SP-initiated SSO

SP-initiated SSO ซึ่งเป็นวิธีเริ่มต้นและปลอดภัยกว่ากว่า IdP-initiated SSO อนุญาตให้ผู้ใช้ระดับองค์กรเริ่มกระบวนการเข้าสู่ระบบ SSO จากหน้าลงชื่อเข้าใช้ของ Logto Logto รองรับทั้ง การแจ้งเตือนโดเมนอีเมลสำหรับ SSO และ พารามิเตอร์การเข้าสู่ระบบโดยตรงสำหรับ SSO

บันทึก:

ผู้ใช้ Enterprise SSO ไม่รองรับการผูกหรือใช้ การลงชื่อเข้าใช้ด้วย passkey

ตั้งค่า SP-initiated SSO

1. เปิดใช้งาน Enterprise SSO ในระบบข้อมูลระบุตัวตนของคุณ

   เพื่อเปิดใช้งาน Enterprise SSO ให้ไปที่ Console > Sign-in & account > Sign-up and sign-in และเปิดสวิตช์ "Enable enterprise SSO" เมื่อเปิดใช้งานแล้ว จะมีปุ่ม "Single Sign-On" ปรากฏบนหน้าลงชื่อเข้าใช้ของคุณ ผู้ใช้ระดับองค์กรที่มีโดเมนอีเมลที่เปิดใช้งาน SSO สามารถเข้าถึงบริการของคุณผ่านผู้ให้บริการข้อมูลระบุตัวตนขององค์กรได้

2. สร้างตัวเชื่อมต่อองค์กร (Enterprise connectors) สำหรับลูกค้าแต่ละราย

   ถัดไป คุณต้องผสานรวมผู้ให้บริการข้อมูลระบุตัวตนขององค์กรแต่ละรายสำหรับลูกค้าของคุณ เช่นเดียวกับการเข้าสู่ระบบโซเชียล ให้สร้างตัวเชื่อมต่อองค์กรใหม่ใน Logto และกำหนดค่าที่จำเป็น ไปที่ Console > Enterprise SSO คลิกปุ่ม "Add enterprise connector" และทำตามคำแนะนำเพื่อกำหนดค่าตัวเชื่อมต่อ ดูรายละเอียดได้ที่ การตั้งค่าตัวเชื่อมต่อ Enterprise SSO

3. ตั้งค่าโดเมนอีเมล สำหรับตัวเชื่อมต่อองค์กร

   ตัวตน Enterprise SSO มักจะถูกระบุด้วยโดเมนอีเมลของบริษัท ในแท็บ SSO Experience ของหน้ารายละเอียดตัวเชื่อมต่อองค์กรแต่ละตัว คุณสามารถระบุโดเมนอีเมลที่เกี่ยวข้องได้

   ผู้ใช้ที่มีโดเมนอีเมลที่ระบุจะถูกจำกัดให้ลงชื่อเข้าใช้ผ่านตัวเชื่อมต่อ Enterprise SSO นี้เท่านั้น ในขณะที่วิธีการลงชื่อเข้าใช้อื่น ๆ เช่น รหัสยืนยันอีเมล การยืนยันตัวตนด้วยอีเมล-รหัสผ่าน หรือการเข้าสู่ระบบโซเชียล จะถูกปิดใช้งานสำหรับผู้ใช้เหล่านี้ ตัวเชื่อมต่อ SSO จะปรากฏเฉพาะกับผู้ใช้ที่มีโดเมนอีเมลที่ระบุเท่านั้น

   บันทึก:

   ไม่สามารถเชื่อมโยงโดเมนอีเมลสาธารณะ (เช่น gmail.com, yahoo.com) กับตัวเชื่อมต่อองค์กรได้

ประสบการณ์ SP-initiated SSO

SSO จะถูกเปิดใช้งานเมื่อผู้ใช้พยายามลงชื่อเข้าใช้โดยใช้โดเมนอีเมลองค์กรที่กำหนดไว้สำหรับ SSO กระบวนการนี้จะข้ามวิธีการตรวจสอบมาตรฐาน เช่น รหัสผ่าน

1. ปุ่ม Single Sign-On:

   เมื่อเปิดใช้งานวิธีการลงชื่อเข้าใช้แบบ Enterprise SSO แล้ว จะมีปุ่ม "Single Sign-On" ปรากฏเป็นตัวเลือกการลงชื่อเข้าใช้เพิ่มเติมบนหน้าลงชื่อเข้าใช้ เมื่อคลิกปุ่มนี้ ผู้ใช้จะถูกขอให้กรอกอีเมลองค์กรเพื่อเริ่มกระบวนการ SSO

   • ตัวเชื่อมต่อเดียว: หากมีตัวเชื่อมต่อ Enterprise SSO เพียงตัวเดียวที่เชื่อมโยงกับโดเมนอีเมลของผู้ใช้ ผู้ใช้จะถูกเปลี่ยนเส้นทางไปยังหน้าลงชื่อเข้าใช้ของ IdP โดยตรง
   • หลายตัวเชื่อมต่อ: หากมีตัวเชื่อมต่อ Enterprise SSO หลายตัวที่เชื่อมโยงกับโดเมนอีเมลของผู้ใช้ ผู้ใช้จะต้องเลือก IdP ที่ต้องการจากรายการก่อนที่จะถูกเปลี่ยนเส้นทางไปยังหน้าลงชื่อเข้าใช้ของ IdP
   

2. การลงชื่อเข้าใช้ด้วยอีเมลแบบสากล:

   ในฟอร์มลงชื่อเข้าใช้ด้วยตัวระบุสากล (เมื่อเปิดใช้งานวิธีการลงชื่อเข้าใช้ด้วยอีเมล) ระบบจะเปิดใช้งานการตรวจจับโดเมนอีเมล Enterprise SSO โดยอัตโนมัติ เมื่อผู้ใช้กรอกอีเมล Logto จะตรวจสอบโดยอัตโนมัติว่ามีตัวเชื่อมต่อ Enterprise SSO ที่เชื่อมโยงกับโดเมนนั้นหรือไม่ หากพบว่าตรงกัน ฟอร์มลงชื่อเข้าใช้จะอัปเดตโดยอัตโนมัติ: ปุ่ม "Sign in" จะเปลี่ยนเป็น "Single Sign-On" และจำกัดให้ผู้ใช้ลงชื่อเข้าใช้ผ่านตัวเชื่อมต่อ Enterprise SSO เท่านั้น

   

คำถามที่พบบ่อย

ฉันสามารถใช้ชื่อ/โดเมนองค์กรแทนโดเมนอีเมลเพื่อเปลี่ยนเส้นทางไปยัง IdP ได้หรือไม่

ปัจจุบัน ประสบการณ์การลงชื่อเข้าใช้ที่สร้างไว้ล่วงหน้าของ Logto รองรับเฉพาะ การแจ้งเตือนโดเมนอีเมลสำหรับ SSO เท่านั้น ยังไม่รองรับ การแจ้งเตือนโดเมนองค์กรสำหรับ SSO

คุณสามารถสร้างหน้ากำหนดเส้นทางแบบกำหนดเองที่ฝั่งไคลเอนต์ของคุณโดยใช้พารามิเตอร์การยืนยันตัวตน directSignIn:'sso:{connectorId} หน้านี้จะเปลี่ยนเส้นทางลูกค้าองค์กรขนาดใหญ่ไปยัง IdP ที่เหมาะสมตามโดเมนองค์กรของพวกเขา ดูข้อมูลเพิ่มเติมเกี่ยวกับ พารามิเตอร์การเข้าสู่ระบบโดยตรง

ฉันสามารถแสดงปุ่มตัวเชื่อมต่อองค์กรเฉพาะบนหน้าลงชื่อเข้าใช้ได้หรือไม่

ลูกค้าองค์กรแต่ละรายใช้ผู้ให้บริการข้อมูลระบุตัวตนที่แตกต่างกันในการจัดการพนักงาน และร้องขอขอบเขต (OIDC) หรือแอตทริบิวต์ (SAML) ที่แตกต่างกัน ดังนั้นจึงไม่แนะนำให้แสดงปุ่มตัวเชื่อมต่อองค์กรที่ตั้งใจสำหรับลูกค้ารายใดรายหนึ่งบนหน้าลงชื่อเข้าใช้ทั่วไป

อย่างไรก็ตาม หากคุณกำลังพัฒนาโปรดักต์ B2E และต้องการแสดงปุ่มสำหรับลูกค้าองค์กรเฉพาะ คุณสามารถสร้างหน้าลงชื่อเข้าใช้แบบกำหนดเองและใช้ directSignIn:sso เพื่อกำหนดเส้นทางปุ่มได้อย่างเหมาะสม ดูข้อมูลเพิ่มเติมเกี่ยวกับ พารามิเตอร์การเข้าสู่ระบบโดยตรง

วิธีเปิดใช้งานการลงชื่อเข้าใช้และลงทะเบียนเฉพาะ SSO

เพื่อเปิดใช้งานการลงชื่อเข้าใช้และลงทะเบียนเฉพาะ SSO ให้ทำตามขั้นตอนดังนี้:

1. กำหนดค่าใน Console > Sign-in & account > Sign-up and sign-in
   • Sign up: ไม่เกี่ยวข้อง
   • Sign in: None
   • Social sign-in: None
   • Enterprise SSO: เปิดใช้งาน
   • User registration: ปิดใช้งาน
2. เพิ่มผู้ใช้ด้วยตนเองโดยกรอกอีเมลองค์กรใน Console > User management หรือ นำเข้าโดยใช้ Management API
3. เมื่อผู้ใช้ลงชื่อเข้าใช้ผ่าน SSO เป็นครั้งแรก Logto จะ เชื่อมโยงอัตโนมัติ อีเมลที่มีอยู่กับบัญชี SSO ของพวกเขา