SAML 2.0 -pohjainen kertakirjautuminen (SSO) antaa organisaationne todentaa käyttäjät keskitetyn tunnistetarjoajan (IdP) kautta, ja Tagd toimii palveluntarjoajana (SP). Tunnistetarjoajanne vastaa todentamisesta, mukaan lukien monivaiheinen tunnistautuminen ja ehdollinen käyttöoikeus, eikä Tagd koskaan näe salasanoja.
Edellytys: Tunnistetarjoaja, joka tukee SAML 2.0:aa (esimerkiksi Microsoft Entra ID (Azure AD), Okta, ADFS tai Google Workspace).
Käytättekö sen sijaan OpenID Connectia? Katso Kertakirjautuminen (SSO) OpenID Connectin (OIDC) kautta.
Seuraavia SAML SP -tietoja tarvitaan tunnistetarjoajan määrittämisessä:
Parametri | Arvo |
Entity ID | urn:amazon:cognito:sp:eu-north-1_NZR32yqNd |
Reply URL (ACS URL) | https://tagd-prod-platform.auth.eu-north-1.amazoncognito.com/saml2/idpresponse |
Binding | HTTP-POST |
Name ID format | EmailAddress |
Default RelayState | Jätä tyhjäksi |
Luo tunnistetarjoajaanne sovellus:
Luo uusi SAML 2.0 -sovellus, esimerkiksi nimellä "Tagd"
Syötä yllä olevan taulukon Entity ID ja Reply URL (ACS URL) ja aseta Name ID format -arvoksi EmailAddress
Määritä SAML-vastaukseen sisällytettävät käyttäjäattribuutit/claimit
email (Pakollinen)
given_name (etunimi)
family_name (sukunimi)
groups (Pakollinen, vähintään yksi ryhmä vaaditaan). Ryhmien nimissä saa käyttää vain kirjaimia, numeroita sekä merkkejä . - * _ (esimerkiksi Acme-Legal, ei Acme Legal)
Liitä testikäyttäjät sekä SAML-sovellukseen että ryhmään. Käyttäjä, jota ei ole liitetty, ei voi kirjautua sisään
Valitse uloskirjautumisen URL-osoite (Pakollinen). Joko tunnistetarjoajanne uloskirjautumisosoite, joka kirjaa käyttäjän ulos myös tunnistetarjoajasta, tai aloitussivu, kuten intranetinne. Osoitteen on alettava https://
Valitse haluamanne kirjautumisalias, esimerkiksi "yritys". Kirjautumislinkkinne on tällöin https://prod.tagd.ai/api/v1/auth/login?org=yritys. Käytä vain pieniä kirjaimia (a–z), numeroita ja yhdysmerkkejä
Lähetä seuraavat tiedot osoitteeseen [email protected]
App Federation Metadata URL (suositeltu) tai tiedosto (XML)
Uloskirjautumisen URL-osoite
Toivottu kirjautumisalias
Testikäyttäjän sähköpostiosoite
Synkronoitavien ryhmien nimet kirjoitettuina täsmälleen kuten SAML-vastauksessa
Attribuuttien nimet, jos ne poikkeavat nimistä email, given_name, family_name ja groups
Valinnainen: ryhmä, jonka jäsenet saavat Tagdin Järjestelmänvalvoja-roolin
Teknisen yhteyshenkilön nimi ja sähköpostiosoite käyttöönottoa varten
Älä koskaan lähetä käyttäjien salasanoja, yksityisiä avaimia tai tunnistetarjoajan API-avaimia. Kun tiedot on vastaanotettu, tiimimme määrittää SAML-todennuksen organisaatiollenne.
Ennen kuin SSO otetaan käyttöön kaikille käyttäjille, määritys testataan yhdessä tiimimme kanssa.
Avaa kirjautumislinkki ja varmista, että se ohjaa suoraan tunnistetarjoajaanne
Tee testikirjautuminen tunnistetarjoajan käyttäjätilillä, mukaan lukien mahdollinen monivaiheinen tunnistautuminen
Varmista, että käyttäjän nimi ja sähköpostiosoite näkyvät oikein Tagdissa
Varmista, että käyttäjä lisätään oikeaan ryhmään Tagdissa ja hänellä on odotettu rooli
Varmista, että uloskirjautuminen päättää Tagd-istunnon ja ohjaa uloskirjautumisen URL-osoitteeseen
Varmista, että käyttäjä, jota ei ole liitetty sovellukseen, ei voi kirjautua sisään
Suosittelemme vahvasti testaamista ensin rajatulla käyttäjäryhmällä. Ilmoita mahdollisista ongelmista osoitteeseen [email protected]
Sovi SSO-integraation käyttöönotosta yhdessä nimetyn yhteyshenkilönne kanssa:
Päättäkää käyttöönottopäivä ja varmistakaa, että tekninen yhteyshenkilönne on tavoitettavissa käyttöönoton aikana.
Liitä käyttäjät Tagd-sovellukseen tunnistetarjoajassanne. Kun käyttäjä kirjautuu ensimmäistä kertaa SSO:n kautta, hänen tilinsä luodaan automaattisesti tai yhdistetään olemassa olevaan tiliin sähköpostiosoitteen perusteella. Tunnistetarjoajan ryhmäjäsenyydet lisäävät käyttäjän vastaaviin Tagd-ryhmiin.
Kertokaa käyttäjille muutoksesta ja jakakaa kirjautumislinkki. Käyttäjät kirjautuvat organisaation tunnuksillaan eivätkä tarvitse erillistä Tagd-salasanaa.