Настройка на SSO

Свържете Okta, Microsoft Entra ID или Google Workspace, така че екипът ви да влиза през вашия доставчик на идентичност.

Настройка на SSO

Това ръководство е за ИТ администратора, който свързва фирмен доставчик на идентичност (IdP) с InterMIND. След настройката членовете влизат от обичайната страница за вход: Sign in with SSO → служебен имейл → вашият IdP → обратно в InterMIND. За обзор без технически подробности вижте страницата за функцията Single Sign-On.

Налично в: планове Business и Enterprise Конфигурира се от: собственика или администратора на екипа Протокол: само OpenID Connect (OIDC). SAML 2.0 не се предлага — Okta, Microsoft Entra ID и Google Workspace поддържат OIDC.

Карта SSO на страницата Integrations

Предварителни изисквания

Потвърден домейн — първо потвърдете домейна на имейла си чрез DNS TXT запис (вижте Управление на домейни). Вход през SSO се приема само за акаунти, чийто имейл домейн е потвърден от вашия екип; това е границата на тенанта.
IdP, който поддържа OIDC с discovery — той трябва да предоставя /.well-known/openid-configuration под Issuer URL. Okta, Microsoft Entra ID и Google го правят.

Какво да регистрирате във вашия IdP

Създайте OIDC Web Application във вашия IdP със следното:

Настройка	Стойност
Redirect URI (callback)	`https://intermind.com/api/auth/sso/callback` — показва се и в картата SSO, след като изберете OIDC
Grant type	Authorization Code (PKCE S256 се използва автоматично)
Scopes	`openid email profile`

ID токенът, който издава вашият IdP, трябва да съдържа email на потребителя, а домейнът на имейла трябва да е един от вашите потвърдени домейни — в противен случай входът се отказва.

След това попълнете картата SSO на страницата Integrations:

Поле	Какво да поставите
Display Name	Всяко име, което вашите членове ще разпознават
Issuer URL	Издателят на вашия IdP — URL адресът, който предоставя `/.well-known/openid-configuration`
Authorization URL	`authorization_endpoint` от съответния discovery документ
Client ID / Client Secret	От приложението, което сте регистрирали

Client secret се криптира при съхранение и никога не се връща към браузъра след запазване.

Okta

Admin console → Applications → Create App Integration → метод за вход OIDC, тип приложение Web Application
Sign-in redirect URI: https://intermind.com/api/auth/sso/callback
Назначете потребителите или групите, които трябва да имат достъп
Копирайте Client ID и Client Secret
В InterMIND: Issuer URL = URL адресът на вашата Okta организация (напр. https://acme.okta.com или издателят на вашия authorization server, например https://acme.okta.com/oauth2/default, ако използвате такъв); Authorization URL = authorization_endpoint от <issuer>/.well-known/openid-configuration

Microsoft Entra ID (Azure AD)

Entra admin center → App registrations → New registration
Platform Web, redirect URI https://intermind.com/api/auth/sso/callback
Certificates & secrets → New client secret — копирайте веднага Value на тайната
Client ID = Application (client) ID на страницата Overview
Уверете се, че ID токенът съдържа имейла на потребителя: Token configuration → Add optional claim → ID → email
В InterMIND: Issuer URL = https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL = https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize

Google Workspace

Не е необходима регистрация на приложение. В картата SSO изберете тип доставчик Google Workspace и запазете — членовете от вашите потвърдени домейни влизат със своя Google акаунт и се присъединяват автоматично към вашия екип. (Google може да се свърже и като общ OIDC доставчик с издател https://accounts.google.com, ако предпочитате изрични client credentials.)

Тестване на връзката

Отворете страницата за вход в private/incognito прозорец
Натиснете Sign in with SSO и въведете служебен имейл от вашия потвърден домейн
Пренасочва ви към вашия IdP; след автентикация се озовавате обратно в InterMIND, вече влезли
Входът се записва в журнала за одит на екипа (може да се експортира от страницата Users) като auth.login с метод sso

Отстраняване на неизправности

Симптом	Причина
„SSO is not configured" след въвеждане на имейла	Няма активна SSO конфигурация за този имейл домейн — проверете дали домейнът е потвърден и картата SSO е запазена
`SSO login is not available: plan`	Планът на екипа вече не включва SSO
`SSO login is not available: domain-not-verified`	Домейнът все още чака DNS потвърждение
`SSO login is not available: config-incomplete`	Липсва Client ID или Client Secret — запазете отново картата SSO
`SSO login is not available: type-unsupported`	Съхраненият тип доставчик не е сред поддържаните от процеса на вход — изтрийте SSO конфигурацията и я създайте отново като OIDC или Google Workspace
`SSO IdP discovery failed`	Issuer URL е грешен или не предоставя `/.well-known/openid-configuration`
„login session expired, start again"	Изминали са повече от 5 минути между началото на входа и callback от IdP
Входът е отказан, след като IdP пренасочи обратно	IdP е върнал имейл извън вашите потвърдени домейни или изобщо няма `email` claim (Entra: добавете optional claim за email)

Свойства на сигурността

За въпросници за сигурност: SSO потокът е Authorization Code с PKCE (S256), state и nonce; подписът на ID токена се валидира спрямо JWKS на IdP, заедно с издателя и аудиторията; IdP е авторитетен само за домейни, потвърдени чрез DNS — твърдение за всеки друг имейл никога не създава сесия; OIDC client secret е криптиран при съхранение; всеки вход през SSO се записва в журнала за одит на екипа. Проверките за план, домейн и конфигурация се прилагат на сървъра както при началото на входа, така и при callback.

Интеграции

Календар, Slack, Telegram, API ключове и AI асистенти за вашия акаунт; синхронизиране на директории, управление на домейни и SSO за вашия екип.

Препращайте съобщения към бота на InterMIND, синхронизирайте групи в Telegram с канали и насочвайте чатове към своя Inbox.