Uruchomienie i konfiguracja - Firmowe SSO

Co robi ta integracja

Firmowe SSO pozwala zalogować się do DockRay przez firmowego dostawcę tożsamości obsługującego OpenID Connect - jedno logowanie zamiast osobnego hasła do panelu. Dla konta subskrybenta to płatna składowa planu (custom_sso); dla pracowników Docka istnieje osobna konfiguracja platformowa, którą ustawia wyłącznie superadmin i która nic nie kosztuje, bo Dock nie kupuje własnej składowej u siebie. Integracja nie zakłada kont - loguje wyłącznie istniejącego użytkownika z właściwego zakresu.

Co przygotować u dostawcy tożsamości

• aplikację OpenID Connect z przepływem Authorization Code i PKCE,
• zakresy openid, profile i email,
• publiczny adres discovery pod HTTPS - discovery i wszystkie endpointy muszą być publicznie osiągalne, adresy prywatne i zarezerwowane są odrzucane,
• dostawcę, który zwraca potwierdzony adres e-mail (email_verified) - bez tego logowanie się nie powiedzie, niezależnie od reszty konfiguracji.

Konfiguracja w DockRay

W Ustawieniach → Firmowe SSO podaj nazwę połączenia, identyfikator organizacji (globalnie unikalny, wchodzi wprost w adres logowania), adres issuera oraz Client ID i Client Secret. Superadmin konfiguruje tu połączenie platformowe dla pracowników Docka; właściciel albo administrator konta subskrybenta konfiguruje połączenie wyłącznie dla swojego konta - to dwa rozłączne zakresy, nigdy jeden wspólny ekran z przełącznikiem.

Adres powrotny u dostawcy

U dostawcy tożsamości wpisz jako Redirect URI dokładnie:

https://dockray.io/sso/{identyfikator}/callback

gdzie {identyfikator} to identyfikator organizacji wpisany w DockRay. Ogólny ekran logowania /sso pyta właśnie o ten identyfikator - domena adresu e-mail nie wybiera połączenia, bo jedno konto może używać wielu domen pocztowych naraz.

Pierwszy test

Zapisz konfigurację i zaloguj się firmowym kontem, które ma odpowiednik w DockRay (ten sam, potwierdzony adres e-mail). Przy pierwszym logowaniu DockRay znajduje użytkownika po adresie i trwale wiąże go z parą konfiguracja + sub zwrócony przez dostawcę; kolejne logowania opierają się już na tym identyfikatorze, nie na adresie. Jeśli konto ma włączone drugie uwierzytelnianie, panel poprosi o nie tak samo, jak przy logowaniu hasłem.