Egyszeri bejelentkezés (SSO)

Az Egyszeri bejelentkezés lehetővé teszi a Vállalati (Enterprise) szervezet tagjai számára, hogy a CCTV Design Tool-ba a cégük által már használt identitásszolgáltatóval jelentkezzenek be egy külön jelszó helyett. Az eszköz csatlakozik a Microsoft Entra ID-hoz vagy bármely OpenID Connect szolgáltatóhoz, például Okta, Auth0, Keycloak vagy Google Workspace. Miután az SSO engedélyezve van, a csapata a bejelentkezési oldalon a Sign in with SSO lehetőséget választva, a munkahelyi e-mail-címet megadva lép be. Az adminisztrátorok az SSO-t kikényszeríthetik is, így a tagok többé nem tudnak jelszóval vagy Google-fiókkal bejelentkezni.

Mikor érdemes használni

• Ha a szervezete egységes hitelesítést szeretne minden üzleti alkalmazásban
• Ha új csapattagokat kell felvennie anélkül, hogy jelszavakat kellene létrehozni és elküldeni
• Ha a biztonsági házirend megköveteli, hogy a hozzáférést központilag az identitásszolgáltató szabályozza
• Ha biztosra akar menni, hogy a cégtől távozó személy a hozzáférését azonnal elveszíti, amint az identitásszolgáltatónál a fiókja letiltásra kerül

Mielőtt elkezdi

• A fiókjának egy Enterprise szervezethez kell tartoznia. Lásd: Ingyenes / Prémium / Enterprise verziók.
• Szüksége van a Manage SSO settings jogosultságra. A szervezet tulajdonosának ADMIN csoportja ezt alapértelmezetten megkapja. Ha egy másik csoportnak szeretné engedélyezni az SSO konfigurálását, kapcsolja be a Manage SSO settings lehetőséget annál a csoportnál a Manage Groups részben.
• Adminisztrátori hozzáférésre van szüksége az identitásszolgáltatójához, hogy ott alkalmazásként regisztrálja a CCTV Design Tool-t.

Az SSO beállításainak megnyitása

1. Kattintson a bal oldali eszköztáron a User menüre.
2. Válassza a Profile lehetőséget a legördülő menüből.
3. A felhasználói profil oldalsáv Company szakaszában válassza a Single Sign-On lehetőséget.

Az oldalon két kártya látható: SSO configuration, ahol megadja az identitásszolgáltató adatait, és a Test & activation, amely a konfiguráció mentése után jelenik meg.

1. lépés: Az alkalmazás regisztrálása az identitásszolgáltatónál

A CCTV Design Tool-t webalkalmazásként kell regisztrálni az identitásszolgáltatónál. Az egyetlen érték, amelyre az eszközből szüksége van, a Callback URL, amely az SSO configuration kártya alján látható. Kattintson a mellette lévő másolás gombra, és regisztrálja ezt az alkalmazás átirányítási URI-jaként.

Microsoft Entra ID

1. A Microsoft Entra felügyeleti központban nyissa meg az App registrations menüt, és kattintson a New registration gombra.
2. Adjon nevet az alkalmazásnak, például: CCTV Design Tool.
3. A Redirect URI alatt válassza a Web platformot, és illessze be az eszközből másolt Callback URL-t.
4. Regisztrálja az alkalmazást, és jegyezze fel az áttekintő oldalról az Application (client) ID és a Directory (tenant) ID értékeket.
5. Nyissa meg a Certificates & secrets részt, hozzon létre egy új client secret-et, és azonnal másolja ki annak value értékét. Az érték csak egyszer látható.

Egyéb OpenID Connect szolgáltatók

1. Hozzon létre egy új webalkalmazást (néha regular web app-nak vagy confidential client-nek hívják) client secret-tel.
2. Regisztrálja az eszközből másolt Callback URL-t engedélyezett átirányítási URI-ként.
3. Jegyezze fel a client ID és a client secret értékeket.
4. Keresse meg a szolgáltató issuer URL-jét. Ennek pontosan meg kell egyeznie a szolgáltató felfedezési dokumentumában a /.well-known/openid-configuration címen közzétett issuer értékkel, például: https://your-company.okta.com.

2. lépés: A konfiguráció megadása

Töltse ki az SSO configuration kártyát, majd kattintson a Save gombra.

Mező	Mit kell megadni
Provider	Microsoft Entra ID, vagy Other (OpenID Connect) bármely más szolgáltatóhoz.
Tenant ID	Csak Entra ID. A Microsoft bérlő Directory (tenant) ID azonosítója.
Issuer URL	Csak egyéb szolgáltatók. Az issuer URL pontosan úgy, ahogy a szolgáltató a felfedezési dokumentumban közzéteszi.
Client ID	A regisztrált alkalmazás Application (client) ID értéke.
Client secret	Az alkalmazáshoz létrehozott titkos kulcs értéke.
Callback URL	Csak olvasható. Ezt az átirányítási URI-t regisztrálja az identitásszolgáltatónál.

INFO

A client secret titkosítva kerül tárolásra, és többé nem jelenik meg. Ha később szerkeszti a konfigurációt, hagyja üresen a Client secret mezőt, hogy megtartsa a jelenlegi titkot.

WARNING

A konfiguráción végrehajtott bármilyen módosítás mentése törli az utolsó teszt eredményét, és letiltja az SSO-t, amíg újra le nem teszteli és ismét engedélyezi. Ha az SSO korábban ki volt kényszerítve, a kikényszerítés is feloldásra kerül. A konfigurációs változtatásokat – például egy lejárt client secret cseréjét – olyan időpontra tervezze, amikor egy rövid kiesés elfogadható.

3. lépés: A konfiguráció tesztelése

A Test & activation kártyán kattintson a Test configuration gombra. A teszt ellenőrzi, hogy:

• az identitásszolgáltató felfedezési dokumentuma elérhető-e az Ön által megadott tenant vagy issuer alapján,
• a szolgáltató közzéteszi-e a tokenaláíró kulcsait,
• Microsoft Entra ID esetén a tenant elfogadja-e a client ID-t és a client secret-et.

Other (OpenID Connect) szolgáltatók esetén a client secret valódi bejelentkezés nélkül nem ellenőrizhető, ezért a sikeres teszt csak azt erősíti meg, hogy a szolgáltató elérhető. A titok ellenőrzése az elsőként bejelentkező felhasználóval történik.

Az utolsó teszt eredménye a gomb mellett jelenik meg. Sikertelen teszt esetén megjelenik az ok is, például hibás tenant ID vagy elutasított client secret. Az SSO addig nem engedélyezhető, amíg egy teszt nem sikeres.

4. lépés: SSO engedélyezése

Sikeres teszt után kapcsolja be az Enable SSO opciót. Ettől kezdve:

• A szervezet tagjai a bejelentkezési oldalon a Sign in with SSO lehetőséggel jelentkezhetnek be.
• A jelszavas és a Google-bejelentkezés továbbra is működik. Az SSO ekkor még opcionális.
• Annak a tagnak, aki először jelentkezik be SSO-val, az identitása az e-mail-cím alapján összekapcsolódik a meglévő fiókjával.

Az Enable SSO kikapcsolása azonnal leállítja az SSO-s bejelentkezést, és a kikényszerítést is feloldja.

SSO kikényszerítése

Kapcsolja be az Enforce SSO opciót, hogy az identitásszolgáltató legyen az egyetlen belépési mód. A kapcsoló csak akkor érhető el, ha az SSO engedélyezve van. Ha az SSO ki van kényszerítve:

• A tagok csak a Sign in with SSO lehetőséggel jelentkezhetnek be. A jelszavas és Google-bejelentkezést a rendszer elutasítja az alábbi üzenettel: Your organization requires single sign-on.
• A meghívott felhasználók nem tudnak regisztrálni vagy jelszót beállítani. Először SSO-val bejelentkezve csatlakoznak a szervezethez (lásd: Felhasználók hozzáadása).
• Az ADMIN csoport tagjai továbbra is kivételt képeznek, és mindig be tudnak jelentkezni a jelszavukkal. Ez garantálja, hogy egy hibás identitásszolgáltató-konfiguráció soha ne zárja ki a szervezetet a saját beállításaiból.

TIP

Először engedélyezze az SSO-t kikényszerítés nélkül, és kérjen meg néhány tagot, hogy próbálják ki a Sign in with SSO lehetőséget. Csak akkor kényszerítse ki, ha megerősítést kapott, hogy a bejelentkezés a normál tagok számára is működik.

Így jelentkezik be a csapata

1. A bejelentkezési oldalon kattintson a Sign in with SSO gombra.
2. Adja meg a munkahelyi e-mail-címét, majd kattintson a Continue with SSO gombra.
3. Átirányítjuk a szervezete identitásszolgáltatójához. Ott azzal az ugyanazzal a fiókkal jelentkezzen be, amelynek e-mail-címét az imént megadta.
4. Visszairányítjuk a CCTV Design Tool-ba, már bejelentkezve.

A szervezet az e-mail-címből kerül meghatározásra: az e-mail-címnek egy olyan szervezet tagjához kell tartoznia, amelynél az SSO engedélyezve van, vagy egy ilyen szervezettől származó függőben lévő meghíváshoz. Ha a fiókon be van kapcsolva a kétlépcsős hitelesítés, a kódot az identitásszolgáltatónál történt bejelentkezés után is kérjük.

Felhasználók hozzáadása, ha az SSO be van kapcsolva

A felhasználókat a szokásos módon a Manage Users részben lehet hozzáadni. A továbbiak attól függenek, hogy az SSO ki van-e kényszerítve.

SSO engedélyezve, nincs kikényszerítve

• Az a cím, amelyhez már tartozik CCTV Design Tool fiók, meghívót kap, amelyet az alkalmazásban fogad el az illető.
• Az új e-mail-címhez ideiglenes jelszó szükséges, mint SSO nélkül. Az illető először ezzel a jelszóval jelentkezik be, majd később átválthat SSO-ra.

SSO kikényszerítve

• Az új e-mail-cím meghívást kap jelszó nélkül. Az illető egyszerűen a Sign in with SSO lehetőséget választja a bejelentkezési oldalon. Az első sikeres bejelentkezés elfogadja a meghívást, a meghíváskor kiválasztott csoportba helyezi, és – ha elérhető – hozzárendeli a szabad licencet.
• Az a cím, amelyhez már aktív fiók tartozik, először a jelszavával kell bejelentkezzen, és az alkalmazásban el kell fogadja a meghívást. Csak ezután használhatja az SSO-t.

INFO

A meghívások lejárnak. Ha valaki a lejárat előtt nem jelentkezett be, törölje a meghívást, és hívja meg újra a Manage Users részből.

Naplózás (audit trail)

Minden módosítás rögzítésre kerül a szervezet auditnaplójában: a konfiguráció mentése, a teszt futtatása az eredménnyel együtt, valamint az SSO engedélyezése, letiltása vagy kikényszerítése. Azok a felhasználók, akik SSO-meghíváson keresztül csatlakoznak, Invite Accepted bejegyzéssel jelennek meg.

Hibaelhárítás

Üzenet	Jelentése
Identity provider discovery failed (HTTP …) — check the tenant ID	A tenant ID vagy az issuer URL hibás, vagy a szolgáltató nem elérhető.
The discovery document publishes a different issuer	Other (OpenID Connect) esetén az issuer URL-t pontosan úgy adja meg, ahogy a szolgáltató közzéteszi, beleértve vagy kizárva a záró útvonalrészt.
Client credentials check failed	A client ID vagy a client secret hibás, vagy a secret lejárt. Hozzon létre új secret-et az identitásszolgáltatónál, és mentse el.
Test the configuration successfully before enabling SSO	Futtassa a Test configuration tesztet, és javítsa a jelzett problémát, mielőtt bekapcsolja az Enable SSO opciót.
SSO is not available for this account	A megadott e-mail-cím nem tartozik olyan taghoz vagy meghívotthoz, akinek a szervezeténél az SSO engedélyezve van. Ellenőrizze, hogy az illetőt hozzáadták-e a Manage Users részben.
You signed in to the identity provider with a different account than the email you entered	Az identitásszolgáltatónál választott fiók nem egyezik a bejelentkezési oldalon megadott e-mail-címmel. Kezdje újra, és a megfelelő fiókot válassza.
You already have an account. Sign in with your password and accept the organization invitation first	A meghívott személynek már volt aktív fiókja a meghívás előtt. Egyszer az alkalmazásban el kell fogadnia a meghívást, utána működni fog az SSO.
Your invitation has expired	Hívja meg újra az illetőt a Manage Users részből.
Your organization requires single sign-on	Az SSO ki van kényszerítve. Használja a Sign in with SSO lehetőséget jelszó vagy Google helyett.

Tippek

• Jegyezze fel, mikor jár le a client secret, és még az előtt cserélje le. A lejárt secret az egész szervezetnél leállítja az SSO-t.
• Csak akkor kapcsolja be a kikényszerítést, ha a normál tagok megerősítették, hogy működik náluk az SSO-s bejelentkezés.
• Legyen legalább egy adminisztrátor az ADMIN csoportban, aki tudja a jelszavát. Ha az identitásszolgáltató nem érhető el, ők jelentik a vészmegoldást.
• Ha az SSO ki van kényszerítve, új kollégákat csak e-mailben hívjon meg. Tőlük soha nem kell jelszót kérnie.
• Konfigurációs változtatások után tekintse át az auditnaplót, hogy ellenőrizze, ki mit és mikor módosított.

Kapcsolódó témák

• Vállalati beállítások
• Felhasználói profil
• Ingyenes / Prémium / Enterprise verziók