Nastavitev SSO
Nastavitev SSO
Ta vodnik je namenjen IT-skrbniku, ki podjetniški ponudnik identitete (IdP) povezuje z InterMIND. Po nastavitvi se člani prijavijo na običajni prijavni strani: Sign in with SSO → službeni e-poštni naslov → vaš IdP → nazaj v InterMIND. Netehnični pregled najdete na strani funkcije Single Sign-On.
Na voljo v: paketih Business in Enterprise Nastavi: lastnik ali skrbnik ekipe Protokol: samo OpenID Connect (OIDC). SAML 2.0 ni podprt — Okta, Microsoft Entra ID in Google Workspace podpirajo OIDC.
Predpogoji
- Preverjena domena — najprej preverite domeno svojega e-poštnega naslova z DNS-zapisom TXT (glejte Upravljanje domen). Prijava prek SSO sprejme samo račune, katerih e-poštno domeno je vaša ekipa preverila; to je meja najemnika (tenanta).
- IdP, ki podpira OIDC z odkrivanjem (discovery) — pod naslovom URL izdajatelja (Issuer URL) mora streči
/.well-known/openid-configuration. Okta, Microsoft Entra ID in Google to vsi omogočajo.
Kaj registrirati v IdP
V svojem IdP ustvarite OIDC Web Application z naslednjimi nastavitvami:
| Nastavitev | Vrednost |
|---|---|
| Redirect URI (callback) | https://intermind.com/api/auth/sso/callback — prikazan tudi v kartici SSO, ko izberete OIDC |
| Grant type | Authorization Code (PKCE S256 se uporablja samodejno) |
| Scopes | openid email profile |
ID token, ki ga izda vaš IdP, mora vsebovati uporabnikov email, domena tega e-poštnega naslova pa mora biti ena od vaših preverjenih domen — sicer je prijava zavrnjena.
Nato izpolnite kartico SSO na strani Integrations:
| Polje | Kaj prilepiti |
|---|---|
| Display Name | Poljubna oznaka, ki jo bodo člani prepoznali |
| Issuer URL | Izdajatelj vašega IdP — naslov URL, ki streže /.well-known/openid-configuration |
| Authorization URL | Vrednost authorization_endpoint iz tega dokumenta za odkrivanje |
| Client ID / Client Secret | Iz aplikacije, ki ste jo registrirali |
Skrivnost odjemalca (client secret) je šifrirana v mirovanju, po shranjevanju pa se brskalniku nikoli več ne vrne.
Okta
- Admin console → Applications → Create App Integration → način prijave OIDC, vrsta aplikacije Web Application
- Sign-in redirect URI:
https://intermind.com/api/auth/sso/callback - Dodelite uporabnike ali skupine, ki naj imajo dostop
- Kopirajte Client ID in Client Secret
- V InterMIND: Issuer URL = URL vaše organizacije v Okti (npr.
https://acme.okta.comali izdajatelj vašega avtorizacijskega strežnika, kot jehttps://acme.okta.com/oauth2/default, če ga uporabljate); Authorization URL = vrednostauthorization_endpointiz<issuer>/.well-known/openid-configuration
Microsoft Entra ID (Azure AD)
- Entra admin center → App registrations → New registration
- Platform Web, redirect URI
https://intermind.com/api/auth/sso/callback - Certificates & secrets → New client secret — takoj kopirajte Value skrivnosti
- Client ID = Application (client) ID na strani Overview
- Poskrbite, da ID token vsebuje uporabnikov e-poštni naslov: Token configuration → Add optional claim → ID → email
- V InterMIND: Issuer URL =
https://login.microsoftonline.com/<tenant-id>/v2.0; Authorization URL =https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize
Google Workspace
Registracija aplikacije ni potrebna. V kartici SSO izberite vrsto ponudnika Google Workspace in shranite — člani na vaših preverjenih domenah se prijavijo s svojim računom Google in se samodejno pridružijo vaši ekipi. (Google lahko povežete tudi kot splošnega ponudnika OIDC z izdajateljem https://accounts.google.com, če želite izrecne poverilnice odjemalca.)
Preizkus povezave
- Odprite prijavno stran v zasebnem oknu (način brez beleženja zgodovine)
- Kliknite Sign in with SSO in vnesite službeni e-poštni naslov na svoji preverjeni domeni
- Preusmerjeni boste k svojemu IdP; po overitvi pristanete nazaj v InterMIND, prijavljeni
- Prijava se zabeleži v revizijski dnevnik ekipe (izvoz je mogoč na strani Users) kot
auth.loginz metodosso
Odpravljanje težav
| Simptom | Vzrok |
|---|---|
| "SSO is not configured" po vnosu e-poštnega naslova | Nobena omogočena konfiguracija SSO ne ustreza tej e-poštni domeni — preverite, ali je domena preverjena in ali je kartica SSO shranjena |
SSO login is not available: plan | Paket ekipe ne vključuje več SSO |
SSO login is not available: domain-not-verified | Domena še čaka na preverjanje prek DNS |
SSO login is not available: config-incomplete | Manjka Client ID ali Client Secret — znova shranite kartico SSO |
SSO login is not available: type-unsupported | Shranjena vrsta ponudnika ni takšna, ki jo potek prijave podpira — izbrišite konfiguracijo SSO in jo znova ustvarite kot OIDC ali Google Workspace |
SSO IdP discovery failed | Issuer URL je napačen ali ne streže /.well-known/openid-configuration |
| "login session expired, start again" | Med začetkom prijave in povratnim klicem (callback) IdP je minilo več kot 5 minut |
| Prijava je zavrnjena po vrnitvi z IdP | IdP je vrnil e-poštni naslov zunaj vaših preverjenih domen ali sploh ni vrnil zahtevka email (Entra: dodajte izbirni zahtevek email) |
Varnostne lastnosti
Za varnostne vprašalnike: potek SSO je Authorization Code s PKCE (S256), state in nonce; podpis ID tokena se preveri glede na JWKS ponudnika IdP, skupaj z izdajateljem in občinstvom (audience); IdP je merodajen samo za domene, preverjene prek DNS — trditev za kateri koli drug e-poštni naslov nikoli ne ustvari seje; skrivnost odjemalca OIDC je šifrirana v mirovanju; vsaka prijava prek SSO se zapiše v revizijski dnevnik ekipe. Omejitve glede paketa, domene in konfiguracije se na strežniku uveljavljajo tako ob začetku prijave kot ob povratnem klicu.