Tek oturum açma (SSO)

Tek oturum açma (SSO), çalışma arkadaşlarınızın Rixe'ye iş yerinde zaten kullandıkları hesapla, kimlik sağlayıcınız (IdP) üzerinden girmesini sağlar. Okta, Microsoft Entra ID, Google Workspace ya da SAML 2.0 veya OpenID Connect destekleyen herhangi bir sağlayıcı kullanılabilir. Parolayı kimlik sağlayıcı tutar ve kimin gireceğine o karar verir; Rixe hesapları ve rolleri sağlayıcının bildirdiği bilgilere göre oluşturur. Güvenlik politikanız şirket araçlarına kimin erişeceğinin merkezden yönetilmesini istiyorsa bu özelliğe ihtiyacınız vardır.

#Hangi paketlerde var

Kurumsal giriş Leader, Agency Network ve Agency Custom paketlerine dahildir; Kurumsal sözleşmelerde üzerinde anlaşılan limitlerin parçasıdır. Diğer paketlerde API bağlantıyı kaydetmeyi "Single sign-on needs the Leader plan or an agency contract." mesajıyla reddeder. Bkz. Paketler ve limitler.

Her organizasyonun tek bir SSO bağlantısı vardır ve bu bağlantı tek bir e-posta alan adına bağlıdır.

#Kurulum için gerekenler

Panelde henüz bir SSO kurulum formu yoktur: bağlantı, organizasyon sahibi adına Rixe ekibiyle birlikte oluşturulur. Kullandığınız protokol için aşağıdaki bilgileri hazırlayın.

#SAML 2.0

Kimlik sağlayıcınızda şu ayarlarla bir uygulama oluşturun:

Ardından bize şunları iletin:

• kimlik sağlayıcının tek oturum açma adresi (entry point),
• Rixe uygulaması için issuer (entity ID) değeri,
• kimlik sağlayıcının imzalama sertifikası.

#OpenID Connect

Kimlik sağlayıcınızda yönlendirme adresi (redirect URI) https://app.rixe.ai/api/sso/oidc/callback olan bir web uygulaması kaydedin. Rixe openid email profile kapsamlarını ister ve her girişte PKCE ile nonce kullanır. Bize şunları iletin:

• discovery adresi (issuer'ın /.well-known/openid-configuration adresi),
• client ID,
• client secret.

Client secret şifrelenerek saklanır ve bir daha hiç gösterilmez; onu giren sahibe bile. Gruba göre rol vermek istiyorsanız ID token'a bir groups claim'i ekleyin.

#İki protokolde ortak seçenekler

#Giriş nasıl çalışır

1. Giriş ekranında Kurumsal giriş (SSO) ile devam et bağlantısına tıklayın.
2. İş e-postası alanına adresinizi yazın ve Devam et düğmesine tıklayın.
3. Rixe e-posta alan adınıza bakar ve sizi kimlik sağlayıcınıza yönlendirir. Orada giriş yaptıktan sonra Rixe'ye oturumunuz açık olarak dönersiniz.

Alan adı için SSO bağlantısı yoksa ekranda "Bu e-posta alan adı için kurumsal giriş tanımlı değil." yazar; bu durumda e-posta ve parolanızla giriş yapabilirsiniz. Kimlik sağlayıcının yanıtı doğrulanamazsa ekranda "Kurumsal giriş tamamlanamadı." yazar ve oturum açılmaz.

Kimlik sağlayıcıdan gelen her yanıt, kimse içeri alınmadan önce doğrulanır: SAML'de imza, audience, geçerlilik aralığı ve istek kimliği; OIDC'de token'ın imzası, issuer, audience, son kullanma zamanı ve nonce. Girişi tarayıcınıza bağlayan değerler bir adreste (URL) değil, kısa ömürlü ve imzalı bir çerezde taşınır.

#Hesaplar ilk girişte oluşur

SSO kullanıcılarını davet etmeniz gerekmez. Kimlik sağlayıcınızın onayladığı biri ilk kez giriş yaptığında Rixe hesabını oluşturur (parolasız — kimlik bilgisi sağlayıcıda durur) ve kişiyi organizasyonunuza ekler. Zaten Rixe hesabı olan biri hesabını korur ve üye olarak eklenir.

#Roller her girişte gruplardan gelir

Rixe kimlik sağlayıcının gönderdiği grupları okur ve kişiye bu gruplara eşlenmiş rolü verir. Kişi birden fazla eşlenmiş grupta ise en yetkili rol geçerli olur: hem "admins" hem "viewers" grubunda olan biri Yönetici olur. Eşlenmiş hiçbir grupta olmayanlar varsayılan rolü alır.

Eşleme her girişte yeniden uygulanır; böylece doğruluk kaynağı hep kimlik sağlayıcı olarak kalır. Ayarlar › Kişiler sekmesinden elle değiştirilen rol, kişi SSO ile bir sonraki girişinde yeniden yazılır. Bkz. Ekip ve roller.

#SSO'yu zorunlu kılmak

SSO zorunlu olduğunda o alan adında adresi olan hiç kimse parolayla ya da Google veya Microsoft ile giriş yapamaz; giriş "Single sign-on (SSO) is required for this account" gerekçesiyle reddedilir ve kişinin Kurumsal giriş (SSO) ile devam et yolunu kullanması gerekir.

İki güvenlik kuralı geçerlidir:

• Sahip, SSO'yu yalnızca kendi giriş e-postasının alan adı için zorunlu kılabilir.
• gmail.com ya da outlook.com gibi herkese açık e-posta sağlayıcıları için SSO zorunlu kılınamaz.

#SCIM ile kullanıcı yönetimi

SCIM sayesinde kimlik sağlayıcınız, kimse giriş yapmadan da kişilerin katıldığını ya da ayrıldığını Rixe'ye bildirir. SCIM için önce bir SSO bağlantısı gerekir.

1. Sahip bir SCIM token'ı üretir. Token yalnızca bir kez gösterilir; Rixe yalnızca özetini (hash) saklar. Bu yüzden token'ı hemen kimlik sağlayıcınıza kopyalayın.
2. Kimlik sağlayıcınızda SCIM temel adresini https://app.rixe.ai/api/scim/v2 olarak girin ve token'ı bearer token olarak kullanın.

Rixe, SCIM 2.0 Users kaynağını destekler:

Devre dışı bırakma hızlı işler: açık oturumlar, süreleri dolmayı beklemeden yaklaşık bir dakika içinde çalışmaz hâle gelir. Devre dışı kullanıcının kaydı (erişimi olmadan) saklanır; böylece denetim kaydı kimin ne yaptığını göstermeye devam eder.

#Sık sorulanlar

Birden fazla alan adı tanımlayabilir miyim? Her organizasyonun tek bir e-posta alan adı için tek bir bağlantısı olur.

SSO'yu zorunlu kılınca parolayla giren mevcut kullanıcılara ne olur? Hesapları ve verileri yerinde kalır; ancak bundan sonra Kurumsal giriş (SSO) ile devam et yolunu kullanmaları gerekir.

Kişi kimlik sağlayıcıdan kaldırıldı ama üye listesinde hâlâ görünüyor. SCIM yoksa Rixe kişilerden yalnızca giriş yaptıklarında haberdar olur. Kişiyi Ayarlar › Kişiler sekmesinden kaldırın ya da devre dışı bırakmanın Rixe'ye kendiliğinden ulaşması için SCIM kurun.

#İlgili sayfalar

• Ekip ve roller
• Yönetişim
• Veri ve güvenlik