นโยบายและการลงชื่อเข้าใช้ครั้งเดียว

policyนโยบาย ขององค์กรกำหนดกฎที่ใช้กับทุกคนที่คุณนำเข้ามา ส่วน vpn_keyการลงชื่อเข้าใช้ครั้งเดียว ช่วยให้พนักงานของคุณลงชื่อเข้าใช้ด้วยบัญชีที่บริษัท มอบให้อยู่แล้ว และเข้าร่วมองค์กรโดยอัตโนมัติ

ทั้งสองอยู่ในส่วน Enterprise: businessEnterprise > policyนโยบาย และ vpn_keyการลงชื่อเข้าใช้ครั้งเดียว

นโยบายขององค์กร#

เปลี่ยนตัวเลือกด้านล่างได้ตามต้องการ แล้วกด saveบันทึก ที่ด้านล่าง ของหน้า บทบาทเริ่มต้นใหม่จะมีผลกับคนที่เข้าร่วมหลังจากนั้น และจะไม่เปลี่ยน บทบาทของสมาชิกเดิม

โดเมนอีเมลที่อนุญาต#

เฉพาะผู้ที่ใช้โดเมนอีเมลเหล่านี้เท่านั้นที่เชิญหรือเชื่อมโยงกับองค์กรของคุณได้ เว้นว่างไว้เพื่ออนุญาตทุกโดเมน

1. ใต้ โดเมนอีเมลที่อนุญาต พิมพ์โดเมนในช่อง เพิ่มโดเมน เช่น acme.com พิมพ์เฉพาะโดเมน ไม่ใช่ที่อยู่อีเมลหรือที่อยู่เว็บ
2. กด addเพิ่ม (หรือ Enter) โดเมนจะปรากฏเป็นชิป
3. กด saveบันทึก

กด close บนชิปเพื่อลบโดเมนนั้น หากในรายการไม่มีโดเมนเลย หน้าจะแสดงว่า "ไม่มีข้อจำกัด เชิญได้จากทุกโดเมนอีเมล"

เมื่อตั้งรายการไว้แล้ว คำเชิญไปยังโดเมนอื่นจะถูกปฏิเสธ ทั้งในหน้า groupผู้ใช้ และโดยเซิร์ฟเวอร์ รวมถึงคำขอเข้าร่วมที่ส่งไปยังบัญชีที่มีอยู่แล้ว และสมาชิกก็ เปลี่ยนที่อยู่สำหรับลงชื่อเข้าใช้ของตนเป็นโดเมนอื่นไม่ได้เช่นกัน

ค่าเริ่มต้น#

• บทบาทเริ่มต้นสำหรับสมาชิกใหม่: บทบาทที่มอบให้ทุกคนที่เข้าร่วม ได้แก่ คนที่คุณเชิญ บัญชีที่มีอยู่แล้วซึ่งยอมรับคำขอเข้าร่วม คนที่เข้ามาผ่าน การลงชื่อเข้าใช้ครั้งเดียว และสมาชิกที่สร้างผ่าน API ค่าเริ่มต้นคือ สมาชิก เฉพาะเจ้าของเท่านั้นที่ตั้งเป็น ผู้ดูแลระบบ ได้ ดูบทบาท
• ทำเครื่องหมายสมาชิกว่าไม่ได้ใช้งานหลังจาก (วัน): สมาชิกที่ไม่ได้ลงชื่อเข้าใช้นานกว่าช่วงนี้จะถูก นับว่าไม่ได้ใช้งานในหน้า groupผู้ใช้ เป็นสัญญาณว่าที่นั่งของเขาอาจโอน ให้คนอื่นได้ ใส่ตัวเลขใดก็ได้ตั้งแต่ 1 ถึง 3650 ค่าเริ่มต้นคือ 60

มาตรการป้องกัน#

• ต้องโอนโปรเจกต์ก่อนที่สมาชิกจะปิดบัญชีของตน: สมาชิกลบบัญชีของตนเองไม่ได้ไม่ว่ากรณีใด มีเพียงเจ้าของและ Admin เท่านั้นที่ลบได้ ตัวเลือกนี้จึงไม่ได้เปลี่ยนอะไร สมาชิกที่คุณลบจะทิ้งโปรเจกต์ไว้กับองค์กรเสมอ ดูลบบุคคลออกจากองค์กร

การลงชื่อเข้าใช้ครั้งเดียว#

ด้วยการลงชื่อเข้าใช้ครั้งเดียว พนักงานของคุณลงชื่อเข้าใช้ Measure Map Online ด้วยบัญชีที่บริษัทมอบให้อยู่แล้ว (Microsoft, Okta, Google และอื่น ๆ) ผ่าน ผู้ให้บริการระบุตัวตนของบริษัทคุณ โดยใช้ SAML หรือ OpenID Connect (OIDC) ทุกคนในบริษัทที่ลงชื่อเข้าใช้ด้วยวิธีนี้จะเข้าร่วมองค์กรของคุณโดยอัตโนมัติ

คุณส่งคำขอได้ที่หน้า vpn_keyการลงชื่อเข้าใช้ครั้งเดียว ซึ่งแสดงสิ่งที่ต้อง ป้อนในผู้ให้บริการระบุตัวตนของคุณและสิ่งที่ต้องส่งให้เรา เราจะตรวจสอบคำขอ แล้วเปิดการลงชื่อเข้าใช้ครั้งเดียวให้ เจ้าขององค์กรและ Admin ส่งคำขอได้

วิธีทำงาน#

1. คุณส่งรายละเอียดผู้ให้บริการระบุตัวตนของคุณให้เราด้านล่าง พร้อมโดเมนอีเมลที่ทีมของคุณใช้
2. เราตรวจสอบแล้วเปิดการลงชื่อเข้าใช้ครั้งเดียว คุณจะได้รับอีเมล และหน้านี้จะแสดงลิงก์เข้าสู่ระบบ
3. ทีมของคุณเข้าสู่ระบบด้วยบัญชีบริษัท ผู้ใช้ใหม่จะเข้าร่วมองค์กรของคุณและปรากฏใต้ ผู้ใช้ ซึ่งคุณกำหนดบทบาทให้พวกเขาได้

สิ่งที่ต้องมีก่อนเริ่ม#

• สิทธิ์ผู้ดูแลระบบของผู้ให้บริการระบุตัวตน เช่น Microsoft Entra admin center, Okta Admin Console หรือ Google Admin console หรือคนในทีมไอทีของคุณ ที่มีสิทธิ์นั้น คุณจะเพิ่ม Measure Map Online ที่นั่นเป็นแอปพลิเคชัน
• โดเมนอีเมลทั้งหมดที่ทีมของคุณใช้ เช่น acme.com และ acme.co.uk เฉพาะคนที่มีที่อยู่อีเมลในโดเมนเหล่านี้เท่านั้นที่เข้าร่วมผ่านการลงชื่อเข้าใช้ ครั้งเดียวได้
• ผู้ติดต่อด้านเทคนิค: ชื่อและที่อยู่อีเมลของคนที่เราสอบถามเรื่องการเชื่อมต่อได้
• รายละเอียดสามอย่างจากผู้ให้บริการระบุตัวตนของคุณ ซึ่งคุณคัดลอกหลังจาก เพิ่ม Measure Map Online ที่นั่นแล้ว (ขั้นตอนที่ 1 ด้านล่าง):
  • เมื่อใช้ SAML: URL การลงชื่อเข้าใช้ครั้งเดียว (URL เข้าสู่ระบบ), Entity ID ของผู้ให้บริการระบุตัวตน (ผู้ออก) และ ใบรับรองสำหรับลงนาม
  • เมื่อใช้ OpenID Connect: URL ผู้ออก, Client ID และ Client secret

ขั้นตอนที่ 1: เพิ่ม Measure Map Online ในผู้ให้บริการระบุตัวตนของคุณ#

1. เปิด businessEnterprise > vpn_keyการลงชื่อเข้าใช้ครั้งเดียว

2. ใต้ โปรโตคอล เลือก SAML 2.0 ซึ่งหน้านี้แนะนำ หรือ OpenID Connect หากทีมไอทีของคุณต้องการ

3. ใต้ ผู้ให้บริการระบุตัวตน เลือกผู้ให้บริการของคุณ: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud หรือ ผู้ให้บริการรายอื่น

4. ใต้ ใส่ค่าเหล่านี้ในผู้ให้บริการระบุตัวตนของคุณ หน้านี้แสดงฝั่งของเราในการเชื่อมต่อ ให้คัดลอก แต่ละค่าจากหน้าด้วย content_copy แทนการพิมพ์เอง

   เมื่อใช้ SAML:

   • ตัวระบุ (Entity ID): https://app.measuremaponline.com
   • URL ตอบกลับ (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: ที่อยู่อีเมลของผู้ใช้
   • แอตทริบิวต์: email (จำเป็น) ชื่อและนามสกุล หรือชื่อที่แสดง (ไม่บังคับ)

   เมื่อใช้ OpenID Connect:

   • Redirect URI: https://measuremaponline.com/__/auth/handler
   • ขอบเขต: openid email profile

5. ด้านล่างค่าเหล่านั้น หน้านี้แสดงขั้นตอนสำหรับผู้ให้บริการที่คุณเลือก ขั้นตอนเหล่านั้นอยู่ที่นี่ด้วย พร้อมบอกว่าจะหารายละเอียดแต่ละอย่างที่ขั้นตอนที่ 2 ต้องการได้ที่ไหน

หาได้ที่ไหนในผู้ให้บริการระบุตัวตนของคุณ#

Microsoft Entra ID, Okta และ Google Workspace มีขั้นตอนเฉพาะของตนเอง ส่วน OneLogin, JumpCloud และผู้ให้บริการรายอื่นใช้ขั้นตอนทั่วไป

Microsoft Entra ID ด้วย SAML#

1. ใน Microsoft Entra admin center เปิด Enterprise applications > New application > Create your own application ตั้งชื่อว่า "Measure Map Online" และเลือกให้รวมแอปพลิเคชันที่คุณไม่พบในแกลเลอรี
2. ในแอปพลิเคชันใหม่ เปิด Single sign-on และเลือก SAML ใต้ Basic SAML Configuration ป้อน ตัวระบุ (Entity ID) และ URL ตอบกลับ (ACS URL)
3. ใต้ Attributes & Claims ตั้ง Unique User Identifier (Name ID) เป็น user.mail และคงการอ้างสิทธิ์ที่อยู่อีเมลไว้
4. ใต้ Users and groups กำหนดคนหรือกลุ่มที่จะลงชื่อเข้าใช้
5. กลับไปที่ Single sign-on คัดลอกรายละเอียดทั้งสามอย่าง:
   • URL การลงชื่อเข้าใช้ครั้งเดียว (URL เข้าสู่ระบบ): Login URL ใต้ Set up Measure Map Online
   • Entity ID ของผู้ให้บริการระบุตัวตน (ผู้ออก): Microsoft Entra Identifier ในที่เดียวกัน
   • ใบรับรองสำหรับลงนาม: ดาวน์โหลด Certificate (Base64) ใต้ SAML Certificates

Okta ด้วย SAML#

1. ใน Okta Admin Console เปิด Applications > Applications > Create App Integration เลือก SAML 2.0 และตั้งชื่อแอปว่า "Measure Map Online"
2. ป้อน URL ตอบกลับ (ACS URL) เป็น Single sign-on URL และ ตัวระบุ (Entity ID) เป็น Audience URI (SP Entity ID) ตั้ง Name ID format เป็น EmailAddress และ Application username เป็น Email
3. ใต้ Attribute Statements เพิ่ม email ด้วยค่า user.email (และ firstName กับ lastName ได้หากต้องการ)
4. ในแท็บ Assignments กำหนดคนหรือกลุ่มที่จะลงชื่อเข้าใช้
5. ในแท็บ Sign On เปิด View SAML setup instructions แล้วคัดลอก:
   • URL การลงชื่อเข้าใช้ครั้งเดียว (URL เข้าสู่ระบบ): Identity Provider Single Sign-On URL
   • Entity ID ของผู้ให้บริการระบุตัวตน (ผู้ออก): Identity Provider Issuer
   • ใบรับรองสำหรับลงนาม: X.509 Certificate

Google Workspace ด้วย SAML#

1. ใน Google Admin console เปิด Apps > Web and mobile apps > Add app > Add custom SAML app และตั้งชื่อว่า "Measure Map Online"
2. ในหน้ารายละเอียด Google Identity Provider คัดลอกรายละเอียดทั้งสามอย่าง แล้วทำต่อ:
   • URL การลงชื่อเข้าใช้ครั้งเดียว (URL เข้าสู่ระบบ): SSO URL
   • Entity ID ของผู้ให้บริการระบุตัวตน (ผู้ออก): Entity ID
   • ใบรับรองสำหรับลงนาม: ดาวน์โหลดใบรับรอง
3. ในหน้าถัดไป ป้อน URL ตอบกลับ (ACS URL) เป็น ACS URL และ ตัวระบุ (Entity ID) เป็น Entity ID ตั้ง Name ID format เป็น EMAIL และ Name ID เป็น Basic Information > Primary email
4. ใต้ User access เปิดแอปให้หน่วยองค์กรหรือกลุ่มที่จะลงชื่อเข้าใช้

OneLogin, JumpCloud และผู้ให้บริการรายอื่นด้วย SAML#

1. สร้างแอปพลิเคชัน SAML 2.0 ชื่อ "Measure Map Online"
2. ป้อน ตัวระบุ (Entity ID) และ URL ตอบกลับ (ACS URL) ส่งที่อยู่อีเมลของผู้ใช้ เป็น Name ID และกำหนดคนที่จะลงชื่อเข้าใช้
3. คัดลอกรายละเอียดทั้งสามอย่าง ซึ่งมักอยู่ในหน้า SAML หรือ metadata ของแอปพลิเคชัน:
   • URL การลงชื่อเข้าใช้ครั้งเดียว (URL เข้าสู่ระบบ): URL การลงชื่อเข้าใช้ครั้งเดียวของผู้ให้บริการระบุตัวตน
   • Entity ID ของผู้ให้บริการระบุตัวตน (ผู้ออก): Entity ID ของผู้ให้บริการ หรือเรียกว่า issuer
   • ใบรับรองสำหรับลงนาม: ใบรับรองสำหรับลงนามของผู้ให้บริการ

Microsoft Entra ID ด้วย OpenID Connect#

1. ใน Microsoft Entra admin center เปิด App registrations > New registration ตั้งชื่อว่า "Measure Map Online" เลือก Web เป็นแพลตฟอร์ม และป้อน Redirect URI
2. ใต้ Certificates & secrets สร้าง client secret และคัดลอกค่าของมันทันที เพราะจะแสดงเพียงครั้งเดียว
3. ใต้ Token configuration เพิ่มการอ้างสิทธิ์เสริม email ใน ID token
4. คัดลอกรายละเอียดทั้งสามอย่าง:
   • URL ผู้ออก: https://login.microsoftonline.com/<tenant ID>/v2.0 โดยใช้ Directory (tenant) ID จากหน้า Overview
   • Client ID: Application (client) ID
   • Client secret: ค่าของ secret จากขั้นตอนที่ 2

ผู้ให้บริการรายอื่นด้วย OpenID Connect#

1. สร้างเว็บแอปพลิเคชัน OpenID Connect ชื่อ "Measure Map Online" พร้อม Redirect URI
2. อนุญาตขอบเขต openid, email และ profile และกำหนดคนที่จะลงชื่อเข้าใช้
3. คัดลอกรายละเอียดทั้งสามอย่าง: URL ผู้ออก, Client ID และ Client secret

ขั้นตอนที่ 2: ส่งรายละเอียดให้เรา#

ใต้ ส่งรายละเอียดให้เรา กรอกข้อมูลดังนี้:

• เมื่อใช้ SAML: URL การลงชื่อเข้าใช้ครั้งเดียว (URL เข้าสู่ระบบ), Entity ID ของผู้ให้บริการระบุตัวตน (ผู้ออก) และ ใบรับรองสำหรับลงนาม วางข้อความของใบรับรอง (Base64 หรือ PEM พร้อมบรรทัด BEGIN และ END) หรือกด upload_fileเลือกไฟล์ แล้วเลือกไฟล์ .cer, .crt หรือ .pem ที่คุณดาวน์โหลดมา
• เมื่อใช้ OpenID Connect: URL ผู้ออก, Client ID และ Client secret
• โดเมนอีเมล: พิมพ์โดเมน เช่น acme.com แล้วกด addเพิ่ม (หรือ Enter) เพิ่มทุกโดเมนที่ทีมของคุณใช้: เฉพาะคนที่มีที่อยู่อีเมลในโดเมนเหล่านี้เท่านั้นที่เข้าร่วมผ่านการลงชื่อเข้าใช้ ครั้งเดียวได้
• ผู้ติดต่อด้านเทคนิค และ อีเมลติดต่อ: คนที่เราติดต่อ เกี่ยวกับคำขอ เรื่องอื่น ๆ ใส่ใน สิ่งที่เราควรทราบ (ไม่บังคับ)

กด sendส่งคำขอ รายละเอียดจะถูกตรวจสอบขณะที่คุณส่ง และหากไม่ได้รับการยอมรับ แบบฟอร์มจะบอกทันทีว่าต้องแก้ไขอะไร:

• "อ่านใบรับรองสำหรับลงนามนี้ไม่ได้ วางใบรับรองทั้งหมดรวมถึงบรรทัด BEGIN และ END หรือเลือกไฟล์"
• "ไม่ยอมรับรายละเอียดเหล่านั้น ตรวจสอบ URL การลงชื่อเข้าใช้ครั้งเดียว, entity ID และใบรับรอง (หรือผู้ออก, client ID และ secret) แล้วลองอีกครั้ง"

ระหว่างที่เราตรวจสอบ#

เมื่อส่งคำขอแล้ว สถานะที่ด้านบนของหน้าจะแสดง schedule รอเรา พร้อมรายละเอียดที่คุณส่งและหมายเลข ตั๋วสนับสนุนที่เราเปิดไว้สำหรับคำขอนี้ เราจะตรวจสอบคำขอ โดยเฉพาะว่าโดเมน อีเมลเป็นขององค์กรของคุณ แล้วเปิดการลงชื่อเข้าใช้ครั้งเดียว เจ้าของจะได้รับอีเมล และหน้าจะแสดง check_circle เปิดใช้ พร้อมลิงก์เข้าสู่ระบบ

ระหว่างรอ คุณสามารถ:

• กด editแก้ไขคำขอ เพื่อแก้ไขคำขอ แล้วกด sendอัปเดตคำขอ เว้น ใบรับรองสำหรับลงนาม หรือ Client secret ว่างไว้ เพื่อใช้ค่าที่คุณส่งไปก่อนหน้านี้
• กด undoถอนคำขอ เพื่อยกเลิก คุณส่งคำขอใหม่ได้ ทุกเมื่อ

หากเราต้องการให้แก้ไขบางอย่าง สถานะจะแสดง error ต้องแก้ไข พร้อมหมายเหตุของเราว่าต้องแก้อะไร แก้ไข แบบฟอร์มแล้วกด sendอัปเดตคำขอ

เมื่อเปิดใช้งานแล้ว#

หน้านี้แสดงผู้ให้บริการระบุตัวตนของคุณ โดเมนอีเมลที่อนุมัติ และ ลิงก์เข้าสู่ระบบ เช่น https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c กด content_copy เพื่อคัดลอกและแชร์ให้ทีมของคุณ: ลิงก์นี้เปิดหน้าเข้าสู่ระบบ ที่พร้อมใช้กับผู้ให้บริการของบริษัทคุณ ลิงก์เดียวกันที่ใช้ ?saml= แทน ?sso= ก็ใช้ได้เช่นกัน

• ใครเข้าร่วมได้: คนที่ลงชื่อเข้าใช้ผ่านลิงก์นี้จะเข้าร่วมองค์กรของคุณ โดยอัตโนมัติในครั้งแรก หากที่อยู่อีเมลของเขาอยู่ในโดเมนที่อนุมัติ เขาจะได้รับบทบาทเริ่มต้นขององค์กรเช่นเดียวกับคนที่ได้รับเชิญ และแต่ละคนใช้หนึ่งที่นั่ง หากไม่มีที่นั่งว่าง คนนั้นจะเข้าร่วมไม่ได้ และเจ้าของจะได้รับอีเมลแจ้ง (อย่างมากวันละครั้ง)
• การเปลี่ยนแปลง: หากต้องการเปลี่ยนผู้ให้บริการหรือปิดการลงชื่อเข้าใช้ ครั้งเดียว กด support_agentติดต่อเรา ระบบจะเปิด แบบฟอร์มติดต่อฝ่ายสนับสนุนที่เริ่มกรอกให้แล้ว เจ้าของจะได้รับอีเมลทุกครั้งที่ เปิดหรือปิดการลงชื่อเข้าใช้ครั้งเดียว การเปลี่ยนแปลงที่ไม่มีใครคาดคิดจึงไม่ ผ่านไปโดยไม่มีใครรู้
• ใบรับรอง: เมื่อใช้ SAML หน้านี้แสดงว่าใบรับรองสำหรับลงนามของผู้ให้บริการ ระบุตัวตนของคุณมีผลถึงเมื่อใด และเตือนล่วงหน้าหนึ่งเดือนก่อนหมดอายุ เมื่อหมดอายุแล้ว จะไม่มีใครลงชื่อเข้าใช้ด้วยการลงชื่อเข้าใช้ครั้งเดียวได้: สร้างใบรับรองใหม่ในผู้ให้บริการระบุตัวตนของคุณและส่งให้เราด้วย support_agentติดต่อเรา
• ปัญหา: หากผู้ให้บริการหยุดทำงาน สถานะจะแสดง error ใช้งานไม่ได้ และทีมของคุณจะลงชื่อเข้าใช้ด้วย วิธีนี้ไม่ได้ ส่งแบบฟอร์มคำขอใต้ประกาศอีกครั้ง เช่นในขั้นตอนที่ 1 และ ขั้นตอนที่ 2 แล้วเราจะเชื่อมต่อใหม่เมื่อตรวจสอบแล้ว คุณยังกด support_agentติดต่อเรา ได้ด้วย