SSO i SCIM. Tożsamość firmowa, bez tarcia.

Elido wykorzystuje WorkOS jako brokera SSO i SCIM, co zapewnia obsługę Okta, Azure AD / Entra ID, Google Workspace, OneLogin, PingFederate, Shibboleth, ADFS, JumpCloud oraz dowolnego IdP zgodnego z SAML 2.0. Obsługiwane są również połączenia OIDC dla dostawców takich jak Google Workspace i Azure. Jeśli Twojego IdP nie ma na liście standardowej WorkOS, typ połączenia 'Generic SAML' działa z dowolnym przepływem SAML 2.0 zainicjowanym przez dostawcę usług (SP-initiated). Skontaktuj się z nami, jeśli potrzebujesz konkretnego połączenia IdP, którego nie wymieniono.

Aprowizacja JIT (Just-in-Time) tworzy konto użytkownika w Elido przy jego pierwszym logowaniu przez SSO - nie wymaga wstępnej konfiguracji. Jest prostsza w konfiguracji, ale nie daje kontroli nad tym, kto może się zalogować (każdy z poprawnym poświadczeniem SSO otrzymuje konto). Aprowizacja SCIM daje kontrolę Twojemu IdP: tylko użytkownicy w zaprowiantowanej grupie mogą się logować, a konta są tworzone przed pierwszym logowaniem. W środowiskach korporacyjnych, gdzie dostęp musi być wcześniej zatwierdzony, SCIM jest wymagany. Gdy SCIM jest aktywny, aprowizacja JIT zostaje wyłączona.

W ustawieniach SSO obszaru roboczego mapujesz grupy IdP na role w Elido: np. 'Grupa Okta: Administratorzy Elido' → 'Rola Elido: Admin', 'Grupa Okta: Członkowie Elido' → 'Rola Elido: Member'. Rola użytkownika w Elido zależy od jego przynależności do grup IdP - jeśli zostanie przeniesiony z grupy Administratorów do grupy Członków w Okta, jego rola w Elido zostanie obniżona przy następnej synchronizacji SCIM (zazwyczaj poniżej 60 sekund). Użytkownik należący do wielu grup otrzymuje najwyższą rolę z pasujących mapowań.

SSO można ustawić jako wymuszane (wszyscy użytkownicy muszą logować się przez SSO - logowanie hasłem jest wyłączone) lub opcjonalne (użytkownicy mogą wybrać SSO lub e-mail + hasło). W planie Business wymuszanie konfiguruje się w ustawieniach SSO obszaru roboczego. Po wymuszeniu użytkownicy bez aktywnej tożsamości SSO tracą dostęp - przed włączeniem należy upewnić się, że konta zostały zaprowiantowane przez SCIM lub JIT. Konta administratorów mogą być zwolnione z wymogu SSO jako mechanizm 'break-glass'; jest to konfigurowalne.

Gdy SCIM dezaktywuje użytkownika, Elido zawiesza wszystkie klucze API utworzone przez tego użytkownika. Zawieszone klucze zwracają błąd HTTP 401 przy uwierzytelnianiu. Klucze nie są usuwane - pozostają widoczne dla administratorów obszaru roboczego w celach audytowych z etykietą statusu 'zawieszony - użytkownik po offboardingu'. Jeśli konto usługowe korzystało z osobistego klucza API (zamiast klucza usługowego obszaru roboczego), zawieszenie klucza przerwie tę integrację - jest to zamierzone działanie. Dla integracji produkcyjnych należy używać kluczy usługowych na poziomie obszaru roboczego, a nie kluczy API użytkowników.

SSO i SCIM to funkcje dostępne wyłącznie w planie Business. Obszary robocze Pro korzystają z wbudowanego uwierzytelniania Elido (e-mail + hasło przez naszą warstwę uwierzytelniania, opcjonalnie Google/GitHub OAuth). Jeśli SSO jest twardym wymogiem w procesie zakupowym, plan Business jest punktem wyjścia. Skontaktuj się z działem sprzedaży w sprawie okresu próbnego Business, jeśli chcesz przetestować SSO przed zakupem.

Każdy obszar roboczy Elido ma własną konfigurację SSO - jeśli prowadzisz wiele obszarów (np. dla każdej marki lub jednostki biznesowej), każdy z nich otrzymuje oddzielne połączenie IdP i aprowizację SCIM. Użytkownicy mogą należeć do wielu obszarów z różnymi rolami w każdym z nich; ich tożsamość w IdP jest taka sama, ale mapowania grup na role są oceniane dla każdego obszaru z osobna. Wspólna grupa w Okta może być zmapowana na Admina w jednym obszarze i Membera w innym.

Tak. Nieudane próby logowania SSO (nieprawidłowa asercja SAML, wygasła sesja, brak konta SCIM przy wyłączonym JIT) są rejestrowane w dzienniku audytu obszaru roboczego wraz z kodem przyczyny. Jest to przydatne do diagnozowania, dlaczego dany użytkownik nie może się zalogować, oraz do wykrywania prób siłowego sondowania SSO. Nieudane próby z adresów IP przekraczających próg wyzwalają alert obszaru roboczego (konfigurowalny w ustawieniach bezpieczeństwa).