Configurare SSO
Configurarea SSO
Acest ghid este destinat administratorului IT care conectează furnizorul de identitate (IdP) al companiei la InterMIND. După configurare, membrii se autentifică de pe pagina obișnuită de autentificare: Sign in with SSO → e-mailul de serviciu → IdP-ul dumneavoastră → înapoi în InterMIND. Pentru o prezentare generală, non-tehnică, consultați pagina funcției Single Sign-On.
Disponibil în: planurile Business și Enterprise Configurat de: proprietarul sau administratorul echipei Protocol: doar OpenID Connect (OIDC). SAML 2.0 nu este oferit — Okta, Microsoft Entra ID și Google Workspace acceptă toate OIDC.
Cerințe preliminare
- Un domeniu verificat — verificați mai întâi domeniul de e-mail printr-o înregistrare DNS TXT (consultați Gestionarea domeniilor). Autentificarea SSO acceptă doar conturi al căror domeniu de e-mail a fost verificat de echipa dumneavoastră; aceasta este granița tenantului.
- Un IdP care acceptă OIDC cu discovery — trebuie să servească
/.well-known/openid-configurationsub Issuer URL. Okta, Microsoft Entra ID și Google îndeplinesc toate această condiție.
Ce trebuie înregistrat în IdP
Creați în IdP o OIDC Web Application cu următoarele setări:
| Setare | Valoare |
|---|---|
| Redirect URI (callback) | https://intermind.com/api/auth/sso/callback — este afișat și în cardul SSO după ce selectați OIDC |
| Grant type | Authorization Code (PKCE S256 este folosit automat) |
| Scopes | openid email profile |
ID token-ul emis de IdP trebuie să includă email-ul utilizatorului, iar domeniul adresei de e-mail trebuie să fie unul dintre domeniile dumneavoastră verificate — în caz contrar, autentificarea este refuzată.
Apoi completați cardul SSO din pagina Integrations:
| Câmp | Ce trebuie introdus |
|---|---|
| Display Name | Orice denumire pe care membrii dumneavoastră o vor recunoaște |
| Issuer URL | Issuer-ul IdP-ului dumneavoastră — URL-ul care servește /.well-known/openid-configuration |
| Authorization URL | Valoarea authorization_endpoint din documentul de discovery respectiv |
| Client ID / Client Secret | Din aplicația pe care ați înregistrat-o |
Client secret-ul este criptat în repaus și nu este returnat niciodată browserului după salvare.
Okta
- Admin console → Applications → Create App Integration → sign-in method OIDC, application type Web Application
- Sign-in redirect URI:
https://intermind.com/api/auth/sso/callback - Atribuiți utilizatorii sau grupurile care trebuie să aibă acces
- Copiați Client ID și Client Secret
- În InterMIND: Issuer URL = URL-ul organizației dumneavoastră Okta (de ex.
https://acme.okta.com, sau issuer-ul serverului de autorizare, precumhttps://acme.okta.com/oauth2/default, dacă folosiți unul); Authorization URL =authorization_endpointdin<issuer>/.well-known/openid-configuration
Microsoft Entra ID (Azure AD)
- Entra admin center → App registrations → New registration
- Platform Web, redirect URI
https://intermind.com/api/auth/sso/callback - Certificates & secrets → New client secret — copiați imediat Value al secretului
- Client ID = Application (client) ID din pagina Overview
- Asigurați-vă că ID token-ul conține adresa de e-mail a utilizatorului: Token configuration → Add optional claim → ID → email
- În InterMIND: Issuer URL =
https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL =https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize
Google Workspace
Nu este necesară nicio înregistrare de aplicație. În cardul SSO alegeți tipul de furnizor Google Workspace și salvați — membrii de pe domeniile dumneavoastră verificate se autentifică cu contul Google și se alătură automat echipei. (Google poate fi conectat și ca furnizor OIDC generic, cu issuer-ul https://accounts.google.com, dacă preferați credențiale client explicite.)
Testarea conexiunii
- Deschideți pagina de autentificare într-o fereastră privată/incognito
- Faceți clic pe Sign in with SSO și introduceți un e-mail de serviciu de pe domeniul dumneavoastră verificat
- Sunteți redirecționat către IdP; după autentificare, reveniți în InterMIND, deja autentificat
- Autentificarea este înregistrată în jurnalul de audit al echipei (exportabil din pagina Users) ca
auth.logincu metodasso
Depanare
| Simptom | Cauză |
|---|---|
| „SSO is not configured" după introducerea e-mailului | Nicio configurație SSO activă nu corespunde domeniului acelui e-mail — verificați dacă domeniul este verificat și dacă cardul SSO este salvat |
SSO login is not available: plan | Planul echipei nu mai include SSO |
SSO login is not available: domain-not-verified | Domeniul este încă în așteptarea verificării DNS |
SSO login is not available: config-incomplete | Lipsește Client ID sau Client Secret — salvați din nou cardul SSO |
SSO login is not available: type-unsupported | Tipul de furnizor stocat nu este unul implementat de fluxul de autentificare — ștergeți configurația SSO și creați-o din nou ca OIDC sau Google Workspace |
SSO IdP discovery failed | Issuer URL este greșit sau nu servește /.well-known/openid-configuration |
| „login session expired, start again" | Au trecut mai mult de 5 minute între începerea autentificării și callback-ul IdP-ului |
| Autentificare refuzată după ce IdP-ul redirecționează înapoi | IdP-ul a returnat un e-mail din afara domeniilor dumneavoastră verificate sau nu a returnat deloc claim-ul email (Entra: adăugați claim-ul opțional email) |
Proprietăți de securitate
Pentru chestionarele de securitate: fluxul SSO este Authorization Code cu PKCE (S256), state și nonce; semnătura ID token-ului este validată față de JWKS-ul IdP-ului, împreună cu issuer-ul și audience-ul; IdP-ul este autoritar doar pentru domeniile verificate prin DNS — o aserțiune pentru orice altă adresă de e-mail nu produce niciodată o sesiune; client secret-ul OIDC este criptat în repaus; fiecare autentificare SSO ajunge în jurnalul de audit al echipei. Verificările de plan, domeniu și configurație sunt aplicate pe server, atât la inițierea autentificării, cât și la callback.