ข้ามไปยังเนื้อหาหลัก

SP-initiated SSO

SP-initiated SSO เป็นวิธีเริ่มต้นและปลอดภัยกว่าการ IdP-initiated SSO โดยเปิดโอกาสให้ผู้ใช้ระดับองค์กรเริ่มกระบวนการเข้าสู่ระบบ SSO จากหน้าลงชื่อเข้าใช้ของ Logto Logto รองรับทั้ง SSO แบบแจ้งโดเมนอีเมล และ การส่งพารามิเตอร์เข้าสู่ระบบโดยตรงสำหรับ SSO

ตั้งค่า SP-initiated SSO​

  1. เปิดใช้งาน Enterprise SSO ในระบบข้อมูลระบุตัวตนของคุณ

    เพื่อเปิดใช้งาน Enterprise SSO ให้ไปที่ Console > Sign-in & account > Sign-up and sign-in และเปิดสวิตช์ "Enable enterprise SSO" เมื่อเปิดใช้งานแล้ว จะมีปุ่ม "Single Sign-On" ปรากฏบนหน้าลงชื่อเข้าใช้ของคุณ ผู้ใช้ระดับองค์กรที่มีโดเมนอีเมลที่เปิดใช้งาน SSO จะสามารถเข้าถึงบริการของคุณผ่านผู้ให้บริการข้อมูลระบุตัวตนขององค์กรได้

  2. สร้างตัวเชื่อมต่อองค์กร (Enterprise connectors) สำหรับลูกค้าแต่ละราย

    ถัดไป คุณต้องเชื่อมต่อผู้ให้บริการข้อมูลระบุตัวตนขององค์กรแต่ละรายสำหรับลูกค้าของคุณ เช่นเดียวกับการเข้าสู่ระบบโซเชียล ให้สร้างตัวเชื่อมต่อองค์กรใหม่ใน Logto และกำหนดค่าที่จำเป็น ไปที่ Console > Enterprise SSO คลิกปุ่ม "Add enterprise connector" และทำตามคำแนะนำเพื่อกำหนดค่าตัวเชื่อมต่อ ดูรายละเอียดที่ การตั้งค่าตัวเชื่อมต่อ enterprise SSO

  3. ตั้งค่าโดเมนอีเมล สำหรับตัวเชื่อมต่อองค์กร

    ตัวตน SSO ขององค์กรโดยทั่วไปจะถูกระบุด้วยโดเมนอีเมลของบริษัท ในแท็บ SSO Experience ของหน้ารายละเอียดตัวเชื่อมต่อองค์กรแต่ละตัว คุณสามารถระบุโดเมนอีเมลที่เกี่ยวข้องได้

    ผู้ใช้ที่มีโดเมนอีเมลที่ระบุจะถูกจำกัดให้ลงชื่อเข้าใช้ผ่านตัวเชื่อมต่อ SSO ขององค์กรนี้เท่านั้น ในขณะที่วิธีการลงชื่อเข้าใช้อื่น ๆ เช่น รหัสยืนยันอีเมล, อีเมล-รหัสผ่าน หรือโซเชียลล็อกอิน จะถูกปิดใช้งานสำหรับผู้ใช้เหล่านี้ ตัวเชื่อมต่อ SSO จะปรากฏเฉพาะกับผู้ใช้ที่มีโดเมนอีเมลที่ระบุเท่านั้น

    บันทึก:

    ไม่สามารถเชื่อมต่อโดเมนอีเมลสาธารณะ (เช่น gmail.com, yahoo.com) กับตัวเชื่อมต่อองค์กรได้

ประสบการณ์ SP-initiated SSO​

SSO จะถูกเปิดใช้งานเมื่อผู้ใช้พยายามลงชื่อเข้าใช้ด้วยโดเมนอีเมลองค์กรที่ตั้งค่าไว้สำหรับ SSO กระบวนการนี้จะข้ามวิธีการตรวจสอบมาตรฐาน เช่น รหัสผ่าน

  1. ปุ่ม Single Sign-On:

    เมื่อเปิดใช้งานวิธีการลงชื่อเข้าใช้แบบ SSO ขององค์กรแล้ว จะมีปุ่ม "Single Sign-On" ปรากฏเป็นตัวเลือกการลงชื่อเข้าใช้เพิ่มเติมบนหน้าเข้าสู่ระบบ เมื่อคลิกปุ่มนี้ ผู้ใช้จะถูกขอให้กรอกอีเมลองค์กรเพื่อเริ่มกระบวนการ SSO

    • ตัวเชื่อมต่อเดียว: หากมีตัวเชื่อมต่อ SSO ขององค์กรเพียงตัวเดียวที่เชื่อมโยงกับโดเมนอีเมลของผู้ใช้ ผู้ใช้จะถูกเปลี่ยนเส้นทางไปยังหน้าลงชื่อเข้าใช้ของ IdP โดยตรง
    • หลายตัวเชื่อมต่อ: หากมีตัวเชื่อมต่อ SSO ขององค์กรหลายตัวที่เชื่อมโยงกับโดเมนอีเมลของผู้ใช้ ผู้ใช้จะต้องเลือก IdP ที่ต้องการจากรายการก่อนที่จะถูกเปลี่ยนเส้นทางไปยังหน้าลงชื่อเข้าใช้ของ IdP
    Single sign-on button

  2. การลงชื่อเข้าใช้ด้วยอีเมลแบบสากล:

    ในฟอร์มลงชื่อเข้าใช้แบบ universal identifier (เมื่อเปิดใช้งานวิธีการลงชื่อเข้าใช้อีเมล) ระบบจะเปิดใช้งานการตรวจจับโดเมนอีเมล SSO ขององค์กรโดยอัตโนมัติ เมื่อผู้ใช้กรอกอีเมล Logto จะตรวจสอบโดยอัตโนมัติว่ามีตัวเชื่อมต่อ SSO ขององค์กรที่เชื่อมโยงกับโดเมนนั้นหรือไม่ หากพบว่ามี ฟอร์มลงชื่อเข้าใช้จะอัปเดตโดยอัตโนมัติ: ปุ่ม "Sign in" จะเปลี่ยนเป็น "Single Sign-On" และจำกัดให้ผู้ใช้ลงชื่อเข้าใช้ผ่านตัวเชื่อมต่อ SSO ขององค์กรเท่านั้น

    Universal email sign-in

คำถามที่พบบ่อย​

ฉันสามารถใช้ชื่อ/โดเมนองค์กรแทนโดเมนอีเมลเพื่อเปลี่ยนเส้นทางไปยัง IdP ได้หรือไม่?​

ปัจจุบัน Logto prebuilt sign-in experience รองรับเฉพาะ SSO แบบแจ้งโดเมนอีเมล เท่านั้น ยังไม่รองรับ SSO แบบแจ้งโดเมนองค์กร

คุณสามารถสร้างหน้ากำหนดเส้นทางแบบกำหนดเองที่ฝั่ง client โดยใช้ authentication parameters กับ directSignIn:'sso:{connectorId} หน้านี้จะเปลี่ยนเส้นทางลูกค้าองค์กรขนาดใหญ่ไปยัง IdP ที่เหมาะสมตามโดเมนองค์กรของพวกเขา ดูข้อมูลเพิ่มเติมเกี่ยวกับ direct sign-in parameter

ฉันสามารถแสดงปุ่ม Enterprise Connector เฉพาะบนหน้าลงชื่อเข้าใช้ได้หรือไม่?​

ลูกค้าองค์กรแต่ละรายใช้ผู้ให้บริการข้อมูลระบุตัวตนที่แตกต่างกันในการจัดการพนักงาน และร้องขอขอบเขต (OIDC) หรือแอตทริบิวต์ (SAML) ที่แตกต่างกัน ดังนั้นจึงไม่แนะนำให้แสดงปุ่มตัวเชื่อมต่อองค์กรที่ตั้งใจสำหรับลูกค้ารายใดรายหนึ่งบนหน้าลงชื่อเข้าใช้ทั่วไป

อย่างไรก็ตาม หากคุณกำลังพัฒนา B2E product และต้องการแสดงปุ่มสำหรับลูกค้าองค์กรเฉพาะ คุณสามารถสร้างหน้าลงชื่อเข้าใช้แบบกำหนดเองและใช้ directSignIn:sso เพื่อกำหนดเส้นทางปุ่มได้อย่างเหมาะสม ดูข้อมูลเพิ่มเติมเกี่ยวกับ direct sign-in parameter

จะเปิดใช้งานการลงชื่อเข้าใช้และลงทะเบียนแบบ SSO-only ได้อย่างไร?​

เพื่อเปิดใช้งานการลงชื่อเข้าใช้และลงทะเบียนแบบ SSO-only ให้ทำตามขั้นตอนดังนี้:

  1. กำหนดค่าใน Console > Sign-in & account > Sign-up and sign-in
    • Sign up: ไม่เกี่ยวข้อง
    • Sign in: None
    • Social sign-in: None
    • Enterprise SSO: Enabled
    • User registration: Disabled
  2. เพิ่มผู้ใช้ด้วยตนเองโดยกรอกอีเมลองค์กรใน Console > User management หรือ import ผ่าน Management API
  3. เมื่อผู้ใช้ลงชื่อเข้าใช้ผ่าน SSO เป็นครั้งแรก Logto จะ เชื่อมโยงอัตโนมัติ อีเมลที่มีอยู่กับบัญชี SSO ของพวกเขา