Autentificare unică (SSO)

Autentificarea unică le permite membrilor unei organizații Enterprise să se autentifice în CCTV Design Tool cu furnizorul de identitate pe care compania dvs. îl folosește deja, în locul unei parole separate. Instrumentul se conectează la Microsoft Entra ID sau la orice furnizor OpenID Connect, precum Okta, Auth0, Keycloak sau Google Workspace. Odată ce SSO este activat, echipa dvs. se autentifică alegând Sign in with SSO pe pagina de autentificare și introducând e-mailul de serviciu. Administratorii pot și să impună SSO astfel încât membrii să nu se mai poată autentifica cu o parolă sau cu un cont Google.

Când să îl folosiți

• Când organizația dvs. dorește un singur set de credențiale pentru toate aplicațiile de business
• Când trebuie să integrați membri noi ai echipei fără a crea și trimite parole
• Când politica de securitate impune ca accesul să fie controlat centralizat de furnizorul dvs. de identitate
• Când doriți să vă asigurați că o persoană care părăsește compania își pierde accesul imediat ce contul de la furnizorul de identitate este dezactivat

Înainte de a începe

• Contul dvs. trebuie să aparțină unei organizații Enterprise. Consultați Versiuni Free / Premium / Enterprise.
• Aveți nevoie de permisiunea Manage SSO settings. Grupul ADMIN al proprietarului organizației o are în mod implicit. Pentru a permite altui grup să configureze SSO, activați Manage SSO settings pentru acel grup în Manage Groups.
• Aveți nevoie de acces de administrator la furnizorul dvs. de identitate pentru a înregistra CCTV Design Tool ca aplicație acolo.

Deschiderea setărilor SSO

1. Faceți clic pe meniul User din bara de instrumente din stânga.
2. Selectați Profile din meniul derulant.
3. În secțiunea Company din bara laterală a profilului utilizatorului, selectați Single Sign-On.

Pagina are două carduri: SSO configuration, unde introduceți detaliile furnizorului dvs. de identitate, și Test & activation, care apare după ce o configurație a fost salvată.

Pasul 1: Înregistrați aplicația la furnizorul dvs. de identitate

CCTV Design Tool trebuie înregistrat ca aplicație web în furnizorul dvs. de identitate. Singura valoare de care aveți nevoie din instrument este Callback URL, afișat în partea de jos a cardului SSO configuration. Faceți clic pe butonul de copiere de lângă el și înregistrați-l ca redirect URI al aplicației.

Microsoft Entra ID

1. În Microsoft Entra admin center, deschideți App registrations și faceți clic pe New registration.
2. Dați aplicației un nume, de exemplu CCTV Design Tool.
3. La Redirect URI, alegeți platforma Web și inserați Callback URL copiat din instrument.
4. Înregistrați aplicația și notați Application (client) ID și Directory (tenant) ID de pe pagina de prezentare generală.
5. Deschideți Certificates & secrets, creați un client secret nou și copiați imediat value. Valoarea este afișată o singură dată.

Alți furnizori OpenID Connect

1. Creați o aplicație web nouă (uneori numită regular web app sau confidential client) cu un client secret.
2. Înregistrați Callback URL copiat din instrument ca redirect URI permis.
3. Notați client ID și client secret.
4. Găsiți issuer URL al furnizorului dvs. Trebuie să se potrivească exact cu valoarea issuer publicată în documentul de descoperire al furnizorului la /.well-known/openid-configuration, de exemplu https://your-company.okta.com.

Pasul 2: Introduceți configurația

Completați cardul SSO configuration și faceți clic pe Save.

Câmp	Ce să introduceți
Provider	Microsoft Entra ID, sau Other (OpenID Connect) pentru orice alt furnizor.
Tenant ID	Doar pentru Entra ID. Directory (tenant) ID al tenantului dvs. Microsoft.
Issuer URL	Doar pentru alți furnizori. URL-ul issuer exact așa cum este publicat în documentul de descoperire al furnizorului.
Client ID	Application (client) ID al aplicației pe care ați înregistrat-o.
Client secret	Valoarea secretului creat pentru acea aplicație.
Callback URL	Numai citire. Înregistrați acest redirect URI în furnizorul dvs. de identitate.

INFO

Client secret este stocat criptat și nu va mai fi afișat. Când editați ulterior configurația, lăsați câmpul Client secret necompletat pentru a păstra secretul curent.

WARNING

Salvarea oricărei modificări a configurației șterge ultimul rezultat al testului și dezactivează SSO până când testați din nou configurația și îl reactivați. Dacă SSO a fost impus, impunerea este, de asemenea, ridicată. Planificați modificările de configurare, cum ar fi înlocuirea unui client secret expirat, într-un moment în care o întrerupere scurtă este acceptabilă.

Pasul 3: Testați configurația

În cardul Test & activation, faceți clic pe Test configuration. Testul verifică faptul că:

• documentul de descoperire al furnizorului de identitate poate fi accesat pentru tenantul sau issuer-ul introdus,
• furnizorul își publică cheile de semnare a jetoanelor,
• pentru Microsoft Entra ID, client ID și client secret sunt acceptate de tenant.

Pentru Other (OpenID Connect) client secret nu poate fi verificat fără o autentificare reală, deci un test reușit confirmă doar că furnizorul este accesibil. Secretul este verificat de primul utilizator care se autentifică.

Rezultatul ultimului test este afișat lângă buton. Un test eșuat afișează motivul, de exemplu un tenant ID greșit sau un client secret respins. SSO nu poate fi activat până când un test reușește.

Pasul 4: Activați SSO

După ce un test a reușit, activați Enable SSO. De acum:

• Membrii organizației dvs. se pot autentifica folosind Sign in with SSO pe pagina de autentificare.
• Autentificarea cu parolă și Google continuă să funcționeze. SSO este opțional în acest moment.
• Orice membru care se autentifică pentru prima dată cu SSO își are identitatea asociată contului existent pe baza adresei de e-mail.

Dezactivarea Enable SSO oprește imediat autentificarea prin SSO și ridică și impunerea.

Impunerea SSO

Activați Enforce SSO pentru ca furnizorul de identitate să fie singura cale de autentificare. Comutatorul este disponibil doar cât timp SSO este activat. Când SSO este impus:

• Membrii se pot autentifica doar cu Sign in with SSO. Autentificarea cu parolă și cu Google este respinsă cu mesajul Organizația dvs. impune autentificarea unică.
• Utilizatorii invitați nu se pot înregistra și nu își pot seta o parolă. Ei se alătură organizației autentificându-se pentru prima dată cu SSO (consultați Adăugarea utilizatorilor).
• Membrii grupului ADMIN rămân exceptați și se pot autentifica întotdeauna cu parola. Acest lucru garantează că o configurație defectuoasă a furnizorului de identitate nu blochează organizația în afara propriilor setări.

TIP

Activați mai întâi SSO fără impunere și rugați câțiva membri să încerce Sign in with SSO. Impuneți-l doar după ce ați confirmat că autentificarea funcționează pentru membrii obișnuiți.

Cum se autentifică echipa dvs.

1. Pe pagina de autentificare, faceți clic pe Sign in with SSO.
2. Introduceți adresa dvs. de e-mail de serviciu și faceți clic pe Continue with SSO.
3. Sunteți redirecționat către furnizorul de identitate al organizației dvs. Autentificați-vă acolo cu același cont al cărui e-mail l-ați introdus.
4. Sunteți returnat în CCTV Design Tool, deja autentificat.

Organizația este identificată din adresa de e-mail: aceasta trebuie să aparțină unui membru al unei organizații cu SSO activat sau unei invitații în așteptare de la o astfel de organizație. Dacă autentificarea cu doi factori este activată pe cont, codul este în continuare solicitat după ce furnizorul de identitate v-a autentificat.

Adăugarea utilizatorilor când SSO este activ

Utilizatorii sunt adăugați în Manage Users ca de obicei. Ce se întâmplă în continuare depinde de faptul dacă SSO este impus.

SSO activat, neimpus

• O adresă de e-mail care are deja un cont CCTV Design Tool primește o invitație, pe care persoana o acceptă în aplicație.
• O adresă de e-mail nouă necesită o parolă temporară, ca și fără SSO. Persoana se autentifică mai întâi cu acea parolă și poate trece ulterior la SSO.

SSO impus

• O adresă de e-mail nouă este invitată fără parolă. Persoana alege pur și simplu Sign in with SSO pe pagina de autentificare. Prima autentificare reușită acceptă invitația, o plasează în grupul ales în timpul invitației și îi atribuie o licență disponibilă, dacă există.
• O adresă de e-mail care are deja un cont activ trebuie mai întâi să se autentifice cu parola și să accepte invitația în aplicație. Abia apoi poate folosi SSO.

INFO

Invitațiile expiră. Dacă o persoană nu s-a autentificat înainte ca invitația să expire, anulați-o și invitați-i din nou din Manage Users.

Jurnal de audit

Fiecare modificare este înregistrată în jurnalul de audit al organizației: salvarea configurației, rularea unui test cu rezultatul său și activarea, dezactivarea sau impunerea SSO. Utilizatorii care se alătură printr-o invitație SSO apar ca Invite Accepted.

Depanare

Mesaj	Ce înseamnă
Identity provider discovery failed (HTTP …) — check the tenant ID	ID-ul tenantului sau issuer URL este greșit, sau furnizorul este inaccesibil.
The discovery document publishes a different issuer	Pentru Other (OpenID Connect), introduceți issuer URL exact așa cum îl publică furnizorul, inclusiv sau excluzând o cale la final.
Client credentials check failed	Client ID sau client secret este greșit, sau secretul a expirat. Creați un secret nou în furnizorul dvs. de identitate și salvați-l.
Test the configuration successfully before enabling SSO	Rulați Test configuration și remediați problema raportată înainte de a activa Enable SSO.
SSO is not available for this account	Adresa de e-mail introdusă nu aparține unui membru sau unui invitat al unei organizații cu SSO activat. Verificați dacă persoana a fost adăugată în Manage Users.
You signed in to the identity provider with a different account than the email you entered	V-ați autentificat la furnizorul de identitate cu un alt cont decât adresa de e-mail introdusă pe pagina de autentificare. Începeți din nou și alegeți contul corespunzător.
You already have an account. Sign in with your password and accept the organization invitation first	Invitatul avea deja un cont activ înainte de invitație. Trebuie să o accepte o dată în aplicație, apoi SSO va funcționa.
Your invitation has expired	Invitați din nou persoana din Manage Users.
Your organization requires single sign-on	SSO este impus. Folosiți Sign in with SSO în loc de parolă sau Google.

Sfaturi

• Notați când expiră client secret și înlocuiți-l înainte de acea dată. Un secret expirat oprește SSO pentru întreaga organizație.
• Activați impunerea doar după ce membrii obișnuiți au confirmat că autentificarea SSO funcționează pentru ei.
• Păstrați cel puțin un administrator în grupul ADMIN care își cunoaște parola. Administratorii sunt soluția de rezervă atunci când furnizorul de identitate nu este disponibil.
• Când SSO este impus, invitați noii colegi doar prin e-mail. Nu vor avea nevoie niciodată de o parolă de la dvs.
• Verificați jurnalul de audit după modificările de configurare pentru a confirma cine a schimbat ce și când.

Subiecte conexe

• Setări Enterprise
• Profil utilizator
• Versiuni Free / Premium / Enterprise