Всеки отделен вход е още една парола за нулиране и още един акаунт за закриване, когато някой напусне. SAML единният вход (SSO) свързва вашата система за управление на обучението с вашия доставчик на идентичност, така че хората влизат в обученията със служебния си акаунт, а достъпът следва вашата директория. Ето как работи SAML, как протича настройката с Microsoft Entra ID, Okta или Google Workspace и какво да проверите преди пускане в действие.
Как работи SAML единният вход
SAML (Security Assertion Markup Language) 2.0 е отворен стандарт за предаване на информация за вход между две системи, които си вярват. LMS никога не вижда паролата на човека: тя го изпраща към вашия доставчик на идентичност, който проверява кой е, с всяко многофакторно удостоверяване, което изисквате, и го връща с подписано твърдение.
| Термин | Какво означава |
|---|---|
| Доставчик на идентичност (IdP) | Системата, която удостоверява хората ви, например Entra ID, Okta или Google Workspace. |
| Доставчик на услуга (SP) | Приложението, в което хората влизат: вашата LMS. |
| Твърдение (assertion) | Подписаното XML съобщение от IdP: кой е човекът, кога е влязъл и атрибути като имейл и име. |
| Entity ID | Уникално име за всяка страна, често във вид на URL, но само идентификатор. Трябва да съвпада точно. |
| ACS URL | Assertion Consumer Service URL: адресът на LMS, който получава отговора на IdP. |
| Сертификат за подписване | IdP подписва със своя частен ключ; LMS проверява с публичния сертификат на IdP и отхвърля подправени или променени твърдения. |
| Метаданни | XML файл, който обединява entity ID, крайни точки и сертификати, готов за импортиране. |
Твърденията са краткотрайни и назовават своята аудитория (entity ID на SP). SP отхвърля всичко изтекло или предназначено за друго приложение.
Защо SSO си струва за една LMS
- Никакви допълнителни пароли. Хората използват всекидневния си акаунт, а вашите политики за MFA и достъп обхващат и обученията.
- Новоназначените получават достъп бързо. Присвоете приложението на LMS на група и новите служители в нея могат да влязат още в първия ден.
- Напусналите губят достъп при източника. Деактивирайте човека във вашата директория и той не може да започне нова сесия в LMS. SAML управлява влизането, а не акаунта, затова архивирайте акаунта в LMS и като част от процеса по напускане.
Just-in-time създаване на акаунти
При just-in-time (JIT) създаване LMS създава акаунт при първото влизане на човека, от атрибутите на твърдението, така че няма списък с потребители за импортиране. Поставете ограничители:
- Ограничете го до собствените си имейл домейни, така че неправилно конфигурирано приложение или гост акаунт да не създава излишни потребители.
- Давайте на новите акаунти най-ниската роля, а администраторските права предоставяйте съзнателно.
- Съпоставяйте хората по стабилен идентификатор, където вашият IdP може да изпраща такъв, защото имейл адресите се променят.
Вход, инициран от SP, срещу вход, инициран от IdP
- Инициран от SP: човекът отваря LMS, която изпраща заявка за удостоверяване към IdP, а IdP изпраща отговора си към ACS URL. Работи от отметки и връзки в имейли и обикновено се счита за по-безопасния вариант, защото отговорът отговаря на заявка, направена от LMS.
- Инициран от IdP: човекът щраква плочката на приложението в Microsoft My Apps, таблото си в Okta или менюто с приложения на Google, а IdP изпраща незаявен отговор към ACS URL.
Можете да предложите и двата; тествайте всеки.
Настройване на SAML SSO стъпка по стъпка
Последователността е почти една и съща навсякъде:
- Планирайте обхвата: кой използва SSO, кои групи получават приложението, кои имейл домейни са разрешени и кой атрибут идентифицира всеки човек.
- Създайте връзката в LMS и си запишете нейния entity ID и ACS URL.
- Създайте SAML приложение при вашия IdP с тези стойности, изберете формата на NameID и добавете атрибути за имейл, собствено име и фамилия.
- Присвоете потребители или групи; неприсвоените хора обикновено биват отказвани.
- Дайте на LMS данните на IdP: URL на метаданните, файл с метаданни или entity ID на IdP, URL за вход и сертификат за подписване.
- Съпоставете атрибутите с имената, които вашият IdP действително изпраща.
- Тествайте, после го включете и кажете на хората какво се променя.
Бележки по доставчици
Документацията на вашия доставчик съдържа точните екрани. Струва си да знаете:
- Microsoft Entra ID: използвайте корпоративно приложение извън галерията (non-gallery enterprise application), а не регистрация на приложение (app registration), която не предлага SAML. Имената на claim-овете са дълги URI, затова ги копирайте точно. Идентификаторът на обекта (object ID) е добър стабилен идентификатор. За хора без пощенска кутия claim-ът за имейл може да е празен; вместо него може да послужи потребителското име (user principal name), ако е истински адрес.
- Okta: създайте интеграция на SAML 2.0 приложение. Имената на изявленията за атрибути ги задавате вие, затова те трябва да съвпадат точно с картографирането в LMS, включително регистърът на буквите. Вътрешният потребителски идентификатор на Okta е стабилен идентификатор.
- Google Workspace: добавете персонализирано SAML приложение и изтеглете неговия файл с метаданни. Приложението започва изключено, затова го включете за правилните организационни единици или групи. Типичната настройка идентифицира хората по основния им имейл, затова планирайте за преименувани и повторно използвани адреси.
Списък за тестване
Преди пускане в действие проверете следното в частен прозорец на браузъра:
- Съществуващ потребител влиза, като започва от LMS, и отново от плочката на приложението.
- Нов потребител във вашия домейн получава акаунт с правилната роля.
- Човек, който не е присвоен към приложението, е отказан.
- Човек извън разрешените ви домейни е отказан.
- Имейлът, собственото име и фамилията пристигат правилно.
- Администратор все още може да влезе през пътя за възстановяване.
Чести капани
Разминаване на часовниците
Ако часовниците на IdP и на LMS се разминават повече, отколкото LMS допуска, добрите твърдения се отхвърлят като още невалидни или вече изтекли. Засяга най-вече сървъри за идентичност, хоствани самостоятелно, затова поддържайте часовниците им синхронизирани.
Подмяна на сертификата
Сертификатите за подписване на IdP изтичат и ако LMS не се доверява на заместника, всеки вход се проваля наведнъж. Запишете си датата на изтичане в календара. Ако вашата LMS може да се доверява на два сертификата, първо добавете новия там, след това го активирайте при IdP; в противен случай сменете двете страни заедно в спокоен момент. Тествайте веднага.
Съпоставяне на атрибути
Имената на атрибутите обикновено се съпоставят точно: LMS, която очаква email, няма да приеме Email. Проверете и идентификатора. Преходният NameID се променя при всяка сесия, а имейл адресът може да се промени; постоянният NameID или неизменният ID атрибут са стабилни. Ако хората се съпоставят по имейл, архивирайте акаунта на напусналия, преди адресът му да бъде преназначен.
Несъответствие на имейл домейна
Директориите често включват хора, чието име за вход не е имейл адресът им, външни изпълнители в други домейни и служители на придобити фирми, които все още са в старите. Ако LMS ограничава акаунтите до определени домейни, те биват отказвани. Изредете всеки домейн преди пускането в действие.
Как го прави Acadenix
SAML SSO е в плана Gold, с ръководства стъпка по стъпка за Entra ID, Okta и Google Workspace.
- Първо тест, после активиране. Запазвате данните на вашия IdP като чернова, изпълнявате Test configuration (тестване на конфигурацията), като влизате при вашия доставчик, и едва тогава активирате. Липсващ имейл claim се съобщава заедно с имената на claim-овете, които вашият доставчик всъщност е изпратил.
- Поетапни промени. Нов сертификат или tenant се въвежда като актуализация на конфигурацията, а текущата конфигурация продължава да работи, докато не я активирате.
- JIT в рамките на вашите домейни. Човек без акаунт получава акаунт на обучаем при първото влизане, само ако имейлът му е в домейните за регистрация на вашата организация, и можете да изключите това. Когато човек, който вече има акаунт в Acadenix, влезе за първи път през вашия IdP, Acadenix му изпраща по имейл еднократен код за потвърждаване на връзката. Това се случва веднъж за човек.
- И двата пътя за вход. Хората започват от вашата страница за вход, която може да ги отведе директно до вашия IdP или да покаже бутон, или от плочката в My Apps, Okta или Google.
- Една връзка, една организация. SAML връзката не се предава на организациите под нейния собственик, което е важно за групи с много обекта.
- Път за възстановяване. Ако вашият IdP не работи, администраторите все още могат да влязат с еднократен код по имейл и това не може да бъде изключено.
Освен SAML хората могат да влизат с код по имейл или с акаунт в Google, Microsoft или LinkedIn. Повече на нашата страница за сигурност.
Основни изводи
- Разменете entity ID, ACS URL и метаданни, след това съпоставете стабилен идентификатор и потвърден имейл.
- Ограничете just-in-time акаунтите до собствените си домейни и до най-ниската роля.
- Тествайте и двата потока за вход, отказите и пътя за възстановяване преди пускане в действие.
- Запишете си в календара изтичането на сертификата и архивирайте акаунтите в LMS на напусналите.
Искате да свържете Acadenix с вашия доставчик на идентичност? Сравнете плановете на нашата страница с цени или говорете с нас за вашата настройка.
