότητάς σας και αποθηκεύστε το.
Test the configuration successfully before enabling SSO	Εκτελέστε Test configuration και διορθώστε το αναφερόμενο πρόβλημα πριν ενεργοποιήσετε το Enable SSO.
SSO is not available for this account	Το email που εισήχθη δεν ανήκει σε μέλος ή προσκεκλημένο οργανισμού με ενεργοποιημένο SSO. Ελέγξτε ότι το άτομο έχει προστεθεί στο Manage Users.
You signed in to the identity provider with a different account than the email you entered	Ο λογαριασμός που επιλέχθηκε στον πάροχο ταυτότητας δεν ταιριάζει με το email που πληκτρολογήθηκε στη σελίδα σύνδεσης. Ξεκινήστε ξανά και επιλέξτε τον αντίστοιχο λογαριασμό.
You already have an account. Sign in with your password and accept the organization invitation first	Ο προσκεκλημένος είχε ήδη ενεργό λογαριασμό πριν από την πρόσκληση. Πρέπει να την αποδεχτεί μία φορά μέσα στην εφαρμογή και μετά το SSO θα λειτουργεί.
Your invitation has expired	Προσκαλέστε ξανά το άτομο από το Manage Users.
Your organization requires single sign-on	Το SSO επιβάλλεται. Χρησιμοποιήστε το Sign in with SSO αντί για κωδικό πρόσβασης ή Google.

Συμβουλές

• Κρατήστε σημείωση για το πότε λήγει το client secret σας και περιστρέψτε το πριν από εκείνη την ημερομηνία. Ένα εκπνευσμένο μυστικό σταματά το SSO για όλον τον οργανισμό.
• Ενεργοποιήστε την επιβολή μόνο αφού οι κανονικοί χρήστες έχουν επιβεβαιώσει ότι η σύνδεση με SSO λειτουργεί για αυτούς.
• Διατηρήστε τουλάχιστον έναν διαχειριστή στην ομάδα ADMIN που να γνωρίζει τον κωδικό πρόσβασής του. Οι διαχειριστές αποτελούν εφεδρεία όταν ο πάροχος ταυτότητας δεν είναι διαθέσιμος.
• Όταν το SSO επιβάλλεται, προσκαλείτε νέους συναδέλφους μόνο με email. Δεν χρειάζονται ποτέ κωδικό πρόσβασης από εσάς.
• Ελέγξτε το audit log μετά από αλλαγές στη διαμόρφωση για να επιβεβαιώσετε ποιος άλλαξε τι και πότε.

Σχετικά θέματα

• Ρυθμίσεις Enterprise
• Προφίλ Χρήστη
• Εκδόσεις Free / Premium / Enterprise