Jedinstvena prijava (SSO)

Jedinstvena prijava omogućuje članovima Enterprise organizacije da se prijave u CCTV Design Tool pomoću davatelja identiteta koji vaša tvrtka već koristi, umjesto zasebne lozinke. Alat se povezuje s Microsoft Entra ID ili bilo kojim OpenID Connect davateljem kao što su Okta, Auth0, Keycloak ili Google Workspace. Kada je SSO omogućen, vaš se tim prijavljuje tako da na stranici za prijavu odabere Sign in with SSO i unese svoju poslovnu e‑poštu. Administratori također mogu nametnuti SSO kako se članovi više ne bi mogli prijaviti lozinkom ili Google računom.

Kada koristiti ovo

• Kada vaša organizacija želi jedan skup vjerodajnica za sve poslovne aplikacije
• Kada trebate uključiti nove članove tima bez izrade i slanja lozinki
• Kada vaša sigurnosna politika zahtijeva da pristup centralno kontrolira vaš davatelj identiteta
• Kada želite osigurati da osoba koja napusti tvrtku izgubi pristup čim se njen račun kod davatelja identiteta deaktivira

Prije početka

• Vaš račun mora pripadati Enterprise organizaciji. Pogledajte Free / Premium / Enterprise Versions.
• Trebate dopuštenje Manage SSO settings. Vlasnik organizacije ima ga po zadanom u grupi ADMIN. Da biste nekoj drugoj grupi omogućili konfiguriranje SSO-a, uključite Manage SSO settings za tu grupu u Manage Groups.
• Trebate administratorski pristup svom davatelju identiteta kako biste tamo registrirali CCTV Design Tool kao aplikaciju.

Otvaranje SSO postavki

1. Kliknite na izbornik User u lijevoj alatnoj traci.
2. U padajućem izborniku odaberite Profile.
3. U odjeljku Company bočne trake korisničkog profila odaberite Single Sign-On.

Stranica ima dvije kartice: SSO configuration, gdje unosite detalje svog davatelja identiteta, i Test & activation, koja se pojavljuje nakon što je konfiguracija spremljena.

Korak 1: Registrirajte aplikaciju kod svog davatelja identiteta

CCTV Design Tool mora biti registriran kao web aplikacija kod vašeg davatelja identiteta. Jedina vrijednost koju trebate iz alata je Callback URL prikazan na dnu kartice SSO configuration. Kliknite gumb za kopiranje pokraj njega i registrirajte ga kao redirect URI aplikacije.

Microsoft Entra ID

1. U Microsoft Entra admin centeru otvorite App registrations i kliknite New registration.
2. Dajte aplikaciji naziv, na primjer CCTV Design Tool.
3. Pod Redirect URI odaberite platformu Web i zalijepite Callback URL kopiran iz alata.
4. Registrirajte aplikaciju i zabilježite Application (client) ID i Directory (tenant) ID sa stranice pregleda.
5. Otvorite Certificates & secrets, izradite novi client secret i odmah kopirajte njegov value. Vrijednost se prikazuje samo jednom.

Ostali OpenID Connect davatelji

1. Izradite novu web aplikaciju (ponekad nazvanu regular web app ili confidential client) s client secret.
2. Registrirajte Callback URL kopiran iz alata kao dopušteni redirect URI.
3. Zabilježite client ID i client secret.
4. Pronađite issuer URL svog davatelja. Mora se točno podudarati s vrijednošću issuer objavljenom u discovery dokumentu davatelja na /.well-known/openid-configuration, na primjer https://your-company.okta.com.

Korak 2: Unesite konfiguraciju

Ispunite karticu SSO configuration i kliknite Save.

Polje	Što unijeti
Provider	Microsoft Entra ID, ili Other (OpenID Connect) za bilo kojeg drugog davatelja.
Tenant ID	Samo za Entra ID. Directory (tenant) ID vašeg Microsoft tenanta.
Issuer URL	Samo za druge davatelje. Issuer URL točno onako kako je objavljen u discovery dokumentu davatelja.
Client ID	Application (client) ID aplikacije koju ste registrirali.
Client secret	Tajna vrijednost izrađena za tu aplikaciju.
Callback URL	Samo za čitanje. Registrirajte ovaj redirect URI kod svog davatelja identiteta.

INFO

Client secret se pohranjuje šifrirano i više se neće prikazivati. Kada kasnije uređujete konfiguraciju, ostavite polje Client secret prazno kako biste zadržali trenutačnu tajnu.

WARNING

Spremanje bilo koje promjene konfiguracije briše posljednji rezultat testa i onemogućuje SSO dok ponovno ne testirate konfiguraciju i ponovno ga ne uključite. Ako je SSO bio nametnut, nametanje se također ukida. Isplanirajte promjene konfiguracije, poput rotacije isteknutog client secreta, za trenutak kada je kratki prekid prihvatljiv.

Korak 3: Testirajte konfiguraciju

Na kartici Test & activation kliknite Test configuration. Test provjerava da:

• se discovery dokument davatelja identiteta može dohvatiti za tenant ili issuer koji ste unijeli,
• davatelj objavljuje svoje ključeve za potpisivanje tokena,
• za Microsoft Entra ID tenant prihvaća client ID i client secret.

Za Other (OpenID Connect) davatelje client secret se ne može provjeriti bez stvarne prijave, pa uspješan test samo potvrđuje da je davatelj dostupan. Tajna se provjerava pri prvoj prijavi korisnika.

Rezultat posljednjeg testa prikazan je pokraj gumba. Neuspješan test prikazuje razlog, na primjer pogrešan tenant ID ili odbijen client secret. SSO se ne može omogućiti dok test ne uspije.

Korak 4: Omogućite SSO

Kada je test uspio, uključite Enable SSO. Od tog trenutka:

• Članovi vaše organizacije mogu se prijaviti putem Sign in with SSO na stranici za prijavu.
• Prijava lozinkom i Google računom i dalje funkcionira. SSO je u ovom trenutku opcionalan.
• Svakom članu koji se prvi put prijavi putem SSO-a identitet se povezuje s postojećim računom prema e‑pošti.

Isključivanje opcije Enable SSO odmah zaustavlja SSO prijavu i također ukida nametanje.

Nametanje SSO-a

Uključite Enforce SSO kako bi davatelj identiteta bio jedini način prijave. Prekidač je dostupan samo dok je SSO omogućen. Kada je SSO nametnut:

• Članovi se mogu prijaviti samo putem Sign in with SSO. Prijava lozinkom i Googleom se odbija porukom Your organization requires single sign-on.
• Pozvani korisnici ne mogu se registrirati niti postaviti lozinku. Priključuju se organizaciji tako da se prvi put prijave putem SSO-a (vidi Dodavanje korisnika).
• Članovi grupe ADMIN ostaju izuzeti i uvijek se mogu prijaviti svojom lozinkom. To jamči da pogrešna konfiguracija davatelja identiteta nikada neće zaključati organizaciju iz vlastitih postavki.

TIP

Najprije omogućite SSO bez nametanja i zamolite nekoliko članova da isprobaju Sign in with SSO. Nametnite ga tek nakon što potvrdite da prijava funkcionira za uobičajene članove.

Kako se vaš tim prijavljuje

1. Na stranici za prijavu kliknite Sign in with SSO.
2. Unesite svoju poslovnu adresu e‑pošte i kliknite Continue with SSO.
3. Biti ćete preusmjereni na davatelja identiteta vaše organizacije. Tamo se prijavite s istim računom čiju ste e‑poštu upravo unijeli.
4. Bit ćete vraćeni u CCTV Design Tool, već prijavljeni.

Organizacija se pronalazi prema adresi e‑pošte: ona mora pripadati članu organizacije s omogućenim SSO-om ili važećoj pozivnici iz takve organizacije. Ako je na računu omogućena dvofaktorska autentikacija, kod će se i dalje tražiti nakon što vas davatelj identiteta prijavi.

Dodavanje korisnika kada je SSO uključen

Korisnici se dodaju u Manage Users kao i inače. Što se događa dalje ovisi o tome je li SSO nametnut.

SSO omogućen, nije nametnut

• Adresa e‑pošte koja već ima račun za CCTV Design Tool prima pozivnicu koju osoba prihvaća u aplikaciji.
• Nova adresa e‑pošte zahtijeva privremenu lozinku, kao i bez SSO-a. Osoba se prvo prijavi tom lozinkom i kasnije može prijeći na SSO.

SSO nametnut

• Nova adresa e‑pošte se poziva bez lozinke. Osoba jednostavno odabere Sign in with SSO na stranici za prijavu. Njihova prva uspješna prijava prihvaća pozivnicu, smješta ih u grupu odabranu tijekom pozivanja i dodjeljuje slobodnu licencu ako je dostupna.
• Adresa e‑pošte koja već ima aktivan račun mora se najprije prijaviti svojom lozinkom i prihvatiti pozivnicu u aplikaciji. Tek tada ta osoba može koristiti SSO.

INFO

Pozivnice istječu. Ako se osoba nije prijavila prije isteka pozivnice, otkažite je i pozovite je ponovno iz Manage Users.

Dnevnik revizije

Svaka promjena se bilježi u revizijskom dnevniku organizacije: spremanje konfiguracije, pokretanje testa s njegovim rezultatom te omogućavanje, onemogućavanje ili nametanje SSO-a. Korisnici koji se pridruže putem SSO pozivnice pojavljuju se kao Invite Accepted.

Rješavanje problema

Poruka	Što znači
Identity provider discovery failed (HTTP …) — check the tenant ID	Tenant ID ili issuer URL je pogrešan ili je davatelj nedostupan.
The discovery document publishes a different issuer	Za Other (OpenID Connect) unesite issuer URL točno onako kako ga davatelj objavljuje, uključujući ili isključujući završnu putanju.
Client credentials check failed	Client ID ili client secret je pogrešan, ili je tajna istekla. Izradite novu tajnu kod svog davatelja identiteta i spremite je.
Test the configuration successfully before enabling SSO	Pokrenite Test configuration i ispravite prijavljeni problem prije uključivanja Enable SSO.
SSO is not available for this account	Unesena e‑pošta ne pripada članu ili pozvanoj osobi organizacije s omogućenim SSO-om. Provjerite je li osoba dodana u Manage Users.
You signed in to the identity provider with a different account than the email you entered	Račun odabran kod davatelja identiteta ne odgovara e‑pošti upisanoj na stranici za prijavu. Započnite ponovno i odaberite odgovarajući račun.
You already have an account. Sign in with your password and accept the organization invitation first	Pozvana osoba je već imala aktivan račun prije pozivnice. Mora je jednom prihvatiti u aplikaciji, nakon čega SSO radi.
Your invitation has expired	Pozovite osobu ponovno iz Manage Users.
Your organization requires single sign-on	SSO je nametnut. Koristite Sign in with SSO umjesto lozinke ili Googlea.

Savjeti

• Zabilježite kada vaš client secret istječe i rotirajte ga prije tog datuma. Istekla tajna zaustavlja SSO za cijelu organizaciju.
• Uključite nametanje tek nakon što uobičajeni članovi potvrde da im SSO prijava funkcionira.
• Ostavite barem jednog administratora u grupi ADMIN koji zna svoju lozinku. Administratori su oslonac kada davatelj identiteta nije dostupan.
• Kada je SSO nametnut, nove kolege pozivajte samo e‑poštom. Nikada im ne trebate slati lozinku.
• Pregledajte revizijski dnevnik nakon promjena konfiguracije kako biste potvrdili tko je što i kada promijenio.

Povezane teme

• Enterprise postavke
• Korisnički profil
• Besplatna / Premium / Enterprise izdanja