Logowanie jednokrotne (SSO)

Logowanie jednokrotne pozwala członkom organizacji Enterprise logować się do CCTV Design Tool za pomocą dostawcy tożsamości, którego Twoja firma już używa, zamiast oddzielnego hasła. Narzędzie łączy się z Microsoft Entra ID lub z dowolnym dostawcą OpenID Connect, takim jak Okta, Auth0, Keycloak czy Google Workspace. Gdy SSO jest włączone, Twój zespół loguje się, wybierając na stronie logowania Sign in with SSO i podając służbowy adres e‑mail. Administratorzy mogą też wymusić SSO, aby członkowie nie mogli już logować się hasłem ani kontem Google.

Kiedy używać

• Gdy Twoja organizacja chce mieć jeden zestaw poświadczeń do wszystkich aplikacji biznesowych
• Gdy musisz wdrażać nowych członków zespołu bez tworzenia i wysyłania im haseł
• Gdy Twoja polityka bezpieczeństwa wymaga, aby dostęp był kontrolowany centralnie przez dostawcę tożsamości
• Gdy chcesz mieć pewność, że osoba opuszczająca firmę traci dostęp natychmiast po wyłączeniu jej konta u dostawcy tożsamości

Zanim zaczniesz

• Twoje konto musi należeć do organizacji Enterprise. Zobacz Free / Premium / Enterprise Versions.
• Potrzebujesz uprawnienia Manage SSO settings. Grupa właściciela organizacji ADMIN ma je domyślnie. Aby pozwolić innej grupie konfigurować SSO, włącz Manage SSO settings dla tej grupy w Manage Groups.
• Potrzebujesz dostępu administratora do swojego dostawcy tożsamości, aby zarejestrować tam CCTV Design Tool jako aplikację.

Otwieranie ustawień SSO

1. Kliknij menu User w lewym pasku narzędzi.
2. Wybierz Profile z menu rozwijanego.
3. W sekcji Company w panelu bocznym Profilu użytkownika wybierz Single Sign-On.

Strona ma dwie karty: SSO configuration, gdzie wprowadzasz szczegóły swojego dostawcy tożsamości, oraz Test & activation, która pojawia się po zapisaniu konfiguracji.

Krok 1: Zarejestruj aplikację u swojego dostawcy tożsamości

CCTV Design Tool musi być zarejestrowane jako aplikacja webowa u Twojego dostawcy tożsamości. Jedyna wartość, której potrzebujesz z narzędzia, to Callback URL wyświetlany na dole karty SSO configuration. Kliknij przycisk kopiowania obok niego i zarejestruj go jako URI przekierowania (redirect) aplikacji.

Microsoft Entra ID

1. W Microsoft Entra admin center otwórz App registrations i kliknij New registration.
2. Nadaj aplikacji nazwę, na przykład CCTV Design Tool.
3. W Redirect URI wybierz platformę Web i wklej Callback URL skopiowany z narzędzia.
4. Zarejestruj aplikację i zanotuj Application (client) ID oraz Directory (tenant) ID ze strony przeglądowej.
5. Otwórz Certificates & secrets, utwórz nowy client secret i od razu skopiuj jego value. Wartość jest wyświetlana tylko raz.

Inni dostawcy OpenID Connect

1. Utwórz nową aplikację webową (czasem nazywaną regular web app lub confidential client) z client secret.
2. Zarejestruj Callback URL skopiowany z narzędzia jako dozwolony redirect URI.
3. Zanotuj client ID i client secret.
4. Znajdź issuer URL swojego dostawcy. Musi on dokładnie odpowiadać wartości issuer opublikowanej w dokumencie discovery dostawcy pod /.well-known/openid-configuration, na przykład https://your-company.okta.com.

Krok 2: Wprowadź konfigurację

Wypełnij kartę SSO configuration i kliknij Save.

Field	What to enter
Provider	Microsoft Entra ID, lub Other (OpenID Connect) dla każdego innego dostawcy.
Tenant ID	Tylko Entra ID. Directory (tenant) ID Twojego dzierżawcy Microsoft.
Issuer URL	Tylko inni dostawcy. Adres issuer dokładnie tak, jak jest opublikowany w dokumencie discovery dostawcy.
Client ID	Application (client) ID zarejestrowanej aplikacji.
Client secret	Tajna wartość utworzona dla tej aplikacji.
Callback URL	Tylko do odczytu. Zarejestruj ten redirect URI u swojego dostawcy tożsamości.

INFO

Client secret jest przechowywany zaszyfrowany i nie jest ponownie wyświetlany. Gdy później edytujesz konfigurację, pozostaw pole Client secret puste, aby zachować obecny sekret.

WARNING

Zapisanie dowolnej zmiany konfiguracji czyści wynik ostatniego testu i wyłącza SSO, dopóki ponownie nie przetestujesz konfiguracji i nie włączysz go. Jeśli SSO było wymuszone, wymuszanie również zostanie zniesione. Zaplanuj zmiany konfiguracji, takie jak rotacja wygasłego client secret, na moment, gdy krótka przerwa będzie akceptowalna.

Krok 3: Przetestuj konfigurację

W karcie Test & activation kliknij Test configuration. Test weryfikuje, że:

• dokument discovery dostawcy tożsamości jest osiągalny dla podanego dzierżawcy (tenant) lub issuer,
• dostawca publikuje klucze podpisywania tokenów,
• dla Microsoft Entra ID dzierżawca akceptuje podane client ID oraz client secret.

W przypadku Other (OpenID Connect) client secret nie może zostać sprawdzony bez rzeczywistego logowania, więc pomyślny test potwierdza jedynie, że dostawca jest osiągalny. Sekret jest weryfikowany przy pierwszym logowaniu użytkownika.

Wynik ostatniego testu jest wyświetlany obok przycisku. Nieudany test pokazuje przyczynę, na przykład błędny tenant ID lub odrzucony client secret. SSO nie może zostać włączone, dopóki test nie zakończy się powodzeniem.

Krok 4: Włącz SSO

Po pomyślnym teście włącz przełącznik Enable SSO. Od tej chwili:

• Członkowie Twojej organizacji mogą logować się za pomocą Sign in with SSO na stronie logowania.
• Logowanie hasłem i przez Google nadal działa. SSO jest na tym etapie opcjonalne.
• Każdemu członkowi, który po raz pierwszy loguje się przez SSO, tożsamość zostaje powiązana z jego istniejącym kontem na podstawie adresu e‑mail.

Wyłączenie Enable SSO natychmiast zatrzymuje logowanie przez SSO i znosi wymuszanie.

Wymuszanie SSO

Włącz Enforce SSO, aby uczynić dostawcę tożsamości jedyną drogą logowania. Przełącznik jest dostępny tylko, gdy SSO jest włączone. Gdy SSO jest wymuszone:

• Członkowie mogą logować się wyłącznie przez Sign in with SSO. Logowanie hasłem i przez Google jest odrzucane z komunikatem Your organization requires single sign-on.
• Zaproszeni użytkownicy nie mogą się rejestrować ani ustawiać hasła. Dołączają do organizacji, logując się po raz pierwszy przez SSO (zobacz Dodawanie użytkowników).
• Członkowie grupy ADMIN pozostają wyłączeni z tego ograniczenia i zawsze mogą zalogować się hasłem. Gwarantuje to, że błędna konfiguracja dostawcy tożsamości nigdy nie zablokuje organizacji dostępu do własnych ustawień.

TIP

Najpierw włącz SSO bez wymuszania i poproś kilku członków, aby spróbowali Sign in with SSO. Wymuszaj dopiero po potwierdzeniu, że logowanie działa dla zwykłych użytkowników.

Jak Twój zespół się loguje

1. Na stronie logowania kliknij Sign in with SSO.
2. Wpisz swój służbowy adres e‑mail i kliknij Continue with SSO.
3. Zostaniesz przekierowany do dostawcy tożsamości Twojej organizacji. Zaloguj się tam tym samym kontem, którego adres e‑mail właśnie wpisałeś.
4. Zostaniesz przekierowany z powrotem do CCTV Design Tool, już zalogowany.

Organizacja jest rozpoznawana na podstawie adresu e‑mail: musi on należeć do członka organizacji z włączonym SSO lub do oczekującego zaproszenia z takiej organizacji. Jeśli na koncie jest włączone uwierzytelnianie dwuskładnikowe, kod zostanie nadal poproszony po tym, jak dostawca tożsamości Cię zaloguje.

Adding users when SSO is on

Użytkownicy są dodawani w Manage Users jak zwykle. To, co stanie się dalej, zależy od tego, czy SSO jest wymuszone.

SSO włączone, bez wymuszania

• Adres e‑mail, który ma już konto w CCTV Design Tool, otrzymuje zaproszenie, które dana osoba akceptuje w aplikacji.
• Nowy adres e‑mail wymaga tymczasowego hasła, tak jak bez SSO. Osoba najpierw loguje się tym hasłem, a potem może przełączyć się na SSO.

SSO wymuszone

• Nowy adres e‑mail jest zapraszany bez hasła. Osoba po prostu wybiera Sign in with SSO na stronie logowania. Jej pierwsze pomyślne logowanie akceptuje zaproszenie, umieszcza ją w grupie wybranej podczas zapraszania i przypisuje wolną licencję, jeśli jest dostępna.
• Adres e‑mail, który ma już aktywne konto, musi najpierw zalogować się hasłem i zaakceptować zaproszenie w aplikacji. Dopiero wtedy ta osoba może używać SSO.

INFO

Zaproszenia wygasają. Jeśli dana osoba nie zalogowała się przed wygaśnięciem zaproszenia, anuluj je i zaproś ponownie z Manage Users.

Dziennik audytu

Każda zmiana jest zapisywana w dzienniku audytu organizacji: zapisanie konfiguracji, uruchomienie testu z jego wynikiem oraz włączenie, wyłączenie lub wymuszenie SSO. Użytkownicy, którzy dołączają poprzez zaproszenie SSO, pojawiają się jako Invite Accepted.

Rozwiązywanie problemów

Message	What it means
Identity provider discovery failed (HTTP …) — check the tenant ID	Błędny tenant ID lub issuer URL, albo dostawca jest nieosiągalny.
The discovery document publishes a different issuer	Dla Other (OpenID Connect) wpisz issuer URL dokładnie tak, jak publikuje go dostawca, z końcową ścieżką lub bez niej.
Client credentials check failed	Błędny client ID lub client secret albo sekret wygasł. Utwórz nowy sekret u swojego dostawcy tożsamości i zapisz go.
Test the configuration successfully before enabling SSO	Uruchom Test configuration i napraw zgłoszony problem przed włączeniem Enable SSO.
SSO is not available for this account	Wpisany e‑mail nie należy do członka ani zaproszonego użytkownika organizacji z włączonym SSO. Sprawdź, czy osoba została dodana w Manage Users.
You signed in to the identity provider with a different account than the email you entered	Konto wybrane u dostawcy tożsamości nie zgadza się z adresem e‑mail wpisanym na stronie logowania. Zacznij od nowa i wybierz pasujące konto.
You already have an account. Sign in with your password and accept the organization invitation first	Zaproszony użytkownik miał już aktywne konto przed zaproszeniem. Musi raz zaakceptować je w aplikacji, a potem SSO będzie działać.
Your invitation has expired	Zaproś tę osobę ponownie z Manage Users.
Your organization requires single sign-on	SSO jest wymuszone. Użyj Sign in with SSO zamiast hasła lub Google.

Wskazówki

• Zanotuj datę wygaśnięcia swojego client secret i zrotuj go przed tym terminem. Wygasły sekret zatrzyma SSO dla całej organizacji.
• Włącz wymuszanie dopiero po tym, jak zwykli członkowie potwierdzą, że logowanie przez SSO działa u nich.
• Utrzymuj co najmniej jednego administratora w grupie ADMIN, który zna swoje hasło. Administratorzy są awaryjną drogą logowania, gdy dostawca tożsamości jest niedostępny.
• Gdy SSO jest wymuszone, zapraszaj nowych współpracowników wyłącznie przez e‑mail. Nigdy nie będą potrzebowali od Ciebie hasła.
• Po zmianach konfiguracji przejrzyj dziennik audytu, aby potwierdzić, kto, co i kiedy zmienił.

Powiązane tematy

• Enterprise Settings
• User Profile
• Free / Premium / Enterprise Versions