Každé další přihlášení je další heslo k resetování a další účet k zrušení, když někdo odejde. Jednotné přihlašování (SSO) přes SAML propojí váš systém pro řízení vzdělávání s poskytovatelem identity, takže se lidé do školení přihlašují pracovním účtem a přístup se řídí vaším adresářem. Tady je vysvětlení, jak SAML funguje, jak probíhá nastavení s Microsoft Entra ID, Okta nebo Google Workspace a co zkontrolovat před spuštěním do ostrého provozu.
Jak funguje jednotné přihlašování SAML
SAML (Security Assertion Markup Language) 2.0 je otevřený standard pro předávání informací o přihlášení mezi dvěma systémy, které si navzájem důvěřují. LMS heslo uživatele nikdy nevidí: pošle ho k vašemu poskytovateli identity, který ověří, kdo je, včetně případného vícefaktorového ověření, které vyžadujete, a vrátí ho s podepsaným tvrzením.
| Pojem | Co znamená |
|---|---|
| Poskytovatel identity (IdP) | Systém, který ověřuje vaše lidi, například Entra ID, Okta nebo Google Workspace. |
| Poskytovatel služby (SP) | Aplikace, do které se lidé přihlašují: váš LMS. |
| Assertion (tvrzení) | Podepsané tvrzení ve formátu XML od IdP: kdo daná osoba je, kdy se přihlásila a atributy, například e-mail a jméno. |
| Entity ID | Jedinečný název každé strany, často ve tvaru URL, ale jde pouze o identifikátor. Musí se přesně shodovat. |
| ACS URL | Assertion Consumer Service URL: adresa LMS, která přijímá odpověď IdP. |
| Podpisový certifikát | IdP podepisuje svým soukromým klíčem; LMS ověřuje veřejným certifikátem IdP a odmítá padělaná nebo pozměněná tvrzení. |
| Metadata | Soubor XML, který sdružuje entity ID, koncové body a certifikáty a je připravený k importu. |
Tvrzení mají krátkou životnost a uvádějí svého adresáta (entity ID poskytovatele služby). SP odmítne vše, co vypršelo nebo bylo určeno pro jinou aplikaci.
Proč se SSO u LMS vyplatí
- Žádná další hesla. Lidé používají svůj každodenní účet a vaše MFA a zásady přístupu se vztahují i na školení.
- Noví lidé dostanou přístup rychle. Přiřaďte aplikaci LMS skupině a noví zaměstnanci v ní se mohou přihlásit hned první den.
- Odcházející lidé přijdou o přístup u zdroje. Zablokujte někoho ve svém adresáři a nezahájí novou relaci v LMS. SAML řídí přihlášení, ne účet, proto při odchodu zaměstnance archivujte i jeho účet v LMS.
Vytváření účtů just-in-time
Při zřizování účtů just-in-time (JIT) vytvoří LMS účet při prvním přihlášení dané osoby z atributů v tvrzení, takže není třeba importovat žádný seznam uživatelů. Nastavte kolem toho pojistky:
- Omezte ho na své vlastní e-mailové domény, aby nesprávně nastavená aplikace nebo hostující účet nevytvářely nechtěné uživatele.
- Novým účtům přidělte nejnižší roli a práva administrátora udělujte záměrně.
- Osoby párujte podle stabilního identifikátoru, pokud ho váš IdP umí poslat, protože e-mailové adresy se mění.
Přihlášení zahájené z SP a z IdP
- Zahájené z SP: uživatel otevře LMS, který pošle poskytovateli identity požadavek na ověření, a IdP odešle svou odpověď na adresu ACS URL. Funguje ze záložek i z odkazů v e-mailu a obecně se považuje za bezpečnější postup, protože odpověď odpovídá na požadavek, který LMS vyslal.
- Zahájené z IdP: uživatel klikne na dlaždici aplikace v Microsoft My Apps, na svém panelu Okta nebo v nabídce aplikací Google a IdP odešle na adresu ACS URL nevyžádanou odpověď.
Můžete nabídnout obojí; každý způsob otestujte.
Nastavení SAML SSO krok za krokem
Postup je všude téměř stejný:
- Naplánujte rozsah: kdo bude SSO používat, které skupiny dostanou aplikaci, které e-mailové domény jsou povoleny a který atribut identifikuje jednotlivé osoby.
- Vytvořte připojení v LMS a poznamenejte si jeho entity ID a ACS URL.
- Vytvořte aplikaci SAML u svého IdP s těmito hodnotami, zvolte formát NameID a přidejte atributy e-mail, jméno a příjmení.
- Přiřaďte uživatele nebo skupiny; nepřiřazení lidé bývají odmítnuti.
- Předejte LMS údaje o IdP: adresu URL metadat, soubor metadat, nebo entity ID IdP, přihlašovací URL a podpisový certifikát.
- Namapujte atributy na názvy, které váš IdP skutečně posílá.
- Otestujte a poté zapněte a informujte lidi, co se mění.
Poznámky k poskytovatelům
Přesné obrazovky najdete v dokumentaci svého poskytovatele. Stojí za to vědět:
- Microsoft Entra ID: použijte podnikovou aplikaci mimo galerii (non-gallery), ne registraci aplikace, která SAML nenabízí. Názvy claimů jsou dlouhé URI, proto je zkopírujte přesně. Dobrým stabilním identifikátorem je ID objektu. U lidí bez schránky může být claim e-mailu prázdný; zastoupit ho může hlavní název uživatele (user principal name), pokud jde o skutečnou adresu.
- Okta: vytvořte integraci aplikace SAML 2.0. Výroky o atributech (attribute statements) pojmenováváte sami, takže se musí s mapováním v LMS přesně shodovat, včetně velikosti písmen. Stabilním identifikátorem je interní ID uživatele v Okta.
- Google Workspace: přidejte vlastní aplikaci SAML a stáhněte její soubor metadat. Aplikace je zpočátku vypnutá, proto ji zapněte pro správné organizační jednotky nebo skupiny. Typické nastavení identifikuje lidi podle primárního e-mailu, takže počítejte s přejmenovanými a znovu použitými adresami.
Kontrolní seznam testů
Před spuštěním do ostrého provozu si v anonymním okně prohlížeče ověřte:
- Stávající uživatel se přihlásí zahájením v LMS a znovu z dlaždice aplikace.
- Nový uživatel ve vaší doméně dostane účet se správnou rolí.
- Osoba nepřiřazená k aplikaci je odmítnuta.
- Osoba mimo vaše povolené domény je odmítnuta.
- E-mail, jméno a příjmení dorazí správně.
- Administrátor se stále může dostat dovnitř přes cestu pro obnovení přístupu.
Časté nástrahy
Časový posun hodin
Pokud se hodiny IdP a LMS liší o víc, než LMS toleruje, jsou správná tvrzení odmítnuta jako dosud neplatná nebo již vypršelá. Týká se to hlavně serverů identity provozovaných vlastními silami, proto udržujte jejich hodiny synchronizované.
Výměna certifikátu
Podpisové certifikáty IdP vyprší, a pokud LMS novému certifikátu nedůvěřuje, přestanou fungovat všechna přihlášení najednou. Datum vypršení si zapište do kalendáře. Pokud LMS umí důvěřovat dvěma certifikátům, přidejte tam nejdřív nový a pak ho aktivujte u IdP; jinak obě strany přepněte společně v klidné době. Ihned poté otestujte.
Mapování atributů
Názvy atributů se obvykle porovnávají přesně: LMS, který očekává email, nepřijme Email. Zkontrolujte i identifikátor. Přechodný (transient) NameID se mění s každou relací a e-mailová adresa se může změnit; trvalý (persistent) NameID nebo neměnný atribut ID je stabilní. Pokud se lidé párují podle e-mailu, archivujte účet odcházejícího zaměstnance dřív, než se jeho adresa přidělí někomu jinému.
Nesoulad e-mailových domén
Adresáře často obsahují lidi, jejichž přihlašovací jméno není jejich e-mailovou adresou, externisty z jiných domén a zaměstnance převzatých firem, kteří stále používají staré domény. Pokud LMS omezuje účty na určité domény, jsou odmítnuti. Před spuštěním do ostrého provozu sepište všechny domény.
Jak to řeší Acadenix
SAML SSO je součástí tarifu Gold, s podrobnými návody pro Entra ID, Okta a Google Workspace.
- Nejdřív test, pak aktivace. Údaje o svém IdP uložíte jako koncept, spustíte Test configuration (test konfigurace) přihlášením u svého poskytovatele a teprve potom konfiguraci aktivujete. Chybějící claim e-mailu se ohlásí i s názvy claimů, které váš poskytovatel skutečně poslal.
- Postupné změny. Nový certifikát nebo tenant se zadává jako aktualizace konfigurace a stávající konfigurace funguje dál, dokud novou neaktivujete.
- JIT ve vašich doménách. Kdo nemá účet, dostane při prvním přihlášení účet studenta, jen pokud je jeho e-mail v registračních doménách vaší organizace, a tuto funkci můžete vypnout. Když se poprvé přes váš IdP přihlásí někdo, kdo už účet v Acadenix má, Acadenix mu e-mailem pošle jednorázový kód k potvrzení propojení. Stane se to jednou pro každého člověka.
- Obě cesty přihlášení. Lidé začínají na vaší přihlašovací stránce, která je může přesměrovat rovnou k vašemu IdP nebo zobrazit tlačítko, nebo z dlaždice v My Apps, Okta či Google.
- Jedno připojení, jedna organizace. Připojení SAML se nepředává organizacím pod svým vlastníkem, což je důležité u skupin s mnoha provozovnami.
- Cesta pro obnovení přístupu. Pokud váš IdP nefunguje, mohou se administrátoři stále přihlásit jednorázovým kódem zaslaným e-mailem a tuto možnost nelze vypnout.
Vedle SAML se mohou lidé přihlašovat kódem z e-mailu nebo účtem Google, Microsoft či LinkedIn. Více na naší stránce o zabezpečení.
Hlavní poznatky
- Vyměňte si entity ID, ACS URL a metadata, poté namapujte stabilní identifikátor a ověřený e-mail.
- Účty vytvářené just-in-time omezte na své vlastní domény a nejnižší roli.
- Před spuštěním do ostrého provozu otestujte oba způsoby přihlášení, odmítnutí i cestu pro obnovení přístupu.
- Zapište si vypršení certifikátu do kalendáře a archivujte účty odcházejících zaměstnanců v LMS.
Chcete propojit Acadenix se svým poskytovatelem identity? Porovnejte tarify na naší stránce s ceníkem, nebo se nám ozvěte s dotazem ke svému nastavení.
