Setiap login yang terpisah berarti satu kata sandi lagi untuk direset dan satu akun lagi untuk ditutup saat seseorang keluar. Single sign-on (SSO) SAML menghubungkan sistem manajemen pembelajaran Anda dengan penyedia identitas Anda, sehingga orang masuk ke pelatihan dengan akun kerja mereka dan akses mengikuti direktori Anda. Berikut cara kerja SAML, bagaimana penyiapannya dengan Microsoft Entra ID, Okta, atau Google Workspace, dan apa yang perlu diperiksa sebelum peluncuran.
Cara kerja single sign-on SAML
SAML (Security Assertion Markup Language) 2.0 adalah standar terbuka untuk menyampaikan informasi login antara dua sistem yang saling percaya. LMS tidak pernah melihat kata sandi seseorang: LMS mengarahkan mereka ke penyedia identitas Anda, yang memeriksa siapa mereka, dengan autentikasi multifaktor apa pun yang Anda wajibkan, lalu mengembalikan mereka dengan pernyataan yang ditandatangani.
| Istilah | Artinya |
|---|---|
| Penyedia identitas (IdP) | Sistem yang mengautentikasi orang-orang Anda, seperti Entra ID, Okta, atau Google Workspace. |
| Penyedia layanan (SP) | Aplikasi tempat orang masuk: LMS Anda. |
| Assertion | Pernyataan XML bertanda tangan dari IdP: siapa orangnya, kapan mereka masuk, dan atribut seperti email dan nama. |
| Entity ID | Nama unik untuk masing-masing pihak, sering berbentuk seperti URL tetapi hanya berupa pengenal. Harus cocok persis. |
| ACS URL | Assertion Consumer Service URL: alamat LMS yang menerima respons dari IdP. |
| Sertifikat penandatanganan | IdP menandatangani dengan kunci privatnya; LMS memverifikasi dengan sertifikat publik IdP dan menolak assertion yang dipalsukan atau diubah. |
| Metadata | File XML yang memuat entity ID, endpoint, dan sertifikat, siap untuk diimpor. |
Assertion berumur pendek dan menyebutkan audiensnya (entity ID milik SP). SP menolak apa pun yang sudah kedaluwarsa atau ditujukan untuk aplikasi lain.
Mengapa SSO layak untuk LMS
- Tanpa kata sandi tambahan. Orang menggunakan akun sehari-hari mereka, dan kebijakan MFA serta akses Anda juga mencakup pelatihan.
- Karyawan baru cepat mendapat akses. Tetapkan aplikasi LMS ke sebuah grup, dan karyawan baru di dalamnya dapat masuk di hari pertama.
- Karyawan yang keluar kehilangan akses dari sumbernya. Nonaktifkan seseorang di direktori Anda dan mereka tidak dapat memulai sesi LMS baru. SAML mengendalikan login, bukan akunnya, jadi arsipkan juga akun LMS sebagai bagian dari proses offboarding.
Pembuatan akun just-in-time
Dengan just-in-time (JIT) provisioning, LMS membuat akun saat seseorang pertama kali masuk, berdasarkan atribut dalam assertion, sehingga tidak ada daftar pengguna yang perlu diimpor. Pasang pengaman di sekitarnya:
- Batasi hanya untuk domain email Anda sendiri, agar aplikasi yang salah konfigurasi atau akun tamu tidak membuat pengguna nyasar.
- Beri akun baru peran terendah, dan berikan hak administrator secara sengaja.
- Cocokkan orang berdasarkan pengenal yang stabil jika IdP Anda dapat mengirimkannya, karena alamat email bisa berubah.
Login yang dimulai dari SP vs dari IdP
- Dimulai dari SP: orang membuka LMS, yang mengirim permintaan autentikasi ke IdP, lalu IdP mengirimkan responsnya ke ACS URL. Cara ini berfungsi dari bookmark dan tautan email, dan umumnya dianggap alur yang lebih aman karena respons menjawab permintaan yang dibuat LMS.
- Dimulai dari IdP: orang mengklik ikon aplikasi di Microsoft My Apps, dasbor Okta mereka, atau menu aplikasi Google, dan IdP mengirim respons yang tidak diminta ke ACS URL.
Anda dapat menawarkan keduanya; ujilah masing-masing.
Menyiapkan SAML SSO, langkah demi langkah
Urutannya hampir sama di mana pun:
- Rencanakan cakupannya: siapa yang menggunakan SSO, grup mana yang mendapat aplikasi, domain email mana yang diizinkan, dan atribut mana yang mengidentifikasi setiap orang.
- Buat koneksi di LMS dan catat entity ID serta ACS URL-nya.
- Buat aplikasi SAML di IdP Anda dengan nilai-nilai tersebut, pilih format NameID, dan tambahkan atribut email, nama depan, dan nama belakang.
- Tetapkan pengguna atau grup; orang yang tidak ditetapkan biasanya ditolak.
- Berikan detail IdP kepada LMS: URL metadata, file metadata, atau entity ID IdP, URL masuk, dan sertifikat penandatanganan.
- Petakan atribut ke nama yang benar-benar dikirim IdP Anda.
- Uji, lalu aktifkan, dan beri tahu orang-orang apa yang berubah.
Catatan per penyedia
Dokumentasi penyedia Anda memuat layar-layar yang tepat. Hal yang perlu diketahui:
- Microsoft Entra ID: gunakan enterprise application non-gallery, bukan app registration, yang tidak menawarkan SAML. Nama claim berupa URI yang panjang, jadi salin persis. Object ID cocok sebagai pengenal yang stabil. Untuk orang tanpa kotak surat, claim email mungkin kosong; user principal name dapat menggantikannya jika itu adalah alamat yang sebenarnya.
- Okta: buat SAML 2.0 app integration. Anda menamai attribute statement sendiri, sehingga harus cocok persis dengan pemetaan di LMS, termasuk huruf besar-kecilnya. ID pengguna internalnya cocok sebagai pengenal yang stabil.
- Google Workspace: tambahkan aplikasi SAML kustom dan unduh file metadata-nya. Aplikasi ini awalnya dalam keadaan nonaktif, jadi aktifkan untuk unit organisasi atau grup yang tepat. Penyiapan yang umum mengidentifikasi orang berdasarkan email utama, jadi rencanakan untuk alamat yang diganti namanya dan dipakai ulang.
Daftar periksa pengujian
Sebelum peluncuran, periksa hal-hal ini di jendela browser privat:
- Pengguna yang sudah ada masuk dimulai dari LMS, dan lagi dari ikon aplikasi.
- Pengguna baru di domain Anda mendapat akun dengan peran yang tepat.
- Orang yang tidak ditetapkan ke aplikasi ditolak.
- Orang di luar domain yang Anda izinkan ditolak.
- Email, nama depan, dan nama belakang tiba dengan benar.
- Administrator masih dapat masuk melalui jalur pemulihan.
Jebakan yang umum
Selisih jam (clock skew)
Jika jam IdP dan LMS berbeda lebih dari yang ditoleransi LMS, assertion yang benar ditolak karena belum berlaku atau sudah kedaluwarsa. Ini terutama memengaruhi server identitas yang di-host sendiri, jadi jaga agar jam mereka tetap tersinkronisasi.
Pergantian sertifikat
Sertifikat penandatanganan IdP kedaluwarsa, dan jika LMS tidak memercayai penggantinya, setiap login gagal sekaligus. Catat tanggal kedaluwarsanya di kalender. Jika LMS Anda dapat memercayai dua sertifikat, tambahkan yang baru di sana lebih dulu, lalu aktifkan di IdP; jika tidak, ganti kedua sisi bersamaan pada waktu yang sepi. Uji segera.
Pemetaan atribut
Nama atribut biasanya dicocokkan persis: LMS yang mengharapkan email tidak akan menerima Email. Periksa pengenalnya juga. NameID transient berubah di setiap sesi dan alamat email bisa berubah; NameID persistent atau atribut ID yang tak berubah bersifat stabil. Jika orang dicocokkan berdasarkan email, arsipkan akun karyawan yang keluar sebelum alamatnya diberikan kepada orang lain.
Domain email tidak cocok
Direktori sering menyertakan orang yang nama masuknya bukan alamat emailnya, kontraktor di domain lain, dan staf bisnis yang diakuisisi yang masih memakai domain lama. Jika LMS membatasi akun pada domain tertentu, mereka ditolak. Daftarkan setiap domain sebelum peluncuran.
Cara Acadenix melakukannya
SAML SSO tersedia di paket Gold, dengan panduan langkah demi langkah untuk Entra ID, Okta, dan Google Workspace.
- Uji, lalu aktifkan. Anda menyimpan detail IdP sebagai draf, menjalankan Test configuration (uji konfigurasi) dengan masuk di penyedia Anda, dan baru kemudian mengaktifkan. Claim email yang hilang dilaporkan beserta nama claim yang sebenarnya dikirim penyedia Anda.
- Perubahan bertahap. Sertifikat atau tenant baru dimasukkan sebagai pembaruan konfigurasi, dan konfigurasi saat ini tetap berfungsi sampai Anda mengaktifkannya.
- JIT dalam domain Anda. Orang yang belum punya akun mendapat akun peserta saat pertama kali masuk, hanya jika emailnya termasuk dalam domain pendaftaran organisasi Anda, dan Anda dapat menonaktifkannya. Saat orang yang sudah memiliki akun Acadenix pertama kali masuk melalui IdP Anda, Acadenix mengirim kode sekali pakai lewat email untuk mengonfirmasi tautannya. Ini terjadi sekali per orang.
- Dua cara masuk. Orang memulai dari halaman masuk Anda, yang dapat langsung mengarahkan mereka ke IdP Anda atau menampilkan tombol, atau dari ikon di My Apps, Okta, atau Google.
- Satu koneksi, satu organisasi. Koneksi SAML tidak diteruskan ke organisasi di bawah pemiliknya, yang penting bagi grup dengan banyak lokasi.
- Jalur pemulihan. Jika IdP Anda sedang down, administrator tetap dapat masuk dengan kode sekali pakai lewat email, dan ini tidak dapat dinonaktifkan.
Selain SAML, orang dapat masuk dengan kode lewat email atau akun Google, Microsoft, atau LinkedIn. Selengkapnya di halaman keamanan kami.
Poin penting
- Pertukarkan entity ID, ACS URL, dan metadata, lalu petakan pengenal yang stabil dan email yang terverifikasi.
- Batasi akun just-in-time pada domain Anda sendiri dan peran terendah.
- Uji kedua alur login, penolakan, dan jalur pemulihan sebelum peluncuran.
- Catat tanggal kedaluwarsa sertifikat dan arsipkan akun LMS karyawan yang keluar.
Ingin menghubungkan Acadenix ke penyedia identitas Anda? Bandingkan paket di halaman harga kami, atau hubungi kami tentang penyiapan Anda.
