정책 및 싱글 사인온

조직의 policy정책은 함께하게 되는 모든 사람에게 적용되는 규칙을 정합니다. vpn_keySSO을 사용하면 직원이 회사에서 이미 제공하는 계정으로 로그인하고 조직에 자동으로 가입할 수 있습니다.

두 기능 모두 Enterprise 영역에 있습니다. businessEnterprise > policy정책, vpn_keySSO입니다.

조직 정책#

아래 옵션을 원하는 대로 바꾼 다음, 페이지 맨 아래에서 save저장을 누르세요. 새 기본 역할은 그 이후에 가입하는 사람에게 적용되며, 기존 멤버의 역할은 바뀌지 않습니다.

허용되는 이메일 도메인#

이 이메일 도메인을 가진 사람만 조직에 초대하거나 연결할 수 있습니다. 비워 두면 모든 도메인을 허용합니다.

1. **허용된 이메일 도메인**에서 도메인 추가 입력란에 acme.com 같은 도메인을 입력합니다. 이메일 주소나 웹 주소가 아니라 도메인만 입력하세요.
2. add추가을 누르거나 Enter를 누릅니다. 도메인이 칩으로 나타납니다.
3. save저장을 누릅니다.

칩에서 close을 누르면 그 도메인이 삭제됩니다. 목록에 도메인이 없으면 페이지에 "제한 없음 — 모든 이메일 도메인을 초대할 수 있습니다."라고 표시됩니다.

목록을 설정하면 그 밖의 도메인으로 보내는 초대는 group사용자 페이지에서도, 서버에서도 거부되며, 기존 계정으로 보내는 가입 요청도 마찬가지입니다. 멤버도 자신의 로그인 주소를 다른 도메인으로 바꿀 수 없습니다.

기본값#

• 새 멤버의 기본 역할: 가입하는 모든 사람에게 주어지는 역할입니다. 초대받은 사람, 가입 요청을 수락한 기존 계정, 싱글 사인온으로 들어오는 사람, API로 만든 멤버가 해당됩니다. 기본값은 **멤버**입니다. **관리자**으로 지정할 수 있는 사람은 소유자뿐입니다. 역할을 참고하세요.
• 비활성 멤버로 표시할 기준(일): 이 기간보다 오래 로그인하지 않은 멤버는 group사용자 페이지에서 비활성으로 표시됩니다. 그 멤버의 좌석을 다른 사람에게 줄 수 있다는 힌트입니다. 1에서 3650 사이의 숫자를 입력할 수 있으며 기본값은 60입니다.

안전장치#

• 멤버가 계정을 닫기 전에 프로젝트 이전 필수: 멤버는 어떤 경우에도 자신의 계정을 삭제할 수 없고 소유자와 Admin만 삭제할 수 있으므로, 이 옵션은 아무것도 바꾸지 않습니다. 삭제한 멤버의 프로젝트는 항상 조직에 남습니다. 조직에서 사람 제거하기를 참고하세요.

싱글 사인온#

싱글 사인온을 사용하면 직원이 회사에서 이미 제공하는 계정(Microsoft, Okta, Google 등)으로 회사의 ID 공급자를 통해 SAML 또는 OpenID Connect(OIDC) 방식으로 Measure Map Online에 로그인합니다. 이 방식으로 로그인한 회사 직원은 조직에 자동으로 가입됩니다.

vpn_keySSO 페이지에서 신청합니다. 이 페이지에는 ID 공급자에 입력할 값과 저희에게 보낼 정보가 나와 있습니다. 저희가 신청을 확인한 뒤 싱글 사인온을 켭니다. 조직의 소유자와 Admin이 신청을 보낼 수 있습니다.

작동 방식#

1. 아래에 ID 공급자 정보와 팀이 사용하는 이메일 도메인을 보내 주세요.
2. 정보를 확인한 뒤 SSO를 켭니다. 이메일로 알려 드리며, 이 페이지에 로그인 링크가 표시됩니다.
3. 팀이 회사 계정으로 로그인합니다. 새로 오는 사람은 조직에 가입되어 사용자 목록에 나타나며, 여기서 역할을 지정할 수 있습니다.

시작하기 전에 필요한 것#

• ID 공급자의 관리자 권한: Microsoft Entra 관리 센터, Okta Admin Console, Google 관리 콘솔 등에 대한 권한이며, 권한이 있는 IT 담당자도 괜찮습니다. 그곳에 Measure Map Online을 애플리케이션으로 추가합니다.
• 팀이 사용하는 모든 이메일 도메인: 예를 들어 acme.com과 acme.co.uk입니다. 이 도메인의 주소를 가진 사람만 싱글 사인온으로 가입할 수 있습니다.
• 기술 담당자: 연결에 관해 저희가 문의할 수 있는 사람의 이름과 이메일 주소입니다.
• ID 공급자의 세부 정보 3가지: 그곳에 Measure Map Online을 추가한 뒤 복사합니다(아래 1단계).
  • SAML인 경우: SSO URL(로그인 URL), ID 공급자 엔터티 ID(발급자), 서명 인증서
  • OpenID Connect인 경우: 발급자 URL, 클라이언트 ID, 클라이언트 비밀

1단계: ID 공급자에 Measure Map Online 추가하기#

1. businessEnterprise > vpn_keySSO을 엽니다.

2. **프로토콜**에서 페이지가 권장하는 SAML 2.0을 선택하거나, IT 팀이 선호하면 OpenID Connect를 선택합니다.

3. **ID 공급자**에서 사용하는 공급자를 선택합니다. Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud, 다른 공급자 중에서 고릅니다.

4. **ID 공급자에 다음 값을 입력하세요**에는 연결에서 저희 쪽 값이 표시됩니다. 직접 입력하지 말고 각 값을 content_copy로 페이지에서 복사하세요.

   SAML인 경우:

   • 식별자(Entity ID): https://app.measuremaponline.com
   • 회신 URL(ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: 사용자의 이메일 주소
   • 특성: email(필수), 이름과 성 또는 표시 이름(선택 사항)

   OpenID Connect인 경우:

   • 리디렉션 URI: https://measuremaponline.com/__/auth/handler
   • 범위: openid email profile

5. 그 아래에는 선택한 공급자에 맞는 단계가 나와 있습니다. 2단계에서 요구하는 각 정보를 어디에서 찾는지와 함께 아래에도 있습니다.

ID 공급자에서 찾는 위치#

Microsoft Entra ID, Okta, Google Workspace는 각각의 단계가 있습니다. OneLogin, JumpCloud 및 그 밖의 공급자는 일반 단계를 따릅니다.

Microsoft Entra ID, SAML 사용#

1. Microsoft Entra 관리 센터에서 Enterprise applications > New application > Create your own application을 엽니다. 이름을 "Measure Map Online"으로 하고 갤러리에서 찾을 수 없는 애플리케이션을 통합하는 옵션을 선택합니다.
2. 새 애플리케이션에서 Single sign-on을 열고 SAML을 선택합니다. Basic SAML Configuration에 식별자(Entity ID)와 회신 URL(ACS URL)을 입력합니다.
3. Attributes & Claims에서 Unique User Identifier(Name ID)를 user.mail로 설정하고 이메일 주소 클레임은 그대로 둡니다.
4. Users and groups에서 로그인할 사람이나 그룹을 지정합니다.
5. 다시 Single sign-on으로 돌아가 세부 정보 3가지를 복사합니다.
   • SSO URL(로그인 URL): Set up Measure Map Online 아래의 Login URL입니다.
   • ID 공급자 엔터티 ID(발급자): 같은 위치의 Microsoft Entra Identifier입니다.
   • 서명 인증서: SAML Certificates 아래에서 Certificate (Base64)를 다운로드합니다.

Okta, SAML 사용#

1. Okta Admin Console에서 Applications > Applications > Create App Integration을 열고 SAML 2.0을 선택한 다음 앱 이름을 "Measure Map Online"으로 합니다.
2. Single sign-on URL에 회신 URL(ACS URL)을, Audience URI(SP Entity ID)에 식별자(Entity ID)를 입력합니다. Name ID format은 EmailAddress로, Application username은 Email로 설정합니다.
3. Attribute Statements에서 값이 user.email인 email을 추가합니다(원하면 firstName과 lastName도 추가).
4. Assignments 탭에서 로그인할 사람이나 그룹을 지정합니다.
5. Sign On 탭에서 View SAML setup instructions를 열고 다음을 복사합니다.
   • SSO URL(로그인 URL): Identity Provider Single Sign-On URL입니다.
   • ID 공급자 엔터티 ID(발급자): Identity Provider Issuer입니다.
   • 서명 인증서: X.509 Certificate입니다.

Google Workspace, SAML 사용#

1. Google 관리 콘솔에서 Apps > Web and mobile apps > Add app > Add custom SAML app을 열고 이름을 "Measure Map Online"으로 합니다.
2. Google Identity Provider details 페이지에서 세부 정보 3가지를 복사한 뒤 계속 진행합니다.
   • SSO URL(로그인 URL): SSO URL입니다.
   • ID 공급자 엔터티 ID(발급자): Entity ID입니다.
   • 서명 인증서: 인증서를 다운로드합니다.
3. 다음 페이지에서 ACS URL에 회신 URL(ACS URL)을, Entity ID에 식별자(Entity ID)를 입력합니다. Name ID format은 EMAIL로, Name ID는 Basic Information > Primary email로 설정합니다.
4. User access에서 로그인할 조직 단위나 그룹에 대해 앱을 켭니다.

OneLogin, JumpCloud 및 그 밖의 공급자, SAML 사용#

1. 이름이 "Measure Map Online"인 SAML 2.0 애플리케이션을 만듭니다.
2. 식별자(Entity ID)와 회신 URL(ACS URL)을 입력하고, 사용자의 이메일 주소를 Name ID로 보내도록 설정한 다음, 로그인할 사람을 지정합니다.
3. 보통 애플리케이션의 SAML 또는 메타데이터 페이지에서 세부 정보 3가지를 복사합니다.
   • SSO URL(로그인 URL): ID 공급자의 싱글 사인온 URL입니다.
   • ID 공급자 엔터티 ID(발급자): 엔티티 ID이며 issuer라고도 합니다.
   • 서명 인증서: 공급자의 서명 인증서입니다.

Microsoft Entra ID, OpenID Connect 사용#

1. Microsoft Entra 관리 센터에서 App registrations > New registration을 엽니다. 이름을 "Measure Map Online"으로 하고, 플랫폼은 Web을 선택한 다음 리디렉션 URI를 입력합니다.
2. Certificates & secrets에서 클라이언트 비밀을 만들고 그 값을 바로 복사합니다. 한 번만 표시됩니다.
3. Token configuration에서 선택적 클레임 email을 ID 토큰에 추가합니다.
4. 세부 정보 3가지를 복사합니다.
   • 발급자 URL: https://login.microsoftonline.com/<tenant ID>/v2.0이며, Overview 페이지의 Directory (tenant) ID를 넣습니다.
   • 클라이언트 ID: Application (client) ID입니다.
   • 클라이언트 비밀: 2단계에서 만든 비밀의 값입니다.

그 밖의 공급자, OpenID Connect 사용#

1. 이름이 "Measure Map Online"이고 리디렉션 URI를 사용하는 OpenID Connect 웹 애플리케이션을 만듭니다.
2. openid, email, profile 범위를 허용하고 로그인할 사람을 지정합니다.
3. 세부 정보 3가지인 발급자 URL, 클라이언트 ID, **클라이언트 비밀**을 복사합니다.

2단계: 세부 정보 보내기#

**정보 보내기**에서 다음을 입력합니다.

• SAML인 경우: SSO URL(로그인 URL), ID 공급자 엔터티 ID(발급자), 서명 인증서. 인증서의 텍스트(Base64 또는 PEM, BEGIN과 END 줄 포함)를 붙여 넣거나, upload_file파일 선택을 눌러 다운로드한 .cer, .crt, .pem 파일을 선택합니다.
• OpenID Connect인 경우: 발급자 URL, 클라이언트 ID, 클라이언트 비밀.
• 이메일 도메인: acme.com 같은 도메인을 입력하고 add추가을 누르거나 Enter를 누릅니다. 팀이 사용하는 모든 도메인을 추가하세요. 이 도메인의 주소를 가진 사람만 싱글 사인온으로 가입할 수 있습니다.
• **기술 담당자**과 담당자 이메일: 신청에 관해 저희가 연락할 사람입니다. 그 밖의 내용은 **참고할 사항(선택 사항)**에 적습니다.

send요청 보내기을 누릅니다. 세부 정보는 보내는 즉시 검증되며, 받아들여지지 않으면 양식에서 바로 무엇을 고쳐야 하는지 알려 줍니다.

• "서명 인증서를 읽을 수 없습니다. BEGIN 및 END 줄을 포함한 인증서 전체를 붙여 넣거나 파일을 선택하세요."
• "입력한 정보가 승인되지 않았습니다. SSO URL, 엔터티 ID, 인증서(또는 발급자, 클라이언트 ID, 비밀)를 확인하고 다시 시도하세요."

확인하는 동안#

신청을 보내면 페이지 맨 위의 상태에 schedule **검토 대기 중**이 표시되며, 보낸 세부 정보와 이 신청을 위해 만든 지원 티켓 번호가 함께 나옵니다. 저희는 신청을 확인하고, 특히 이메일 도메인이 조직의 것인지 확인한 뒤 싱글 사인온을 켭니다. 소유자에게 이메일이 가고, 페이지에는 로그인 링크와 함께 check_circle **사용 중**이 표시됩니다.

기다리는 동안 다음을 할 수 있습니다.

• edit요청 수정을 눌러 신청을 수정한 다음 send요청 업데이트을 누릅니다. 이전에 보낸 값을 유지하려면 서명 인증서 또는 **클라이언트 비밀**을 비워 두세요.
• undo요청 철회을 눌러 신청을 취소합니다. 언제든 새 신청을 보낼 수 있습니다.

변경이 필요하면 상태에 error **수정 필요**이 표시되고 무엇을 바꿔야 하는지 저희의 메모가 함께 나옵니다. 양식을 수정한 다음 send요청 업데이트을 누르세요.

켜진 후#

페이지에는 ID 공급자, 승인된 이메일 도메인, **로그인 링크**가 표시됩니다. 예를 들어 https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c입니다. content_copy를 눌러 복사하고 팀에 공유하세요. 이 링크는 회사의 공급자로 바로 로그인할 수 있게 준비된 로그인 페이지를 엽니다. ?sso= 대신 ?saml=을 쓴 같은 링크도 작동합니다.

• 가입하는 사람: 이 링크로 로그인한 사람은 주소가 승인된 도메인 중 하나에 있으면 처음 로그인할 때 조직에 자동으로 가입합니다. 초대받은 사람과 마찬가지로 조직의 기본 역할을 받으며, 각자 좌석을 하나 사용합니다. 남은 좌석이 없으면 그 사람은 가입할 수 없고, 소유자에게 이에 관한 이메일이 갑니다(하루에 최대 한 번).
• 변경: 공급자를 바꾸거나 싱글 사인온을 끄려면 support_agent문의하기을 누르세요. 미리 작성이 시작된 지원 양식이 열립니다. 싱글 사인온이 켜지거나 꺼질 때마다 소유자에게 이메일이 가므로, 예상치 못한 변경을 아무도 모르고 지나치는 일이 없습니다.
• 인증서: SAML을 사용하는 경우 페이지에 ID 공급자의 서명 인증서가 언제까지 유효한지 표시되며, 만료 한 달 전부터 경고합니다. 만료되면 아무도 싱글 사인온으로 로그인할 수 없습니다. ID 공급자에서 새 인증서를 만들어 support_agent문의하기으로 저희에게 보내 주세요.
• 문제: 공급자가 작동을 멈추면 상태에 error **작동하지 않음**이 표시되고 팀은 싱글 사인온으로 로그인할 수 없습니다. 1단계와 2단계처럼 알림 아래의 신청 양식을 다시 보내 주시면, 저희가 확인한 뒤 다시 연결합니다. support_agent문의하기을 눌러도 됩니다.