Κάθε ξεχωριστή σύνδεση είναι ένας ακόμη κωδικός πρόσβασης προς επαναφορά και ένας ακόμη λογαριασμός προς κλείσιμο όταν κάποιος αποχωρεί. Η ενιαία σύνδεση (SSO) SAML συνδέει το σύστημα διαχείρισης μάθησης με τον πάροχο ταυτότητάς σας, ώστε οι άνθρωποι να συνδέονται στην εκπαίδευση με τον εταιρικό τους λογαριασμό και η πρόσβαση να ακολουθεί τον κατάλογό σας. Δείτε πώς λειτουργεί το SAML, πώς γίνεται η ρύθμιση με Microsoft Entra ID, Okta ή Google Workspace και τι πρέπει να ελέγξετε πριν από την παραγωγική λειτουργία.
Πώς λειτουργεί η ενιαία σύνδεση SAML
Το SAML (Security Assertion Markup Language) 2.0 είναι ένα ανοιχτό πρότυπο για τη μεταφορά πληροφοριών σύνδεσης ανάμεσα σε δύο συστήματα που εμπιστεύονται το ένα το άλλο. Το LMS δεν βλέπει ποτέ τον κωδικό πρόσβασης του ατόμου: το στέλνει στον πάροχο ταυτότητάς σας, ο οποίος ελέγχει ποιο είναι, με όποια πολυπαραγοντική ταυτοποίηση (MFA) απαιτείτε, και το επιστρέφει με μια υπογεγραμμένη δήλωση.
| Όρος | Τι σημαίνει |
|---|---|
| Πάροχος ταυτότητας (IdP) | Το σύστημα που ταυτοποιεί τους ανθρώπους σας, όπως το Entra ID, το Okta ή το Google Workspace. |
| Πάροχος υπηρεσίας (SP) | Η εφαρμογή στην οποία συνδέονται οι άνθρωποι: το LMS σας. |
| Assertion (δήλωση) | Η υπογεγραμμένη δήλωση XML από τον IdP: ποιο είναι το άτομο, πότε συνδέθηκε και χαρακτηριστικά όπως email και όνομα. |
| Entity ID | Ένα μοναδικό όνομα για κάθε πλευρά, που συχνά μοιάζει με URL αλλά είναι μόνο αναγνωριστικό. Πρέπει να ταιριάζει ακριβώς. |
| ACS URL | Το Assertion Consumer Service URL: η διεύθυνση του LMS που λαμβάνει την απόκριση του IdP. |
| Πιστοποιητικό υπογραφής | Ο IdP υπογράφει με το ιδιωτικό του κλειδί· το LMS επαληθεύει με το δημόσιο πιστοποιητικό του IdP και απορρίπτει πλαστές ή τροποποιημένες δηλώσεις. |
| Μεταδεδομένα (metadata) | Ένα αρχείο XML που συγκεντρώνει ένα entity ID, τα σημεία επικοινωνίας και τα πιστοποιητικά, έτοιμο για εισαγωγή. |
Οι δηλώσεις έχουν μικρή διάρκεια ζωής και κατονομάζουν τον αποδέκτη τους (το entity ID του SP). Ο SP απορρίπτει οτιδήποτε έχει λήξει ή προορίζεται για άλλη εφαρμογή.
Γιατί αξίζει το SSO σε ένα LMS
- Χωρίς επιπλέον κωδικούς πρόσβασης. Οι άνθρωποι χρησιμοποιούν τον καθημερινό τους λογαριασμό και η MFA και οι πολιτικές πρόσβασής σας καλύπτουν και την εκπαίδευση.
- Οι νεοπροσλαμβανόμενοι αποκτούν γρήγορα πρόσβαση. Αναθέστε την εφαρμογή LMS σε μια ομάδα και το νέο προσωπικό που ανήκει σε αυτήν μπορεί να συνδεθεί από την πρώτη ημέρα.
- Όσοι αποχωρούν χάνουν την πρόσβαση στην πηγή. Απενεργοποιήστε κάποιον στον κατάλογό σας και δεν μπορεί να ξεκινήσει νέα συνεδρία στο LMS. Το SAML ελέγχει τη σύνδεση, όχι τον λογαριασμό, γι’ αυτό αρχειοθετήστε τον λογαριασμό LMS ως μέρος της διαδικασίας αποχώρησης.
Δημιουργία λογαριασμών just-in-time
Με την παροχή λογαριασμών just-in-time (JIT), το LMS δημιουργεί έναν λογαριασμό την πρώτη φορά που κάποιος συνδέεται, από τα χαρακτηριστικά της δήλωσης, οπότε δεν υπάρχει λίστα χρηστών προς εισαγωγή. Θέστε όρια γύρω από αυτήν:
- Περιορίστε τη στα δικά σας domain email, ώστε μια εσφαλμένα ρυθμισμένη εφαρμογή ή ένας λογαριασμός επισκέπτη να μη δημιουργεί αδέσποτους χρήστες.
- Δώστε στους νέους λογαριασμούς τον χαμηλότερο ρόλο και παραχωρήστε δικαιώματα διαχειριστή συνειδητά.
- Αντιστοιχίστε τους ανθρώπους με ένα σταθερό αναγνωριστικό όπου ο IdP σας μπορεί να στείλει ένα, επειδή οι διευθύνσεις email αλλάζουν.
Σύνδεση που ξεκινά από το SP και από τον IdP
- Ξεκινά από το SP: το άτομο ανοίγει το LMS, το οποίο στέλνει ένα αίτημα ταυτοποίησης στον IdP, και ο IdP αποστέλλει την απόκρισή του στο ACS URL. Λειτουργεί από σελιδοδείκτες και συνδέσμους email και θεωρείται γενικά ασφαλέστερη ροή, επειδή η απόκριση απαντά σε ένα αίτημα που έκανε το LMS.
- Ξεκινά από τον IdP: το άτομο κάνει κλικ στο εικονίδιο της εφαρμογής στο Microsoft My Apps, στον πίνακα ελέγχου του Okta ή στο μενού εφαρμογών της Google, και ο IdP στέλνει μια απόκριση που δεν ζητήθηκε στο ACS URL.
Μπορείτε να προσφέρετε και τις δύο· δοκιμάστε την καθεμία.
Ρύθμιση του SAML SSO, βήμα προς βήμα
Η ακολουθία είναι σχεδόν ίδια παντού:
- Σχεδιάστε το εύρος: ποιοι χρησιμοποιούν SSO, ποιες ομάδες παίρνουν την εφαρμογή, ποια domain email επιτρέπονται και ποιο χαρακτηριστικό προσδιορίζει κάθε άτομο.
- Δημιουργήστε τη σύνδεση στο LMS και σημειώστε το entity ID και το ACS URL της.
- Δημιουργήστε μια εφαρμογή SAML στον IdP σας με αυτές τις τιμές, επιλέξτε τη μορφή NameID και προσθέστε χαρακτηριστικά για email, όνομα και επώνυμο.
- Αναθέστε χρήστες ή ομάδες· όσοι δεν έχουν ανατεθεί συνήθως αποκλείονται.
- Δώστε στο LMS τα στοιχεία του IdP: ένα URL μεταδεδομένων, ένα αρχείο μεταδεδομένων ή το entity ID του IdP, το URL σύνδεσης και το πιστοποιητικό υπογραφής.
- Αντιστοιχίστε τα χαρακτηριστικά με τα ονόματα που στέλνει πραγματικά ο IdP σας.
- Δοκιμάστε και μετά ενεργοποιήστε το και ενημερώστε τους ανθρώπους για την αλλαγή.
Σημειώσεις ανά πάροχο
Η τεκμηρίωση του παρόχου σας περιέχει τις ακριβείς οθόνες. Αξίζει να γνωρίζετε:
- Microsoft Entra ID: χρησιμοποιήστε μια εταιρική εφαρμογή εκτός καταλόγου (non-gallery enterprise application) και όχι μια εγγραφή εφαρμογής (app registration), που δεν προσφέρει SAML. Τα ονόματα των claims είναι μακριά URI, γι’ αυτό αντιγράψτε τα ακριβώς. Το object ID αποτελεί καλό σταθερό αναγνωριστικό. Για άτομα χωρίς γραμματοκιβώτιο το claim του email μπορεί να είναι κενό· το user principal name μπορεί να το αντικαταστήσει αν είναι πραγματική διεύθυνση.
- Okta: δημιουργήστε μια ενσωμάτωση εφαρμογής SAML 2.0. Εσείς δίνετε τα ονόματα των δηλώσεων χαρακτηριστικών, οπότε πρέπει να ταιριάζουν ακριβώς με την αντιστοίχιση του LMS, μαζί με πεζά και κεφαλαία. Το εσωτερικό αναγνωριστικό χρήστη του Okta αποτελεί σταθερό αναγνωριστικό.
- Google Workspace: προσθέστε μια προσαρμοσμένη εφαρμογή SAML και κατεβάστε το αρχείο μεταδεδομένων της. Η εφαρμογή ξεκινά απενεργοποιημένη, γι’ αυτό ενεργοποιήστε την για τις σωστές οργανωτικές μονάδες ή ομάδες. Μια τυπική ρύθμιση προσδιορίζει τους ανθρώπους με το κύριο email, γι’ αυτό σχεδιάστε για διευθύνσεις που μετονομάζονται και επαναχρησιμοποιούνται.
Λίστα ελέγχου δοκιμών
Πριν από την παραγωγική λειτουργία, ελέγξτε τα παρακάτω σε ιδιωτικό παράθυρο προγράμματος περιήγησης:
- Ένας υπάρχων χρήστης συνδέεται ξεκινώντας από το LMS και, στη συνέχεια, από το εικονίδιο της εφαρμογής.
- Ένας νέος χρήστης του domain σας αποκτά λογαριασμό με τον σωστό ρόλο.
- Κάποιος που δεν έχει ανατεθεί στην εφαρμογή αποκλείεται.
- Κάποιος εκτός των επιτρεπόμενων domain σας αποκλείεται.
- Το email, το όνομα και το επώνυμο φτάνουν σωστά.
- Ένας διαχειριστής μπορεί ακόμη να μπει μέσω της διαδρομής ανάκτησης.
Συνηθισμένες παγίδες
Απόκλιση ρολογιού
Αν τα ρολόγια του IdP και του LMS διαφέρουν περισσότερο από όσο ανέχεται το LMS, οι σωστές δηλώσεις απορρίπτονται ως όχι ακόμη έγκυρες ή ήδη ληγμένες. Επηρεάζει κυρίως διακομιστές ταυτότητας που φιλοξενούνται από εσάς, γι’ αυτό διατηρήστε τα ρολόγια τους συγχρονισμένα.
Αντικατάσταση πιστοποιητικού
Τα πιστοποιητικά υπογραφής του IdP λήγουν και, αν το LMS δεν εμπιστεύεται το νέο, κάθε σύνδεση αποτυγχάνει ταυτόχρονα. Σημειώστε στο ημερολόγιό σας την ημερομηνία λήξης. Αν το LMS σας μπορεί να εμπιστεύεται δύο πιστοποιητικά, προσθέστε πρώτα το νέο εκεί και μετά ενεργοποιήστε το στον IdP· διαφορετικά, αλλάξτε και τις δύο πλευρές μαζί σε ήσυχη ώρα. Δοκιμάστε αμέσως.
Αντιστοίχιση χαρακτηριστικών
Τα ονόματα των χαρακτηριστικών συνήθως αντιστοιχίζονται ακριβώς: ένα LMS που περιμένει email δεν θα δεχτεί το Email. Ελέγξτε και το αναγνωριστικό. Ένα παροδικό NameID αλλάζει σε κάθε συνεδρία και μια διεύθυνση email μπορεί να αλλάξει· ένα μόνιμο NameID ή ένα αμετάβλητο αναγνωριστικό είναι σταθερά. Αν οι άνθρωποι αντιστοιχίζονται με βάση το email, αρχειοθετήστε τον λογαριασμό όποιου αποχωρεί προτού η διεύθυνσή του ανατεθεί σε άλλον.
Ασυμφωνία domain email
Οι κατάλογοι συχνά περιλαμβάνουν άτομα των οποίων το όνομα σύνδεσης δεν είναι η διεύθυνση email τους, εξωτερικούς συνεργάτες σε άλλα domain και προσωπικό εταιρειών που εξαγοράστηκαν και παραμένει σε παλιά domain. Αν το LMS περιορίζει τους λογαριασμούς σε ορισμένα domain, αυτοί αποκλείονται. Καταγράψτε κάθε domain πριν από την παραγωγική λειτουργία.
Πώς το κάνει το Acadenix
Το SAML SSO περιλαμβάνεται στο πακέτο Gold, με οδηγούς βήμα προς βήμα για Entra ID, Okta και Google Workspace.
- Δοκιμή και μετά ενεργοποίηση. Αποθηκεύετε τα στοιχεία του IdP σας ως πρόχειρο, εκτελείτε Test configuration (δοκιμή διαμόρφωσης) συνδεόμενοι στον πάροχό σας και μόνο μετά ενεργοποιείτε. Ένα claim email που λείπει αναφέρεται μαζί με τα ονόματα claims που έστειλε πράγματι ο πάροχός σας.
- Αλλαγές σε στάδια. Ένα νέο πιστοποιητικό ή tenant προστίθεται ως ενημέρωση διαμόρφωσης και η τρέχουσα διαμόρφωση συνεχίζει να λειτουργεί μέχρι να την ενεργοποιήσετε.
- JIT εντός των domain σας. Όποιος δεν έχει λογαριασμό αποκτά λογαριασμό εκπαιδευόμενου στην πρώτη σύνδεση, μόνο αν το email του ανήκει στα domain εγγραφής του οργανισμού σας, και μπορείτε να το απενεργοποιήσετε. Όταν κάποιος που έχει ήδη λογαριασμό Acadenix συνδεθεί για πρώτη φορά μέσω του IdP σας, το Acadenix του στέλνει με email έναν εφάπαξ κωδικό για να επιβεβαιώσει τη σύνδεση. Αυτό συμβαίνει μία φορά για κάθε άτομο.
- Και οι δύο δρόμοι εισόδου. Οι άνθρωποι ξεκινούν από τη σελίδα σύνδεσής σας, που μπορεί να τους πηγαίνει κατευθείαν στον IdP σας ή να εμφανίζει ένα κουμπί, ή από το εικονίδιο στο My Apps, στο Okta ή στη Google.
- Μία σύνδεση, ένας οργανισμός. Μια σύνδεση SAML δεν μεταβιβάζεται στους οργανισμούς κάτω από τον ιδιοκτήτη της, κάτι που έχει σημασία για όμιλους με πολλές εγκαταστάσεις.
- Μια διαδρομή ανάκτησης. Αν ο IdP σας είναι εκτός λειτουργίας, οι διαχειριστές μπορούν να συνδεθούν με έναν εφάπαξ κωδικό που αποστέλλεται με email, και αυτό δεν μπορεί να απενεργοποιηθεί.
Παράλληλα με το SAML, οι άνθρωποι μπορούν να συνδεθούν με κωδικό μέσω email ή με λογαριασμό Google, Microsoft ή LinkedIn. Περισσότερα στη σελίδα ασφάλειας του Acadenix.
Βασικά συμπεράσματα
- Ανταλλάξτε entity ID, ACS URL και μεταδεδομένα και, στη συνέχεια, αντιστοιχίστε ένα σταθερό αναγνωριστικό και ένα επαληθευμένο email.
- Περιορίστε τους λογαριασμούς just-in-time στα δικά σας domain και στον χαμηλότερο ρόλο.
- Δοκιμάστε και τις δύο ροές σύνδεσης, τους αποκλεισμούς και τη διαδρομή ανάκτησης πριν από την παραγωγική λειτουργία.
- Σημειώστε στο ημερολόγιό σας τη λήξη των πιστοποιητικών και αρχειοθετήστε τους λογαριασμούς LMS όσων αποχωρούν.
Θέλετε να συνδέσετε το Acadenix με τον πάροχο ταυτότητάς σας; Συγκρίνετε τα πακέτα στη σελίδα τιμών ή μιλήστε μαζί μας για τη δική σας ρύθμιση.
