Tek oturum açma

Giriş

Tek Seferlik Giriş bölümü, SAML üzerinden üçüncü taraf kimlik doğrulamasını etkinleştirmenize olanak tanır; böylece kullanıcılar çalışma alanına daha hızlı, kolay ve güvenli biçimde erişir.

SaaS sürümünde bu, Ücretli bir özelliktir (yalnızca ücretli Business planında bulunur).

Genel olarak tek oturum açma teknolojisi, kullanıcıların yalnızca bir kez oturum açıp yeniden kimlik doğrulaması yapmadan birden çok uygulamaya/hizmete erişmesini sağlar. Örneğin bir web hizmeti birbirinden bağımsız birkaç büyük bölümden (forum, sohbet, bloglar vb.) oluşuyorsa, kullanıcı hizmetlerden birinde kimlik doğrulamasından geçebilir ve kimlik bilgilerini defalarca girmeden diğer tüm hizmetlere otomatik olarak erişebilir.

Kimlik Sağlayıcı (IdP), kullanıcı kimlik bilgilerini oluşturan, tutan ve yöneten, bir federasyon içindeki diğer Hizmet Sağlayıcılara kullanıcı kimlik doğrulaması sağlayan hizmettir. OneLogin, ADFS gibi hizmetler Kimlik Sağlayıcı olarak çalışır. Hizmet Sağlayıcı (SP), web hizmetleri sunan ve kullanıcı kimlik doğrulaması için güvenilen bir Kimlik Sağlayıcıya dayanan varlıktır. Bizim durumumuzda Hizmet Sağlayıcı ONLYOFFICE Apps'tir.

Kimlik Sağlayıcı ile Hizmet Sağlayıcı arasında kimlik doğrulama/yetkilendirme verisi alışverişi için SSO'yu SAML tabanlı olarak etkinleştirebilirsiniz:

• SAML (Security Assertion Markup Language) – kimlik doğrulama/yetkilendirme verilerinin, onaylar içeren güvenlik belirteçleri aracılığıyla kimlik sağlayıcı ile hizmet sağlayıcı arasında iletilmesini sağlayan bir XML standardıdır.

Gelişmiş güvenlik, ONLYOFFICE Apps'in kullanıcı parolalarını saklamaması, bunun yerine Kimlik Sağlayıcı tarafındaki kimlik doğrulama sonuçlarını kullanması sayesinde sağlanır. Gerekli tüm kullanıcı bilgileri bir kimlik doğrulama belirteciyle iletilir. Kullanıcı bilgileri Kimlik Sağlayıcı tarafında değişirse, bir sonraki SSO kimlik doğrulamasında çalışma alanınızda otomatik olarak güncellenir (verilerin yalnızca tek yönde, Kimlik Sağlayıcıdan ONLYOFFICE Apps'e eşitlenebileceğini unutmayın).

Kimlik Sağlayıcı ve ONLYOFFICE Apps, SSO için karşılıklı olarak yapılandırıldıktan sonra, kullanıcı SSO kimlik doğrulama süreci Kimlik Sağlayıcı tarafında gerçekleştirilir. ONLYOFFICE Apps, Kimlik Sağlayıcıdan bir kimlik doğrulama belirteci (SAML) alır. Belirteç doğrulandıktan sonra (dijital imzalar ve belirtecin geçerlilik süresi kullanılarak) ONLYOFFICE Apps, kullanıcının çalışma alanına erişmesine izin verir.

SSO'yu etkinleştirme

Çalışma alanınız için SSO kimlik doğrulamasını etkinleştirip yapılandırmak üzere aşağıdaki adımları izleyin:

Hizmet Sağlayıcıyı ayarlamadan önce Kimlik Sağlayıcı yapılandırmasını kontrol edin.

1. Sol alt köşedeki menüsünü kullanın ve Ayarlar seçeneğini seçin.
2. Çalışma alanı ayarlarında soldaki Entegrasyon bölümünü açın.
3. Tek Seferlik Giriş sekmesine geçin.
4. Tekli Oturum Açma Kimlik Doğrulamasını Etkinleştir anahtarını açın.
5. ONLYOFFICE SP Ayarları bölümünde Göster'e tıklayın ve gerekli alanları doldurun. Gerekli bilgiler birkaç farklı yolla belirtilebilir:
   • Meta veri dosyasının URL adresini girin. IdP meta verileriniz bağlantı üzerinden dışarıdan erişilebiliyorsa, bağlantıyı IdP Meta Veri XML URL'si alanına yapıştırın ve verileri yüklemek için düğmesine tıklayın. Veriler yüklendiğinde, gerekli tüm parametreler genişletilmiş formda otomatik olarak görüntülenir.
   • Meta veri dosyasını yükleyin. IdP'niz bir meta veri dosyası sağlıyorsa, yerel makinenizde depolanan dosyaya göz atmak için Dosya Seç düğmesini kullanın. Dosya yüklendiğinde, gerekli tüm parametreler genişletilmiş formda otomatik olarak görüntülenir.
   • Gerekli parametreleri elle belirtin. Meta veri dosyası mevcut değilse gerekli parametreleri elle girin. Gerekli değerleri almak için IdP yöneticinizle iletişime geçin.

Aşağıdaki parametreler kullanılabilir:

• IdP Varlık Kimliği (zorunlu alan) – Hizmet Sağlayıcının IdP'yi kesin biçimde tanımlamak için kullanacağı Kimlik Sağlayıcı tanımlayıcısı veya URL adresi.

  https://example.com/idp/shibboleth

  burada example.com, SSO hizmetinizin alan adıdır

• IdP Tekli Oturum Açma Uç Noktası URL'si (zorunlu alan) – Kimlik Sağlayıcı tarafında tek oturum açma için kullanılan URL. SP'nin kimlik doğrulama isteklerini gönderdiği, IdP'nizdeki uç nokta adresidir.

  İlgili seçenek düğmelerinden birini seçerek gerekli Bağlama türünü ayarlayın. Bağlamalar, kimlik doğrulama isteklerinin ve yanıtlarının IdP ile SP arasında temel aktarım protokolü üzerinden hangi yöntemle iletileceğini belirler: HTTP POST veya HTTP Yönlendirme bağlaması.

• IdP Tek Oturum Kapatma Uç Noktası URL'si – Hizmet Sağlayıcı tarafında tek oturum kapatma için kullanılan URL. SP'nin oturum kapatma isteklerini/yanıtlarını gönderdiği, IdP'nizdeki uç nokta adresidir.

  İlgili seçenek düğmelerinden birini seçerek gerekli Bağlama türünü ayarlayın. Bağlamalar, oturum kapatma isteklerinin ve yanıtlarının IdP ile SP arasında temel aktarım protokolü üzerinden hangi yöntemle iletileceğini belirler: HTTP POST veya HTTP Yönlendirme bağlaması.

• NameId Biçimi – NameID parametresi, SP'nin bir kullanıcıyı tanımlamasını sağlar. Listeden kullanılabilir biçimlerden birini seçin.

not

Çalışma alanında Tek Oturum Açma hizmetiyle oturum açmak için kullanılan düğmeyi ONLYOFFICE Apps kimlik doğrulama sayfasında özelleştirmek mümkündür. Bunu ONLYOFFICE SP Ayarları bölümündeki Özel oturum açma düğmesi başlığı alanını kullanarak yapabilirsiniz.

Ayrıca IdP ve SP sertifikalarını da ekleyebilirsiniz.

Kimlik sağlayıcı genel sertifikaları

IdP Genel Sertifikaları bölümü, SP'nin IdP'den gelen istekleri ve yanıtları doğrulamak için kullandığı Kimlik Sağlayıcı genel sertifikalarını eklemenize olanak tanır.

IdP meta verilerini yüklediyseniz, bu sertifikalar çalışma alanınıza otomatik olarak eklenir. Aksi takdirde sertifikaları IdP hesabınızda bulabilirsiniz. Sertifikayı elle eklemek için Sertifika ekle düğmesine tıklayın. Yeni Sertifika penceresi açılır. Sertifikayı Genel Sertifika alanına girin ve Tamam düğmesine tıklayın.

Ek parametreleri görüntülemek için Gelişmiş ayarları göster bağlantısını kullanın, ardından ilgili kutuları işaretleyerek ayarlayın. Bölümü yeniden daraltmak için Gelişmiş ayarları gizle'yi kullanın.

IdP'den SP'ye gönderilen hangi istek/yanıt imzalarının doğrulanacağını belirtin:

• Kimlik Doğrulama Yanıtları İmzasını Doğrula – SP'ye gönderilen SAML kimlik doğrulama yanıtlarının imzalarını doğrulamak için.
• Çıkış İsteklerini İmzala ve Doğrula – SP'ye gönderilen SAML oturum kapatma isteklerinin imzalarını doğrulamak için.
• Oturum Kapatma Yanıtları İmzasını Doğrula – SP'ye gönderilen SAML oturum kapatma yanıtlarının imzalarını doğrulamak için.

Varsayılan İşaret Doğrulama Algoritması listesinden gerekli algoritmayı seçin: rsa-sha1, rsa-sha256 veya rsa-sha512.

not

Varsayılan ayarlar yalnızca IdP meta verilerinde hangi algoritmanın kullanılacağı belirtilmediğinde kullanılır.

Eklenen sertifikaları ilgili bağlantıyı kullanarak düzenleyebilir veya silebilirsiniz.

Hizmet sağlayıcı sertifikaları

SP Sertifikaları bölümü, SP'den gelen istekleri ve yanıtları imzalamak ve şifrelemek için kullanılan Hizmet Sağlayıcı sertifikalarını eklemenize olanak tanır.

IdP'niz girdi verilerinin imzalanmasını ve/veya şifrelenmesini gerektiriyorsa, bu bölümde ilgili sertifikaları oluşturun veya ekleyin.

Sertifika ekle düğmesine tıklayın. Yeni Sertifika penceresi açılır. Kendinden imzalı bir sertifika oluşturabilir veya Genel Sertifika alanına mevcut bir sertifikayı, Özel Anahtar alanına ise ilgili özel anahtarı ekleyebilirsiniz. Şunun için kullan listesinde kullanılabilir seçeneklerden birini seçin: signing, encrypt, signing and encrypt. Hazır olduğunuzda Tamam düğmesine tıklayın.

Sertifikayı yüklerken/oluştururken Şunun için kullan listesinde seçilen sertifika amacına bağlı olarak sertifikanın ek parametreleri belirlenir. Aşağıdaki parametreler, SP'den IdP'ye gönderilen hangi isteklerin/yanıtların imzalanacağını belirler:

• Kimlik Doğrulama İsteklerini İmzala – SP'nin IdP'ye gönderilen SAML kimlik doğrulama isteklerini imzalaması için.
• Çıkış İsteklerini İmzala – SP'nin IdP'ye gönderilen SAML oturum kapatma isteklerini imzalaması için.
• Çıkış Yanıtlarını İmzala – SP'nin IdP'ye gönderilen SAML oturum kapatma yanıtlarını imzalaması için.

Şunun için kullan listesinde encrypt veya signing and encrypt seçeneğini seçtiyseniz, İddiaların Şifresini Çöz parametresi de işaretlenir. Şifre çözme, ilgili Özel Anahtar kullanılarak yapılır.

Listelerden gerekli algoritmaları seçin:

• İmzalama Algoritması: rsa-sha1, rsa-sha256 veya rsa-sha512.
• Varsayılan Şifre Çözme Algoritması: aes128-cbc, aes256-cbc veya tripledes-cbc.

Eklenen sertifikaları ilgili bağlantıyı kullanarak düzenleyebilir veya silebilirsiniz.

Nitelik eşleme

Nitelik Haritalama bölümü, Kişiler bölümündeki alanların IdP'den dönecek kullanıcı özellikleriyle eşleşmesini ayarlamanıza olanak tanır. Kullanıcı ONLYOFFICE Apps'te SSO kimlik bilgileriyle oturum açtığında, hizmet sağlayıcı gerekli özellikleri alır ve kullanıcı hesabındaki ad soyad ile e-posta adresi alanlarını IdP'den alınan değerlerle doldurur. Kullanıcı Kişiler bölümünde yoksa otomatik olarak oluşturulur. Kullanıcı bilgileri IdP tarafında değiştirilmişse, SP'de de güncellenir.

Kullanılabilir özellikler şunlardır:

• Ad (zorunlu alan) – kullanıcı kaydında kullanıcının adına karşılık gelen özellik.
• Soy isim (zorunlu alan) – kullanıcı kaydında kullanıcının soyadına karşılık gelen özellik.
• E-posta (zorunlu alan) – kullanıcı kaydında kullanıcının e-posta adresine karşılık gelen özellik.

Kullanıcı tipi

Tüm kullanıcılar çalışma alanına seçilen tiple (Kullanıcı, Oda yöneticisi, Tam erişimli yönetici) eklenir. Varsayılan olarak Kullanıcı tipi seçilidir. Kullanıcılar yalnızca yöneticilerin davet ettiği odalara erişebilir ve oda veya AI ajanı oluşturamaz. Daha fazla yetki vermek için başka bir tip seçin. Aksi halde tipi Kişiler bölümünden elle değiştirebilirsiniz.

Gelişmiş Ayarlar

Kimlik doğrulama sayfasını gizle seçeneği, varsayılan kimlik doğrulama sayfasını gizlemenize ve SSO hizmetine otomatik olarak yönlendirmenize olanak tanır.

Önemli

Varsayılan kimlik doğrulama sayfasını geri yüklemeniz gerekiyorsa (IdP sunucunuz arızalanırsa çalışma alanınıza erişebilmek için), tarayıcı adres çubuğunda çalışma alanınızın alan adından sonra /login?skipssoredirect=true anahtarını ekleyebilirsiniz.

SSO kullanıcıları için e-posta etkinleştirmesini devre dışı bırakmak istiyorsanız E-posta doğrulamasını devre dışı bırak kutusunu işaretleyin. Bu kutu işaretliyse SSO kullanıcılarının çalışma alanında ilk yetkilendirmeden sonra e-postalarını doğrulaması gerekmez.

Tüm ayarlar belirlendiğinde Kaydet düğmesine tıklayın. ONLYOFFICE SP Meta Verileri bölümü açılır. Geçerli yapılandırmayı iptal edip her alanı başlangıç durumuna döndürmek için Kaydet'in yanındaki Varsayılan Ayarlar düğmesini kullanın.

ONLYOFFICE'i Kimlik Sağlayıcınızda güvenilir Hizmet Sağlayıcı olarak kaydetme

Şimdi hizmet sağlayıcı meta verilerini IdP'de belirterek ONLYOFFICE Apps'i IdP hesabınıza güvenilir bir Hizmet Sağlayıcı olarak eklemeniz gerekir.

Gerekli verileri almak için Tek Seferlik Giriş sayfasındaki ONLYOFFICE SP Meta Verileri bölümüne bakın. SP verilerinin herkese açık erişilebilir olduğunu doğrulayın. Bunun için SP meta veri XML'sini indirin düğmesine tıklayın. XML dosyasının içeriği yeni bir tarayıcı sekmesinde görüntülenir. IdP'ye yükleyebilmek için verileri XML dosyası olarak kaydedin.

Alternatif olarak, ilgili alanlardaki düğmesine tıklayarak ayrı parametreleri elle kopyalayabilirsiniz.

Aşağıdaki parametreler kullanılabilir:

• SP Varlık Kimliği (meta veri XML bağlantısı) – Kimlik Sağlayıcının SP'yi kesin biçimde tanımlamak için indirip kullanabileceği Hizmet Sağlayıcı XML URL adresi. Varsayılan olarak dosya şu adreste bulunur: http://example.com/sso/metadata; burada example.com çalışma alanınızın alan adı veya genel IP adresidir.
• SP Bildirim Tüketici URL'si (POST ve Yönlendirme bağlamayı destekler) – Hizmet Sağlayıcının Kimlik Sağlayıcıdan onayları aldığı ve işlediği URL adresi. Varsayılan olarak şu adres kullanılır: http://example.com/sso/acs; burada example.com çalışma alanınızın alan adı veya genel IP adresidir.
• SP Tek Oturum Kapatma URL'si (POST ve Yönlendirme bağlamayı destekler) – Kimlik Sağlayıcı tarafında tek oturum kapatma için kullanılan URL. SP'nizde Kimlik Sağlayıcıdan gelen oturum kapatma isteklerini/yanıtlarını aldığı ve işlediği uç nokta adresidir. Varsayılan olarak şu adres kullanılır: http://example.com/sso/slo/callback; burada example.com çalışma alanınızın alan adı veya genel IP adresidir.

not

Bu parametreler ve XML içeriği çalışma alanınızın yapılandırmasına göre farklılık gösterir; örneğin bir alan adı belirtirseniz parametreler de değişir ve IdP'nizi yeniden yapılandırmanız gerekir.

ONLYOFFICE Apps'te oturum açma

SSO etkinleştirilip yapılandırıldıktan sonra oturum açma süreci şu şekilde gerçekleşir:

1. Kullanıcı, ONLYOFFICE Apps kimlik doğrulama sayfasındaki Tek Seferlik Giriş düğmesine (hizmet sağlayıcıyı yapılandırırken kendi metninizi belirttiyseniz başlık farklı olabilir) tıklayarak ONLYOFFICE Apps'e erişim ister (SP tarafından başlatılan SSO).
2. Tüm IdP ve SP ayarları doğru yapılmışsa, ONLYOFFICE Apps kimlik doğrulama isteğini IdP'ye gönderir ve kullanıcıyı kimlik bilgilerinin istendiği IdP sayfasına yönlendirir.
3. Kullanıcı IdP'de henüz oturum açmamışsa kimlik bilgilerini IdP'de girer.
4. IdP, kullanıcı verilerini içeren kimlik doğrulama yanıtını oluşturur ve ONLYOFFICE Apps'e gönderir.
5. ONLYOFFICE Apps, Kimlik Sağlayıcıdan gelen kimlik doğrulama yanıtını alır ve doğrular.
6. Yanıt doğrulanırsa ONLYOFFICE Apps kullanıcının oturum açmasına izin verir (kullanıcı yoksa otomatik olarak oluşturulur, IdP'de değişmişse verileri güncellenir).

Kimlik Sağlayıcı tarafındaki oturum açma sayfasını kullanmak (IdP tarafından başlatılan SSO), kimlik bilgilerini girmek ve ardından yeniden kimlik doğrulaması yapmadan çalışma alanına erişmek de mümkündür.

ONLYOFFICE Apps'ten çıkış yapma

Oturum kapatma iki yolla yapılabilir:

1. Çalışma alanından Çıkış menüsü kullanılarak (bu durumda oturum kapatma isteği IdP'den gönderilir). SSO kimlik doğrulamasıyla daha önce erişilen diğer tüm uygulamalardan çıkış yapılmışsa, kullanıcının IdP'den de otomatik olarak çıkış yapması gerekir.
2. IdP oturum kapatma sayfasından.

SSO ile oluşturulan kullanıcı profillerini düzenleme

SSO kimlik doğrulamasıyla oluşturulan kullanıcılar, çalışma alanı yöneticisi için kullanıcı listesinde SSO simgesiyle işaretlenir.

Bu kullanıcı profillerinin Kişiler bölümünde düzenlenmesi kısıtlanmıştır. SSO kimlik doğrulamasıyla oluşturulan kullanıcı profili alanları, Kişiler bölümünden düzenlemeye kapalıdır. Kullanıcı verileri yalnızca IdP tarafında değiştirilebilir.