Single sign-on dengan Okta, Microsoft Entra ID, atau Google Workspace

Single sign-on (SSO) memungkinkan orang masuk ke Kaam360 dengan akun perusahaan mereka, melalui penyedia identitas Anda: Okta, Microsoft Entra ID, Google Workspace, atau penyedia SAML 2.0 lainnya. Tidak ada yang memerlukan kata sandi Kaam360 terpisah, dan saat seseorang keluar dari perusahaan Anda menonaktifkannya di satu tempat.

Membuka halaman

1. Tekan Pengaturan, lalu kartu Single sign-on. (Ini juga ada di kartu Keamanan: tekan Siapkan single sign-on.)
2. Ikuti enam langkah bernomor di halaman, dari atas ke bawah.

Langkah 1: tambahkan Kaam360 ke penyedia identitas Anda

Di penyedia identitas Anda, buat aplikasi SAML baru untuk Kaam360 dan salin detail dari langkah 1 di halaman:

• ID entitas (audiens): nama yang diberikan Kaam360 untuk organisasi Anda.
• Alamat balasan (URL ACS): ke mana penyedia Anda mengembalikan orang setelah mereka masuk.
• Atau tekan Unduh metadata Kaam360 dan unggah file itu ke penyedia Anda.

Kirim alamat email (wajib). Nama dan grup bersifat opsional. Tandatangani assertion (ini pengaturan standar).

Di Okta: Applications, Create App Integration, SAML 2.0. Masukkan alamat balasan di "Single sign-on URL" dan ID entitas di "Audience URI". Name ID format: EmailAddress. Tetapkan orang atau grup yang boleh memakai Kaam360.

Di Microsoft Entra ID: Enterprise applications, New application, Create your own application, lalu Single sign-on, SAML. Masukkan ID entitas di "Identifier" dan alamat balasan di "Reply URL". Tetapkan pengguna dan grup.

Di Google Workspace: Admin console, Apps, Web and mobile apps, Add app, Add custom SAML app. Masukkan alamat balasan di "ACS URL" dan ID entitas di "Entity ID". Name ID: Primary email. Aktifkan aplikasi untuk orang yang tepat.

Langkah 2: berikan detail penyedia identitas Anda kepada Kaam360

Pilih salah satu cara:

1. Tempel Alamat metadata penyedia dan tekan Muat. Ini cara terbaik: Kaam360 kemudian memeriksanya setiap hari dan mengambil sertifikat baru dengan sendirinya.
2. Atau di bawah Atau unggah file metadata (XML), pilih file yang Anda unduh dari penyedia Anda.
3. Atau buka Atau ketik detailnya secara manual dan isi ID entitas, alamat masuk, dan sertifikat penandatanganan, lalu tekan Simpan.

Kotak Sedang dipakai menunjukkan apa yang akan diterima Kaam360, termasuk setiap sertifikat dan kapan kedaluwarsanya.

Langkah 3: mengujinya

1. Tekan Uji masuk.
2. Masuk di penyedia identitas Anda.
3. Anda kembali ke halaman dengan pesan Uji selesai. Di bawah langkah 3 Anda melihat Berhasil atau Gagal, sebagai siapa Anda masuk, grup Anda, apa yang akan dilakukan Kaam360 (memasukkan orang yang sudah ada, membuat akun, atau menolak), dan atribut yang dikirim penyedia Anda.

Pengujian tidak memasukkan siapa pun dan tidak mengubah apa pun, dan tetap berfungsi saat single sign-on mati. Jika detail penyedia berubah nanti, uji lagi.

Menyalakannya

Di bagian atas halaman, di bawah Status, tekan Aktifkan. Tombol hanya berfungsi setelah pengujian berhasil.

Orang kini melihat Masuk dengan akun perusahaan (SSO) di halaman masuk. Mereka mengetik email kerja dan Kaam360 mengirim mereka ke penyedia Anda. Anda juga dapat memberikan Tautan masuk untuk orang-orang Anda dari langkah 1.

Langkah 4: verifikasi domain email Anda

1. Ketik domain email Anda (bagian setelah @, misalnya example.com) dan tekan Tambah domain.
2. Salin Catatan TXT yang perlu ditambahkan dan buat catatan TXT dengan nilai itu di penyedia DNS domain Anda. Namanya (host) adalah @, yang berarti domain itu sendiri.
3. Tekan Periksa sekarang. Jika catatannya ditemukan, domain menampilkan Terverifikasi. Perubahan DNS dapat memakan waktu beberapa jam.

Domain terverifikasi memungkinkan orang menemukan halaman masuk Anda dari alamat email mereka, dan akun baru hanya dibuat untuk domain terverifikasi. Sebuah domain hanya dapat diverifikasi oleh satu organisasi Kaam360.

Langkah 5: orang baru, peran, dan atribut

• Centang Buat akun saat seseorang dari domain terverifikasi masuk pertama kali, pilih peran untuk orang baru, lalu tekan Simpan. Tanpa itu, hanya orang yang sudah punya akun yang dapat masuk.
• Di bawah Grup dan peran, ketik nama (atau ID) grup persis seperti yang dikirim penyedia Anda, pilih peran, lalu tekan Tambah. Orang di grup itu mendapat peran tersebut setiap kali masuk. Jika beberapa grup cocok, yang lebih tinggi di daftar yang berlaku.
• Di bawah Atribut, biarkan kotaknya kosong kecuali penyedia Anda memakai nama atribut yang tidak biasa. Pengujian terakhir menunjukkan nama yang dikirimnya.

Orang yang sudah punya akun dicocokkan berdasarkan alamat email. Orang yang Anda nonaktifkan di Kaam360 tidak dapat masuk, apa pun kata penyedia identitas.

Langkah 6: hanya single sign-on

Jika semua orang sudah masuk melalui penyedia Anda, Anda dapat menghentikan kata sandi:

1. Centang setidaknya satu administrator darurat. Mereka harus sudah menyalakan masuk dua langkah.
2. Tekan Aktifkan Hanya SSO.

Sejak saat itu, kata sandi (dan masuk dengan Google atau Microsoft) tidak lagi berfungsi, kecuali untuk administrator darurat, yang masuk dengan kata sandi dan kode dua langkah jika penyedia Anda sedang mati. Untuk mengakhiri sesi yang sudah masuk dengan kata sandi, buka Keamanan dan tekan Keluarkan semua orang lain. Tekan Izinkan kata sandi lagi untuk membatalkannya.

Di bawah Masuk dari daftar aplikasi penyedia identitas, Anda dapat mengizinkan orang membuka Kaam360 dari dasbor penyedia Anda (Okta, My Apps). Pengaturan ini mati secara bawaan, karena proses masuk yang dimulai di Kaam360 terikat pada browser yang memintanya.

Langkah 7: pengaturan pengguna otomatis (SCIM)

Direktori Anda (Microsoft Entra ID, Okta, Google Workspace atau direktori SCIM 2.0 apa pun) bisa menambahkan orang ke Kaam360, menjaga nama dan alamat email mereka tetap terbaru, dan menonaktifkan akun orang yang keluar.

1. Di halaman single sign-on, pada 7. Pengaturan pengguna otomatis (SCIM), tekan Aktifkan dan buat token.
2. Salin Alamat (tenant URL) dan tokennya. Token hanya ditampilkan sekali.
3. Di direktori Anda, buka aplikasi Kaam360 dan pengaturan provisioning-nya (di Microsoft Entra ID: Provisioning, mode Automatic). Tempel alamat sebagai tenant URL dan token sebagai secret token, uji koneksi, lalu mulai provisioning.
4. Pilih siapa yang dikirim: orang dan grup yang ditetapkan ke aplikasi.

Orang yang ditambahkan direktori tidak punya kata sandi Kaam360: mereka masuk melalui single sign-on. Setiap orang aktif baru memakai satu kursi paket Anda, dan direktori diberi tahu jika tidak ada kursi kosong. Grup yang namanya Anda petakan di langkah 5 memberi anggotanya peran itu. Orang yang dihapus di direktori dinonaktifkan, tidak pernah dihapus, sehingga tugas, jam dan riwayatnya tetap ada. Administrator terakhir dan administrator darurat tidak pernah dinonaktifkan oleh direktori. Tekan Buat token baru jika token mungkin bocor; yang lama langsung berhenti. Setiap perubahan oleh direktori dicatat di log aktivitas.

Pergantian sertifikat

Penyedia identitas mengganti sertifikat penandatanganannya setiap beberapa tahun. Kaam360 menampilkan peringatan di halaman dan mengirim email kepada administrator 30 hari dan 7 hari sebelum sertifikat terakhir yang diterima kedaluwarsa.

• Jika detailnya berasal dari alamat metadata, tekan Perbarui sekarang (Kaam360 juga melakukannya setiap hari).
• Jika tidak, tempel sertifikat baru di bawah Pergantian sertifikat dan tekan Tambahkan sertifikat baru. Keduanya diterima selama masa pergantian. Saat penyedia Anda sudah memakai yang baru, tekan Jadikan sertifikat kedua satu-satunya.

Sertifikat milik Kaam360 sendiri (hanya dipakai jika penyedia Anda mengenkripsi jawabannya) dapat diganti dengan Buat sertifikat baru; berikan metadata baru kepada penyedia Anda, lalu tekan Hapus sertifikat sebelumnya.

Perlu diketahui

• Orang yang masuk melalui single sign-on tidak dimintai kode dua langkah Kaam360: pemeriksaan milik penyedia identitas Anda (seperti Okta Verify atau Microsoft Authenticator) menggantikannya.
• Setiap proses masuk, penolakan, pengujian, dan perubahan pengaturan tercatat di Log aktivitas di bawah "Single sign-on (SAML)".
• Kaam360 tidak tahu ketika seseorang dihapus di penyedia identitas Anda. Orang itu tidak dapat masuk lagi, tetapi nonaktifkan juga di Kaam360 untuk mengakhiri sesi yang sudah dimilikinya.

Jika terjadi masalah

• Pengujian menyatakan tanda tangan tidak cocok: sertifikat di Kaam360 bukan sertifikat yang dipakai penyedia Anda untuk menandatangani. Muat metadata lagi atau tempel sertifikat yang berlaku.
• "Audiens salah": ID entitas di penyedia Anda bukan yang ditampilkan di langkah 1.
• "Jawaban tidak berisi alamat email": kirim atribut email, atau ketik namanya di bawah Atribut.
• Penyedia Anda sedang mati dan tidak ada yang bisa masuk: administrator darurat masuk dengan kata sandi dan kode dua langkahnya, lalu menekan Izinkan kata sandi lagi. Jika tidak ada yang bisa, hubungi dukungan Kaam360.