Konfiguracja SSO
Konfiguracja SSO
Ten przewodnik jest przeznaczony dla administratora IT łączącego firmowego dostawcę tożsamości (IdP) z InterMIND. Po konfiguracji członkowie logują się ze zwykłej strony logowania: Sign in with SSO → służbowy e-mail → Twój IdP → z powrotem w InterMIND.
Dostępne w planach: Business i Enterprise Konfigurowane przez: właściciela lub administratora zespołu Protokół: OpenID Connect (OIDC). Logowanie SAML 2.0 jest w trakcie tworzenia — konfiguracja SAML jest zapisywana, ale nie można jej jeszcze użyć do logowania.
Wymagania wstępne
- Zweryfikowana domena — najpierw zweryfikuj domenę swojej poczty przez rekord DNS TXT (zobacz Zarządzanie domenami). Logowanie SSO akceptuje tylko konta, których domena e-mail została zweryfikowana przez Twój zespół; jest to granica tenanta.
- IdP obsługujący OIDC z discovery — musi udostępniać
/.well-known/openid-configurationpod adresem Issuer URL. Okta, Microsoft Entra ID i Google to potrafią.
Co zarejestrować w Twoim IdP
Utwórz w swoim IdP aplikację typu OIDC Web Application z następującymi ustawieniami:
| Ustawienie | Wartość |
|---|---|
| Redirect URI (callback) | https://intermind.com/api/auth/sso/callback — pokazany również w karcie SSO po wybraniu OIDC |
| Grant type | Authorization Code (PKCE S256 używane automatycznie) |
| Scopes | openid email profile |
Token ID wystawiany przez Twój IdP musi zawierać pole email użytkownika, a domena tego adresu musi należeć do zweryfikowanych domen — w przeciwnym razie logowanie zostanie odrzucone.
Następnie wypełnij kartę SSO na stronie Integrations:
| Pole | Co wkleić |
|---|---|
| Display Name | Dowolna etykieta, którą rozpoznają Twoi członkowie |
| Issuer URL | Issuer Twojego IdP — URL udostępniający /.well-known/openid-configuration |
| Authorization URL | authorization_endpoint z tego dokumentu discovery |
| Client ID / Client Secret | Z aplikacji, którą zarejestrowałeś |
Client secret jest szyfrowany w spoczynku i nigdy nie jest zwracany do przeglądarki po zapisaniu.
Okta
- Konsola administracyjna → Applications → Create App Integration → metoda logowania OIDC, typ aplikacji Web Application
- Sign-in redirect URI:
https://intermind.com/api/auth/sso/callback - Przypisz użytkowników lub grupy, które mają mieć dostęp
- Skopiuj Client ID i Client Secret
- W InterMIND: Issuer URL = URL Twojej organizacji Okta (np.
https://acme.okta.comlub issuer Twojego serwera autoryzacji, taki jakhttps://acme.okta.com/oauth2/default, jeśli go używasz); Authorization URL =authorization_endpointz<issuer>/.well-known/openid-configuration
Microsoft Entra ID (Azure AD)
- Centrum administracyjne Entra → App registrations → New registration
- Platforma Web, redirect URI
https://intermind.com/api/auth/sso/callback - Certificates & secrets → New client secret — skopiuj Value sekretu natychmiast
- Client ID = Application (client) ID ze strony Overview
- Upewnij się, że token ID zawiera e-mail użytkownika: Token configuration → Add optional claim → ID → email
- W InterMIND: Issuer URL =
https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL =https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize
Google Workspace
Nie jest potrzebna rejestracja aplikacji. W karcie SSO wybierz typ dostawcy Google Workspace i zapisz — członkowie na Twoich zweryfikowanych domenach logują się swoim kontem Google i automatycznie dołączają do zespołu. (Google można również podłączyć jako ogólnego dostawcę OIDC z issuerem https://accounts.google.com, jeśli wolisz jawne dane uwierzytelniające klienta.)
Przetestuj połączenie
- Otwórz stronę logowania w oknie prywatnym/incognito
- Kliknij Sign in with SSO i wprowadź służbowy e-mail w Twojej zweryfikowanej domenie
- Zostajesz przekierowany do swojego IdP; po uwierzytelnieniu wracasz do InterMIND jako zalogowany
- Logowanie jest rejestrowane w dzienniku audytu zespołu (możliwym do eksportu ze strony Users) jako
auth.loginz metodąsso
Rozwiązywanie problemów
| Objaw | Przyczyna |
|---|---|
| „SSO is not configured" po wprowadzeniu e-maila | Żadna aktywna konfiguracja SSO nie pasuje do tej domeny e-mail — sprawdź, czy domena jest zweryfikowana i czy karta SSO jest zapisana |
SSO login is not available: plan | Plan zespołu nie obejmuje już SSO |
SSO login is not available: domain-not-verified | Domena nadal oczekuje na weryfikację DNS |
SSO login is not available: config-incomplete | Brak Client ID lub Client Secret — zapisz ponownie kartę SSO |
SSO login is not available: type-unsupported | Zapisana konfiguracja jest SAML — logowanie SAML nie jest jeszcze dostępne |
SSO IdP discovery failed | Issuer URL jest nieprawidłowy lub nie udostępnia /.well-known/openid-configuration |
| „login session expired, start again" | Między rozpoczęciem logowania a callbackiem IdP upłynęło więcej niż 5 minut |
| Logowanie odrzucone po przekierowaniu z IdP | IdP zwrócił e-mail spoza Twoich zweryfikowanych domen lub w ogóle bez pola email (Entra: dodaj opcjonalny claim email) |
Właściwości bezpieczeństwa
Do kwestionariuszy bezpieczeństwa: przepływ SSO to Authorization Code z PKCE (S256), state i nonce; podpis tokenu ID jest weryfikowany względem JWKS dostawcy IdP, wraz z issuerem i audience; IdP jest autorytatywny tylko dla domen zweryfikowanych przez DNS — asercja dla dowolnego innego e-maila nigdy nie powoduje utworzenia sesji; client secret OIDC jest szyfrowany w spoczynku; każde logowanie przez SSO trafia do dziennika audytu zespołu. Bramki planu, domeny i konfiguracji są egzekwowane po stronie serwera zarówno przy rozpoczęciu logowania, jak i przy callbacku.