Her ayrı giriş, sıfırlanması gereken bir şifre daha ve biri işten ayrıldığında kapatılması gereken bir hesap daha demektir. SAML çoklu oturum açma (SSO), öğrenme yönetim sisteminizi kimlik sağlayıcınıza bağlar; böylece kişiler eğitime iş hesaplarıyla giriş yapar ve erişim dizininizi izler. SAML’in nasıl çalıştığını, Microsoft Entra ID, Okta veya Google Workspace ile kurulumun nasıl ilerlediğini ve canlıya almadan önce nelere bakmanız gerektiğini anlatıyoruz.
SAML çoklu oturum açma nasıl çalışır
SAML (Security Assertion Markup Language) 2.0, birbirine güvenen iki sistem arasında oturum açma bilgisi aktarmak için kullanılan açık bir standarttır. LMS kişinin şifresini asla görmez: kişiyi kimlik sağlayıcınıza yönlendirir; kimlik sağlayıcı, gerekli tuttuğunuz çok faktörlü kimlik doğrulamayla birlikte kişinin kim olduğunu denetler ve kişiyi imzalı bir ifadeyle geri gönderir.
| Terim | Anlamı |
|---|---|
| Kimlik sağlayıcı (IdP) | İnsanlarınızın kimliğini doğrulayan sistem; örneğin Entra ID, Okta veya Google Workspace. |
| Hizmet sağlayıcı (SP) | Kişilerin giriş yaptığı uygulama: LMS’iniz. |
| Assertion (SAML beyanı) | IdP’nin imzalı XML ifadesi: kişinin kim olduğu, ne zaman giriş yaptığı ve e-posta ile ad gibi öznitelikler. |
| Entity ID | Her iki taraf için benzersiz bir ad; çoğunlukla URL biçimindedir ama yalnızca bir tanımlayıcıdır. Birebir eşleşmelidir. |
| ACS URL | Assertion Consumer Service URL’si: IdP’nin yanıtını alan LMS adresi. |
| İmza sertifikası | IdP özel anahtarıyla imzalar; LMS, IdP’nin genel sertifikasıyla doğrular ve sahte ya da değiştirilmiş assertion’ları reddeder. |
| Metadata | Bir entity ID’yi, uç noktaları ve sertifikaları bir araya getiren, içe aktarmaya hazır XML dosyası. |
Assertion’ların ömrü kısadır ve hedef kitlelerini (SP’nin entity ID’sini) belirtirler. SP, süresi dolmuş ya da başka bir uygulama için hazırlanmış her şeyi reddeder.
SSO bir LMS için neden değerlidir
- Fazladan şifre yok. Kişiler her gün kullandıkları hesabı kullanır; MFA’nız ve erişim politikalarınız eğitimi de kapsar.
- İşe yeni başlayanlar hızla erişim kazanır. LMS uygulamasını bir gruba atayın; gruptaki yeni çalışanlar ilk gün giriş yapabilir.
- İşten ayrılanlar erişimi kaynağında kaybeder. Birini dizininizde devre dışı bıraktığınızda yeni bir LMS oturumu başlatamaz. SAML hesabı değil oturum açmayı denetler; bu nedenle işten ayrılma sürecinin bir parçası olarak LMS hesabını da arşivleyin.
İlk girişte hesap oluşturma (JIT)
JIT (just-in-time) hesap oluşturmada LMS, birinin ilk girişinde assertion’ın özniteliklerinden bir hesap oluşturur; dolayısıyla içe aktarılacak bir kullanıcı listesi gerekmez. Bunun çevresine güvenlik önlemleri koyun:
- Yanlış yapılandırılmış bir uygulama ya da konuk hesap başıboş kullanıcılar oluşturmasın diye bunu yalnızca kendi e-posta alan adlarınızla sınırlayın.
- Yeni hesaplara en düşük rolü verin, yönetici yetkilerini ise bilinçli olarak tanımlayın.
- IdP’niz sabit bir tanımlayıcı gönderebiliyorsa kişileri onunla eşleştirin; çünkü e-posta adresleri değişir.
SP başlatmalı ve IdP başlatmalı oturum açma
- SP başlatmalı (SP-initiated): kişi LMS’i açar, LMS IdP’ye bir kimlik doğrulama isteği gönderir ve IdP yanıtını ACS URL’sine iletir. Yer imlerinden ve e-posta bağlantılarından çalışır; yanıt LMS’in yaptığı bir isteğe karşılık geldiği için genellikle daha güvenli akış sayılır.
- IdP başlatmalı (IdP-initiated): kişi, Microsoft My Apps’teki, Okta panosundaki ya da Google uygulamalar menüsündeki uygulama simgesine tıklar ve IdP, ACS URL’sine istenmemiş bir yanıt gönderir.
İkisini de sunabilirsiniz; her birini test edin.
SAML SSO kurulumu, adım adım
Sıra her yerde hemen hemen aynıdır:
- Kapsamı planlayın: SSO’yu kimler kullanacak, uygulama hangi gruplara atanacak, hangi e-posta alan adlarına izin verilecek ve her kişiyi hangi öznitelik tanımlayacak.
- LMS’te bağlantıyı oluşturun ve entity ID ile ACS URL’sini not edin.
- IdP’nizde bu değerlerle bir SAML uygulaması oluşturun, NameID biçimini seçin ve e-posta, ad ve soyad özniteliklerini ekleyin.
- Kullanıcıları veya grupları atayın; atanmamış kişiler genellikle geri çevrilir.
- IdP’nin bilgilerini LMS’e verin: bir metadata URL’si, bir metadata dosyası veya IdP entity ID’si, oturum açma URL’si ve imza sertifikası.
- Öznitelikleri eşleyin; IdP’nizin gerçekte gönderdiği adlara uyarlayın.
- Test edin, ardından açın ve neyin değiştiğini kişilere duyurun.
Sağlayıcıya özgü notlar
Tam ekranlar için sağlayıcınızın belgelerine bakın. Bilmeye değer noktalar:
- Microsoft Entra ID: SAML sunmayan bir uygulama kaydı (app registration) yerine galeri dışı (non-gallery) bir kurumsal uygulama kullanın. Claim adları uzun URI’lerdir, bu yüzden birebir kopyalayın. Nesne kimliği (object ID) iyi bir sabit tanımlayıcıdır. Posta kutusu olmayan kişiler için e-posta claim’i boş olabilir; gerçek bir adresse kullanıcı asıl adı (user principal name) yerine geçebilir.
- Okta: bir SAML 2.0 uygulama entegrasyonu oluşturun. Öznitelik ifadelerini (attribute statements) kendiniz adlandırırsınız; bu yüzden büyük/küçük harf dahil LMS eşlemesiyle birebir uyuşmalıdır. Okta’nın dahili kullanıcı kimliği sabit bir tanımlayıcı olarak kullanılabilir.
- Google Workspace: özel bir SAML uygulaması ekleyin ve metadata dosyasını indirin. Uygulama kapalı başlar; bu nedenle doğru kuruluş birimleri veya gruplar için açın. Tipik bir kurulum kişileri birincil e-postayla tanımlar; bu yüzden adı değişen ve yeniden kullanılan adresleri hesaba katın.
Test kontrol listesi
Canlıya almadan önce şunları gizli bir tarayıcı penceresinde kontrol edin:
- Mevcut bir kullanıcı LMS’ten başlayarak giriş yapıyor ve uygulama simgesinden de yapıyor.
- Alan adınızdaki yeni bir kullanıcı doğru rolle bir hesap alıyor.
- Uygulamaya atanmamış biri reddediliyor.
- İzin verilen alan adlarınızın dışındaki biri reddediliyor.
- E-posta, ad ve soyad doğru geliyor.
- Bir yönetici kurtarma yolu üzerinden yine de içeri girebiliyor.
Sık yapılan hatalar
Saat sapması (clock skew)
IdP ile LMS’in saatleri LMS’in tolere ettiğinden fazla farklıysa geçerli assertion’lar henüz geçerli değil ya da süresi dolmuş diye reddedilir. Çoğunlukla kendi sunucunuzda barındırılan kimlik sunucularını etkiler; bu yüzden saatlerini senkronize tutun.
Sertifika yenileme (rollover)
IdP imza sertifikalarının süresi dolar ve LMS yeni sertifikaya güvenmezse tüm girişler bir anda başarısız olur. Son kullanma tarihini takviminize işleyin. LMS’iniz iki sertifikaya güvenebiliyorsa yenisini önce LMS’e ekleyin, ardından IdP’de etkinleştirin; aksi hâlde iki tarafı sakin bir saatte birlikte değiştirin. Hemen test edin.
Öznitelik eşleme
Öznitelik adları genellikle birebir eşleştirilir: email bekleyen bir LMS Email değerini kabul etmez. Tanımlayıcıyı da kontrol edin. Geçici (transient) bir NameID her oturumda değişir ve e-posta adresi değişebilir; kalıcı (persistent) bir NameID veya değişmez bir kimlik özniteliği ise sabittir. Kişiler e-postayla eşleştiriliyorsa, işten ayrılan birinin adresi başkasına atanmadan önce hesabını arşivleyin.
E-posta alan adı uyumsuzluğu
Dizinlerde çoğunlukla oturum açma adı e-posta adresi olmayan kişiler, başka alan adlarındaki taşeron çalışanlar ve satın alınan işletmelerin hâlâ eski alan adlarını kullanan personeli bulunur. LMS hesapları belirli alan adlarıyla sınırlıyorsa bu kişiler reddedilir. Canlıya almadan önce her alan adını listeleyin.
Acadenix bunu nasıl yapar
SAML SSO, Gold planında sunulur ve Entra ID, Okta ile Google Workspace için adım adım kılavuzlar bulunur.
- Önce test edin, sonra etkinleştirin. IdP bilgilerinizi taslak olarak kaydedersiniz, sağlayıcınızda oturum açarak Test configuration (yapılandırmayı test et) işlemini çalıştırırsınız ve etkinleştirmeyi ancak ondan sonra yaparsınız. Eksik bir e-posta claim’i, sağlayıcınızın gönderdiği claim adlarıyla birlikte bildirilir.
- Aşamalı değişiklikler. Yeni bir sertifika veya kiracı (tenant) bir yapılandırma güncellemesi olarak girilir ve siz etkinleştirene kadar mevcut yapılandırma çalışmaya devam eder.
- Alan adlarınız içinde JIT. Hesabı olmayan biri, yalnızca e-postası kuruluşunuzun kayıt alan adlarında ise ilk girişte bir öğrenen hesabı alır ve bunu kapatabilirsiniz. Zaten bir Acadenix hesabı olan biri IdP’niz üzerinden ilk kez giriş yaptığında, Acadenix bağlantıyı onaylaması için ona tek kullanımlık bir kod gönderir. Bu, kişi başına bir kez olur.
- İki giriş yolu da açık. Kişiler, sizi doğrudan IdP’nize götürebilen ya da bir düğme gösterebilen oturum açma sayfanızdan veya My Apps, Okta ya da Google’daki uygulama simgesinden başlayabilir.
- Bir bağlantı, bir kuruluş. Bir SAML bağlantısı, sahibinin altındaki kuruluşlara aktarılmaz; bu, çok lokasyonlu gruplar için önemlidir.
- Bir kurtarma yolu. IdP’niz devre dışıysa yöneticiler yine de e-postayla gönderilen tek kullanımlık bir kodla giriş yapabilir ve bu kapatılamaz.
SAML’in yanı sıra kişiler e-postayla gönderilen bir kodla ya da Google, Microsoft veya LinkedIn hesabıyla giriş yapabilir. Ayrıntılar için güvenlik sayfamıza bakın.
Önemli çıkarımlar
- Entity ID’leri, ACS URL’sini ve metadata bilgisini karşılıklı aktarın; ardından sabit bir tanımlayıcıyı ve doğrulanmış e-postayı eşleyin.
- Just-in-time hesapları kendi alan adlarınızla ve en düşük rolle sınırlayın.
- Canlıya almadan önce her iki oturum açma akışını, reddedilme durumlarını ve kurtarma yolunu test edin.
- Sertifika son kullanma tarihini takviminize işleyin ve işten ayrılanların LMS hesaplarını arşivleyin.
Acadenix’i kimlik sağlayıcınıza bağlamak ister misiniz? Planları fiyatlandırma sayfamızda karşılaştırın ya da kurulumunuz hakkında bizimle konuşun.
