Polityka i jednokrotne logowanie

policyZasady organizacji ustala zasady obowiązujące wszystkich, których do niej zapraszasz. vpn_keyLogowanie jednokrotne pozwala pracownikom logować się kontem, które firma już im daje, i automatycznie dołączać do organizacji.

Oba ustawienia znajdziesz w obszarze Enterprise: businessEnterprise > policyZasady oraz vpn_keyLogowanie jednokrotne.

Polityka organizacji#

Zmień dowolną z poniższych opcji, a następnie naciśnij saveZapisz u dołu strony. Nowa rola domyślna dotyczy osób, które dołączą od tej chwili; nie zmienia ról obecnych członków.

Dozwolone domeny e-mail#

Do Twojej organizacji można zapraszać lub dołączać tylko osoby z tymi domenami e-mail. Pozostaw puste, aby zezwolić na dowolną domenę.

1. W sekcji Dozwolone domeny e-mail wpisz domenę w polu Dodaj domenę, na przykład acme.com. Wpisz samą domenę, nie adres e-mail ani adres internetowy.
2. Naciśnij addDodaj (lub Enter). Domena pojawi się jako znacznik.
3. Naciśnij saveZapisz.

Naciśnij close na znaczniku, aby usunąć tę domenę. Gdy lista jest pusta, strona wyświetla komunikat „Brak ograniczeń — można zapraszać z dowolnej domeny e-mail.”

Gdy lista jest ustawiona, zaproszenie na adres w jakiejkolwiek innej domenie zostanie odrzucone, zarówno na stronie groupUżytkownicy, jak i przez serwer; to samo dotyczy prośby o dołączenie wysłanej do istniejącego konta. Członkowie nie mogą też zmienić własnego adresu logowania na adres w innej domenie.

Ustawienia domyślne#

• Domyślna rola nowych członków: rola nadawana każdemu, kto dołącza: osobom, które zapraszasz, istniejącym kontom przyjmującym prośbę o dołączenie, osobom przychodzącym przez jednokrotne logowanie oraz członkom tworzonym przez API. Początkowo jest to Członek. Tylko właściciel może ustawić Administrator. Zobacz role.
• Oznaczaj członków jako nieaktywnych po (dniach): członek, który nie logował się dłużej niż podana liczba dni, jest na stronie groupUżytkownicy oznaczany jako nieaktywny, co sygnalizuje, że jego miejsce mógłby zająć ktoś inny. Dowolna liczba od 1 do 3650; początkowo 60.

Zabezpieczenia#

• Wymagaj przekazania projektów, zanim członek zamknie swoje konto: członkowie w żadnym przypadku nie mogą usunąć własnego konta, mogą to zrobić tylko właściciel i administratorzy, więc ta opcja niczego nie zmienia. Członkowie, których usuniesz, zawsze zostawiają swoje projekty w organizacji. Zobacz usuwanie kogoś z organizacji.

Jednokrotne logowanie#

Dzięki jednokrotnemu logowaniu pracownicy logują się do Measure Map Online kontem, które firma już im daje (Microsoft, Okta, Google i inne), przez dostawcę tożsamości Twojej firmy, za pomocą SAML lub OpenID Connect (OIDC). Każda osoba z Twojej firmy, która się w ten sposób zaloguje, automatycznie dołącza do organizacji.

Składasz o nie wniosek na stronie vpn_keyLogowanie jednokrotne: pokazuje ona, co wpisać u dostawcy tożsamości i co nam przesłać. Sprawdzamy wniosek i włączamy jednokrotne logowanie. Wniosek może wysłać właściciel organizacji i jej administratorzy.

Jak to działa#

1. Poniżej przesyłasz nam dane swojego dostawcy tożsamości wraz z domenami e-mail używanymi przez Twój zespół.
2. Sprawdzamy je i włączamy logowanie jednokrotne. Dostajesz e-mail, a ta strona pokazuje link do logowania.
3. Twój zespół loguje się kontem firmowym. Nowe osoby dołączają do Twojej organizacji i pojawiają się w sekcji Użytkownicy, gdzie ustawiasz ich rolę.

Czego potrzebujesz na początek#

• Dostępu administratora do Twojego dostawcy tożsamości, np. do centrum administracyjnego Microsoft Entra, konsoli administracyjnej Okta lub konsoli administracyjnej Google, albo kogoś z działu IT, kto ma taki dostęp. Dodajesz tam Measure Map Online jako aplikację.
• Wszystkich domen e-mail używanych przez zespół, na przykład acme.com i acme.co.uk. Dołączyć przez jednokrotne logowanie mogą tylko osoby z adresem w tych domenach.
• Kontaktu technicznego: imienia i nazwiska oraz adresu e-mail osoby, do której możemy się zwrócić w sprawie połączenia.
• Trzech danych od dostawcy tożsamości, które skopiujesz po dodaniu tam Measure Map Online (krok 1 poniżej):
  • przy SAML: Adres logowania jednokrotnego (adres logowania), Identyfikator podmiotu dostawcy tożsamości (wystawca) i Certyfikat podpisujący;
  • przy OpenID Connect: Adres wystawcy, Identyfikator klienta i Klucz tajny klienta.

Krok 1: dodaj Measure Map Online u dostawcy tożsamości#

1. Otwórz businessEnterprise > vpn_keyLogowanie jednokrotne.

2. W polu Protokół wybierz SAML 2.0, który zaleca strona, albo OpenID Connect, jeśli woli go Twój dział IT.

3. W polu Dostawca tożsamości wybierz swojego dostawcę: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud lub Inny dostawca.

4. W sekcji Wpisz te wartości u swojego dostawcy tożsamości strona pokazuje naszą stronę połączenia. Skopiuj każdą wartość ze strony przyciskiem content_copy, zamiast przepisywać ją ręcznie.

   Przy SAML:

   • Identyfikator (Entity ID): https://app.measuremaponline.com
   • Adres odpowiedzi (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: Adres e-mail użytkownika
   • Atrybuty: email (wymagany); imię i nazwisko lub nazwa wyświetlana (opcjonalnie)

   Przy OpenID Connect:

   • Redirect URI: https://measuremaponline.com/__/auth/handler
   • Zakresy: openid email profile

5. Poniżej strona podaje kroki dla wybranego dostawcy. Są one również tutaj, razem z informacją, gdzie znaleźć każdą daną, o którą prosi krok 2.

Gdzie to znaleźć u dostawcy tożsamości#

Microsoft Entra ID, Okta i Google Workspace mają własne kroki. OneLogin, JumpCloud i inni dostawcy korzystają z kroków ogólnych.

Microsoft Entra ID, z SAML#

1. W centrum administracyjnym Microsoft Entra otwórz Enterprise applications > New application > Create your own application. Nazwij ją „Measure Map Online” i wybierz integrację aplikacji, której nie ma w galerii.
2. W nowej aplikacji otwórz Single sign-on i wybierz SAML. W sekcji Basic SAML Configuration wpisz Identyfikator (Entity ID) i Adres odpowiedzi (ACS URL).
3. W sekcji Attributes & Claims ustaw Unique User Identifier (Name ID) na user.mail i zachowaj oświadczenie z adresem e-mail.
4. W sekcji Users and groups przypisz osoby lub grupy, które będą się logować.
5. Wróć do Single sign-on i skopiuj trzy dane:
   • Adres logowania jednokrotnego (adres logowania): Login URL, w sekcji Set up Measure Map Online.
   • Identyfikator podmiotu dostawcy tożsamości (wystawca): Microsoft Entra Identifier, w tym samym miejscu.
   • Certyfikat podpisujący: pobierz Certificate (Base64) w sekcji SAML Certificates.

Okta, z SAML#

1. W konsoli administracyjnej Okta otwórz Applications > Applications > Create App Integration, wybierz SAML 2.0 i nazwij aplikację „Measure Map Online”.
2. Wpisz Adres odpowiedzi (ACS URL) jako Single sign-on URL, a Identyfikator (Entity ID) jako Audience URI (SP Entity ID). Ustaw Name ID format na EmailAddress, a Application username na Email.
3. W sekcji Attribute Statements dodaj email z wartością user.email (oraz firstName i lastName, jeśli chcesz).
4. Na karcie Assignments przypisz osoby lub grupy, które będą się logować.
5. Na karcie Sign On otwórz View SAML setup instructions i skopiuj:
   • Adres logowania jednokrotnego (adres logowania): Identity Provider Single Sign-On URL.
   • Identyfikator podmiotu dostawcy tożsamości (wystawca): Identity Provider Issuer.
   • Certyfikat podpisujący: X.509 Certificate.

Google Workspace, z SAML#

1. W konsoli administracyjnej Google otwórz Apps > Web and mobile apps > Add app > Add custom SAML app i nazwij aplikację „Measure Map Online”.
2. Na stronie Google Identity Provider details skopiuj trzy dane, a potem przejdź dalej:
   • Adres logowania jednokrotnego (adres logowania): SSO URL.
   • Identyfikator podmiotu dostawcy tożsamości (wystawca): Entity ID.
   • Certyfikat podpisujący: pobierz certyfikat.
3. Na następnej stronie wpisz Adres odpowiedzi (ACS URL) jako ACS URL, a Identyfikator (Entity ID) jako Entity ID. Ustaw Name ID format na EMAIL, a Name ID na Basic Information > Primary email.
4. W sekcji User access włącz aplikację dla jednostek organizacyjnych lub grup, które będą się logować.

OneLogin, JumpCloud i inni dostawcy, z SAML#

1. Utwórz aplikację SAML 2.0 o nazwie „Measure Map Online”.
2. Wpisz Identyfikator (Entity ID) i Adres odpowiedzi (ACS URL), wysyłaj adres e-mail użytkownika jako Name ID i przypisz osoby, które będą się logować.
3. Skopiuj trzy dane, zwykle ze strony SAML lub metadanych aplikacji:
   • Adres logowania jednokrotnego (adres logowania): adres jednokrotnego logowania dostawcy tożsamości.
   • Identyfikator podmiotu dostawcy tożsamości (wystawca): jego identyfikator jednostki, zwany też wystawcą (issuer).
   • Certyfikat podpisujący: jego certyfikat podpisujący.

Microsoft Entra ID, z OpenID Connect#

1. W centrum administracyjnym Microsoft Entra otwórz App registrations > New registration. Nazwij ją „Measure Map Online”, jako platformę wybierz Web i wpisz Redirect URI.
2. W sekcji Certificates & secrets utwórz klucz tajny klienta i od razu skopiuj jego wartość: jest pokazywana tylko raz.
3. W sekcji Token configuration dodaj opcjonalne oświadczenie email do tokenu ID.
4. Skopiuj trzy dane:
   • Adres wystawcy: https://login.microsoftonline.com/<tenant ID>/v2.0, z Directory (tenant) ID ze strony Overview.
   • Identyfikator klienta: Application (client) ID.
   • Klucz tajny klienta: wartość klucza z kroku 2.

Inni dostawcy, z OpenID Connect#

1. Utwórz aplikację internetową OpenID Connect o nazwie „Measure Map Online” z adresem Redirect URI.
2. Zezwól na zakresy openid, email i profile oraz przypisz osoby, które będą się logować.
3. Skopiuj trzy dane: Adres wystawcy, Identyfikator klienta i Klucz tajny klienta.

Krok 2: prześlij nam dane#

W sekcji Prześlij nam dane wypełnij:

• Przy SAML: Adres logowania jednokrotnego (adres logowania), Identyfikator podmiotu dostawcy tożsamości (wystawca) i Certyfikat podpisujący. Wklej tekst certyfikatu (Base64 lub PEM, wraz z wierszami BEGIN i END) albo naciśnij upload_fileWybierz plik i wybierz pobrany plik .cer, .crt lub .pem.
• Przy OpenID Connect: Adres wystawcy, Identyfikator klienta i Klucz tajny klienta.
• Domeny e-mail: wpisz domenę, na przykład acme.com, i naciśnij addDodaj (lub Enter). Dodaj każdą domenę używaną przez zespół: przez jednokrotne logowanie mogą dołączyć tylko osoby z adresem w tych domenach.
• Kontakt techniczny i E-mail kontaktowy: z kim mamy się kontaktować w sprawie wniosku. Wszystko inne wpisz w Wszystko, co powinniśmy wiedzieć (opcjonalnie).

Naciśnij sendWyślij zgłoszenie. Dane są sprawdzane już podczas wysyłania, a jeśli nie zostaną przyjęte, formularz od razu podpowie, co poprawić:

• „Nie udało się odczytać tego certyfikatu podpisującego. Wklej cały certyfikat, razem z wierszami BEGIN i END, lub wybierz plik.”
• „Te dane nie zostały zaakceptowane. Sprawdź adres logowania jednokrotnego, identyfikator podmiotu i certyfikat (lub wystawcę, identyfikator klienta i klucz tajny) i spróbuj ponownie.”

Gdy sprawdzamy wniosek#

Po wysłaniu wniosku status u góry strony brzmi schedule Czeka na nas i zawiera przesłane dane oraz numer zgłoszenia w pomocy technicznej, które dla niego otworzyliśmy. Sprawdzamy wniosek, przede wszystkim to, czy domeny e-mail należą do Twojej organizacji, i włączamy jednokrotne logowanie. Właściciel dostaje e-mail, a strona pokazuje check_circle Włączone wraz z linkiem do logowania.

W oczekiwaniu możesz:

• Nacisnąć editEdytuj zgłoszenie, aby poprawić wniosek, a potem sendZaktualizuj zgłoszenie. Zostaw puste pole Certyfikat podpisujący lub Klucz tajny klienta, aby zachować wcześniej przesłane dane.
• Nacisnąć undoWycofaj zgłoszenie, aby go anulować. Nowy wniosek możesz wysłać w dowolnej chwili.

Jeśli potrzebujemy jakiejś zmiany, status brzmi error Wymaga zmiany i zawiera naszą notatkę o tym, co zmienić. Popraw formularz i naciśnij sendZaktualizuj zgłoszenie.

Gdy jest włączone#

Strona pokazuje Twojego dostawcę tożsamości, zatwierdzone domeny e-mail i Link do logowania, na przykład https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Naciśnij content_copy, aby go skopiować, i udostępnij go zespołowi: otwiera stronę logowania przygotowaną dla dostawcy Twojej firmy. Działa też ten sam link z ?saml= zamiast ?sso=.

• Kto dołącza: osoby, które logują się tym sposobem, przy pierwszym logowaniu automatycznie dołączają do Twojej organizacji, jeśli ich adres należy do jednej z zatwierdzonych domen. Dostają rolę domyślną organizacji, tak jak osoby zaproszone, i każda zajmuje jedno miejsce. Jeśli nie ma wolnego miejsca, osoba nie może dołączyć, a właściciel dostaje o tym e-mail (najwyżej raz dziennie).
• Zmiany: aby zmienić dostawcę lub wyłączyć jednokrotne logowanie, naciśnij support_agentSkontaktuj się z nami. Otworzy się formularz kontaktowy, już dla Ciebie zaczęty. Właściciel dostaje e-mail za każdym razem, gdy jednokrotne logowanie zostaje włączone lub wyłączone, więc nieoczekiwana zmiana nie przejdzie niezauważona.
• Certyfikat: przy SAML strona pokazuje, do kiedy ważny jest certyfikat podpisujący Twojego dostawcy tożsamości, i ostrzega na miesiąc przed jego wygaśnięciem. Gdy wygaśnie, nikt nie zaloguje się jednokrotnym logowaniem: utwórz nowy certyfikat u dostawcy tożsamości i prześlij nam go przyciskiem support_agentSkontaktuj się z nami.
• Problemy: jeśli dostawca przestanie działać, status brzmi error Nie działa, a Twój zespół nie może się przez niego logować. Wyślij ponownie formularz wniosku pod komunikatem, tak jak w kroku 1 i kroku 2, a my ponownie połączymy dostawcę po sprawdzeniu. Możesz też nacisnąć support_agentSkontaktuj się z nami.