Single sign-on (SSO) — Ustawienia

Ustawienia → Administracja → Single sign-on (SSO) łączy Twoją organizację z Microsoft Entra ID, aby członkowie mogli logować się firmowym kontem Microsoft. Microsoft Entra ID jest jedynym dostawcą na tym ekranie. Znajduje się tu także przełącznik, który czyni logowanie przez Microsoft obowiązkowym.

Kto może to zmieniać

Tylko administrator może otworzyć ten ekran i cokolwiek na nim zmieniać.

Zanim zaczniesz

Potrzebujesz rejestracji aplikacji w katalogu Microsoft Entra. Liczą się tam trzy rzeczy:

Wklej Redirect URI widoczny na tym ekranie do rejestracji aplikacji, jako przekierowanie platformy Web. To ten sam adres dla każdej organizacji we Flowtly.
Włącz opcjonalne roszczenie email w rejestracji aplikacji. Bez niego pierwsze logowanie często kończy się niejasnym błędem.
Utwórz klucz tajny klienta i zachowaj jego wartość, która jest pokazywana w Entra tylko raz.

Elementy sterujące na tym ekranie

Ekran otwiera się w trybie konfiguracji, dopóki nic nie zostało wpisane. Po zapisaniu konfiguracji pokazuje zamiast tego podsumowanie, a Edytuj konfigurację przywraca formularz konfiguracji.

Microsoft Entra ID: nagłówek połączenia. Pod nim ekran informuje, że członkowie mogą logować się firmowym kontem Microsoft (przed konfiguracją), albo pokazuje słowo „Katalog:" i identyfikator Twojego katalogu.

Etykieta stanu w prawym górnym rogu pokazuje, na jakim etapie jest połączenie:

Stan	Znaczenie
Nie skonfigurowano	Nic jeszcze nie zostało wpisane.
Oczekuje na pierwsze logowanie	Konfiguracja jest zapisana, ale nikt jeszcze nie zalogował się przez Microsoft z jej użyciem.
Aktywne	Logowanie przez Microsoft się powiodło. Ekran pokazuje wtedy „Ostatnia weryfikacja" z datą.
Błąd połączenia	Połączenie jest oznaczone jako nieudane. Ekran pokazuje tekst błędu albo „Ostatnia próba logowania nie powiodła się.", gdy go nie ma.

Redirect URI: adres do wklejenia w rejestracji aplikacji Entra. Jest tylko do odczytu. Przycisk kopiowania obok (Kopiuj redirect URI) umieszcza go w schowku i na chwilę pokazuje Skopiowano!.

Pola formularza:

Identyfikator katalogu (dzierżawy): identyfikator Twojego katalogu Entra. Wymagane.
Identyfikator aplikacji (klienta): identyfikator rejestracji aplikacji. Wymagane.
Klucz tajny klienta: wartość klucza tajnego wygenerowana w Entra. Pole nigdy nie pokazuje zapisanego klucza. Gdy jakiś jest zapisany, pozostaw pole puste, aby go zachować, albo wpisz nową wartość, aby go zastąpić.
Zweryfikowane domeny: domeny e-mail, których członkowie mogą logować się przez Microsoft, oddzielone przecinkami, na przykład acme.com, acme.eu. Wpisy są zamieniane na małe litery, a duplikaty odrzucane.
Dodawanie istniejących użytkowników do tej organizacji: przełącznik, domyślnie wyłączony. Zobacz niżej.
Zapisz konfigurację: zapisuje konfigurację. Pozostaje niedostępny, dopóki oba identyfikatory nie są wypełnione. Komunikat Sukces to potwierdza.
Anuluj: opuszcza formularz bez zapisywania. Pojawia się dopiero wtedy, gdy konfiguracja istnieje.

W widoku podsumowania widzisz Identyfikator aplikacji (klienta) oraz, gdy połączenie jest Aktywne, Zweryfikowane domeny jako chipy. Edytuj konfigurację ponownie otwiera formularz.

Testuj logowanie pojawia się, gdy stan to oczekiwanie, a Ponów test logowania pojawia się, gdy pokazany jest błąd połączenia. Otwiera okno logowania Microsoft dla Twojego własnego konta, z użyciem Twojego firmowego adresu e-mail. Po zamknięciu okna strona wczytuje stan z serwera ponownie. Jeśli Twój adres e-mail nie należy do zweryfikowanej domeny albo konfiguracja nie jest zapisana, komunikat informuje, że testu nie udało się przeprowadzić. Jeśli przeglądarka zablokuje okno, komunikat prosi o zezwolenie na wyskakujące okna.

Wymagaj logowania SSO dla tej organizacji: przełącznik, domyślnie wyłączony. Pozostaje niedostępny, dopóki stan nie jest Aktywne. Jego włączenie otwiera potwierdzenie, Wymagać logowania przez Microsoft dla organizacji z nazwą Twojej organizacji, z przyciskami Anuluj i Wymagaj logowania przez Microsoft. Wyłączenie działa natychmiast i nie wymaga potwierdzenia.

Pomoc i dokumentacja: panel boczny z trzema wskazówkami (Zachowaj kolejność konfiguracji, Przejrzyj wpływ na bezpieczeństwo, Poproś o pomoc, gdy utkniesz). Skontaktuj się ze wsparciem otwiera wiadomość e-mail do wsparcia Flowtly. Panel przełącza się między Zwiń a Rozwiń.

Jak działa logowanie

Osoba loguje się tylko wtedy, gdy jej adres e-mail należy do jednej ze Zweryfikowane domeny.
Osoba z kontem Flowtly, która jest już członkiem organizacji, loguje się jak zwykle.
Osoba z kontem Flowtly, która nie jest jeszcze członkiem, jest dodawana do organizacji tylko wtedy, gdy Dodawanie istniejących użytkowników do tej organizacji jest włączone. Osoby bez konta Flowtly nie mogą się tak zalogować: najpierw je zaproś. Osoba, którą już zaproszono, jest wpuszczana niezależnie od tego, czy przełącznik jest włączony.
Zmiana identyfikatora dzierżawy, identyfikatora klienta lub klucza tajnego klienta w zapisanej konfiguracji ustawia stan z powrotem na Oczekuje na pierwsze logowanie, aż do następnego udanego logowania. Edycja samych zweryfikowanych domen lub przełącznika tego nie robi.

Co robi wymaganie SSO

Gdy Wymagaj logowania SSO dla tej organizacji jest włączone, logowanie hasłem jest odrzucane dla członków, których adres e-mail należy do zweryfikowanej domeny, i muszą kontynuować przez Microsoft. Członek, którego adres należy do innej domeny, zachowuje zwykłe logowanie. Osoba należąca do kilku organizacji jest pozbawiana logowania hasłem tylko z powodu organizacji, która wymaga SSO i której zweryfikowane domeny zawierają jej adres.

Członek, który nigdy nie zalogował się przez Microsoft, zostaje zablokowany w logowaniu hasłem w chwili potwierdzenia. Zanim to włączysz, sprawdź, czy wszyscy mogą zalogować się przez Microsoft, i najpierw użyj Testuj logowanie. Wyłączenie przełącznika jest zawsze możliwe i przywraca logowanie hasłem.

Przykładowe zastosowania

Administrator łączy firmowy katalog Microsoft, loguje się raz przez Testuj logowanie, a stan zmienia się na Aktywne.
Administrator dodaje drugą domenę do Zweryfikowane domeny po fuzji.
Administrator włącza Dodawanie istniejących użytkowników do tej organizacji, aby współpracownicy, którzy już mają konto Flowtly, dołączali bez indywidualnego zaproszenia.
Administrator wkleja nową wartość do Klucz tajny klienta, zanim stary wygaśnie w Entra, a następnie ponownie testuje logowanie.
Po upewnieniu się, że wszyscy mogą zalogować się przez Microsoft, administrator włącza Wymagaj logowania SSO dla tej organizacji.