Persediaan SSO

Sambungkan Okta, Microsoft Entra ID atau Google Workspace supaya pasukan anda log masuk melalui penyedia identiti anda.

Persediaan SSO

Panduan ini ditujukan kepada pentadbir IT yang menyambungkan penyedia identiti (IdP) syarikat kepada InterMIND. Selepas persediaan, ahli log masuk daripada halaman log masuk biasa: Sign in with SSO → e-mel kerja → IdP anda → kembali ke InterMIND. Untuk gambaran keseluruhan yang tidak teknikal, lihat halaman ciri Single Sign-On.

Tersedia pada: Pelan Business dan Enterprise Dikonfigurasikan oleh: pemilik pasukan atau admin Protokol: OpenID Connect (OIDC) sahaja. SAML 2.0 tidak ditawarkan — Okta, Microsoft Entra ID dan Google Workspace semuanya menyokong OIDC.

Kad SSO pada halaman Integrations

Prasyarat

Domain yang disahkan — sahkan domain e-mel anda terlebih dahulu melalui rekod DNS TXT (lihat Domain Management). Log masuk SSO hanya menerima akaun yang domain e-melnya telah disahkan oleh pasukan anda; inilah sempadan tenant.
IdP yang menyokong OIDC dengan discovery — IdP mesti menyediakan /.well-known/openid-configuration di bawah Issuer URL. Okta, Microsoft Entra ID dan Google semuanya menyediakannya.

Perkara yang perlu didaftarkan dalam IdP anda

Cipta OIDC Web Application dalam IdP anda dengan tetapan berikut:

Tetapan	Nilai
Redirect URI (callback)	`https://intermind.com/api/auth/sso/callback` — juga dipaparkan dalam kad SSO selepas anda memilih OIDC
Grant type	Authorization Code (PKCE S256 digunakan secara automatik)
Scopes	`openid email profile`

ID token yang dikeluarkan oleh IdP anda mesti mengandungi email pengguna, dan domain e-mel tersebut mestilah salah satu domain anda yang telah disahkan — jika tidak, log masuk akan ditolak.

Kemudian isikan kad SSO pada halaman Integrations:

Medan	Perkara untuk ditampal
Display Name	Sebarang label yang akan dikenali oleh ahli anda
Issuer URL	Issuer bagi IdP anda — URL yang menyediakan `/.well-known/openid-configuration`
Authorization URL	`authorization_endpoint` daripada dokumen discovery tersebut
Client ID / Client Secret	Daripada aplikasi yang anda daftarkan

Client secret disulitkan semasa disimpan (encrypted at rest) dan tidak akan dihantar semula ke pelayar selepas disimpan.

Okta

Admin console → Applications → Create App Integration → kaedah log masuk OIDC, jenis aplikasi Web Application
Sign-in redirect URI: https://intermind.com/api/auth/sso/callback
Tugaskan pengguna atau kumpulan yang patut mempunyai akses
Salin Client ID dan Client Secret
Dalam InterMIND: Issuer URL = URL org Okta anda (cth. https://acme.okta.com, atau issuer bagi authorization server anda seperti https://acme.okta.com/oauth2/default jika anda menggunakannya); Authorization URL = authorization_endpoint daripada <issuer>/.well-known/openid-configuration

Microsoft Entra ID (Azure AD)

Entra admin center → App registrations → New registration
Platform Web, redirect URI https://intermind.com/api/auth/sso/callback
Certificates & secrets → New client secret — salin Value secret tersebut dengan segera
Client ID = Application (client) ID pada halaman Overview
Pastikan ID token membawa e-mel pengguna: Token configuration → Add optional claim → ID → email
Dalam InterMIND: Issuer URL = https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL = https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize

Google Workspace

Tiada pendaftaran aplikasi diperlukan. Dalam kad SSO, pilih jenis penyedia Google Workspace dan simpan — ahli pada domain anda yang telah disahkan log masuk dengan akaun Google mereka dan menyertai pasukan anda secara automatik. (Google juga boleh disambungkan sebagai penyedia OIDC generik dengan issuer https://accounts.google.com jika anda lebih suka menggunakan kelayakan klien yang eksplisit.)

Uji sambungan

Buka halaman log masuk dalam tetingkap peribadi/incognito
Klik Sign in with SSO dan masukkan e-mel kerja pada domain anda yang telah disahkan
Anda dialihkan ke IdP anda; selepas pengesahan, anda kembali ke InterMIND dalam keadaan telah log masuk
Log masuk direkodkan dalam log audit pasukan (boleh dieksport daripada halaman Users) sebagai auth.login dengan kaedah sso

Penyelesaian masalah

Gejala	Punca
"SSO is not configured" selepas memasukkan e-mel	Tiada konfigurasi SSO yang diaktifkan sepadan dengan domain e-mel tersebut — semak bahawa domain telah disahkan dan kad SSO telah disimpan
`SSO login is not available: plan`	Pelan pasukan tidak lagi merangkumi SSO
`SSO login is not available: domain-not-verified`	Domain masih menunggu pengesahan DNS
`SSO login is not available: config-incomplete`	Client ID atau Client Secret tiada — simpan semula kad SSO
`SSO login is not available: type-unsupported`	Jenis penyedia yang disimpan bukan jenis yang dilaksanakan oleh aliran log masuk — padam konfigurasi SSO dan cipta semula sebagai OIDC atau Google Workspace
`SSO IdP discovery failed`	Issuer URL salah atau tidak menyediakan `/.well-known/openid-configuration`
"login session expired, start again"	Lebih daripada 5 minit berlalu antara permulaan log masuk dengan callback IdP
Log masuk ditolak selepas IdP mengalihkan kembali	IdP mengembalikan e-mel di luar domain anda yang telah disahkan, atau tiada tuntutan `email` langsung (Entra: tambah optional claim e-mel)

Ciri keselamatan

Untuk soal selidik keselamatan: aliran SSO ialah Authorization Code dengan PKCE (S256), state, dan nonce; tandatangan ID token disahkan terhadap JWKS milik IdP, bersama issuer dan audience; IdP hanya berautoriti untuk domain yang disahkan melalui DNS — pengesahan bagi mana-mana e-mel lain tidak pernah menghasilkan sesi; client secret OIDC disulitkan semasa disimpan (encrypted at rest); setiap log masuk SSO direkodkan dalam log audit pasukan. Pemeriksaan pelan, domain dan konfigurasi dikuatkuasakan di bahagian pelayan pada kedua-dua permulaan log masuk dan callback.

Integrasi

Kalendar, Slack, Telegram, kunci API dan pembantu AI untuk akaun anda; penyegerakan direktori, pengurusan domain dan SSO untuk pasukan anda.

Majukan mesej kepada bot InterMIND, cerminkan kumpulan Telegram ke dalam saluran, dan salurkan sembang ke dalam Inbox anda.