SAML ile tek oturum açma

Focus, OpenID Connect’in yanında Active Directory Federation Services (ADFS), Microsoft Entra ID, Okta, OneLogin ya da Keycloak gibi SAML 2.0 konuşan kimlik sağlayıcılarını da kabul eder. SAML dahil şirket için tek oturum açma Premium paketine dahildir. Önce tek oturum açma makalesini okuyun: kişileri ilk girişte ekleme, iki adımlı doğrulama ve erişimin ne kadar sürede bittiği SAML için de aynı şekilde işler.

Başlamadan önce

Organizasyonun hesap sahibisiniz ve organizasyonunuzun doğrulanmış bir alan adı var (alan adı doğrulama).
Kimlik sağlayıcınız SAML meta verisini bir XML dosyası olarak dışa aktarabiliyor ya da bir https adresinde yayımlayabiliyor.
Kimlik sağlayıcı bir kişi için hiç değişmeyen kalıcı bir NameID ve email, firstName ve lastName özniteliklerini gönderiyor.

Kimlik sağlayıcıya neler kaydedilir

Bu değerlerle bir SAML uygulaması (ADFS’te bağlı taraf güveni) oluşturun:

Kimlik sağlayıcıdaki değer	Workify360 Focus için değer
Varlık kimliği (Entity ID, audience, identifier)	`https://auth.focus.workify360.com/sso/saml`
Onay tüketici hizmeti (ACS, reply URL)	`https://auth.focus.workify360.com/sso/saml/api/oauth/saml`
Hizmet sağlayıcı meta verisi	`https://auth.focus.workify360.com/sso/saml/.well-known/sp-metadata`
Hizmet sağlayıcının imzalama sertifikası	`https://auth.focus.workify360.com/sso/saml/.well-known/saml.cer`
NameID biçimi	Kalıcı (persistent)
Öznitelikler	`email`, `firstName`, `lastName`

Birçok kimlik sağlayıcı hizmet sağlayıcı meta verisi adresini okuyup diğer değerleri kendisi doldurabilir. Focus’taki bağlantı kartı, bağlantıyı kaydettikten sonra aynı değerleri kopyalama düğmeleriyle gösterir.

Giriş her zaman Focus’ta başlar. Kimlik sağlayıcıda başlatılan giriş (IdP-initiated) kabul edilmez.

Bağlantıyı ekleme

Ayarlar → Güvenlik → Tek oturum açma sekmesini açın ve Bağlantı ekle’yi seçin.
Sağlayıcı olarak SAML’ı seçin ve giriş sayfasında görünecek adı girin.
Kimlik sağlayıcının meta veri XML’ini yükleyin ya da meta veri adresini girin. Focus bunun bir kimlik sağlayıcının SAML meta verisi olduğunu ve en fazla 1 MB olduğunu denetler (saml_metadata_invalid).
Her bağlantıda olduğu gibi ilk kez giriş yapan kişilerin hangi rol ve takımla ekleneceğini seçin.
Kaydedin. Bağlantı draft olur ve kartı kimlik sağlayıcının varlık kimliğini ve imzalama sertifikasının ne zaman sona erdiğini gösterir.

Önce test, sonra etkinleştirme

Bağlantıyı test et’i seçin ve kimlik sağlayıcınızda doğrulanmış bir alan adının hesabıyla giriş yapın. Test sayfası denetimleri ve kimlik sağlayıcının gönderdiği öznitelikleri gösterir ve NameID kalıcı değilse sizi uyarır. Geçen bir testten sonra bağlantı testing olur; kişilerin onunla giriş yapması için Etkinleştir’i seçin (sso_test_required).

Yeni bir imzalama sertifikası gibi yeni meta veri bağlantıyı draft’a döndürür ve yeni bir test ister; etkin bağlantıyı önce devre dışı bırakın (sso_connection_active). Sertifikayı, kartın gösterdiği bitiş tarihinden önce kimlik sağlayıcıda yenileyin ve yeni meta veriyi yükleyin. Bir organizasyonun SAML ve OpenID Connect birlikte en fazla 3 bağlantısı olabilir (sso_connection_limit).

Nasıl çalışır

Focus kişileri, Workify360’ın kendi özel ağında çalıştırdığı bir SAML hizmeti üzerinden giriş yaptırır ve kimlik sağlayıcı yalnız auth.focus.workify360.com ile konuşur. Focus oturum açmadan önce kimlik sağlayıcının imzası, hedef kitle (audience), alıcı, geçerlilik süresi ve her yanıtın tek kullanımlık olması denetlenir. SAML hizmetine ulaşılamadığında hizmet geri gelene kadar SAML ile giriş başarısız olur (polis_unavailable); diğer giriş yöntemleri çalışmaya devam eder.

Aynı kimlik sağlayıcıdan kişileri otomatik eklemek ve kaldırmak için SCIM’i de kurun (SCIM ile sağlama).

Hata mesajları

Kod	Ne yapmalı
`saml_metadata_invalid`	Kimlik sağlayıcının meta veri XML’ini yükleyin (kimlik sağlayıcı bölümü olan, en fazla 1 MB bir `EntityDescriptor`) ya da adresine ulaşılabildiğini denetleyin
`sso_saml_not_configured`	SAML hizmette henüz açık değil; OpenID Connect kullanın ya da support@workify360.com adresine yazın
`polis_unavailable`	SAML hizmetine şu anda ulaşılamıyor; birkaç dakika sonra yeniden deneyin
`sso_test_required`	Önce başarılı bir bağlantı testi yapın
`sso_connection_active`	Bağlantıyı değiştirmeden önce devre dışı bırakın
`sso_connection_limit`	Organizasyonunuzun 3 bağlantısı var; artık kullanmadığınız birini silin