Chính sách và đăng nhập một lần

policyChính sách của tổ chức đặt ra các quy tắc áp dụng cho mọi người bạn đưa vào. vpn_keyĐăng nhập một lần cho phép nhân viên của bạn đăng nhập bằng tài khoản mà công ty đã cấp cho họ và tự động tham gia tổ chức.

Cả hai đều nằm trong khu vực Enterprise: businessEnterprise > policyChính sách và vpn_keyĐăng nhập một lần.

Chính sách của tổ chức#

Hãy thay đổi bất kỳ tùy chọn nào bên dưới, rồi nhấn saveLưu ở cuối trang. Vai trò mặc định mới sẽ áp dụng cho những người tham gia từ lúc đó trở đi; nó không thay đổi vai trò của các thành viên hiện có.

Tên miền email được phép#

Chỉ những người có các miền email này mới có thể được mời hoặc liên kết với tổ chức của bạn. Để trống để cho phép mọi miền.

1. Trong Miền email được phép, nhập một tên miền vào Thêm miền, ví dụ acme.com. Chỉ nhập tên miền, không nhập địa chỉ email hay địa chỉ web.
2. Nhấn addThêm (hoặc Enter). Tên miền xuất hiện dưới dạng một thẻ nhỏ.
3. Nhấn saveLưu.

Nhấn close trên thẻ để xóa tên miền đó. Khi danh sách không có tên miền nào, trang hiển thị "Không hạn chế — có thể mời bất kỳ miền email nào."

Khi đã đặt danh sách, lời mời gửi tới bất kỳ tên miền nào khác đều bị từ chối, cả trên trang groupNgười dùng lẫn ở phía máy chủ, và yêu cầu tham gia gửi tới một tài khoản hiện có cũng vậy. Thành viên cũng không thể tự đổi địa chỉ đăng nhập của mình sang một tên miền khác.

Giá trị mặc định#

• Vai trò mặc định cho thành viên mới: vai trò được trao cho mọi người tham gia: những người bạn mời, các tài khoản hiện có chấp nhận yêu cầu tham gia, những người đến qua đăng nhập một lần và các thành viên được tạo qua API. Ban đầu là Thành viên. Chỉ chủ sở hữu mới có thể đặt thành Quản trị viên. Xem vai trò.
• Đánh dấu thành viên không hoạt động sau (ngày): thành viên không đăng nhập lâu hơn khoảng này sẽ được tính là không hoạt động trên trang groupNgười dùng, một gợi ý rằng chỗ của họ có thể nhường cho người khác. Có thể nhập số bất kỳ từ 1 đến 3650; ban đầu là 60.

Biện pháp bảo vệ#

• Yêu cầu chuyển giao dự án trước khi thành viên đóng tài khoản: dù thế nào thì thành viên cũng không thể tự xóa tài khoản của mình, chỉ chủ sở hữu và Quản trị viên mới có thể, nên tùy chọn này không thay đổi gì. Các thành viên bạn xóa luôn để lại dự án của họ cho tổ chức. Xem xóa một người khỏi tổ chức.

Đăng nhập một lần#

Với đăng nhập một lần, nhân viên của bạn đăng nhập vào Measure Map Online bằng tài khoản mà công ty đã cấp cho họ (Microsoft, Okta, Google và các nhà cung cấp khác), thông qua nhà cung cấp danh tính của công ty, dùng SAML hoặc OpenID Connect (OIDC). Bất kỳ ai trong công ty đăng nhập bằng cách này đều tự động tham gia tổ chức của bạn.

Bạn gửi yêu cầu trên trang vpn_keyĐăng nhập một lần: trang cho biết cần nhập gì vào nhà cung cấp danh tính và cần gửi gì cho chúng tôi. Chúng tôi kiểm tra yêu cầu rồi bật đăng nhập một lần. Chủ sở hữu tổ chức và các Quản trị viên có thể gửi yêu cầu.

Cách hoạt động#

1. Bạn gửi cho chúng tôi thông tin nhà cung cấp danh tính của bạn bên dưới, cùng với các miền email mà nhóm của bạn dùng.
2. Chúng tôi kiểm tra và bật đăng nhập một lần. Bạn sẽ nhận được email, và trang này hiển thị liên kết đăng nhập.
3. Nhóm của bạn đăng nhập bằng tài khoản công ty. Người mới gia nhập tổ chức của bạn và xuất hiện trong mục Người dùng, nơi bạn đặt vai trò cho họ.

Bạn cần chuẩn bị gì trước khi bắt đầu#

• Quyền quản trị trên nhà cung cấp danh tính của bạn, chẳng hạn Microsoft Entra admin center, Okta Admin Console hoặc Google Admin console, hoặc một người trong nhóm CNTT có quyền đó. Bạn thêm Measure Map Online vào đó như một ứng dụng.
• Mọi tên miền email mà nhóm của bạn dùng, ví dụ acme.com và acme.co.uk. Chỉ những người có địa chỉ thuộc các tên miền này mới tham gia được qua đăng nhập một lần.
• Một đầu mối kỹ thuật: tên và địa chỉ email của người mà chúng tôi có thể hỏi về kết nối.
• Ba thông tin từ nhà cung cấp danh tính, mà bạn sao chép một lần sau khi đã thêm Measure Map Online vào đó (bước 1 bên dưới):
  • với SAML: URL đăng nhập một lần (URL đăng nhập), Entity ID của nhà cung cấp danh tính (issuer) và Chứng chỉ ký;
  • với OpenID Connect: URL issuer, Client ID và Client secret.

Bước 1: thêm Measure Map Online vào nhà cung cấp danh tính#

1. Mở businessEnterprise > vpn_keyĐăng nhập một lần.

2. Trong Giao thức, chọn SAML 2.0, giao thức mà trang khuyên dùng, hoặc OpenID Connect nếu nhóm CNTT của bạn thích hơn.

3. Trong Nhà cung cấp danh tính, chọn nhà cung cấp của bạn: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud hoặc Nhà cung cấp khác.

4. Trong Nhập các giá trị này vào nhà cung cấp danh tính của bạn, trang hiển thị phần phía chúng tôi của kết nối. Hãy sao chép từng giá trị từ trang bằng content_copy thay vì gõ tay.

   Với SAML:

   • Mã định danh (Entity ID): https://app.measuremaponline.com
   • URL phản hồi (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: Địa chỉ email của người dùng
   • Thuộc tính: email (bắt buộc); họ và tên, hoặc tên hiển thị (tùy chọn)

   Với OpenID Connect:

   • URI chuyển hướng: https://measuremaponline.com/__/auth/handler
   • Phạm vi (Scopes): openid email profile

5. Bên dưới, trang đưa ra các bước cho nhà cung cấp bạn đã chọn. Các bước đó cũng có ở đây, kèm nơi tìm từng thông tin mà bước 2 yêu cầu.

Tìm ở đâu trong nhà cung cấp danh tính#

Microsoft Entra ID, Okta và Google Workspace có các bước riêng. OneLogin, JumpCloud và các nhà cung cấp khác làm theo các bước chung.

Microsoft Entra ID, dùng SAML#

1. Trong Microsoft Entra admin center, mở Enterprise applications > New application > Create your own application. Đặt tên là "Measure Map Online" và chọn tích hợp một ứng dụng mà bạn không thấy trong thư viện.
2. Trong ứng dụng mới, mở Single sign-on và chọn SAML. Trong Basic SAML Configuration, nhập Mã định danh (Entity ID) và URL phản hồi (ACS URL).
3. Trong Attributes & Claims, đặt Unique User Identifier (Name ID) thành user.mail, và giữ nguyên claim địa chỉ email.
4. Trong Users and groups, gán những người hoặc nhóm sẽ đăng nhập.
5. Quay lại Single sign-on, sao chép ba thông tin:
   • URL đăng nhập một lần (URL đăng nhập): Login URL, trong Set up Measure Map Online.
   • Entity ID của nhà cung cấp danh tính (issuer): Microsoft Entra Identifier, ở cùng chỗ đó.
   • Chứng chỉ ký: tải Certificate (Base64) trong SAML Certificates.

Okta, dùng SAML#

1. Trong Okta Admin Console, mở Applications > Applications > Create App Integration, chọn SAML 2.0 và đặt tên ứng dụng là "Measure Map Online".
2. Nhập URL phản hồi (ACS URL) làm Single sign-on URL và Mã định danh (Entity ID) làm Audience URI (SP Entity ID). Đặt Name ID format thành EmailAddress và Application username thành Email.
3. Trong Attribute Statements, thêm email với giá trị user.email (và firstName và lastName nếu bạn muốn).
4. Trong thẻ Assignments, gán những người hoặc nhóm sẽ đăng nhập.
5. Trong thẻ Sign On, mở View SAML setup instructions và sao chép:
   • URL đăng nhập một lần (URL đăng nhập): Identity Provider Single Sign-On URL.
   • Entity ID của nhà cung cấp danh tính (issuer): Identity Provider Issuer.
   • Chứng chỉ ký: X.509 Certificate.

Google Workspace, dùng SAML#

1. Trong Google Admin console, mở Apps > Web and mobile apps > Add app > Add custom SAML app, và đặt tên là "Measure Map Online".
2. Trên trang Google Identity Provider details, sao chép ba thông tin, rồi tiếp tục:
   • URL đăng nhập một lần (URL đăng nhập): SSO URL.
   • Entity ID của nhà cung cấp danh tính (issuer): Entity ID.
   • Chứng chỉ ký: tải chứng chỉ xuống.
3. Ở trang tiếp theo, nhập URL phản hồi (ACS URL) làm ACS URL và Mã định danh (Entity ID) làm Entity ID. Đặt Name ID format thành EMAIL và Name ID thành Basic Information > Primary email.
4. Trong User access, bật ứng dụng cho các đơn vị tổ chức hoặc nhóm sẽ đăng nhập.

OneLogin, JumpCloud và các nhà cung cấp khác, dùng SAML#

1. Tạo một ứng dụng SAML 2.0 có tên "Measure Map Online".
2. Nhập Mã định danh (Entity ID) và URL phản hồi (ACS URL), gửi địa chỉ email của người dùng làm Name ID, và gán những người sẽ đăng nhập.
3. Sao chép ba thông tin, thường từ trang SAML hoặc trang metadata của ứng dụng:
   • URL đăng nhập một lần (URL đăng nhập): URL đăng nhập một lần của nhà cung cấp danh tính.
   • Entity ID của nhà cung cấp danh tính (issuer): entity ID của nhà cung cấp, còn gọi là issuer.
   • Chứng chỉ ký: chứng chỉ ký của nhà cung cấp.

Microsoft Entra ID, dùng OpenID Connect#

1. Trong Microsoft Entra admin center, mở App registrations > New registration. Đặt tên là "Measure Map Online", chọn Web làm nền tảng và nhập URI chuyển hướng.
2. Trong Certificates & secrets, tạo một client secret và sao chép giá trị của nó ngay: giá trị chỉ hiển thị một lần.
3. Trong Token configuration, thêm claim tùy chọn email vào ID token.
4. Sao chép ba thông tin:
   • URL issuer: https://login.microsoftonline.com/<tenant ID>/v2.0, với Directory (tenant) ID lấy từ trang Overview.
   • Client ID: Application (client) ID.
   • Client secret: giá trị của secret ở bước 2.

Các nhà cung cấp khác, dùng OpenID Connect#

1. Tạo một ứng dụng web OpenID Connect có tên "Measure Map Online", với URI chuyển hướng.
2. Cho phép các scope openid, email và profile, và gán những người sẽ đăng nhập.
3. Sao chép ba thông tin: URL issuer, Client ID và Client secret.

Bước 2: gửi thông tin cho chúng tôi#

Trong Gửi thông tin cho chúng tôi, điền:

• Với SAML: URL đăng nhập một lần (URL đăng nhập), Entity ID của nhà cung cấp danh tính (issuer) và Chứng chỉ ký. Dán nội dung văn bản của chứng chỉ (Base64 hoặc PEM, kèm các dòng BEGIN và END), hoặc nhấn upload_fileChọn tệp và chọn tệp .cer, .crt hoặc .pem bạn đã tải xuống.
• Với OpenID Connect: URL issuer, Client ID và Client secret.
• Miền email: nhập một tên miền, ví dụ acme.com, rồi nhấn addThêm (hoặc Enter). Hãy thêm mọi tên miền mà nhóm của bạn dùng: chỉ những người có địa chỉ thuộc các tên miền này mới tham gia được qua đăng nhập một lần.
• Người liên hệ kỹ thuật và Email liên hệ: người chúng tôi liên hệ về yêu cầu. Mọi điều khác hãy ghi vào Bất cứ điều gì chúng tôi nên biết (tùy chọn).

Nhấn sendGửi yêu cầu. Thông tin được kiểm tra ngay khi bạn gửi, và nếu không được chấp nhận, biểu mẫu sẽ cho biết ngay cần sửa gì:

• "Không thể đọc chứng chỉ ký đó. Hãy dán toàn bộ chứng chỉ, bao gồm các dòng BEGIN và END, hoặc chọn tệp."
• "Các thông tin đó không được chấp nhận. Hãy kiểm tra URL đăng nhập một lần, entity ID và chứng chỉ (hoặc issuer, client ID và secret) rồi thử lại."

Trong lúc chúng tôi kiểm tra#

Sau khi gửi yêu cầu, trạng thái ở đầu trang hiển thị schedule Đang chờ chúng tôi, kèm thông tin bạn đã gửi và số phiếu hỗ trợ chúng tôi mở cho yêu cầu đó. Chúng tôi kiểm tra yêu cầu, trước hết là các tên miền email có thuộc về tổ chức của bạn không, rồi bật đăng nhập một lần. Chủ sở hữu nhận được một email, và trang hiển thị check_circle Đã bật cùng liên kết đăng nhập.

Trong lúc chờ, bạn có thể:

• Nhấn editChỉnh sửa yêu cầu để sửa yêu cầu, rồi sendCập nhật yêu cầu. Để trống Chứng chỉ ký hoặc Client secret để giữ giá trị bạn đã gửi trước đó.
• Nhấn undoRút lại yêu cầu để hủy yêu cầu. Bạn có thể gửi yêu cầu mới bất cứ lúc nào.

Nếu chúng tôi cần bạn thay đổi điều gì, trạng thái hiển thị error Cần chỉnh sửa, kèm ghi chú của chúng tôi về điều cần sửa. Hãy chỉnh lại biểu mẫu và nhấn sendCập nhật yêu cầu.

Khi đã bật#

Trang hiển thị nhà cung cấp danh tính của bạn, các tên miền email đã được duyệt và Liên kết đăng nhập, ví dụ https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Nhấn content_copy để sao chép và chia sẻ cho nhóm của bạn: liên kết mở trang đăng nhập sẵn sàng cho nhà cung cấp của công ty bạn. Liên kết tương tự với ?saml= thay cho ?sso= cũng dùng được.

• Ai được tham gia: những người đăng nhập qua liên kết này sẽ tự động tham gia tổ chức của bạn ở lần đầu tiên, nếu địa chỉ của họ thuộc một trong các tên miền đã duyệt. Họ nhận vai trò mặc định của tổ chức, giống như người được mời, và mỗi người dùng một chỗ. Nếu không còn chỗ trống, người đó không thể tham gia, và chủ sở hữu nhận được email về việc này (tối đa một lần mỗi ngày).
• Thay đổi: để đổi nhà cung cấp hoặc tắt đăng nhập một lần, nhấn support_agentLiên hệ chúng tôi. Nút mở biểu mẫu hỗ trợ, đã được điền sẵn phần đầu cho bạn. Chủ sở hữu nhận email mỗi khi đăng nhập một lần được bật hoặc tắt, nên một thay đổi không ai ngờ tới sẽ không bị bỏ sót.
• Chứng chỉ: với SAML, trang cho biết chứng chỉ ký của nhà cung cấp danh tính còn hiệu lực đến khi nào, và cảnh báo bạn từ một tháng trước khi hết hạn. Khi chứng chỉ đã hết hạn, không ai đăng nhập được bằng đăng nhập một lần: hãy tạo chứng chỉ mới trong nhà cung cấp danh tính và gửi cho chúng tôi bằng support_agentLiên hệ chúng tôi.
• Sự cố: nếu nhà cung cấp ngừng hoạt động, trạng thái hiển thị error Không hoạt động và nhóm của bạn không thể đăng nhập bằng nó. Hãy gửi lại biểu mẫu yêu cầu bên dưới thông báo, như ở bước 1 và bước 2, và chúng tôi sẽ kết nối lại sau khi kiểm tra. Bạn cũng có thể nhấn support_agentLiên hệ chúng tôi.