Jednotné prihlásenie (SSO)

Jednotné prihlásenie umožňuje členom organizácie na pláne Enterprise prihlásiť sa do CCTV Design Tool cez poskytovateľa identity, ktorého vaša spoločnosť už používa, namiesto samostatného hesla. Nástroj sa pripája k Microsoft Entra ID alebo ku ktorémukoľvek poskytovateľovi OpenID Connect, ako sú Okta, Auth0, Keycloak alebo Google Workspace. Keď je SSO povolené, váš tím sa prihlasuje zvolením Sign in with SSO na prihlasovacej stránke a zadaním pracovného e‑mailu. Administrátori môžu SSO aj vynútiť, aby sa členovia už nemohli prihlasovať heslom ani účtom Google.

Kedy to používať

• Keď vaša organizácia chce jeden súbor prihlasovacích údajov naprieč všetkými obchodnými aplikáciami
• Keď potrebujete zapojiť nových členov tímu bez vytvárania a posielania hesiel
• Keď vaša bezpečnostná politika vyžaduje, aby prístup bol centrálne riadený vaším poskytovateľom identity
• Keď chcete mať istotu, že osoba, ktorá odíde zo spoločnosti, stratí prístup hneď po deaktivovaní jej účtu u poskytovateľa identity

Pred začiatkom

• Váš účet musí patriť do organizácie na pláne Enterprise. Pozrite si Verzie Free / Premium / Enterprise.
• Potrebujete oprávnenie Manage SSO settings. Skupina ADMIN vlastníka organizácie ho má predvolene. Ak chcete povoliť konfiguráciu SSO inej skupine, povoľte pre ňu Manage SSO settings v Správa skupín.
• Na registráciu CCTV Design Tool ako aplikácie u vášho poskytovateľa identity potrebujete administrátorský prístup.

Otvorenie nastavení SSO

1. Kliknite na ponuku User v ľavom paneli nástrojov.
2. Z rozbaľovacej ponuky vyberte Profile.
3. V časti Company v bočnom paneli používateľského profilu vyberte Single Sign-On.

Stránka obsahuje dve karty: SSO configuration, kde zadáte údaje o svojom poskytovateľovi identity, a Test & activation, ktorá sa zobrazí po uložení konfigurácie.

Krok 1: Zaregistrujte aplikáciu u poskytovateľa identity

CCTV Design Tool musí byť u vášho poskytovateľa identity zaregistrovaný ako webová aplikácia. Jediná hodnota, ktorú potrebujete z nástroja, je Callback URL zobrazená v spodnej časti karty SSO configuration. Kliknite na tlačidlo kopírovania vedľa nej a zaregistrujte ju ako presmerovaciu URI (redirect URI) aplikácie.

Microsoft Entra ID

1. V Microsoft Entra admin centre otvorte App registrations a kliknite na New registration.
2. Pomenujte aplikáciu, napríklad CCTV Design Tool.
3. V časti Redirect URI zvoľte platformu Web a vložte Callback URL skopírovanú z nástroja.
4. Zaregistrujte aplikáciu a poznačte si z prehľadovej stránky Application (client) ID a Directory (tenant) ID.
5. Otvorte Certificates & secrets, vytvorte nové client secret a jeho value si ihneď skopírujte. Hodnota sa zobrazí len raz.

Iní poskytovatelia OpenID Connect

1. Vytvorte novú webovú aplikáciu (niekedy nazývanú aj bežná webová aplikácia alebo dôverný klient) s client secret.
2. Zaregistrujte Callback URL skopírovanú z nástroja ako povolenú presmerovaciu URI.
3. Poznačte si client ID a client secret.
4. Nájdite issuer URL svojho poskytovateľa. Musí presne zodpovedať hodnote issuer uvedenej v dokumente objavenia poskytovateľa na adrese /.well-known/openid-configuration, napríklad https://your-company.okta.com.

Krok 2: Zadajte konfiguráciu

Vyplňte kartu SSO configuration a kliknite na Save.

Pole	Čo zadať
Provider	Microsoft Entra ID, alebo Other (OpenID Connect) pre iného poskytovateľa.
Tenant ID	Len pre Entra ID. Directory (tenant) ID vášho Microsoft tenanta.
Issuer URL	Len pre iných poskytovateľov. Adresa URL vydavateľa presne tak, ako je uvedená v dokumente objavenia poskytovateľa.
Client ID	Application (client) ID aplikácie, ktorú ste zaregistrovali.
Client secret	Tajná hodnota vytvorená pre túto aplikáciu.
Callback URL	Iba na čítanie. Zaregistrujte túto presmerovaciu URI u svojho poskytovateľa identity.

INFO

Klientské tajomstvo sa ukladá šifrované a už sa znova nezobrazí. Keď budete neskôr upravovať konfiguráciu, ponechajte pole Client secret prázdne, aby ste zachovali aktuálne tajomstvo.

WARNING

Uloženie akejkoľvek zmeny konfigurácie vymaže posledný výsledok testu a zakáže SSO dovtedy, kým konfiguráciu znovu netestujete a znovu ju nepovolíte. Ak bolo SSO vynútené, zruší sa aj vynucovanie. Plánujte zmeny konfigurácie, napríklad výmenu expirovaného klientského tajomstva, na čas, keď je krátke prerušenie akceptovateľné.

Krok 3: Otestujte konfiguráciu

Na karte Test & activation kliknite na Test configuration. Test overí, že:

• je dostupný dokument objavenia poskytovateľa identity pre zadaného tenanta alebo vydavateľa,
• poskytovateľ zverejňuje svoje podpisové kľúče tokenov,
• pri Microsoft Entra ID tenant akceptuje client ID a client secret.

Pre poskytovateľov Other (OpenID Connect) nie je možné overiť client secret bez reálneho prihlásenia, takže úspešný test potvrdzuje iba to, že poskytovateľ je dostupný. Tajomstvo sa overí pri prvom používateľovi, ktorý sa prihlási.

Výsledok posledného testu sa zobrazuje vedľa tlačidla. Pri zlyhaní testu sa zobrazí dôvod, napríklad nesprávne tenant ID alebo zamietnuté client secret. SSO nie je možné povoliť, kým test neprebehne úspešne.

Krok 4: Povoľte SSO

Keď test prebehne úspešne, zapnite Enable SSO. Od tohto momentu:

• Členovia vašej organizácie sa môžu prihlásiť cez Sign in with SSO na prihlasovacej stránke.
• Prihlásenie heslom aj cez Google naďalej funguje. SSO je zatiaľ voliteľné.
• Každému členovi, ktorý sa prvýkrát prihlási cez SSO, sa jeho identita prepojí s existujúcim účtom podľa e‑mailu.

Vypnutie Enable SSO okamžite zastaví prihlasovanie cez SSO a zároveň zruší vynucovanie.

Vynútenie SSO

Zapnite Enforce SSO, aby sa poskytovateľ identity stal jedinou možnosťou prihlásenia. Tento prepínač je dostupný len vtedy, keď je SSO povolené. Keď je SSO vynútené:

• Členovia sa môžu prihlásiť iba cez Sign in with SSO. Prihlásenie heslom a cez Google sa odmietne so správou Your organization requires single sign-on.
• Pozvaní používatelia sa nemôžu registrovať ani nastaviť si heslo. Do organizácie sa pridajú pri svojom prvom prihlásení cez SSO (pozrite Pridávanie používateľov).
• Členovia skupiny ADMIN zostávajú vyňatí a vždy sa môžu prihlásiť svojím heslom. To zaručuje, že chybná konfigurácia poskytovateľa identity nikdy neuzamkne organizáciu z vlastných nastavení.

TIP

Najprv povoľte SSO bez vynútenia a požiadajte niekoľkých členov, aby vyskúšali Sign in with SSO. Vynútenie zapnite až po potvrdení, že prihlásenie funguje bežným členom.

Ako sa váš tím prihlasuje

1. Na prihlasovacej stránke kliknite na Sign in with SSO.
2. Zadajte svoj pracovný e‑mail a kliknite na Continue with SSO.
3. Budete presmerovaní k poskytovateľovi identity vašej organizácie. Prihláste sa tam s tým istým účtom, ku ktorému patrí e‑mail, ktorý ste zadali.
4. Vrátite sa do CCTV Design Tool už prihlásení.

Organizácia sa zisťuje z e‑mailovej adresy: musí patriť členovi organizácie s povoleným SSO alebo k čakajúcemu pozvaniu z takejto organizácie. Ak je na účte zapnutá dvojfaktorová autentifikácia, kód sa bude vyžadovať aj po tom, čo vás poskytovateľ identity prihlási.

Pridávanie používateľov, keď je SSO zapnuté

Používateľov pridávajte v Spravovať používateľov ako zvyčajne. Ďalší postup závisí od toho, či je SSO vynútené.

SSO povolené, nevynútené

• E‑mail, ktorý už má účet v CCTV Design Tool, dostane pozvanie, ktoré daná osoba potvrdí v aplikácii.
• Nový e‑mail vyžaduje dočasné heslo, rovnako ako bez SSO. Osoba sa najprv prihlási týmto heslom a následne môže prejsť na SSO.

SSO vynútené

• Nový e‑mail je pozvaný bez hesla. Osoba jednoducho zvolí Sign in with SSO na prihlasovacej stránke. Prvé úspešné prihlásenie prijme pozvanie, zaradí ju do skupiny zvolenej pri pozvaní a pridelí voľnú licenciu, ak je k dispozícii.
• E‑mail, ktorý už má aktívny účet, sa musí najprv prihlásiť svojím heslom a prijať pozvanie v aplikácii. Až potom môže používať SSO.

INFO

Pozvania expirujú. Ak sa osoba neprihlásila pred vypršaním platnosti pozvania, zrušte ho a pozvite ju znova z Manage Users.

Auditná stopa

Každá zmena sa zaznamenáva v auditnom zázname organizácie: uloženie konfigurácie, spustenie testu s jeho výsledkom a povolenie, zakázanie alebo vynútenie SSO. Používatelia, ktorí sa pripoja cez pozvanie SSO, sa zobrazia ako Invite Accepted.

Riešenie problémov

Správa	Čo to znamená
Identity provider discovery failed (HTTP …) — check the tenant ID	Tenant ID alebo issuer URL je nesprávne, prípadne je poskytovateľ nedostupný.
The discovery document publishes a different issuer	Pri Other (OpenID Connect) zadajte issuer URL presne tak, ako ju poskytovateľ uvádza, vrátane alebo bez koncovej cesty.
Client credentials check failed	Client ID alebo client secret je nesprávne, prípadne tajomstvu vypršala platnosť. Vytvorte nové tajomstvo u svojho poskytovateľa identity a uložte ho.
Test the configuration successfully before enabling SSO	Spustite Test configuration a pred zapnutím Enable SSO opravte nahlásený problém.
SSO is not available for this account	Zadaný e‑mail nepatrí členovi alebo pozvanému používateľovi organizácie s povoleným SSO. Skontrolujte, či bola osoba pridaná v Manage Users.
You signed in to the identity provider with a different account than the email you entered	Účet zvolený u poskytovateľa identity nezodpovedá e‑mailu zadanému na prihlasovacej stránke. Začnite znova a vyberte zodpovedajúci účet.
You already have an account. Sign in with your password and accept the organization invitation first	Pozvaná osoba už mala pred pozvaním aktívny účet. Musí ho raz prijať v aplikácii, potom bude SSO fungovať.
Your invitation has expired	Pozvite osobu znova cez Manage Users.
Your organization requires single sign-on	SSO je vynútené. Namiesto hesla alebo Google použite Sign in with SSO.

Tipy

• Poznačte si, kedy vyprší platnosť vášho klientského tajomstva, a vymeňte ho ešte pred týmto dátumom. Expirované tajomstvo zastaví SSO pre celú organizáciu.
• Vynútenie zapínajte až po tom, čo bežní členovia potvrdia, že prihlásenie cez SSO im funguje.
• Ponechajte aspoň jedného administrátora v skupine ADMIN, ktorý pozná svoje heslo. Administrátori sú záloha v prípade nedostupnosti poskytovateľa identity.
• Keď je SSO vynútené, pozývajte nových kolegov iba e‑mailom. Nikdy od vás nebudú potrebovať heslo.
• Po zmenách konfigurácie skontrolujte auditný záznam, aby ste potvrdili, kto, čo a kedy menil.

Súvisiace témy

• Nastavenia Enterprise
• Používateľský profil
• Verzie Free / Premium / Enterprise