Đăng nhập một lần (SSO)

Đăng nhập một lần cho phép các thành viên của tổ chức Enterprise đăng nhập vào CCTV Design Tool bằng nhà cung cấp danh tính mà công ty bạn đang sử dụng, thay vì một mật khẩu riêng. Công cụ kết nối với Microsoft Entra ID, Okta, Google Workspace hoặc bất kỳ nhà cung cấp OpenID Connect nào khác như Auth0 hoặc Keycloak. Sau khi bật SSO, nhóm của bạn đăng nhập bằng cách chọn Sign in with SSO trên trang đăng nhập và nhập email công việc. Quản trị viên cũng có thể require SSO để các thành viên không còn có thể đăng nhập bằng mật khẩu hoặc tài khoản Google.

Khi nào nên sử dụng

• Khi tổ chức của bạn muốn dùng một bộ thông tin xác thực duy nhất cho tất cả ứng dụng doanh nghiệp
• Khi bạn cần đưa thành viên mới vào mà không phải tạo và gửi mật khẩu cho họ
• Khi chính sách bảo mật yêu cầu quyền truy cập được kiểm soát tập trung bởi nhà cung cấp danh tính của bạn
• Khi bạn muốn đảm bảo rằng người rời công ty sẽ mất quyền truy cập ngay khi tài khoản tại nhà cung cấp danh tính của họ bị vô hiệu hóa

Trước khi bắt đầu

• Tài khoản của bạn phải thuộc một tổ chức Enterprise. Xem Free / Premium / Enterprise Versions.
• Bạn cần quyền Manage SSO settings. Nhóm ADMIN của chủ sở hữu tổ chức có quyền này theo mặc định. Để cho phép một nhóm khác cấu hình SSO, bật Manage SSO settings cho nhóm đó trong Manage Groups.
• Bạn cần quyền quản trị viên với nhà cung cấp danh tính của mình để đăng ký CCTV Design Tool như một ứng dụng tại đó.

Mở cài đặt SSO

1. Nhấp vào menu User trong thanh công cụ bên trái.
2. Chọn Profile từ menu xổ xuống.
3. Trong phần Company của thanh bên Hồ sơ người dùng, chọn Single Sign-On.

Trang sẽ hướng dẫn bạn qua ba bước. Trạng thái bên cạnh tiêu đề hiển thị Not enabled, Active hoặc Active · required. Không có gì thay đổi với các thành viên của bạn cho đến khi bạn bật SSO ở bước 3.

Bước 1: Đăng ký ứng dụng với nhà cung cấp danh tính

1. Chọn Identity provider của bạn từ danh sách: Microsoft Entra ID, Okta, Google Workspace hoặc Other (OpenID Connect). Phần hướng dẫn và gợi ý trường trên trang sẽ thay đổi để khớp với nhà cung cấp bạn chọn.
2. Nhấp Copy cạnh Redirect URI và đăng ký nó trong nhà cung cấp danh tính của bạn như URI chuyển hướng (callback) của một web application OIDC mới. Nhà cung cấp của bạn gọi trường này là:

Provider	Field name in the provider console
Microsoft Entra ID	Redirect URI (nền tảng Web)
Okta	Sign-in redirect URIs
Google Workspace	Authorized redirect URIs
Other (OpenID Connect)	Authorized redirect URI

3. Mở rộng Where do I find these values? để xem hướng dẫn từng bước trong bảng điều khiển của nhà cung cấp bạn. Tóm tắt:

Microsoft Entra ID

1. Trong Azure portal, vào Microsoft Entra ID > App registrations > New registration và giữ nguyên Accounts in this organizational directory only.
2. Dưới Redirect URI chọn Web, dán Redirect URI và đăng ký ứng dụng.
3. Tab Overview hiển thị Application (client) ID và Directory (tenant) ID.
4. Dưới Certificates & secrets tạo New client secret và sao chép Value của nó (không phải Secret ID). Giá trị này chỉ hiển thị một lần.
5. Dưới API permissions đảm bảo openid, profile và email đã được cấp.

Okta

1. Trong Okta Admin Console, vào Applications > Create App Integration, chọn OIDC – OpenID Connect và Web Application.
2. Dán Redirect URI vào Sign-in redirect URIs và gán ứng dụng cho các nhóm được phép truy cập.
3. Tab General của ứng dụng hiển thị Client ID và Client secret.
4. Đối với Issuer URL, nhập URL org Okta của bạn, ví dụ https://your-org.okta.com. Đây là Máy chủ Ủy quyền của Tổ chức (Org Authorization Server) mà mọi org Okta đều có, và là lựa chọn phù hợp cho hầu hết các nhóm. Chỉ khi bạn đã thiết lập máy chủ ủy quyền tùy chỉnh (Security > API > Authorization Servers) thì hãy nhập Issuer URI của nó; trông như https://your-org.okta.com/oauth2/<server-name>.

Google Workspace

1. Trong Google Cloud console, chọn (hoặc tạo) một dự án do tổ chức Workspace của bạn sở hữu.
2. Đi tới APIs & Services > OAuth consent screen và chọn Internal, để chỉ các tài khoản trong miền Workspace của bạn có thể đăng nhập.
3. Đi tới Credentials > Create credentials > OAuth client ID, loại ứng dụng Web application, và dán Redirect URI vào Authorized redirect URIs.
4. Hộp thoại xác nhận hiển thị Your Client ID và Your Client Secret. Sao chép cả hai ngay bây giờ.
5. Workspace domain của bạn là miền ở cuối địa chỉ email của nhóm bạn, ví dụ yourcompany.com.

Các nhà cung cấp OpenID Connect khác

1. Tạo một confidential client (ứng dụng web) và đăng ký Redirect URI như một authorized redirect URI.
2. Bật authorization code flow và các scope openid, profile và email.
3. Sao chép client ID và client secret, và ghi lại issuer URL: mọi thứ trước /.well-known/openid-configuration trong tài liệu khám phá (discovery document) của nhà cung cấp. Nó phải khớp chính xác với giá trị issuer được công bố tại đó.

Bước 2: Dán thông tin xác thực

Mỗi trường đều mô tả chính xác nơi giá trị nằm trong bảng điều khiển của nhà cung cấp bạn, và các giá trị sẽ được kiểm tra khi bạn nhập. Nhấp Save configuration khi bạn hoàn tất.

Trường	Microsoft Entra ID	Okta	Google Workspace	Other (OpenID Connect)
Thiết lập theo nhà cung cấp	Tenant ID: Directory (tenant) ID, một GUID 36 ký tự	Issuer URL: Okta org URL của bạn, hoặc Issuer URI của máy chủ ủy quyền tùy chỉnh	Workspace domain: một domain trần như yourcompany.com	Issuer URL: base URL của discovery document
Client ID	Application (client) ID	Client ID	Client ID (kết thúc bằng .apps.googleusercontent.com)	Client ID
Client secret	Value của secret	Client secret	Client secret	Client secret

INFO

Client secret được lưu trữ dưới dạng mã hóa và sẽ không bao giờ được hiển thị lại. Sau khi lưu, trường sẽ hiển thị Secret saved với nút Replace để bạn thay thế khi xoay vòng.

TIP

Đối với Google Workspace, không có issuer URL để nhập. Google công bố một discovery document cố định, và Workspace domain là yếu tố ràng buộc các lần đăng nhập với tổ chức của bạn. Các tài khoản Gmail cá nhân luôn bị từ chối.

WARNING

Lưu bất kỳ thay đổi nào trong cấu hình sẽ xóa kết quả kiểm tra gần nhất và tắt SSO cho đến khi bạn kiểm tra lại cấu hình và bật lại. Nếu SSO đang được yêu cầu cho mọi người, yêu cầu đó cũng sẽ được gỡ bỏ. Hãy lên kế hoạch cho các thay đổi cấu hình, chẳng hạn xoay vòng một client secret đã hết hạn, vào thời điểm có thể chấp nhận gián đoạn ngắn.

Bước 3: Kiểm tra, rồi bật

Chạy kiểm tra

Nhấp Run test. Kết quả liệt kê từng bước kiểm tra đã chạy với dấu đạt hoặc không đạt và, khi không đạt, lý do:

• Discovery document reachable cho tenant, issuer URL hoặc Google,
• Signing keys (JWKS) fetched,
• Client credentials accepted, chỉ dành cho Microsoft Entra ID.

Đối với Okta, Google Workspace và các nhà cung cấp OpenID Connect khác, client secret không thể được kiểm tra nếu không có một lần đăng nhập thực, vì vậy một bài kiểm tra đạt chỉ xác nhận rằng có thể kết nối tới nhà cung cấp. Secret sẽ được xác minh bởi người dùng đầu tiên đăng nhập.

Nếu kiểm tra không đạt, hãy khắc phục vấn đề được báo cáo ở bước 2, lưu và nhấp Test again. Không có gì thay đổi với các thành viên của bạn trong khi bạn thực hiện. SSO sẽ không thể bật cho đến khi một bài kiểm tra đạt.

Bật SSO

Khi một bài kiểm tra đã đạt, bật Enable SSO. Từ bây giờ:

• Các thành viên trong tổ chức của bạn có thể đăng nhập bằng Sign in with SSO trên trang đăng nhập.
• Đăng nhập bằng mật khẩu và Google vẫn hoạt động. SSO là tùy chọn ở thời điểm này.
• Bất kỳ thành viên nào đăng nhập bằng SSO lần đầu sẽ được liên kết danh tính với tài khoản hiện có theo email.

Tắt Enable SSO sẽ dừng ngay lập tức việc đăng nhập bằng SSO và cũng gỡ bỏ Require SSO for everyone.

Bắt buộc SSO cho tất cả mọi người

Bật Require SSO for everyone để nhà cung cấp danh tính là cách duy nhất để vào. Nút gạt chỉ khả dụng khi SSO đang bật. Khi SSO được yêu cầu:

• Thành viên chỉ có thể đăng nhập bằng Sign in with SSO. Đăng nhập bằng mật khẩu và Google sẽ bị từ chối với thông báo Your organization requires single sign-on.
• Người dùng được mời không thể đăng ký hoặc đặt mật khẩu. Họ tham gia tổ chức bằng cách đăng nhập bằng SSO lần đầu (xem Adding users).
• Thành viên của nhóm ADMIN vẫn được miễn trừ và luôn có thể đăng nhập bằng mật khẩu của họ. Điều này đảm bảo cấu hình nhà cung cấp danh tính bị lỗi sẽ không bao giờ khóa tổ chức khỏi chính phần cài đặt của mình.

TIP

Trước tiên hãy bật SSO mà không yêu cầu, và đề nghị một vài thành viên thử Sign in with SSO. Chỉ yêu cầu sau khi bạn đã xác nhận đăng nhập hoạt động với các thành viên thông thường.

Cách nhóm của bạn đăng nhập

1. Trên trang đăng nhập, nhấp Sign in with SSO.
2. Nhập địa chỉ email công việc của bạn và nhấp Continue with SSO.
3. Bạn được chuyển hướng tới nhà cung cấp danh tính của tổ chức. Đăng nhập ở đó bằng cùng tài khoản với email bạn vừa nhập.
4. Bạn được chuyển về CCTV Design Tool, đã ở trạng thái đăng nhập.

Tổ chức được xác định từ địa chỉ email: nó phải thuộc về một thành viên của tổ chức có SSO đã bật, hoặc một lời mời đang chờ từ tổ chức như vậy. Nếu xác thực hai yếu tố được bật trên tài khoản, mã vẫn sẽ được yêu cầu sau khi nhà cung cấp danh tính đã đăng nhập bạn.

Thêm người dùng khi SSO đang bật

Người dùng được thêm trong Manage Users như bình thường. Điều gì xảy ra tiếp theo phụ thuộc vào việc SSO có được yêu cầu cho mọi người hay không.

SSO được bật, không bắt buộc

• Một email đã có tài khoản CCTV Design Tool sẽ nhận lời mời, và người đó chấp nhận trong ứng dụng.
• Một email mới yêu cầu một mật khẩu tạm thời, giống như khi không có SSO. Người đó đăng nhập bằng mật khẩu đó trước và có thể chuyển sang SSO sau đó.

SSO bắt buộc cho tất cả mọi người

• Một email mới được mời mà không có mật khẩu. Người đó chỉ cần chọn Sign in with SSO trên trang đăng nhập. Lần đăng nhập thành công đầu tiên sẽ chấp nhận lời mời, đặt họ vào nhóm đã chọn khi mời và gán một giấy phép trống nếu có.
• Một email đã có tài khoản đang hoạt động phải đăng nhập trước bằng mật khẩu của mình và chấp nhận lời mời trong ứng dụng. Chỉ sau đó người đó mới có thể sử dụng SSO.

INFO

Lời mời sẽ hết hạn. Nếu một người chưa đăng nhập trước khi lời mời hết hạn, hãy hủy và mời lại họ từ Manage Users.

Dấu vết kiểm toán

Mọi thay đổi đều được ghi lại trong nhật ký kiểm toán của tổ chức: lưu cấu hình, chạy kiểm tra cùng kết quả, và bật, tắt hoặc yêu cầu SSO. Người dùng tham gia thông qua lời mời SSO sẽ xuất hiện là Invite Accepted.

Khắc phục sự cố

Thông báo	Ý nghĩa
Identity provider discovery failed (HTTP …) — check the tenant ID	Tenant ID hoặc issuer URL sai, hoặc nhà cung cấp không thể truy cập.
The discovery document publishes a different issuer	Với Okta hoặc Other (OpenID Connect), nhập issuer URL chính xác như nhà cung cấp công bố, có hoặc không có phần đường dẫn ở cuối.
Client credentials check failed	Client ID hoặc client secret sai, hoặc secret đã hết hạn. Hãy tạo secret mới trong nhà cung cấp danh tính của bạn và lưu lại.
Test the configuration successfully before enabling SSO	Nhấp Run test và khắc phục vấn đề được báo cáo trước khi bật Enable SSO.
SSO is not available for this account	Email đã nhập không thuộc về thành viên hoặc người được mời của tổ chức có SSO đã bật. Kiểm tra xem người đó đã được thêm trong Manage Users chưa.
You signed in to the identity provider with a different account than the email you entered	Tài khoản được chọn tại nhà cung cấp danh tính không khớp với email đã nhập trên trang đăng nhập. Hãy bắt đầu lại và chọn tài khoản phù hợp.
You already have an account. Sign in with your password and accept the organization invitation first	Người được mời đã có tài khoản hoạt động trước đó. Họ phải chấp nhận lời mời trong ứng dụng một lần, sau đó SSO sẽ hoạt động.
Your invitation has expired	Mời lại người đó từ Manage Users.
This Google account does not belong to a Workspace organization	Người đó đã đăng nhập bằng tài khoản Google cá nhân. Họ phải dùng tài khoản Workspace.
This account belongs to a different organization than the one configured for SSO	Tài khoản được chọn tại nhà cung cấp danh tính thuộc về Entra tenant, Okta issuer hoặc Workspace domain khác với giá trị đã lưu ở bước 2.
Your organization requires single sign-on	SSO được yêu cầu cho mọi người. Hãy dùng Sign in with SSO thay cho mật khẩu hoặc Google.

Mẹo

• Ghi chú thời điểm client secret hết hạn và xoay vòng trước ngày đó. Một secret hết hạn sẽ dừng SSO cho toàn bộ tổ chức.
• Chỉ bật Require SSO for everyone sau khi các thành viên thông thường xác nhận rằng đăng nhập SSO hoạt động với họ.
• Duy trì ít nhất một quản trị viên trong nhóm ADMIN biết mật khẩu của họ. Quản trị viên là phương án dự phòng khi nhà cung cấp danh tính không khả dụng.
• Khi SSO được yêu cầu cho mọi người, chỉ mời đồng nghiệp mới bằng email. Họ sẽ không bao giờ cần mật khẩu từ bạn.
• Xem lại nhật ký kiểm toán sau các thay đổi cấu hình để xác nhận ai đã thay đổi gì và khi nào.

Chủ đề liên quan

• Enterprise Settings
• User Profile
• Free / Premium / Enterprise Versions