हर अलग लॉगिन एक और पासवर्ड है जिसे रीसेट करना पड़ता है, और एक और अकाउंट जिसे किसी के जाने पर बंद करना पड़ता है। SAML सिंगल साइन-ऑन (SSO) आपके लर्निंग मैनेजमेंट सिस्टम को आपके आइडेंटिटी प्रोवाइडर से जोड़ देता है, ताकि लोग अपने वर्क अकाउंट से ट्रेनिंग में साइन इन करें और एक्सेस आपकी डायरेक्टरी के अनुसार चले। यहाँ बताया गया है कि SAML कैसे काम करता है, Microsoft Entra ID, Okta या Google Workspace के साथ सेटअप कैसे होता है, और गो-लाइव से पहले क्या जाँचना है।
SAML सिंगल साइन-ऑन कैसे काम करता है
SAML (Security Assertion Markup Language) 2.0 एक ओपन स्टैंडर्ड है, जो एक-दूसरे पर भरोसा करने वाले दो सिस्टम के बीच साइन-इन की जानकारी पहुँचाने के लिए बना है। LMS कभी व्यक्ति का पासवर्ड नहीं देखता: वह उन्हें आपके आइडेंटिटी प्रोवाइडर के पास भेजता है, जो जाँचता है कि वे कौन हैं (आपके द्वारा ज़रूरी की गई किसी भी मल्टी-फ़ैक्टर ऑथेंटिकेशन के साथ), और उन्हें एक साइन किए हुए कथन के साथ वापस लौटाता है।
| शब्द | इसका मतलब |
|---|---|
| आइडेंटिटी प्रोवाइडर (IdP) | वह सिस्टम जो आपके लोगों को ऑथेंटिकेट करता है, जैसे Entra ID, Okta या Google Workspace। |
| सर्विस प्रोवाइडर (SP) | वह एप्लिकेशन जिसमें लोग साइन इन करते हैं: आपका LMS। |
| असर्शन (Assertion) | IdP का साइन किया हुआ XML कथन: व्यक्ति कौन है, उसने कब साइन इन किया, और ईमेल व नाम जैसे एट्रिब्यूट। |
| एंटिटी ID (Entity ID) | हर पक्ष का एक अनूठा नाम, जो अक्सर URL जैसा दिखता है पर सिर्फ़ एक पहचानकर्ता होता है। यह हूबहू मेल खाना चाहिए। |
| ACS URL | Assertion Consumer Service URL: LMS का वह पता जो IdP का जवाब प्राप्त करता है। |
| साइनिंग सर्टिफ़िकेट | IdP अपनी प्राइवेट की से साइन करता है; LMS, IdP के पब्लिक सर्टिफ़िकेट से सत्यापित करता है और जाली या बदले हुए असर्शन को अस्वीकार कर देता है। |
| मेटाडेटा | एक XML फ़ाइल जिसमें एंटिटी ID, एंडपॉइंट और सर्टिफ़िकेट एक साथ होते हैं, इंपोर्ट के लिए तैयार। |
असर्शन अल्पकालिक होते हैं और अपने ऑडियंस (SP की एंटिटी ID) का नाम बताते हैं। SP हर उस असर्शन को अस्वीकार कर देता है जो एक्सपायर हो चुका हो या किसी और एप्लिकेशन के लिए हो।
LMS के लिए SSO फ़ायदेमंद क्यों है
- कोई अतिरिक्त पासवर्ड नहीं। लोग अपना रोज़मर्रा का अकाउंट इस्तेमाल करते हैं, और आपकी मल्टी-फ़ैक्टर ऑथेंटिकेशन (MFA) व एक्सेस नीतियाँ ट्रेनिंग पर भी लागू होती हैं।
- नए लोगों को जल्दी एक्सेस मिलता है। LMS एप्लिकेशन को किसी ग्रुप को असाइन करें, और उसमें आने वाले नए स्टाफ़ पहले ही दिन साइन इन कर सकते हैं।
- जाने वालों का एक्सेस स्रोत पर ही ख़त्म होता है। किसी को अपनी डायरेक्टरी में अक्षम करें और वे LMS का नया सेशन शुरू नहीं कर सकते। SAML साइन-इन को नियंत्रित करता है, अकाउंट को नहीं, इसलिए ऑफ़बोर्डिंग के हिस्से के रूप में LMS अकाउंट भी आर्काइव करें।
जस्ट-इन-टाइम अकाउंट बनना
जस्ट-इन-टाइम (JIT) प्रोविज़निंग में LMS किसी के पहली बार साइन इन करने पर असर्शन के एट्रिब्यूट से अकाउंट बना देता है, इसलिए इंपोर्ट करने के लिए उपयोगकर्ता सूची की ज़रूरत नहीं पड़ती। इसके आसपास सुरक्षा-सीमाएँ रखें:
- इसे अपने ही ईमेल डोमेन तक सीमित रखें, ताकि ग़लत कॉन्फ़िगर किया गया एप्लिकेशन या गेस्ट अकाउंट फ़ालतू उपयोगकर्ता न बना दे।
- नए अकाउंट को सबसे निचली भूमिका दें, और एडमिनिस्ट्रेटर अधिकार सोच-समझकर दें।
- जहाँ आपका IdP स्थिर पहचानकर्ता भेज सके, वहाँ लोगों का मिलान उसी पर करें, क्योंकि ईमेल पते बदलते रहते हैं।
SP-इनिशिएटेड बनाम IdP-इनिशिएटेड साइन-इन
- SP-इनिशिएटेड: व्यक्ति LMS खोलता है, जो IdP को ऑथेंटिकेशन अनुरोध भेजता है, और IdP अपना जवाब ACS URL पर पोस्ट करता है। यह बुकमार्क और ईमेल लिंक से काम करता है, और आम तौर पर ज़्यादा सुरक्षित फ़्लो माना जाता है, क्योंकि जवाब उस अनुरोध का होता है जो LMS ने किया था।
- IdP-इनिशिएटेड: व्यक्ति Microsoft My Apps, अपने Okta डैशबोर्ड या Google ऐप्स मेन्यू में एप्लिकेशन के टाइल पर क्लिक करता है, और IdP ACS URL पर बिना माँगा जवाब भेजता है।
आप दोनों दे सकते हैं; हर एक को टेस्ट करें।
SAML SSO सेट करना, चरण-दर-चरण
क्रम लगभग हर जगह एक जैसा है:
- दायरा तय करें: कौन SSO इस्तेमाल करेगा, किन ग्रुप को एप्लिकेशन मिलेगा, कौन-से ईमेल डोमेन अनुमत हैं, और कौन-सा एट्रिब्यूट हर व्यक्ति की पहचान करेगा।
- LMS में कनेक्शन बनाएँ और उसकी एंटिटी ID व ACS URL नोट करें।
- अपने IdP पर SAML एप्लिकेशन बनाएँ, इन मानों के साथ, NameID फ़ॉर्मैट चुनें, और ईमेल, पहला नाम और अंतिम नाम एट्रिब्यूट जोड़ें।
- उपयोगकर्ता या ग्रुप असाइन करें; असाइन न किए गए लोगों को आम तौर पर लौटा दिया जाता है।
- LMS को IdP का ब्योरा दें: मेटाडेटा URL, मेटाडेटा फ़ाइल, या IdP की एंटिटी ID, साइन-इन URL और साइनिंग सर्टिफ़िकेट।
- एट्रिब्यूट मैप करें उन नामों से जो आपका IdP असल में भेजता है।
- टेस्ट करें, फिर चालू करें, और लोगों को बताएँ कि क्या बदल रहा है।
प्रोवाइडर से जुड़े नोट
सटीक स्क्रीन आपके प्रोवाइडर के डॉक्यूमेंटेशन में हैं। जानने लायक बातें:
- Microsoft Entra ID: नॉन-गैलरी एंटरप्राइज़ एप्लिकेशन इस्तेमाल करें, ऐप रजिस्ट्रेशन नहीं, जो SAML नहीं देता। क्लेम के नाम लंबे URI होते हैं, इसलिए उन्हें हूबहू कॉपी करें। ऑब्जेक्ट ID एक अच्छा स्थिर पहचानकर्ता बनती है। बिना मेलबॉक्स वाले लोगों के लिए ईमेल क्लेम ख़ाली हो सकता है; अगर उपयोगकर्ता प्रिंसिपल नेम असली पता है, तो वह उसकी जगह ले सकता है।
- Okta: SAML 2.0 ऐप इंटीग्रेशन बनाएँ। एट्रिब्यूट स्टेटमेंट के नाम आप ख़ुद रखते हैं, इसलिए वे LMS मैपिंग से हूबहू मेल खाने चाहिए, अक्षरों के केस समेत। इसकी आंतरिक उपयोगकर्ता ID एक स्थिर पहचानकर्ता बनती है।
- Google Workspace: कस्टम SAML ऐप जोड़ें और उसकी मेटाडेटा फ़ाइल डाउनलोड करें। ऐप बंद अवस्था में शुरू होता है, इसलिए उसे सही ऑर्गेनाइज़ेशनल यूनिट या ग्रुप के लिए चालू करें। एक सामान्य सेटअप लोगों की पहचान प्राइमरी ईमेल से करता है, इसलिए नाम बदले गए और दोबारा इस्तेमाल किए गए पतों के लिए योजना बनाएँ।
टेस्टिंग चेकलिस्ट
गो-लाइव से पहले, इन्हें प्राइवेट ब्राउज़र विंडो में जाँचें:
- मौजूदा उपयोगकर्ता LMS से शुरू करके साइन इन करता है, और फिर ऐप टाइल से भी।
- आपके डोमेन का नया उपयोगकर्ता सही भूमिका के साथ अकाउंट पाता है।
- जिसे एप्लिकेशन असाइन नहीं किया गया, उसे मना कर दिया जाता है।
- अनुमत डोमेन से बाहर के व्यक्ति को मना कर दिया जाता है।
- ईमेल, पहला नाम और अंतिम नाम सही पहुँचते हैं।
- एडमिनिस्ट्रेटर अब भी रिकवरी पथ से अंदर आ सकता है।
आम ग़लतियाँ
क्लॉक स्क्यू (clock skew)
अगर IdP और LMS की घड़ियों में इतना अंतर है जितना LMS सहन करता है उससे ज़्यादा, तो सही असर्शन भी ‘अभी वैध नहीं’ या ‘पहले ही एक्सपायर’ बताकर अस्वीकार हो जाते हैं। यह ज़्यादातर सेल्फ़-होस्टेड आइडेंटिटी सर्वर को प्रभावित करता है, इसलिए उनकी घड़ियाँ सिंक्रोनाइज़ रखें।
सर्टिफ़िकेट रोलओवर
IdP के साइनिंग सर्टिफ़िकेट एक्सपायर होते हैं, और अगर LMS नए सर्टिफ़िकेट पर भरोसा नहीं करता, तो हर साइन-इन एक साथ फ़ेल हो जाता है। एक्सपायरी की तारीख़ डायरी में दर्ज करें। अगर आपका LMS दो सर्टिफ़िकेट पर भरोसा कर सकता है, तो नया सर्टिफ़िकेट पहले वहाँ जोड़ें, फिर IdP पर उसे सक्रिय करें; वरना किसी शांत समय पर दोनों पक्षों को एक साथ बदलें। तुरंत टेस्ट करें।
एट्रिब्यूट मैपिंग
एट्रिब्यूट के नाम आम तौर पर हूबहू मिलाए जाते हैं: जो LMS email की अपेक्षा करता है, वह Email स्वीकार नहीं करेगा। पहचानकर्ता भी जाँचें। ट्रांज़िएंट NameID हर सेशन में बदलता है और ईमेल पता बदल सकता है; पर्सिस्टेंट NameID या इम्यूटेबल ID एट्रिब्यूट स्थिर होता है। अगर लोगों का मिलान ईमेल से होता है, तो जाने वाले का अकाउंट उसका पता किसी और को दिए जाने से पहले आर्काइव करें।
ईमेल डोमेन में बेमेल
डायरेक्टरी में अक्सर ऐसे लोग होते हैं जिनका साइन-इन नाम उनका ईमेल पता नहीं होता, दूसरे डोमेन के कॉन्ट्रैक्टर, और अधिग्रहित व्यवसायों के स्टाफ़ जो अब भी पुराने डोमेन पर हैं। अगर LMS अकाउंट को कुछ ही डोमेन तक सीमित रखता है, तो उन्हें मना कर दिया जाता है। गो-लाइव से पहले हर डोमेन की सूची बना लें।
Acadenix इसे कैसे करता है
SAML SSO Gold प्लान में है, जिसके साथ Entra ID, Okta और Google Workspace के लिए चरण-दर-चरण गाइड मिलती हैं।
- टेस्ट करें, फिर सक्रिय करें। आप अपने IdP का ब्योरा ड्राफ़्ट के रूप में सेव करते हैं, अपने प्रोवाइडर पर साइन इन करके Test configuration (कॉन्फ़िगरेशन टेस्ट) चलाते हैं, और उसके बाद ही सक्रिय करते हैं। अगर ईमेल क्लेम नहीं मिलता, तो उसकी सूचना उन क्लेम नामों के साथ दी जाती है जो आपके प्रोवाइडर ने असल में भेजे।
- चरणबद्ध बदलाव। नया सर्टिफ़िकेट या टेनेंट कॉन्फ़िगरेशन अपडेट के रूप में जाता है, और मौजूदा कॉन्फ़िगरेशन तब तक काम करता रहता है जब तक आप नए को सक्रिय नहीं करते।
- आपके डोमेन के भीतर JIT। जिसके पास अकाउंट नहीं है, उसे पहले साइन-इन पर शिक्षार्थी अकाउंट मिलता है, बशर्ते उसका ईमेल आपके संगठन के रजिस्ट्रेशन डोमेन पर हो, और आप इसे बंद कर सकते हैं। जब कोई ऐसा व्यक्ति, जिसके पास पहले से Acadenix अकाउंट है, पहली बार आपके IdP से साइन इन करता है, तो Acadenix उसे लिंक की पुष्टि के लिए एक बार इस्तेमाल होने वाला कोड ईमेल करता है। यह हर व्यक्ति के लिए एक ही बार होता है।
- दोनों रास्ते। लोग आपके साइन-इन पेज से शुरू करते हैं, जो उन्हें सीधे आपके IdP पर ले जा सकता है या बटन दिखा सकता है, या My Apps, Okta या Google के टाइल से।
- एक कनेक्शन, एक संगठन। SAML कनेक्शन अपने मालिक के नीचे के संगठनों तक नहीं जाता, जो कई साइट वाले समूहों के लिए मायने रखता है।
- रिकवरी का रास्ता। अगर आपका IdP डाउन है, तो एडमिनिस्ट्रेटर तब भी ईमेल किए गए एक बार इस्तेमाल होने वाले कोड से साइन इन कर सकते हैं, और इसे बंद नहीं किया जा सकता।
SAML के साथ-साथ, लोग ईमेल कोड या Google, Microsoft या LinkedIn अकाउंट से भी साइन इन कर सकते हैं। और जानकारी हमारे सुरक्षा पेज पर है।
मुख्य बातें
- एंटिटी ID, ACS URL और मेटाडेटा का आदान-प्रदान करें, फिर एक स्थिर पहचानकर्ता और सत्यापित ईमेल मैप करें।
- जस्ट-इन-टाइम अकाउंट को अपने ही डोमेन और सबसे निचली भूमिका तक सीमित रखें।
- गो-लाइव से पहले दोनों साइन-इन फ़्लो, इनकार के मामले और रिकवरी पथ टेस्ट करें।
- सर्टिफ़िकेट की एक्सपायरी डायरी में दर्ज करें और जाने वालों के LMS अकाउंट आर्काइव करें।
Acadenix को अपने आइडेंटिटी प्रोवाइडर से जोड़ना चाहते हैं? हमारे प्राइसिंग पेज पर प्लान की तुलना करें, या अपने सेटअप के बारे में हमसे बात करें।
