Setiap log masuk yang berasingan ialah satu lagi kata laluan untuk ditetapkan semula dan satu lagi akaun untuk ditutup apabila seseorang berhenti kerja. Log masuk tunggal (SSO) SAML menyambungkan sistem pengurusan pembelajaran anda dengan penyedia identiti anda, supaya pengguna log masuk ke latihan dengan akaun kerja mereka dan akses mengikut direktori anda. Berikut ialah cara SAML berfungsi, bagaimana persediaan dilakukan dengan Microsoft Entra ID, Okta atau Google Workspace, dan apa yang perlu disemak sebelum ia dilancarkan.
Cara log masuk tunggal SAML berfungsi
SAML (Security Assertion Markup Language) 2.0 ialah standard terbuka untuk menghantar maklumat log masuk antara dua sistem yang saling mempercayai. LMS tidak pernah melihat kata laluan pengguna: ia menghantar mereka ke penyedia identiti anda, yang menyemak siapa mereka, dengan pengesahan berbilang faktor (MFA) yang anda kehendaki, dan mengembalikan mereka bersama pernyataan bertandatangan.
| Istilah | Maksudnya |
|---|---|
| Penyedia identiti (IdP) | Sistem yang mengesahkan pengguna anda, seperti Entra ID, Okta atau Google Workspace. |
| Penyedia perkhidmatan (SP) | Aplikasi yang dilog masuk oleh pengguna: LMS anda. |
| Assertion (penegasan) | Pernyataan XML bertandatangan daripada IdP: siapa orang itu, bila mereka log masuk, dan atribut seperti e-mel dan nama. |
| Entity ID | Nama unik bagi setiap pihak, selalunya berbentuk URL tetapi hanya pengecam. Ia mesti sepadan dengan tepat. |
| ACS URL | URL Assertion Consumer Service: alamat LMS yang menerima respons IdP. |
| Sijil penandatanganan | IdP menandatangani dengan kunci persendiriannya; LMS mengesahkan dengan sijil awam IdP dan menolak assertion yang dipalsukan atau diubah. |
| Metadata | Fail XML yang menghimpunkan entity ID, titik akhir dan sijil, sedia untuk diimport. |
Assertion bersifat jangka pendek dan menamakan khalayak sasarannya (entity ID SP). SP menolak apa-apa yang telah tamat tempoh atau ditujukan kepada aplikasi lain.
Mengapa SSO berbaloi untuk LMS
- Tiada kata laluan tambahan. Pengguna menggunakan akaun harian mereka, dan MFA serta dasar akses anda meliputi latihan juga.
- Kakitangan baharu mendapat akses dengan cepat. Tugaskan aplikasi LMS kepada satu kumpulan, dan kakitangan baharu dalam kumpulan itu boleh log masuk pada hari pertama.
- Mereka yang berhenti kehilangan akses di sumbernya. Lumpuhkan seseorang dalam direktori anda dan mereka tidak dapat memulakan sesi LMS baharu. SAML mengawal log masuk, bukan akaun, jadi arkibkan juga akaun LMS sebagai sebahagian daripada proses pemergian kakitangan.
Penciptaan akaun just-in-time
Dengan peruntukan just-in-time (JIT), LMS mencipta akaun pada kali pertama seseorang log masuk, daripada atribut assertion, jadi tiada senarai pengguna untuk diimport. Letakkan kawalan pelindung di sekelilingnya:
- Hadkan kepada domain e-mel anda sendiri, supaya aplikasi yang salah konfigurasi atau akaun tetamu tidak mencipta pengguna sesat.
- Berikan akaun baharu peranan yang paling rendah, dan berikan hak pentadbir secara khusus dan berhati-hati.
- Padankan pengguna pada pengecam yang stabil jika IdP anda boleh menghantarnya, kerana alamat e-mel boleh berubah.
Log masuk SP-initiated lwn IdP-initiated
- SP-initiated: pengguna membuka LMS, yang menghantar permintaan pengesahan kepada IdP, dan IdP menghantar responsnya ke ACS URL melalui POST. Ia berfungsi daripada penanda halaman dan pautan e-mel, dan secara amnya dianggap aliran yang lebih selamat kerana responsnya menjawab permintaan yang dibuat oleh LMS.
- IdP-initiated: pengguna mengklik jubin aplikasi dalam Microsoft My Apps, papan pemuka Okta mereka atau menu aplikasi Google, dan IdP menghantar respons yang tidak diminta ke ACS URL.
Anda boleh menawarkan kedua-duanya; uji setiap satu.
Menyediakan SSO SAML, langkah demi langkah
Urutannya hampir sama di mana-mana:
- Rancang skop: siapa yang menggunakan SSO, kumpulan mana yang mendapat aplikasi, domain e-mel mana yang dibenarkan, dan atribut mana yang mengenal pasti setiap orang.
- Cipta sambungan dalam LMS dan catat entity ID dan ACS URL-nya.
- Cipta aplikasi SAML pada IdP anda dengan nilai tersebut, pilih format NameID, dan tambah atribut e-mel, nama pertama dan nama akhir.
- Tugaskan pengguna atau kumpulan; mereka yang tidak ditugaskan biasanya ditolak.
- Berikan butiran IdP kepada LMS: URL metadata, fail metadata, atau entity ID IdP, URL log masuk dan sijil penandatanganan.
- Petakan atribut kepada nama yang sebenarnya dihantar oleh IdP anda.
- Uji, kemudian hidupkan, dan maklumkan kepada pengguna apa yang berubah.
Nota mengikut penyedia
Dokumentasi penyedia anda mempunyai skrin yang tepat. Perkara yang perlu diketahui:
- Microsoft Entra ID: gunakan aplikasi perusahaan bukan galeri (non-gallery enterprise application), bukan pendaftaran aplikasi, yang tidak menawarkan SAML. Nama tuntutan (claim) ialah URI yang panjang, jadi salin dengan tepat. ID objek (object ID) menjadi pengecam stabil yang baik. Bagi pengguna tanpa peti mel, tuntutan e-mel mungkin kosong; nama prinsipal pengguna (user principal name) boleh menggantikannya jika ia alamat sebenar.
- Okta: cipta integrasi aplikasi SAML 2.0. Anda menamakan penyata atribut (attribute statements) sendiri, jadi ia mesti sepadan dengan tepat dengan pemetaan LMS, termasuk huruf besar dan kecil. ID pengguna dalamannya menjadi pengecam yang stabil.
- Google Workspace: tambah aplikasi SAML tersuai dan muat turun fail metadatanya. Aplikasi bermula dalam keadaan dimatikan, jadi hidupkannya untuk unit organisasi atau kumpulan yang betul. Persediaan biasa mengenal pasti pengguna melalui e-mel utama, jadi rancang untuk alamat yang dinamakan semula dan digunakan semula.
Senarai semak pengujian
Sebelum ia dilancarkan, semak perkara ini dalam tetingkap pelayar persendirian:
- Pengguna sedia ada log masuk bermula dari LMS, dan sekali lagi dari jubin aplikasi.
- Pengguna baharu pada domain anda mendapat akaun dengan peranan yang betul.
- Orang yang tidak ditugaskan kepada aplikasi ditolak.
- Orang di luar domain yang anda benarkan ditolak.
- E-mel, nama pertama dan nama akhir tiba dengan betul.
- Pentadbir masih boleh masuk melalui laluan pemulihan.
Perangkap biasa
Anjakan jam (clock skew)
Jika jam IdP dan jam LMS berbeza melebihi apa yang boleh diterima oleh LMS, assertion yang baik ditolak kerana belum sah atau sudah tamat tempoh. Ia kebanyakannya menjejaskan pelayan identiti yang dihoskan sendiri, jadi pastikan jamnya disegerakkan.
Penggantian sijil
Sijil penandatanganan IdP akan tamat tempoh, dan jika LMS tidak mempercayai sijil gantian, setiap log masuk gagal serentak. Catatkan tarikh luputnya dalam kalendar. Jika LMS anda boleh mempercayai dua sijil, tambah yang baharu di situ dahulu, kemudian aktifkannya di IdP; jika tidak, tukar kedua-dua pihak bersama-sama pada waktu yang tenang. Uji dengan segera.
Pemetaan atribut
Nama atribut biasanya dipadankan dengan tepat: LMS yang menjangkakan email tidak akan menerima Email. Semak juga pengecamnya. NameID sementara (transient) berubah setiap sesi dan alamat e-mel boleh berubah; NameID berterusan (persistent) atau atribut ID yang tidak berubah (immutable) adalah stabil. Jika pengguna dipadankan melalui e-mel, arkibkan akaun orang yang berhenti sebelum alamatnya diberikan kepada orang lain.
Domain e-mel tidak sepadan
Direktori selalunya termasuk orang yang nama log masuknya bukan alamat e-mel mereka, kontraktor pada domain lain, dan kakitangan perniagaan yang diambil alih yang masih menggunakan domain lama. Jika LMS mengehadkan akaun kepada domain tertentu, mereka ditolak. Senaraikan setiap domain sebelum ia dilancarkan.
Cara Acadenix melakukannya
SSO SAML tersedia dalam pelan Gold, dengan panduan langkah demi langkah untuk Entra ID, Okta dan Google Workspace.
- Uji, kemudian aktifkan. Anda menyimpan butiran IdP anda sebagai draf, menjalankan Test configuration (uji konfigurasi) dengan log masuk pada penyedia anda, dan barulah mengaktifkannya. Tuntutan e-mel yang tiada dilaporkan bersama nama tuntutan yang sebenarnya dihantar oleh penyedia anda.
- Perubahan berperingkat. Sijil atau penyewa (tenant) baharu dimasukkan sebagai kemas kini konfigurasi, dan konfigurasi semasa terus berfungsi sehingga anda mengaktifkannya.
- JIT dalam domain anda. Seseorang tanpa akaun mendapat akaun pelajar pada log masuk pertama, hanya jika e-melnya berada pada domain pendaftaran organisasi anda, dan anda boleh mematikannya. Apabila seseorang yang sudah mempunyai akaun Acadenix log masuk buat kali pertama melalui IdP anda, Acadenix menghantar kod sekali guna melalui e-mel kepadanya untuk mengesahkan pautan itu. Ini berlaku sekali bagi setiap orang.
- Kedua-dua laluan masuk. Pengguna bermula daripada halaman log masuk anda, yang boleh membawa mereka terus ke IdP anda atau memaparkan butang, atau daripada jubin dalam My Apps, Okta atau Google.
- Satu sambungan, satu organisasi. Sambungan SAML tidak diturunkan kepada organisasi di bawah pemiliknya, yang penting bagi kumpulan dengan banyak lokasi.
- Laluan pemulihan. Jika IdP anda tidak berfungsi, pentadbir masih boleh log masuk dengan kod sekali guna yang dihantar melalui e-mel, dan ini tidak boleh dimatikan.
Selain SAML, pengguna boleh log masuk dengan kod e-mel atau akaun Google, Microsoft atau LinkedIn. Maklumat lanjut di halaman keselamatan kami.
Perkara utama
- Tukar entity ID, ACS URL dan metadata, kemudian petakan pengecam yang stabil dan e-mel yang disahkan.
- Hadkan akaun just-in-time kepada domain anda sendiri dan peranan yang paling rendah.
- Uji kedua-dua aliran log masuk, penolakan dan laluan pemulihan sebelum ia dilancarkan.
- Catat tarikh luput sijil dalam kalendar dan arkibkan akaun LMS orang yang berhenti.
Mahu menyambungkan Acadenix kepada penyedia identiti anda? Bandingkan pelan di halaman harga kami, atau berbincang dengan kami tentang persediaan anda.
