Çoklu oturum açma (SSO) ile ekibiniz Hermetry’ye şirket hesaplarıyla giriş yapar; işten ayrılanlar, dizininizde hesaplarını kapattığınızda erişimlerini kaybeder. Her kuruluş kendi SAML 2.0 veya OpenID Connect kimlik sağlayıcısını bağlayabilir ve üyeleri SCIM 2.0 ile senkron tutabilir. Bu sayfa kurulumu anlatır.
SAML için Owner rolüne, SCIM token’ları için Admin rolüne ihtiyacınız var.
SAML 2.0
SAML SSO sayfasını açın (adres /admin/saml). Genel bakış; denetim günlüğünden Status (Active, Disabled veya Not configured), Successful logins, JIT-provisioned users, Last login ve SSO Activity bilgilerini gösterir. Yapılandırmak için Settings seçeneğini seçin.
1. Hermetry’nin bilgilerini kimlik sağlayıcınıza verin
Service Provider Info kartı: “Provide these values to your Identity Provider during SAML app setup”.
| Alan | Kimlik sağlayıcınızda kullanım |
|---|---|
| Entity ID (Audience URI) | Audience / SP entity ID |
| ACS URL (Reply URL) | Sağlayıcının assertion’ı gönderdiği adres |
| Metadata URL | Sağlayıcınız destekliyorsa alanları elle yazmak yerine bunu içe aktarın |
SP Metadata XML için Copy XML ve Download XML seçenekleri vardır.
2. Kimlik sağlayıcınızın ayarlarını girin
Identity Provider Settings:
| Alan | Değer |
|---|---|
| IdP Entity ID | Sağlayıcınızın entity ID’si |
| IdP SSO URL | Sağlayıcınızın oturum açma adresi |
| IdP Certificate (PEM or Base64) | Sağlayıcının imzalama sertifikası. “Include or omit the —–BEGIN CERTIFICATE—– header — both formats are accepted.” |
Save IdP Settings seçeneğini seçin. İzin verilen yerlerde, sağlayıcınızın yayımlanmış metadata’sını içe aktararak bu alanları önceden doldurabilirsiniz (SAML Advanced Settings).
3. Öznitelikleri eşleyin
Attribute Mapping: “Map SAML assertion attributes to user profile fields”.
| Alan | Anlamı |
|---|---|
| Email Attribute | “Attribute name from your IdP that contains the user email” |
| Name Attribute | “Attribute name for the user’s display name” |
| NameID Format | Subject’in NameID biçimi (varsayılan olarak e-posta biçimi) |
| Sign Authentication Requests | Hermetry’nin gönderdiği istekleri kendi anahtarıyla imzalayın |
| Allow IdP-initiated SSO | “Permit logins started from the IdP dashboard without an SP request”. Kapalı olması daha güvenlidir. |
Save Mapping seçeneğini seçin.
4. Üyeleri just-in-time olarak oluşturun
Just-In-Time Provisioning: “Unknown users that authenticate via your IdP will be auto-provisioned into this tenant.”
| Alan | Anlamı |
|---|---|
| Enable Just-In-Time provisioning | Üyeyi ilk SSO girişinde oluşturur. Kapalıysa yalnızca mevcut üyeler SSO ile giriş yapabilir. |
| Role attribute name (optional) | “Values containing ‘owner’ map to OWNER, ‘admin’ to ADMIN.” |
| Default member role | Hiçbir rol özniteliği eşlenmediğinde kullanılan rol. |
Save Provisioning Settings seçeneğini seçin. Dizininizden Owner rolünü eşlemeden önce iyi düşünün: dizininizin öyle işaretlediği herkes owner olur.
5. Açın
SAML Status altında Enable SAML SSO seçeneğini açın: “Allows members to log in via your Identity Provider”.
Oturumu kapatmadan önce ikinci bir tarayıcıyla test edin; böylece bir hata sizi dışarıda bırakmaz.
SAML güvenliği
- Assertion’lar SHA-256 veya SHA-512 ile imzalanmış olmalıdır. SHA-1 ve imzasız assertion’lar reddedilir. Daha zayıf ayarlarla kaydedilmiş bir bağlantı, yeniden kaydedene kadar devre dışı kalır: “SAML sign-in is off for this connection: its signature settings are too weak…”
- Assertion Replay Detection açıkken, ID’si daha önce görülmüş bir assertion reddedilir.
- İzin verilen saat farkı birkaç saniyedir; sağlayıcınızın saatini doğru tutun.
- Hermetry’nin SAML için özel anahtarı şifreli saklanır ve asla dışa aktarılmaz. Anahtar rotasyonu için ikinci bir sertifika eklenebilir.
- Single Logout (SLO), etkin olduğu yerde, oturum kapatmayı Hermetry ile sağlayıcınız arasında yayar. Sağlayıcınızın SLO adresi gerekir.
- Sağlayıcınızın imzalama sertifikasının süresi dolmaya yaklaştığında (varsayılan olarak 30 gün önce) denetim günlüğüne bir uyarı yazılır.
Mevcut bir hesap, yalnızca assertion’daki e-posta eşleştiğinde SAML’e bağlanır. Doğrulanmış bir adrese gönderilmiş bekleyen davetler ilk SSO girişinde kabul edilir.
SCIM 2.0 provisioning
SCIM, kimlik sağlayıcınızın üyeleri otomatik olarak oluşturmasını, güncellemesini ve devre dışı bırakmasını sağlar.
- Settings > SCIM Provisioning sayfasını açın. SCIM 2.0 Endpoint değerini kopyalayın (Copy SCIM endpoint):
https://<your host>/tenant/<tenantId>/api/scim/v2. - Generate SCIM token seçeneğini seçin. “Copy this token now — it will not be shown again.” Token,
scim:readvescim:writekapsamlarını taşır. - Kimlik sağlayıcınızda, endpoint’i bağlayıcının temel adresi olarak, token’ı ise
Authorization: Bearer <token>HTTP başlığı olarak girin.
| SCIM | Hermetry |
|---|---|
userName, birincil e-posta | Hesap e-postası |
externalId | Üye sayfasındaki SCIM external ID |
active: false | Üye durumu Inactive (erişim hemen sona erer) |
| Sil | Üye kaldırılır; hesap diğer kuruluşlar için durur |
SCIM ile gönderilen adlar saklanmaz. SCIM Groups desteklenir: grupları açın ve her grubu bir role eşleyin. Sağlayıcıyı hemen durdurmak için bir token’ı Revoke edin: “name stops working at once…”. Token listesi Last used ve son kullanma tarihini gösterir.
Sosyal giriş
Üyeler, platformun sunduğu yerlerde OpenID Connect veya OAuth kullanan yaygın sağlayıcılar üzerinden sosyal giriş ile de oturum açabilir. Kuruluşunuz bunları sınırlayabilir:
- Settings > Authentication & SSO sağlayıcıları listeler; sağlayıcıların kurulumu ve yapılandırması marketplace’te yapılır.
- Üye, bir sağlayıcıyı My Profile > Connected Accounts altında bağlar; sağlayıcının e-postası eşleşmelidir. Bkz. Profiliniz, dil ve saat dilimi.
Not
Kuruluşunuz, Settings > Single sign-on altında kendi OpenID Connect kimlik sağlayıcısını da çoklu oturum açma olarak bağlayabilir: issuer URL, client ID ve secret ile claim’lerden rollere bir eşleme. Hesaplar ilk girişte oluşturulur ve yalnızca SSO seçeneği, girişin tek yolu olmasını sağlar.