كل تسجيل دخول منفصل يعني كلمة مرور إضافية لإعادة تعيينها وحسابًا إضافيًا لإغلاقه عندما يغادر شخص ما. يربط تسجيل الدخول الموحّد (SSO) عبر SAML نظام إدارة التعلم لديك بمزوّد الهوية، فيسجّل الناس الدخول إلى التدريب بحساب العمل، ويتبع الوصول دليل المستخدمين لديك. إليك كيف يعمل SAML، وكيف يجري الإعداد مع Microsoft Entra ID أو Okta أو Google Workspace، وما ينبغي التحقق منه قبل الإطلاق.
كيف يعمل تسجيل الدخول الموحّد عبر SAML
SAML (Security Assertion Markup Language) 2.0 معيار مفتوح لتمرير معلومات تسجيل الدخول بين نظامين يثق كل منهما بالآخر. ولا يرى نظام إدارة التعلم كلمة مرور الشخص أبدًا: إنه يحوّله إلى مزوّد الهوية لديك، فيتحقق من هويته، مع أي مصادقة متعددة العوامل تشترطها، ثم يعيده ومعه بيان موقَّع.
| المصطلح | معناه |
|---|---|
| مزوّد الهوية (Identity provider، IdP) | النظام الذي يصادق على هوية موظفيك، مثل Entra ID أو Okta أو Google Workspace. |
| مزوّد الخدمة (Service provider، SP) | التطبيق الذي يسجّل الناس الدخول إليه: نظام إدارة التعلم لديك. |
| الإفادة (Assertion) | بيان XML موقَّع من IdP: من هو الشخص، ومتى سجّل الدخول، وسمات مثل البريد الإلكتروني والاسم. |
| معرّف الكيان (Entity ID) | اسم فريد لكل طرف، يُكتب غالبًا على هيئة رابط لكنه مجرد معرّف. ويجب أن يتطابق تمامًا. |
| ACS URL | اختصار Assertion Consumer Service URL: عنوان نظام إدارة التعلم الذي يستقبل استجابة IdP. |
| شهادة التوقيع (Signing certificate) | يوقّع IdP بمفتاحه الخاص؛ ويتحقق نظام إدارة التعلم بالشهادة العامة الخاصة بمزوّد الهوية، ويرفض الإفادات المزوَّرة أو المعدَّلة. |
| البيانات الوصفية (Metadata) | ملف XML يجمع معرّف كيان ونقاط نهاية وشهادات، جاهز للاستيراد. |
الإفادات قصيرة العمر وتحدّد جمهورها (معرّف كيان SP). ويرفض SP أي إفادة منتهية الصلاحية أو مخصّصة لتطبيق آخر.
لماذا يستحق SSO العناء في نظام إدارة التعلم
- بلا كلمات مرور إضافية. يستخدم الناس حسابهم اليومي، وتشمل سياسات المصادقة متعددة العوامل (MFA) والوصول لديك التدريب أيضًا.
- يحصل الملتحقون الجدد على الوصول بسرعة. أسند تطبيق نظام إدارة التعلم إلى مجموعة، فيستطيع الموظفون الجدد فيها تسجيل الدخول منذ اليوم الأول.
- يفقد المغادرون الوصول من المصدر. عطّل شخصًا في دليل المستخدمين لديك فلن يستطيع بدء جلسة جديدة في نظام إدارة التعلم. لكن SAML يتحكم في تسجيل الدخول لا في الحساب، لذا أرشِف حساب نظام إدارة التعلم أيضًا ضمن إجراءات إنهاء الخدمة.
الإنشاء الفوري للحسابات (JIT)
مع الإنشاء الفوري للحسابات (just-in-time، أو JIT)، ينشئ نظام إدارة التعلم حسابًا عند أول تسجيل دخول لشخص ما، اعتمادًا على سمات الإفادة، فلا توجد قائمة مستخدمين لاستيرادها. ضع ضوابط حوله:
- اقصره على نطاقات بريدك الإلكتروني الخاصة، كي لا يُنشئ تطبيق مُعدّ خطأً أو حساب ضيف مستخدمين غير مقصودين.
- امنح الحسابات الجديدة أدنى دور، وامنح صلاحيات المسؤول عن قصد.
- طابِق الأشخاص عبر معرّف ثابت متى أمكن لـ IdP إرساله، لأن عناوين البريد الإلكتروني تتغيّر.
تسجيل الدخول الذي يبدأه SP مقابل الذي يبدأه IdP
- يبدأه SP: يفتح الشخص نظام إدارة التعلم، فيرسل طلب مصادقة إلى IdP، ثم يرسل IdP استجابته إلى ACS URL. ويعمل من الإشارات المرجعية وروابط البريد الإلكتروني، ويُعدّ عمومًا المسار الأكثر أمانًا لأن الاستجابة ترد على طلب قدّمه نظام إدارة التعلم.
- يبدأه IdP: ينقر الشخص أيقونة التطبيق في Microsoft My Apps أو في لوحة Okta الخاصة به أو في قائمة تطبيقات Google، فيرسل IdP استجابة غير مطلوبة إلى ACS URL.
يمكنك إتاحة الاثنين؛ فاختبر كلًا منهما.
إعداد SSO عبر SAML خطوة بخطوة
التسلسل واحد تقريبًا في كل مكان:
- خطّط النطاق: من يستخدم SSO، وأي مجموعات تحصل على التطبيق، وأي نطاقات بريد إلكتروني مسموح بها، وأي سمة تحدّد هوية كل شخص.
- أنشئ الاتصال في نظام إدارة التعلم ودوّن معرّف كيانه وعنوان ACS URL.
- أنشئ تطبيق SAML لدى IdP بهذه القيم، واختر تنسيق NameID، وأضف سمات البريد الإلكتروني والاسم الأول واسم العائلة.
- أسند المستخدمين أو المجموعات؛ فمن لم يُسنَد إليهم التطبيق يُرفضون عادةً.
- زوّد نظام إدارة التعلم ببيانات IdP: رابط البيانات الوصفية، أو ملف البيانات الوصفية، أو معرّف كيان IdP وعنوان تسجيل الدخول وشهادة التوقيع.
- اربط السمات بالأسماء التي يرسلها IdP فعليًا.
- اختبر ثم فعّله، وأخبر الناس بما يتغيّر.
ملاحظات حسب المزوّد
تحتوي وثائق مزوّدك على الشاشات الدقيقة. ومن المفيد أن تعرف:
- Microsoft Entra ID: استخدم تطبيق مؤسسة (enterprise application) من خارج المعرض (non-gallery)، لا تسجيل تطبيق (app registration) الذي لا يوفّر SAML. أسماء المطالبات (claims) عبارة عن URIs طويلة، فانسخها كما هي تمامًا. ويصلح معرّف الكائن (object ID) معرّفًا ثابتًا جيدًا. وللأشخاص الذين لا يملكون صندوق بريد قد تكون مطالبة البريد الإلكتروني فارغة؛ ويمكن أن يحلّ محلها اسم المستخدم الأساسي (user principal name) إذا كان عنوانًا حقيقيًا.
- Okta: أنشئ تكامل تطبيق (app integration) بمعيار SAML 2.0. أنت من يسمّي عبارات السمات (attribute statements)، لذا يجب أن تطابق ربط نظام إدارة التعلم تمامًا، بما في ذلك حالة الأحرف. ويصلح معرّف المستخدم الداخلي لديها معرّفًا ثابتًا.
- Google Workspace: أضف تطبيق SAML مخصّصًا ونزّل ملف البيانات الوصفية الخاص به. يبدأ التطبيق معطَّلًا، لذا فعّله للوحدات التنظيمية أو المجموعات المناسبة. والإعداد المعتاد يحدّد هوية الأشخاص بالبريد الإلكتروني الأساسي، فخطّط لحالات إعادة تسمية العناوين وإعادة استخدامها.
قائمة الاختبار
قبل الإطلاق، تحقّق من هذه الأمور في نافذة متصفح خاصة:
- مستخدم حالي يسجّل الدخول بدءًا من نظام إدارة التعلم، ثم مرة أخرى من أيقونة التطبيق.
- مستخدم جديد على نطاقك يحصل على حساب بالدور الصحيح.
- من لم يُسنَد إليه التطبيق يُرفض.
- من هو خارج النطاقات المسموح بها يُرفض.
- يصل البريد الإلكتروني والاسم الأول واسم العائلة بشكل صحيح.
- لا يزال المسؤول قادرًا على الدخول عبر مسار الاسترداد.
أخطاء شائعة
انحراف الساعة
إذا اختلفت ساعتا IdP ونظام إدارة التعلم بأكثر مما يتحمله نظام إدارة التعلم، رُفضت إفادات سليمة بوصفها لم تصبح صالحة بعد أو انتهت صلاحيتها. ويؤثر ذلك في الغالب في خوادم الهوية المستضافة ذاتيًا، فأبقِ ساعاتها متزامنة.
تبديل الشهادات
تنتهي صلاحية شهادات توقيع IdP، وإذا لم يثق نظام إدارة التعلم بالشهادة البديلة، فسيفشل كل تسجيل دخول دفعة واحدة. دوّن تاريخ الانتهاء في تقويمك. وإذا كان نظام إدارة التعلم قادرًا على الوثوق بشهادتين، فأضف الجديدة هناك أولًا، ثم فعّلها لدى IdP؛ وإلا فبدّل الطرفين معًا في وقت هادئ. واختبر فورًا.
ربط السمات
تُطابَق أسماء السمات عادةً مطابقة تامة: فنظام إدارة التعلم الذي يتوقع email لن يقبل Email. وتحقّق من المعرّف أيضًا. إن NameID العابر (transient) يتغيّر في كل جلسة، وعنوان البريد الإلكتروني قد يتغيّر؛ أما NameID الدائم (persistent) أو سمة المعرّف غير القابل للتغيير (immutable ID) فثابتة. وإذا كانت المطابقة تتم بالبريد الإلكتروني، فأرشِف حساب المغادر قبل أن يُعاد تخصيص عنوانه.
عدم تطابق نطاق البريد الإلكتروني
تضم أدلة المستخدمين في الغالب أشخاصًا لا يطابق اسم دخولهم عنوان بريدهم الإلكتروني، ومقاولين على نطاقات أخرى، وموظفي شركات جرى الاستحواذ عليها ما زالوا على نطاقاتهم القديمة. وإذا كان نظام إدارة التعلم يقصر الحسابات على نطاقات معينة، فسيُرفضون. فاحصر كل نطاق قبل الإطلاق.
كيف ينفّذ Acadenix ذلك
يتوفر SSO عبر SAML في خطة Gold، مع أدلة خطوة بخطوة لـ Entra ID وOkta وGoogle Workspace.
- اختبر ثم فعّل. تحفظ بيانات IdP الخاص بك بوصفها مسودة، وتشغّل Test configuration (اختبار الإعداد) بتسجيل الدخول لدى مزوّدك، ثم تفعّل بعد ذلك فقط. وإذا كانت مطالبة البريد الإلكتروني مفقودة، يُبلَّغ عن ذلك مع أسماء المطالبات التي أرسلها مزوّدك فعلًا.
- تغييرات مرحلية. تدخل الشهادة الجديدة أو المستأجر (tenant) الجديد بوصفهما تحديثًا للإعداد، ويستمر الإعداد الحالي في العمل إلى أن تفعّل التحديث.
- JIT ضمن نطاقاتك. يحصل من لا يملك حسابًا على حساب متعلّم عند أول تسجيل دخول، شريطة أن يكون بريده الإلكتروني ضمن نطاقات التسجيل الخاصة بمؤسستك، ويمكنك تعطيل ذلك. وعندما يسجّل شخص لديه حساب Acadenix بالفعل الدخول لأول مرة عبر IdP الخاص بك، يرسل إليه Acadenix رمزًا لمرة واحدة عبر البريد الإلكتروني لتأكيد الربط. ويحدث هذا مرة واحدة لكل شخص.
- الطريقان معًا. يبدأ الناس من صفحة تسجيل الدخول الخاصة بك، والتي يمكنها إحالتهم مباشرةً إلى IdP أو عرض زر، أو من أيقونة التطبيق في My Apps أو Okta أو Google.
- اتصال واحد، مؤسسة واحدة. لا ينتقل اتصال SAML إلى المؤسسات الواقعة تحت مالكه، وهذا مهم بالنسبة إلى المجموعات ذات المواقع المتعددة.
- مسار استرداد. إذا تعطّل IdP لديك، يظل بإمكان المسؤولين تسجيل الدخول برمز يُرسَل لمرة واحدة عبر البريد الإلكتروني، ولا يمكن تعطيل ذلك.
وإلى جانب SAML، يمكن للناس تسجيل الدخول برمز يُرسَل بالبريد الإلكتروني أو بحساب Google أو Microsoft أو LinkedIn. المزيد في صفحة الأمان لدينا.
أبرز النقاط
- تبادل معرّفات الكيان وعنوان ACS URL والبيانات الوصفية، ثم اربط معرّفًا ثابتًا وبريدًا إلكترونيًا موثّقًا.
- اقصر الحسابات الفورية على نطاقاتك الخاصة وأدنى دور.
- اختبر مساري تسجيل الدخول وحالات الرفض ومسار الاسترداد قبل الإطلاق.
- دوّن تاريخ انتهاء الشهادة في تقويمك، وأرشِف حسابات المغادرين في نظام إدارة التعلم.
هل تريد ربط Acadenix بمزوّد الهوية لديك؟ قارن الخطط في صفحة الأسعار، أو تحدّث إلينا عن إعدادك.
