Konfigurasi SSO

Single Sign-On (SSO) memungkinkan anggota organisasi login ke EngageLab menggunakan Identity Provider (IdP) milik perusahaan sendiri, tanpa perlu mengelola kata sandi EngageLab secara terpisah. Administrator dapat memberikan dan mencabut akses anggota secara terpusat di IdP.

EngageLab mendukung Identity Provider berbasis protokol SAML 2.0, termasuk namun tidak terbatas pada Microsoft Azure (Microsoft Entra ID), Google Workspace, Okta, dan OneLogin.

Dokumen ini ditujukan bagi pembuat organisasi dan administrator IdP perusahaan, serta menjelaskan alur lengkap mulai dari konfigurasi hingga login anggota.

Istilah Umum

Persiapan Sebelum Konfigurasi

• Memiliki akun EngageLab dan login dengan login reguler. Organisasi tidak dapat dibuat saat login dengan SSO.
• Organisasi yang akan mengaktifkan SSO dibuat oleh Anda dan telah memiliki hak SSO. Jika belum, silakan hubungi tim penjualan.
• Dapat membuat aplikasi SAML di IdP perusahaan, atau dibantu oleh administrator IdP.
• Email anggota di IdP sama dengan email akun EngageLab anggota tersebut.

Aturan Identifikasi Pengguna

EngageLab mengidentifikasi pengguna SSO berdasarkan email: EngageLab membaca atribut email pengguna dari SAML assertion yang dikembalikan IdP, lalu mencocokkannya dengan email akun EngageLab. Kedua nama atribut berikut dapat dikenali:

Penting: SAML assertion yang dikembalikan IdP wajib berisi salah satu atribut email di atas, dengan nilai berupa alamat email pengguna yang sama dengan email akun EngageLab pengguna tersebut. Jika IdP yang Anda gunakan tidak mengembalikan atribut email secara default, tambahkan atribut bernama email di Attribute Statement aplikasi IdP; jika tidak, pengguna tidak dapat menyelesaikan login SSO.

Saran: Atur Name ID juga ke alamat email pengguna dengan format EmailAddress agar memudahkan pemecahan masalah.

Konfigurasi atribut email di setiap IdP:

Alur Konfigurasi

Konfigurasi SSO terdiri dari empat langkah, sesuai dengan wizard Konfigurasi SSO di konsol:

1. Konfigurasi IdP: Konfigurasikan informasi SP dari EngageLab ke IdP, dan pastikan IdP mengembalikan atribut email.
2. Pengembalian Sumber Data: Isi sertifikat serta alamat login dan logout yang dihasilkan IdP ke EngageLab.
3. Berikan Izin Organisasi: Berikan otorisasi layanan SSO ke organisasi yang akan mengaktifkan SSO.
4. Verifikasi: Uji login menggunakan tautan login SSO.

Langkah 1: Mengonfigurasi EngageLab di IdP

1. Login ke EngageLab, arahkan kursor ke avatar di pojok kanan atas, lalu klik Pusat Pribadi.

   

2. Di Pusat Pribadi, klik SSO, lalu klik Konfigurasi SSO.

   

3. Salin informasi SP di halaman tersebut dan berikan kepada administrator IdP untuk membuat aplikasi SAML di IdP. Klik Salin untuk menyalin semua informasi sekaligus.

   

   Informasi SP	Deskripsi	Nama kolom yang umum di IdP
   Entity ID	Pengenal unik EngageLab sebagai SP	Identifier (Entity ID), Audience URI, SP Entity ID
   ACS URL	Alamat yang menerima SAML assertion dari IdP	Reply URL (Assertion Consumer Service URL), Single sign-on URL, ACS URL
   Login URL	Titik masuk login SSO EngageLab	Sign on URL, Start URL
   Logout URL	Alamat logout EngageLab	Logout URL, Single Logout URL

4. Sesuai Aturan Identifikasi Pengguna, pastikan aplikasi IdP mengembalikan atribut email; jika tidak dikembalikan secara default, tambahkan atribut bernama email. Tetapkan juga anggota yang perlu login ke EngageLab ke aplikasi tersebut.

5. Minta administrator IdP memberikan informasi berikut untuk diisi pada langkah berikutnya:

   Informasi IdP	Deskripsi
   X.509 Certificate	Sertifikat penandatanganan IdP dalam format Base64. Sertifikat memiliki masa berlaku dan perlu diperbarui sebelum kedaluwarsa
   URL Login IdP	Alamat single sign-on IdP
   URL Logout IdP	Alamat single logout IdP

6. Setelah konfigurasi IdP selesai, centang kotak konfirmasi di bagian bawah halaman (mengonfirmasi bahwa informasi aplikasi Engagelab telah diperbarui di IdP), lalu klik Lanjutkan.

   

Langkah konfigurasi detail untuk IdP yang umum:

• Microsoft Azure
• Admin Google
• Okta, OneLogin, dan IdP lainnya: isi informasi SP ke kolom yang sesuai berdasarkan tabel di atas, lalu tambahkan atribut email sesuai Aturan Identifikasi Pengguna.

Langkah 2: Memasukkan Informasi dari IdP

1. Isi Nama Layanan SSO untuk membedakan layanan yang berbeda di daftar layanan SSO.
2. Isi Sertifikat x509, URL Login IdP, dan URL Logout IdP yang diberikan IdP. Tempelkan seluruh konten Base64 sertifikat.
3. Klik Lanjutkan.

Langkah 3: Memberikan Izin Organisasi

1. Pilih organisasi yang akan mengaktifkan SSO, lalu klik Simpan dan Verifikasi.

   • Satu layanan SSO dapat diberikan ke beberapa organisasi, dan satu organisasi juga dapat diberi beberapa layanan SSO.
   • Hanya organisasi yang Anda buat dan telah memiliki hak SSO yang dapat dipilih. Organisasi yang menampilkan Tidak Ada Hak atau Terbatas (batas protokol SSO terlampaui) tidak dapat dipilih; silakan hubungi tim penjualan.

   

2. Konfirmasikan di dialog konfirmasi.

   Penting: Setelah disimpan, semua anggota organisasi yang dipilih akan dikeluarkan dari sesi login dan menerima email yang meminta mereka login dengan SSO. Setelah itu, anggota wajib menggunakan login SSO untuk mengakses organisasi tersebut.

   

Langkah 4: Memverifikasi Layanan SSO

Uji login menggunakan URL Login SSO di halaman tersebut. Akun uji harus memenuhi syarat berikut:

• Telah bergabung ke organisasi yang diberi otorisasi layanan SSO.
• Telah ditetapkan ke aplikasi SAML tersebut di IdP.
• Nilai atribut email yang dikembalikan IdP sama dengan email EngageLab akun tersebut.

Catatan: Akun yang login melalui tautan login SSO dan tidak memiliki peran apa pun di organisasi akan otomatis diberi peran Default. Setelah anggota bergabung, Anda dapat mengubah perannya di manajemen anggota organisasi.

Aturan Akses Pengguna

Setelah akun login melalui layanan SSO tertentu, sistem mencatat binding antara akun dan layanan SSO tersebut. Cara berikut akan menghasilkan binding:

• Mengklik tautan login SSO di email "Undangan Bergabung ke Organisasi".
• Mengklik tautan login SSO di email notifikasi "Organisasi Berhasil Mengaktifkan Layanan SSO".
• Menggunakan tautan login khusus layanan SSO.

Mengelola Layanan SSO

Lihat layanan SSO yang telah dikonfigurasi di Pusat Pribadi > SSO.

Melihat dan Mengedit

Klik salah satu baris atau Edit untuk membuka Detail Layanan SSO. Detail menampilkan informasi konfigurasi SP dan informasi konfigurasi IDP; klik tombol di sebelah kanan bidang untuk menyalin isinya.

• Hanya informasi konfigurasi IDP (Sertifikat x509, URL Login IdP, URL Logout IdP) yang dapat diubah; bidang lainnya hanya dapat dibaca.
• Detail menampilkan tanggal kedaluwarsa sertifikat. Setelah IdP mengganti sertifikat, segera perbarui di sini; jika tidak, anggota tidak dapat login.

Mengubah Organisasi yang Diberikan Izin

Klik Berikan Izin, pilih organisasi di panel kiri, lihat organisasi yang telah diberi otorisasi di panel kanan, lalu klik Simpan.

• Organisasi yang baru diberi otorisasi: semua anggota akan menerima email pemberitahuan berisi tautan login layanan SSO tersebut, yang meminta mereka login menggunakan layanan tersebut.
• Organisasi yang otorisasinya dicabut: semua anggota akan menerima email pemberitahuan bahwa mereka tidak dapat lagi login menggunakan layanan SSO tersebut, beserta metode login lain yang didukung organisasi.

Menghapus

Klik Hapus lalu konfirmasikan.

Penting: Setelah dihapus, organisasi yang diberi otorisasi oleh layanan tersebut tidak lagi mendukung login SSO melalui layanan tersebut, tautan login menjadi tidak berlaku, dan anggota organisasi akan menerima email bahwa login SSO dihentikan.

Login Anggota

Login dari Halaman Login EngageLab

1. Buka halaman login EngageLab, lalu klik Login SSO.

   

2. Masukkan email akun EngageLab. Sistem memilih layanan SSO berdasarkan organisasi SSO yang terakhir diakses oleh akun tersebut:

   • Jika organisasi tersebut hanya memiliki satu layanan SSO, sistem langsung mengarahkan ke IdP.
   • Jika organisasi tersebut memiliki beberapa layanan SSO dan akun memiliki binding dengan lebih dari satu layanan, pilih layanan yang ingin digunakan.

3. Setelah autentikasi di halaman IdP selesai, Anda akan otomatis kembali ke EngageLab dan login selesai.

   

Menggunakan Tautan Login Khusus SSO

Pembuat organisasi dapat menyalin tautan login layanan SSO di Pusat Pribadi > SSO, lalu mengirimkannya kepada anggota organisasi.

Setelah anggota mengklik tautan, mereka diarahkan ke IdP untuk autentikasi. Setelah autentikasi berhasil, EngageLab mencocokkan akun berdasarkan email yang dikembalikan IdP:

Catatan: Untuk mengakses organisasi melalui tautan login SSO, hubungi administrator organisasi agar menambahkan email Anda ke organisasi SSO tersebut.

Pemecahan Masalah Gagal Login

Logout

Saat Anda klik logout dalam status login SSO, sistem memanggil alamat logout IdP sekaligus mengakhiri status login di IdP. Untuk login kembali, Anda perlu melakukan autentikasi ulang di IdP.

Catatan: Beberapa IdP tidak mendukung single logout (misalnya Google Workspace). Dalam hal ini, Anda perlu logout secara manual di sisi IdP. Lihat Admin Google.