Single Sign-On (SSO)

Single Sign-On memungkinkan anggota organisasi Enterprise masuk ke CCTV Design Tool menggunakan penyedia identitas yang sudah digunakan perusahaan Anda, alih-alih kata sandi terpisah. Alat ini terhubung ke Microsoft Entra ID, Okta, Google Workspace atau penyedia OpenID Connect lainnya seperti Auth0 atau Keycloak. Setelah SSO diaktifkan, tim Anda masuk dengan memilih Sign in with SSO di halaman login dan memasukkan email kerja mereka. Administrator juga dapat require SSO sehingga anggota tidak lagi dapat masuk dengan kata sandi atau akun Google.

Kapan digunakan

• Saat organisasi Anda menginginkan satu set kredensial untuk semua aplikasi bisnis
• Saat Anda perlu melakukan onboarding anggota tim baru tanpa membuat dan mengirimkan kata sandi kepada mereka
• Saat kebijakan keamanan Anda mengharuskan akses dikendalikan secara terpusat oleh penyedia identitas Anda
• Saat Anda ingin memastikan bahwa seseorang yang keluar dari perusahaan kehilangan akses segera setelah akun penyedia identitasnya dinonaktifkan

Sebelum memulai

• Akun Anda harus termasuk dalam organisasi Enterprise. Lihat Versi Free / Premium / Enterprise.
• Anda memerlukan izin Manage SSO settings. Grup ADMIN milik pemilik organisasi memilikinya secara default. Untuk memberi grup lain kewenangan mengonfigurasi SSO, aktifkan Manage SSO settings untuk grup tersebut di Manage Groups.
• Anda memerlukan akses administrator ke penyedia identitas Anda untuk mendaftarkan CCTV Design Tool sebagai aplikasi di sana.

Membuka pengaturan SSO

1. Klik menu User di bilah alat kiri.
2. Pilih Profile dari menu dropdown.
3. Di bagian Company pada sidebar User Profile, pilih Single Sign-On.

Halaman ini memandu Anda melalui tiga langkah. Status di sebelah judul akan menampilkan Not enabled, Active atau Active · required. Tidak ada yang berubah bagi anggota Anda sampai Anda menyalakan SSO di langkah 3.

Langkah 1: Daftarkan aplikasi pada penyedia identitas Anda

1. Pilih Identity provider dari dropdown: Microsoft Entra ID, Okta, Google Workspace atau Other (OpenID Connect). Panduan langkah dan petunjuk kolom di halaman akan menyesuaikan dengan penyedia yang Anda pilih.
2. Klik Copy di sebelah Redirect URI dan daftarkan itu di penyedia identitas Anda sebagai redirect (callback) URI dari OIDC web application baru. Penyedia Anda menamai kolom ini sebagai:

Provider	Field name in the provider console
Microsoft Entra ID	Redirect URI (platform Web)
Okta	Sign-in redirect URIs
Google Workspace	Authorized redirect URIs
Other (OpenID Connect)	Authorized redirect URI

3. Perluas Where do I find these values? untuk panduan langkah demi langkah di konsol penyedia Anda. Secara singkat:

Microsoft Entra ID

1. Di portal Azure buka Microsoft Entra ID > App registrations > New registration dan pertahankan Accounts in this organizational directory only.
2. Di bawah Redirect URI pilih Web, tempel Redirect URI dan daftarkan aplikasinya.
3. Tab Overview menampilkan Application (client) ID dan Directory (tenant) ID.
4. Di bawah Certificates & secrets buat New client secret dan salin Value-nya (bukan Secret ID). Nilai ini hanya ditampilkan sekali.
5. Di bawah API permissions pastikan openid, profile dan email telah diberikan.

Okta

1. Di Okta Admin Console buka Applications > Create App Integration, pilih OIDC – OpenID Connect dan Web Application.
2. Tempel Redirect URI ke Sign-in redirect URIs dan tetapkan aplikasi ke grup yang seharusnya memiliki akses.
3. Tab General pada aplikasi menampilkan Client ID dan Client secret.
4. Untuk Issuer URL, masukkan URL org Okta Anda, misalnya https://your-org.okta.com. Ini adalah Org Authorization Server yang dimiliki setiap org Okta, dan merupakan pilihan yang tepat untuk sebagian besar tim. Hanya jika Anda telah menyiapkan authorization server kustom (Security > API > Authorization Servers) masukkan Issuer URI-nya; tampilannya seperti https://your-org.okta.com/oauth2/<server-name>.

Google Workspace

1. Di konsol Google Cloud pilih (atau buat) proyek yang dimiliki oleh organisasi Workspace Anda.
2. Buka APIs & Services > OAuth consent screen dan pilih Internal, sehingga hanya akun pada domain Workspace Anda yang dapat masuk.
3. Buka Credentials > Create credentials > OAuth client ID, tipe aplikasi Web application, dan tempel Redirect URI ke Authorized redirect URIs.
4. Dialog konfirmasi menampilkan Your Client ID dan Your Client Secret. Salin keduanya sekarang.
5. Workspace domain Anda adalah domain tempat alamat email tim Anda berakhiran, misalnya yourcompany.com.

Penyedia OpenID Connect lainnya

1. Buat confidential client (aplikasi web) dan daftarkan Redirect URI sebagai authorized redirect URI.
2. Aktifkan authorization code flow dan cakupan openid, profile dan email.
3. Salin client ID dan client secret, serta catat issuer URL: segala sesuatu sebelum /.well-known/openid-configuration di dokumen discovery penyedia Anda. Nilai ini harus persis sama dengan issuer yang dipublikasikan di sana.

Langkah 2: Tempelkan kredensialnya

Setiap kolom menjelaskan persis di mana nilainya berada di konsol penyedia Anda, dan nilai akan diperiksa saat Anda mengetik. Klik Save configuration saat selesai.

Field	Microsoft Entra ID	Okta	Google Workspace	Other (OpenID Connect)
Provider-specific setting	Tenant ID: Directory (tenant) ID, GUID 36 karakter	Issuer URL: URL org Okta Anda, atau Issuer URI milik authorization server kustom	Workspace domain: domain polos seperti yourcompany.com	Issuer URL: base URL dari discovery document
Client ID	Application (client) ID	Client ID	Client ID (berakhiran .apps.googleusercontent.com)	Client ID
Client secret	Value dari secret	Client secret	Client secret	Client secret

INFO

Client secret disimpan terenkripsi dan tidak akan ditampilkan lagi. Setelah disimpan, kolom akan menampilkan Secret saved dengan tombol Replace untuk saat Anda melakukan rotasi.

TIP

Untuk Google Workspace tidak ada Issuer URL yang perlu dimasukkan. Google mempublikasikan satu discovery document tetap, dan Workspace domain adalah yang mengaitkan proses sign-in ke organisasi Anda. Akun Gmail pribadi selalu ditolak.

WARNING

Menyimpan perubahan apa pun pada konfigurasi akan menghapus hasil uji terakhir dan menonaktifkan SSO sampai Anda menguji konfigurasi lagi dan mengaktifkannya kembali. Jika SSO sebelumnya diwajibkan untuk semua orang, kewajiban itu juga dicabut. Rencanakan perubahan konfigurasi, seperti merotasi client secret yang kedaluwarsa, pada saat jeda singkat dapat diterima.

Langkah 3: Uji, lalu aktifkan

Jalankan pengujian

Klik Run test. Hasilnya akan mencantumkan setiap pemeriksaan yang dijalankan dengan tanda lulus atau gagal dan, jika gagal, alasannya:

• Discovery document reachable untuk tenant, issuer URL atau Google,
• Signing keys (JWKS) fetched,
• Client credentials accepted, hanya untuk Microsoft Entra ID.

Untuk Okta, Google Workspace dan penyedia OpenID Connect lainnya, client secret tidak dapat diperiksa tanpa sign-in nyata, sehingga uji yang lulus hanya menegaskan bahwa penyedia dapat dijangkau. Secret akan diverifikasi oleh pengguna pertama yang melakukan sign-in.

Jika uji gagal, perbaiki masalah yang dilaporkan di langkah 2, simpan, dan klik Test again. Tidak ada yang berubah bagi anggota Anda saat Anda melakukannya. SSO tidak dapat diaktifkan hingga sebuah uji lulus.

Aktifkan SSO

Setelah sebuah uji lulus, nyalakan Enable SSO. Mulai sekarang:

• Anggota organisasi Anda dapat masuk dengan Sign in with SSO di halaman login.
• Masuk dengan kata sandi dan Google tetap berfungsi. SSO masih opsional pada titik ini.
• Setiap anggota yang pertama kali masuk dengan SSO akan mengaitkan identitasnya ke akun yang sudah ada berdasarkan email.

Mematikan Enable SSO akan segera menghentikan sign-in SSO dan juga mencabut Require SSO for everyone.

Wajibkan SSO untuk semua orang

Nyalakan Require SSO for everyone untuk menjadikan penyedia identitas sebagai satu-satunya cara masuk. Toggle hanya tersedia saat SSO diaktifkan. Saat SSO diwajibkan:

• Anggota hanya dapat masuk dengan Sign in with SSO. Masuk dengan kata sandi dan Google akan ditolak dengan pesan Your organization requires single sign-on.
• Pengguna yang diundang tidak dapat registrasi atau menetapkan kata sandi. Mereka bergabung ke organisasi dengan masuk menggunakan SSO untuk pertama kalinya (lihat Menambahkan pengguna).
• Anggota grup ADMIN tetap dikecualikan dan selalu dapat masuk dengan kata sandi mereka. Ini menjamin bahwa konfigurasi penyedia identitas yang bermasalah tidak akan pernah mengunci organisasi dari pengaturannya sendiri.

TIP

Aktifkan SSO tanpa mewajibkannya terlebih dahulu dan minta beberapa anggota mencoba Sign in with SSO. Wajibkan hanya setelah Anda memastikan bahwa sign-in berfungsi bagi anggota biasa.

Cara tim Anda masuk

1. Di halaman login, klik Sign in with SSO.
2. Masukkan alamat email kerja Anda dan klik Continue with SSO.
3. Anda akan diarahkan ke penyedia identitas organisasi Anda. Masuklah di sana dengan akun yang sama dengan email yang baru saja Anda masukkan.
4. Anda akan kembali ke CCTV Design Tool, sudah dalam keadaan masuk.

Organisasi ditentukan dari alamat email: alamat tersebut harus milik anggota organisasi dengan SSO aktif, atau undangan tertunda dari organisasi semacam itu. Jika autentikasi dua faktor diaktifkan pada akun, kodenya tetap diminta setelah penyedia identitas berhasil melakukan sign-in.

Adding users when SSO is on

Pengguna ditambahkan di Manage Users seperti biasa. Apa yang terjadi selanjutnya bergantung pada apakah SSO diwajibkan untuk semua orang.

SSO diaktifkan, tidak diwajibkan

• Email yang sudah memiliki akun CCTV Design Tool akan menerima undangan, yang kemudian diterima orang tersebut di aplikasi.
• Email baru memerlukan kata sandi sementara, seperti halnya tanpa SSO. Orang tersebut pertama-tama masuk dengan kata sandi itu dan dapat beralih ke SSO setelahnya.

SSO diwajibkan untuk semua orang

• Email baru diundang tanpa kata sandi. Orang tersebut cukup memilih Sign in with SSO di halaman login. Sign-in pertama yang berhasil akan menerima undangan, menempatkannya ke grup yang dipilih saat undangan, dan menetapkan lisensi gratis jika tersedia.
• Email yang sudah memiliki akun aktif harus terlebih dahulu masuk dengan kata sandinya dan menerima undangan di aplikasi. Setelah itu barulah orang tersebut dapat menggunakan SSO.

INFO

Undangan memiliki masa berlaku. Jika seseorang belum masuk sebelum undangan kedaluwarsa, batalkan dan undang kembali dari Manage Users.

Jejak audit

Setiap perubahan dicatat di log audit organisasi: penyimpanan konfigurasi, menjalankan uji beserta hasilnya, serta mengaktifkan, menonaktifkan, atau mewajibkan SSO. Pengguna yang bergabung melalui undangan SSO akan muncul sebagai Invite Accepted.

Pemecahan masalah

Pesan	Artinya
Identity provider discovery failed (HTTP …) — check the tenant ID	Tenant ID atau issuer URL salah, atau penyedia tidak dapat dijangkau.
The discovery document publishes a different issuer	Untuk Okta atau Other (OpenID Connect), masukkan issuer URL persis seperti yang dipublikasikan penyedia, termasuk atau tanpa path di akhir.
Client credentials check failed	Client ID atau client secret salah, atau secret telah kedaluwarsa. Buat secret baru di penyedia identitas Anda dan simpan.
Test the configuration successfully before enabling SSO	Klik Run test dan perbaiki masalah yang dilaporkan sebelum menyalakan Enable SSO.
SSO is not available for this account	Email yang dimasukkan tidak termasuk anggota atau undangan dari organisasi dengan SSO aktif. Periksa bahwa orang tersebut telah ditambahkan di Manage Users.
You signed in to the identity provider with a different account than the email you entered	Akun yang dipilih di penyedia identitas tidak cocok dengan email yang diketik di halaman login. Mulai lagi dan pilih akun yang sesuai.
You already have an account. Sign in with your password and accept the organization invitation first	Undangan ditujukan ke email yang sudah memiliki akun aktif sebelumnya. Mereka harus menerimanya sekali di aplikasi, lalu SSO akan berfungsi.
Your invitation has expired	Undang kembali orang tersebut dari Manage Users.
This Google account does not belong to a Workspace organization	Orang tersebut masuk dengan akun Google pribadi. Mereka harus menggunakan akun Workspace mereka.
This account belongs to a different organization than the one configured for SSO	Akun yang dipilih di penyedia identitas termasuk ke Entra tenant, Okta issuer, atau Workspace domain yang berbeda dari yang disimpan di langkah 2.
Your organization requires single sign-on	SSO diwajibkan untuk semua orang. Gunakan Sign in with SSO alih-alih kata sandi atau Google.

Tips

• Catat kapan client secret Anda kedaluwarsa dan rotasi sebelum tanggal tersebut. Secret yang kedaluwarsa akan menghentikan SSO untuk seluruh organisasi.
• Nyalakan Require SSO for everyone hanya setelah anggota biasa telah memastikan bahwa sign-in SSO berfungsi bagi mereka.
• Pertahankan setidaknya satu administrator dalam grup ADMIN yang mengetahui kata sandinya. Administrator adalah fallback ketika penyedia identitas tidak tersedia.
• Saat SSO diwajibkan untuk semua orang, undang rekan baru hanya melalui email. Mereka tidak memerlukan kata sandi dari Anda.
• Tinjau log audit setelah perubahan konfigurasi untuk memastikan siapa mengubah apa dan kapan.

Topik terkait

• Enterprise Settings
• User Profile
• Free / Premium / Enterprise Versions