Şirketiniz için tek oturum açma (SSO)

Tek oturum açmayla çalışanlarınız Focus paneline ve masaüstü uygulamasına Workify360 parolası yerine şirketinizin kimlik sağlayıcısındaki hesaplarıyla giriş yapar. Şirket için tek oturum açma Premium paketine dahildir. Focus OpenID Connect ya da SAML kullanır ve şu sağlayıcılar için rehber sunar:

Microsoft Entra ID
Google Workspace
Okta ve diğer OpenID Connect sağlayıcıları
ADFS gibi SAML kimlik sağlayıcıları, SAML hizmette açıksa

SSO’yu herkes için zorunlu tutmak (zorunlu SSO) henüz yok; bu yüzden parola SSO’nun yanında kullanılabilir kalır. Kullanıcıları otomatik eklemek ve kaldırmak için yine Premium’a dahil olan SCIM sağlamayı kurun (SCIM ile sağlama).

Başlamadan önce

Organizasyonun owner’ısınız: Tek oturum açma sekmesi yalnız owner’a gösterilir. Her değişiklik girişinizi onaylamanızı ister (hassas işlemleri onaylama).
Organizasyonunuzun Ayarlar → Güvenlik → Alan adları sekmesinde acme.com gibi en az bir doğrulanmış alan adı var (alan adı doğrulama). Kişiler SSO ile yalnız doğrulanmış bir alan adındaki e-posta adresiyle giriş yapar.
Kimlik sağlayıcınızda uygulama kaydı oluşturabiliyorsunuz. Orada şu yönlendirme URI’sini kaydedin:
```
https://auth.focus.workify360.com/sso/oidc/callback
```

Bağlantı ekleme

Ayarlar → Güvenlik → Tek oturum açma sekmesini açın ve Bağlantı ekle düğmesini seçin. Sihirbazın dört adımı vardır:

Sağlayıcı. Microsoft Entra ID, Google Workspace, Okta ya da Diğer OIDC’yi, sunuluyorsa SAML’ı seçin (SAML ile tek oturum açma).
Bağlantı bilgileri. Giriş sayfasında görünen adı ve sağlayıcınızın rehberinde listelenenleri girin: Microsoft Entra ID için dizin (kiracı) kimliği, Okta ve diğer sağlayıcılar için issuer adresi, istemci kimliği (client ID) ve istemci sırrı (client secret). Microsoft Entra ID için istemci sırrı yerine sertifika seçebilirsiniz (önerilir).
Yönlendirme URI’si. Sağlayıcınıza kaydedeceğiniz Yönlendirme URI’si, kopyalama düğmesiyle. İlk bağlantınızda bağlantı kaydedilince gösterilir.
Yeni kişiler. İlk kez giriş yapan kişilerin eklenip eklenmeyeceği (kişileri ilk girişlerinde ekleme), rolleri ve takımları, sağlayıcının iki adımlı doğrulamayı bildirmesinin şart olup olmadığı (SSO ile iki adımlı doğrulama).

Kaydet düğmesini seçin. Bağlantı kartı durumunu (önce draft, taslak), Yönlendirme URI’si alanını ve sertifika seçtiyseniz parmak izini ve geçerlilik tarihini Sertifikayı indir bağlantısıyla gösterir. İstemci sırrı şifreli saklanır ve bir daha gösterilmez: alan yalnız “Kayıtlı ✓” der; boş bırakmak kayıtlı sırrı korur.

Bağlantıyı test et

Bağlantı kartında Bağlantıyı test et düğmesini seçin. Test yeni bir sekmede açılır: orada doğrulanmış alan adınızdaki bir hesapla kimlik sağlayıcınızda giriş yapın. Focus yanıtı sizi oturum açtırmadan denetler; Bağlantı testi sayfası her denetimi sonucuyla listeler:

Test sayfasındaki denetim	Anlamı
”Kimlik sağlayıcının yapılandırması okunabildi”	Focus sağlayıcının OpenID yapılandırmasını okuyabildi
”Yayıncı (issuer) eşleşiyor”	Sağlayıcının issuer değeri girdiğinizle aynı
”ID token imzası geçerli”	Giriş token’ı sağlayıcının yayımladığı anahtarlarla imzalanmış
”ID token bu uygulama için verilmiş”	Token bu bağlantı için verilmiş
”Giriş isteği eşleşiyor”	Yanıt bu teste ait
”Bir e-posta adresi paylaşıldı” ve “E-posta adresi doğrulanmış”	Sağlayıcı doğrulanmış bir e-posta adresi gönderdi
”E-posta alanı organizasyonun doğrulanmış alanı”	E-posta adresi doğrulanmış alan adlarınızdan birine ait
”Google Workspace alanı eşleşiyor” (yalnız Google Workspace)	Hesabın Workspace alan adı (`hd`) doğrulanmış alan adlarınızdan biri
”Microsoft Entra kiracısı eşleşiyor” (yalnız Microsoft Entra ID)	Hesap sizin Entra kiracınıza (`tid`) ait
”Kimlik sağlayıcı iki adımlı doğrulamayı bildirdi” (yalnız şart koştuysanız)	Sağlayıcı çok adımlı doğrulamayı bildirdi
”Yenileme token’ı verildi” (yalnız uyarı)	Sağlayıcı, masaüstü uygulamasının düzenli denetimi için gereken refresh token’ı verdi

Panelde kart sonucu bekler, sonra aynı denetimleri ve sağlayıcının gönderdiği bilgileri gösterir. Refresh token uyarısı dışındaki bütün denetimler geçerse test geçer ve bağlantı artık testing (test ediliyor) durumundadır. Test bağlantısı 10 dakika geçerlidir; sağlayıcının gönderdiği yanıt, inceleyebilmeniz için 24 saat tutulur.

Etkinleştirme

Kartta Etkinleştir düğmesini seçin. Etkinleştirmek için şunlar gerekir:

son 24 saat içinde geçmiş bir test; yoksa kart “Önce başarılı bir bağlantı testi yapın (son 24 saat içinde).” der (sso_test_required),
doğrulanmış bir alan adı; yoksa kart Alan adları sekmesine bağlantıyla “Önce bir alan adını doğrulayın” der (domain_not_found).

Bağlantı artık active (etkin) ve doğrulanmış alan adlarınızdaki kişiler onunla giriş yapabilir.

Bağlantıyı değiştirme, devre dışı bırakma ya da silme

Bir organizasyonun en fazla 3 bağlantısı olabilir (sso_connection_limit); sınıra gelince Bağlantı ekle düğmesi görünmez.
Issuer, kiracı, istemci kimliği, sır ya da kimlik doğrulama yöntemi değişirse bağlantı draft durumuna döner ve yeni bir test gerekir. Etkin bir bağlantıda önce Devre dışı bırak düğmesini seçin (sso_connection_active). Geçerli bir https adresi olmayan issuer reddedilir (sso_issuer_invalid).
Devre dışı bırak bağlantıyla girişi durdurur ve bu bağlantıyla açılmış bütün oturumları sonlandırır.
Silme etkin olmayan bağlantılar için kullanılabilir. Bağlı şirket hesapları kullanıcıların giriş yöntemlerinden kalkar; kullanıcılar ve üyelikleri kalır.

Son bağlantı devre dışı bırakılamadığında

Giriş politikası başka bir giriş yoluna izin vermiyorsa son etkin bağlantı devre dışı bırakılamaz (sso_last_connection). Kart o zaman “Bu, organizasyonunuzun tek etkin şirket girişi ve giriş politikası başka bir yönteme izin vermiyor. Önce Giriş politikası’nda parola veya başka bir yöntemi açın.” der ve sekmeye bağlantı verir. Ayarlar → Güvenlik → Giriş politikası sekmesini açın, İzin verilen giriş yöntemleri altında parolaya ya da başka bir yönteme izin verin, kaydedin ve Devre dışı bırak düğmesini yeniden seçin.

Çalışanlar nasıl giriş yapar

Giriş sayfasında Şirket SSO’su ile giriş yap iş e-posta adresini sorar ve alan adının etkin bir bağlantısı varsa kimlik sağlayıcınıza yönlendirir.
Giriş sayfası adresi zaten biliyorsa ve alan adının etkin bir bağlantısı varsa, bunun yerine parola formunun altında Şirket hesabınızla devam edin düğmesini gösterir.
Masaüstü uygulaması tarayıcı üzerinden giriş yaptığı için orada da aynı sayfa açılır.

Aynı e-posta adresiyle zaten bir Workify360 hesabı olan kişi hesabını korur: SSO bir giriş yöntemi ekler ve başka hiçbir şeyi (ad, e-posta, parola) değiştirmez. Yalnız doğrulanmış alan adlarınızdaki e-posta adresleri kabul edilir.

Kişileri ilk girişlerinde ekleme

İlk kez giriş yapan kişileri oluştur (tam zamanında hesap açma, JIT, jitEnabled) açıkken, doğrulanmış bir alan adından SSO ile ilk kez giriş yapan kişi bağlantının Yeni kişilerin rolü ayarıyla (başka bir rol seçmediyseniz Çalışan; hiçbir zaman Owner olamaz) ve Yeni kişilerin takımı ayarıyla üye olur. Bunları sihirbazın son adımında, sonra da bağlantı kartındaki Düzenle ile belirlersiniz.

Açık bir davet SSO ile giriş yapılınca kabul edilmiş olur.
Organizasyondan ayrılmış biri yeniden üye olur.
Askıya alınmış bir üye giriş yapamaz.
Seçenek kapalıysa kişilerin önce davet edilmesi gerekir; yoksa sayfada “Bu organizasyonda henüz hesabınız yok. Yöneticinizden sizi davet etmesini isteyin.” yazar.

SSO ile iki adımlı doğrulama

Kendi bağlantınız üzerinden yapılan giriş, organizasyonunuzun iki adımlı doğrulama zorunluluğunu karşılar, çünkü bundan kimlik sağlayıcınız sorumludur. Yalnız sağlayıcının çok adımlı doğrulamayı bildirdiği girişleri kabul etmek için bağlantıda Sağlayıcıda iki adımlı doğrulamayı şart koş (requireIdpMfa) seçeneğini açın; aksi hâlde sayfada “Bu organizasyon, şirket kimlik sağlayıcınızın iki adımlı doğrulamayı bildirmesini istiyor; sağlayıcı bildirmedi.” yazar. Google Workspace bunu bildirmediği için bu seçenek orada yoktur. Üyelerin kendi Focus kodları, kurdularsa yine istenir.

Biri ayrıldığında: erişim ne kadar sürebilir

Bir kişiyi kimlik sağlayıcınızda kapattığınızda Focus bunu sağlayıcıyla yaptığı bir sonraki denetimde ya da SCIM bildirdiği anda fark eder. Katman katman en kötü durum:

Nerede	Kimlik sağlayıcıda kapatılan kişi ne kadar süre daha girebilir
Panel	En fazla SSO oturum sınırı kadar, `ssoSessionMaxHours` (varsayılan 12 saat, 1 ile 24 arası); sonra Focus sağlayıcıya yeniden sorar
Masaüstü uygulaması	En fazla masaüstü denetim aralığı kadar, `ssoRecheckHours` (varsayılan 24 saat, 1 ile 168 arası); sonra oturumu biter
Üyeyi Focus’ta askıya almak	Anında, her yerde
SCIM ile kaldırma	Kimlik sağlayıcı değişikliği gönderir göndermez, sonra anında her yerde (SCIM ile sağlama)

Sağlayıcıya ulaşılamazsa masaüstü uygulaması oturumunu korur ve yeniden dener; aralığın iki katı boyunca (varsayılan 48 saat) başarılı bir denetim olmazsa oturum biter.
Sağlayıcı refresh token vermediyse masaüstü uygulaması denetim yapamaz; oturumu bunun yerine giriş politikanızdaki masaüstü giriş süresiyle sınırlanır. Test bunu refresh token uyarısı olarak gösterir; sağlayıcınızın rehberi bunun nasıl açılacağını anlatır.
Hemen durdurmak için üyeyi Ayarlar → Kullanıcılar sayfasında ayrıca askıya alın.

İki sınır da organizasyonun giriş politikasının (Ayarlar → Güvenlik → Giriş politikası) parçasıdır. Kısa değerler erişimi daha erken bitirir ama kişilerden daha sık giriş ister.

Hata iletileri

İleti ya da kod	Ne yapmalı
`feature_not_enabled`	Tek oturum açma organizasyonunuzda henüz açık değil
”Bu e-posta alanı organizasyonunuz için doğrulanmamış”	Alan adını doğrulayın (alan adı doğrulama)
“Organizasyonunuzun kimlik sağlayıcısı bu e-posta adresini kanıtlamadı”	Şirket girişi var olan bir hesabı hiçbir zaman parolayla bağlamaz; e-posta alanını doğrulayın (alan adı doğrulama)
“Bu e-posta alanı için şirket girişi bulunamadı.”	Alan adının etkin bir bağlantısı yok; parolanızla giriş yapın
”Bu organizasyonda henüz hesabınız yok.”	Kişiyi davet edin ya da ilk girişte kişileri eklemeyi açın
`sso_last_connection`	Son etkin bağlantıyı devre dışı bırakmadan önce giriş politikasında başka bir giriş yöntemine izin verin
”Bu organizasyondaki üyeliğiniz askıya alınmış.”	Bir yönetici sizi askıya aldı; ona sorun
”Bu organizasyon, şirket kimlik sağlayıcınızın iki adımlı doğrulamayı bildirmesini istiyor; sağlayıcı bildirmedi.”	Sağlayıcıda MFA’yı açın ya da `requireIdpMfa` şartını kapatın