SSO beállítása
SSO beállítása
Ez az útmutató annak az IT-adminisztrátornak szól, aki a vállalati identitásszolgáltatót (IdP) összeköti az InterMIND-dal. A beállítás után a tagok a megszokott bejelentkezési oldalról lépnek be: Sign in with SSO → munkahelyi e-mail-cím → az Önök IdP-je → vissza az InterMIND-ba. A nem műszaki áttekintéshez lásd az Single Sign-On funkcióoldalt.
Elérhető: Business és Enterprise csomagokban Beállítja: a csapat tulajdonosa vagy adminisztrátora Protokoll: kizárólag OpenID Connect (OIDC). A SAML 2.0 nem támogatott. Az Okta, a Microsoft Entra ID és a Google Workspace egyaránt támogatja az OIDC-t.
Előfeltételek
- Egy ellenőrzött domain. Először igazolja az e-mail-domainjét DNS TXT rekorddal (lásd: Domainkezelés). Az SSO-bejelentkezés csak olyan fiókokat fogad el, amelyek e-mail-domainjét a csapat ellenőrizte; ez a tenant határa.
- Egy OIDC-t discoveryvel támogató IdP. Ennek ki kell szolgálnia a
/.well-known/openid-configurationcímet az Issuer URL alatt. Az Okta, a Microsoft Entra ID és a Google is ezt teszi.
Mit kell regisztrálni az IdP-ben
Hozzon létre egy OIDC Web Application alkalmazást az IdP-ben a következő beállításokkal:
| Beállítás | Érték |
|---|---|
| Redirect URI (callback) | https://intermind.com/api/auth/sso/callback, ez az OIDC kiválasztása után az SSO kártyán is megjelenik |
| Grant type | Authorization Code (a PKCE S256 automatikusan érvényesül) |
| Scopes | openid email profile |
Az IdP által kiadott ID tokennek tartalmaznia kell a felhasználó email értékét, és az e-mail-cím domainjének az ellenőrzött domainek egyike kell, hogy legyen. Ellenkező esetben a bejelentkezés elutasításra kerül.
Ezután töltse ki az SSO kártyát az Integrations oldalon:
| Mező | Mit kell beillesztenie |
|---|---|
| Display Name | Bármilyen név, amelyet a tagok felismernek |
| Issuer URL | Az IdP issuere, vagyis az az URL, amely kiszolgálja a /.well-known/openid-configuration címet |
| Authorization URL | Az authorization_endpoint érték a discovery dokumentumból |
| Client ID / Client Secret | A regisztrált alkalmazásból |
A client secretet mentéskor titkosítva tároljuk, és mentés után soha nem küldjük vissza a böngészőnek.
Okta
- Admin console → Applications → Create App Integration → sign-in method: OIDC, application type: Web Application
- Sign-in redirect URI:
https://intermind.com/api/auth/sso/callback - Rendelje hozzá azokat a felhasználókat vagy csoportokat, akiknek hozzáférést szeretne adni
- Másolja ki a Client ID és a Client Secret értékét
- Az InterMIND-ban: Issuer URL = az Okta org URL-je (pl.
https://acme.okta.com, vagy ha használ ilyet, az authorization server issuere, példáulhttps://acme.okta.com/oauth2/default); Authorization URL = azauthorization_endpointérték a<issuer>/.well-known/openid-configurationcímről
Microsoft Entra ID (Azure AD)
- Entra admin center → App registrations → New registration
- Platform: Web, redirect URI:
https://intermind.com/api/auth/sso/callback - Certificates & secrets → New client secret, majd azonnal másolja ki a secret Value értékét
- Client ID = az Application (client) ID az Overview oldalon
- Gondoskodjon róla, hogy az ID token tartalmazza a felhasználó e-mail-címét: Token configuration → Add optional claim → ID → email
- Az InterMIND-ban: Issuer URL =
https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL =https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize
Google Workspace
Alkalmazásregisztrációra nincs szükség. Az SSO kártyán válassza a Google Workspace szolgáltatótípust, és mentse el. Az ellenőrzött domainjeihez tartozó tagok Google-fiókjukkal jelentkeznek be, és automatikusan csatlakoznak a csapathoz. (A Google általános OIDC-szolgáltatóként is összekapcsolható az https://accounts.google.com issuerrel, ha az explicit kliens-hitelesítő adatokat részesíti előnyben.)
A kapcsolat tesztelése
- Nyissa meg a bejelentkezési oldalt privát/inkognitó ablakban
- Kattintson a Sign in with SSO gombra, és adjon meg egy munkahelyi e-mail-címet az ellenőrzött domainről
- Átirányítjuk az IdP-hez; a hitelesítés után bejelentkezve érkezik vissza az InterMIND-ba
- A bejelentkezés rögzül a csapat audit naplójában (a Users oldalról exportálható)
auth.logineseményként,ssomóddal
Hibaelhárítás
| Tünet | Ok |
|---|---|
| "SSO is not configured" az e-mail-cím megadása után | Ehhez az e-mail-domainhez nincs engedélyezett SSO-konfiguráció. Ellenőrizze, hogy a domain ellenőrzött-e, és az SSO kártya el van-e mentve |
SSO login is not available: plan | A csapat csomagja már nem tartalmazza az SSO-t |
SSO login is not available: domain-not-verified | A domain DNS-ellenőrzése még függőben van |
SSO login is not available: config-incomplete | A Client ID vagy a Client Secret hiányzik. Mentse újra az SSO kártyát |
SSO login is not available: type-unsupported | A tárolt szolgáltatótípust a bejelentkezési folyamat nem valósítja meg. Törölje az SSO-konfigurációt, és hozza létre újra OIDC vagy Google Workspace típusként |
SSO IdP discovery failed | Az Issuer URL hibás, vagy nem szolgálja ki a /.well-known/openid-configuration címet |
| "login session expired, start again" | A bejelentkezés indítása és az IdP callbackje között több mint 5 perc telt el |
| A bejelentkezés elutasítva, miután az IdP visszairányít | Az IdP az ellenőrzött domainjein kívüli e-mail-címet adott vissza, vagy egyáltalán nem küldött email claimet (Entra: adja hozzá az opcionális email claimet) |
Biztonsági tulajdonságok
Biztonsági kérdőívekhez: az SSO-folyamat Authorization Code PKCE (S256), state és nonce használatával; az ID token aláírását az IdP JWKS-e alapján validáljuk, az issuerrel és az audience-szel együtt; az IdP csak a DNS-sel ellenőrzött domainekre nézve mérvadó, így bármely más e-mail-címre szóló assertion soha nem hoz létre munkamenetet; az OIDC client secret titkosítva van tárolva; minden SSO-bejelentkezés bekerül a csapat audit naplójába. A csomag-, domain- és konfigurációs ellenőrzéseket a szerver érvényesíti a bejelentkezés indításakor és a callbacknél is.