Політика та єдиний вхід (SSO)

policyПолітика організації задає правила, що діють для всіх, кого ви запрошуєте. vpn_keyЄдиний вхід (SSO) дає змогу співробітникам входити через обліковий запис, який їм уже надала ваша компанія, і автоматично приєднуватися до організації.

Обидва розділи є в зоні Enterprise: businessEnterprise > policyПолітика та vpn_keyЄдиний вхід (SSO).

Політика організації#

Змініть будь-які з наведених нижче параметрів, а потім натисніть saveЗберегти унизу сторінки. Нова роль за замовчуванням діє для тих, хто приєднається після цього; ролі наявних учасників вона не змінює.

Дозволені домени електронної пошти#

Запросити до організації або долучити до неї можна лише людей з цими доменами електронної пошти. Залиште порожнім, щоб дозволити будь-який домен.

1. У розділі Дозволені домени електронної пошти введіть домен у полі Додати домен, наприклад acme.com. Вводьте лише домен, а не адресу електронної пошти чи вебадресу.
2. Натисніть addДодати (або Enter). Домен з’явиться у вигляді мітки.
3. Натисніть saveЗберегти.

Натисніть close на мітці, щоб вилучити цей домен. Якщо в списку немає жодного домену, на сторінці написано «Без обмежень — можна запрошувати з будь-яким доменом електронної пошти.»

Якщо список заповнено, запрошення на будь-який інший домен відхиляється, як на сторінці groupКористувачі, так і сервером; так само відхиляється запит на приєднання, надісланий наявному обліковому запису. Учасники також не можуть змінити свою адресу для входу на адресу з іншого домену.

Значення за замовчуванням#

• Типова роль для нових учасників: роль, яку отримує кожен, хто приєднується: запрошені вами люди, наявні облікові записи, що приймають запит на приєднання, люди, які приходять через єдиний вхід, та учасники, створені через API. Спочатку це Учасник. Лише власник може зробити нею Адміністратор. Див. ролі.
• Позначати учасників як неактивних після (днів): учасника, який не входив довше за цей строк, на сторінці groupКористувачі вважають неактивним; це підказка, що його місце можна віддати комусь іншому. Будь-яке число від 1 до 3650; спочатку 60.

Запобіжники#

• Вимагати передачі проєктів, перш ніж учасник закриє свій акаунт: учасники в жодному разі не можуть видалити власний обліковий запис, це можуть зробити лише власник і адміністратори, тому цей параметр нічого не змінює. Проєкти учасників, яких ви видаляєте, завжди залишаються в організації. Див. як вилучити людину з організації.

Єдиний вхід#

З єдиним входом ваші співробітники входять у Measure Map Online через обліковий запис, який їм уже надала компанія (Microsoft, Okta, Google та інші), за допомогою постачальника ідентифікації вашої компанії, за протоколом SAML або OpenID Connect (OIDC). Кожен співробітник вашої компанії, який входить цим способом, автоматично приєднується до вашої організації.

Ви подаєте запит на сторінці vpn_keyЄдиний вхід (SSO): вона показує, що ввести у вашого постачальника ідентифікації і що надіслати нам. Ми перевіряємо запит і вмикаємо єдиний вхід. Надіслати запит можуть власник організації та її адміністратори.

Як це працює#

1. Ви надсилаєте нам нижче дані свого постачальника ідентифікації разом з доменами електронної пошти, якими користується ваша команда.
2. Ми перевіряємо їх і вмикаємо єдиний вхід. Ви отримуєте лист, а на цій сторінці з’являється посилання для входу.
3. Ваша команда входить через корпоративний акаунт. Нові користувачі приєднуються до вашої організації та з’являються в розділі «Користувачі», де ви призначаєте їм роль.

Що потрібно підготувати#

• Адміністраторський доступ до вашого постачальника ідентифікації, як-от центр адміністрування Microsoft Entra, Okta Admin Console чи консоль адміністратора Google, або людина з вашого ІТ-відділу, яка його має. Саме там ви додаєте Measure Map Online як застосунок.
• Кожен домен електронної пошти, яким користується ваша команда, наприклад acme.com і acme.co.uk. Приєднатися через єдиний вхід можуть лише люди з адресою в цих доменах.
• Технічний контакт: ім’я та адреса електронної пошти людини, яку ми можемо розпитати про підключення.
• Три параметри від вашого постачальника ідентифікації, які ви копіюєте після додавання туди Measure Map Online (крок 1 нижче):
  • для SAML: URL єдиного входу (URL входу), Entity ID постачальника ідентифікації (емітент) і Сертифікат підпису;
  • для OpenID Connect: URL емітента, Client ID і Client secret.

Крок 1: додайте Measure Map Online до свого постачальника ідентифікації#

1. Відкрийте businessEnterprise > vpn_keyЄдиний вхід (SSO).

2. У полі Протокол виберіть SAML 2.0, який рекомендує сторінка, або OpenID Connect, якщо ваш ІТ-відділ віддає перевагу йому.

3. У полі Постачальник ідентифікації виберіть свого постачальника: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud або Інший постачальник.

4. У розділі Введіть ці значення у свого постачальника ідентифікації сторінка показує наш бік підключення. Копіюйте кожне значення зі сторінки за допомогою content_copy, а не вводьте його вручну.

   Для SAML:

   • Ідентифікатор (Entity ID): https://app.measuremaponline.com
   • URL відповіді (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: Адреса електронної пошти користувача
   • Атрибути: email (обов’язково); ім’я та прізвище або відображуване ім’я (необов’язково)

   Для OpenID Connect:

   • URI перенаправлення: https://measuremaponline.com/__/auth/handler
   • Області (scopes): openid email profile

5. Нижче сторінка наводить кроки для вибраного вами постачальника. Вони є й тут, разом із підказкою, де знайти кожен параметр, потрібний на кроці 2.

Де це знайти у вашого постачальника ідентифікації#

Для Microsoft Entra ID, Okta і Google Workspace є власні кроки. OneLogin, JumpCloud та інші постачальники відповідають загальним крокам.

Microsoft Entra ID, SAML#

1. У центрі адміністрування Microsoft Entra відкрийте Enterprise applications > New application > Create your own application. Назвіть застосунок «Measure Map Online» і виберіть інтеграцію застосунку, якого немає в галереї.
2. У новому застосунку відкрийте Single sign-on і виберіть SAML. У розділі Basic SAML Configuration введіть Ідентифікатор (Entity ID) та URL відповіді (ACS URL).
3. У розділі Attributes & Claims встановіть для Unique User Identifier (Name ID) значення user.mail і залиште твердження з адресою електронної пошти.
4. У розділі Users and groups призначте людей або групи, які входитимуть.
5. Поверніться до Single sign-on і скопіюйте три параметри:
   • URL єдиного входу (URL входу): Login URL у розділі Set up Measure Map Online.
   • Entity ID постачальника ідентифікації (емітент): Microsoft Entra Identifier, у тому самому місці.
   • Сертифікат підпису: завантажте Certificate (Base64) у розділі SAML Certificates.

Okta, SAML#

1. В Okta Admin Console відкрийте Applications > Applications > Create App Integration, виберіть SAML 2.0 і назвіть застосунок «Measure Map Online».
2. Введіть URL відповіді (ACS URL) як Single sign-on URL, а Ідентифікатор (Entity ID) як Audience URI (SP Entity ID). Для Name ID format виберіть EmailAddress, а для Application username виберіть Email.
3. У розділі Attribute Statements додайте email зі значенням user.email (а за бажання також firstName і lastName).
4. На вкладці Assignments призначте людей або групи, які входитимуть.
5. На вкладці Sign On відкрийте View SAML setup instructions і скопіюйте:
   • URL єдиного входу (URL входу): Identity Provider Single Sign-On URL.
   • Entity ID постачальника ідентифікації (емітент): Identity Provider Issuer.
   • Сертифікат підпису: X.509 Certificate.

Google Workspace, SAML#

1. У консолі адміністратора Google відкрийте Apps > Web and mobile apps > Add app > Add custom SAML app і назвіть застосунок «Measure Map Online».
2. На сторінці Google Identity Provider details скопіюйте три параметри, а потім продовжуйте:
   • URL єдиного входу (URL входу): SSO URL.
   • Entity ID постачальника ідентифікації (емітент): Entity ID.
   • Сертифікат підпису: завантажте сертифікат.
3. На наступній сторінці введіть URL відповіді (ACS URL) як ACS URL, а Ідентифікатор (Entity ID) як Entity ID. Для Name ID format виберіть EMAIL, а для Name ID виберіть Basic Information > Primary email.
4. У розділі User access увімкніть застосунок для організаційних підрозділів або груп, які входитимуть.

OneLogin, JumpCloud та інші постачальники, SAML#

1. Створіть застосунок SAML 2.0 з назвою «Measure Map Online».
2. Введіть Ідентифікатор (Entity ID) та URL відповіді (ACS URL), передавайте адресу електронної пошти користувача як Name ID і призначте людей, які входитимуть.
3. Скопіюйте три параметри, зазвичай зі сторінки SAML або метаданих застосунку:
   • URL єдиного входу (URL входу): URL єдиного входу постачальника ідентифікації.
   • Entity ID постачальника ідентифікації (емітент): його ідентифікатор сутності (entity ID), також званий issuer.
   • Сертифікат підпису: його сертифікат підпису.

Microsoft Entra ID, OpenID Connect#

1. У центрі адміністрування Microsoft Entra відкрийте App registrations > New registration. Назвіть реєстрацію «Measure Map Online», виберіть платформу Web і введіть URI перенаправлення.
2. У розділі Certificates & secrets створіть клієнтський секрет і одразу скопіюйте його значення: воно показується лише один раз.
3. У розділі Token configuration додайте до ID-токена необов’язкове твердження email.
4. Скопіюйте три параметри:
   • URL емітента: https://login.microsoftonline.com/<tenant ID>/v2.0, з Directory (tenant) ID зі сторінки Overview.
   • Client ID: Application (client) ID.
   • Client secret: значення секрету з кроку 2.

Інші постачальники, OpenID Connect#

1. Створіть вебзастосунок OpenID Connect з назвою «Measure Map Online» із URI перенаправлення.
2. Дозвольте області доступу (scopes) openid, email і profile та призначте людей, які входитимуть.
3. Скопіюйте три параметри: URL емітента, Client ID і Client secret.

Крок 2: надішліть нам параметри#

У розділі Надішліть нам дані заповніть:

• Для SAML: URL єдиного входу (URL входу), Entity ID постачальника ідентифікації (емітент) і Сертифікат підпису. Вставте текст сертифіката (Base64 або PEM, з рядками BEGIN і END) або натисніть upload_fileВибрати файл і виберіть завантажений файл .cer, .crt або .pem.
• Для OpenID Connect: URL емітента, Client ID і Client secret.
• Домени електронної пошти: введіть домен, наприклад acme.com, і натисніть addДодати (або Enter). Додайте кожен домен, яким користується ваша команда: приєднатися через єдиний вхід можуть лише люди з адресою в цих доменах.
• Технічна контактна особа і Контактна електронна пошта: з ким нам зв’язатися щодо запиту. Усе інше напишіть у полі Усе, що нам слід знати (необов’язково).

Натисніть sendНадіслати запит. Параметри перевіряються під час надсилання, і якщо їх не прийнято, форма одразу підкаже, що виправити:

• «Не вдалося прочитати цей сертифікат підпису. Вставте весь сертифікат разом із рядками BEGIN і END або виберіть файл.»
• «Ці дані не прийнято. Перевірте URL єдиного входу, entity ID і сертифікат (або емітента, client ID і секрет) та спробуйте ще раз.»

Поки ми перевіряємо#

Щойно запит надіслано, статус угорі сторінки має вигляд schedule Очікує на нас, а поруч видно надіслані вами параметри та номер тікета підтримки, який ми для цього відкрили. Ми перевіряємо запит, насамперед те, що домени електронної пошти належать вашій організації, і вмикаємо єдиний вхід. Власник отримує лист, а на сторінці з’являється check_circle Увімкнено разом із посиланням для входу.

Поки запит очікує, ви можете:

• Натиснути editРедагувати запит, щоб виправити його, а потім sendОновити запит. Залиште поле Сертифікат підпису або Client secret порожнім, щоб зберегти раніше надісланий.
• Натиснути undoВідкликати запит, щоб скасувати запит. Новий можна надіслати будь-коли.

Якщо потрібно щось змінити, статус матиме вигляд error Потрібні зміни із нашою приміткою про те, що виправити. Виправте форму і натисніть sendОновити запит.

Коли єдиний вхід увімкнено#

Сторінка показує вашого постачальника ідентифікації, схвалені домени електронної пошти та Посилання для входу, наприклад https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Натисніть content_copy, щоб скопіювати його, і поділіться ним із командою: воно відкриває сторінку входу, одразу налаштовану на постачальника вашої компанії. Те саме посилання з ?saml= замість ?sso= також працює.

• Хто приєднується: люди, які входять цим способом, автоматично приєднуються до вашої організації при першому вході, якщо їхня адреса належить до одного зі схвалених доменів. Вони отримують роль за замовчуванням організації, як і запрошені люди, і кожен займає місце. Якщо вільних місць немає, людина не може приєднатися, а власник отримує про це лист (не частіше одного разу на день).
• Зміни: щоб змінити постачальника або вимкнути єдиний вхід, натисніть support_agentЗв’язатися з нами. Відкриється форма звернення до підтримки, уже частково заповнена. Власник отримує лист щоразу, коли єдиний вхід вмикають або вимикають, тож непомічена несподівана зміна неможлива.
• Сертифікат: для SAML сторінка показує, до якої дати чинний сертифікат підпису вашого постачальника ідентифікації, і попереджає за місяць до завершення його строку. Після цього ніхто не зможе входити через єдиний вхід: створіть новий сертифікат у вашого постачальника ідентифікації та надішліть його нам через support_agentЗв’язатися з нами.
• Проблеми: якщо постачальник перестав працювати, статус має вигляд error Не працює, і ваша команда не може входити цим способом. Надішліть форму запиту під повідомленням ще раз, як на кроці 1 та кроці 2, і ми відновимо підключення після перевірки. Також можна натиснути support_agentЗв’язатися з нами.