Microsoft Azure | พื้นฐาน บัญชี SSO ภาษาไทย

เอกสารนี้อธิบายวิธีใช้ Microsoft Azure (Microsoft Entra ID) เป็นผู้ให้บริการข้อมูลประจำตัวเพื่อกำหนดค่าการเข้าสู่ระบบครั้งเดียวแบบ SAML สำหรับ EngageLab โปรดดำเนินการควบคู่กับขั้นตอนทั้งสี่ใน การกำหนดค่า SSO โดยเอกสารนี้สอดคล้องกับ “ขั้นตอนที่ 1: กำหนดค่า EngageLab ใน IdP” และ “ขั้นตอนที่ 2: ป้อนข้อมูลที่ IdP ส่งกลับ”

ข้อกำหนดเบื้องต้น

มีสิทธิ์ผู้ดูแลระบบ Microsoft Entra ID ใน Microsoft Azure (สามารถสร้าง Enterprise applications ได้)
มีบัญชี EngageLab และสร้างองค์กรแล้ว โดยองค์กรนั้นเปิดใช้งานสิทธิประโยชน์ SSO แล้ว หากยังไม่ได้เปิดใช้งาน โปรดติดต่อฝ่ายขาย
เปิดวิซาร์ดการกำหนดค่าใน “ศูนย์ส่วนตัว” > “SSO” > “กำหนดค่า SSO” ของ EngageLab แล้ว และสามารถคัดลอกข้อมูล SP ได้

ขั้นตอนที่ 1: สร้างแอปพลิเคชันระดับองค์กร

เข้าสู่ระบบพอร์ทัล Microsoft Azure แล้วไปที่ “Microsoft Entra ID”
ไปที่ “Manage” > “Enterprise applications” (แอปพลิเคชันระดับองค์กร)
คลิก “New application” แล้วคลิก “Create your own application”
ป้อนชื่อแอปพลิเคชัน (เช่น EngageLab) เลือก “Integrate any other application you don't find in the gallery (Non-gallery)” แล้วคลิก “Create” การสร้างจะใช้เวลาสักครู่
หลังจากสร้างเสร็จ ระบบจะเข้าสู่หน้า Overview (ภาพรวม) ของแอปพลิเคชัน

หากต้องการแก้ไขแอปพลิเคชันในภายหลัง สามารถค้นหาด้วยชื่อแอปพลิเคชันหรือ Object ID ได้ใน “Enterprise applications” > “All applications”

ค้นหาแอปพลิเคชัน

ขั้นตอนที่ 2: กำหนดผู้ใช้และกลุ่ม

เฉพาะผู้ใช้ที่ได้รับการกำหนดให้กับแอปพลิเคชันนี้เท่านั้นที่สามารถเข้าสู่ระบบ EngageLab ผ่าน Azure ได้ คุณสามารถเพิ่มหรือนำสมาชิกออกได้ที่นี่ตลอดเวลา

หมายเหตุ: EngageLab จับคู่กับอีเมลในโปรไฟล์ Azure ของสมาชิก (แอตทริบิวต์ mail) ไม่ใช่ชื่อเข้าสู่ระบบ Azure โปรดตรวจสอบให้แน่ใจว่าอีเมลนี้ตรงกับอีเมลของบัญชี EngageLab ของสมาชิก

ในหน้า Overview ของแอปพลิเคชัน คลิก “Assign users and groups”
คลิก “Add user/group” แล้วคลิก “None Selected” ใต้ “Users”
เลือกผู้ใช้ที่ต้องเข้าสู่ระบบ EngageLab คลิก “Select” แล้วคลิก “Assign”
หลังจากกำหนดเสร็จ ให้กลับไปยังหน้า Overview ของแอปพลิเคชัน

ขั้นตอนที่ 3: เปิดใช้งานการเข้าสู่ระบบครั้งเดียวแบบ SAML

ในหน้า Overview ของแอปพลิเคชัน คลิก “Set up single sign on” หรือคลิก “Manage” > “Single sign-on” ในเมนูด้านซ้าย
เลือก “SAML”

ขั้นตอนที่ 4: กรอกข้อมูล SP ของ EngageLab

คัดลอกข้อมูล SP ในขั้นตอนที่ 1 ของวิซาร์ดการกำหนดค่า EngageLab

ในส่วน “Basic SAML Configuration” ของ Azure คลิก “Edit” กรอกข้อมูลตามตารางด้านล่าง แล้วคลิก “Save”

Basic SAML Configuration

ฟิลด์ใน Azure	กรอกค่าของ EngageLab
Identifier (Entity ID)	Entity ID
Reply URL (Assertion Consumer Service URL)	ACS URL
Sign on URL	Login URL
Logout Url	Logout URL

กรอกข้อมูล SP

ขั้นตอนที่ 5: ตรวจสอบ Claim อีเมล

EngageLab อ่านอีเมลของผู้ใช้จาก SAML Assertion เพื่อระบุผู้ใช้ Claim เริ่มต้นของ Azure มีแอตทริบิวต์อีเมลมาตรฐานอยู่แล้ว โดยทั่วไปจึงไม่ต้องแก้ไข ให้ตรวจสอบตามขั้นตอนต่อไปนี้

ในส่วน “Attributes & Claims” ของหน้าการกำหนดค่า SAML ให้ตรวจสอบว่ามี Claim ต่อไปนี้:

ชื่อ Claim ค่า

http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress user.mail
หาก Claim นี้ถูกลบหรือแก้ไข ให้คลิก “Edit” > “Add new claim” เพิ่มตามตารางด้านล่าง แล้วคลิก “Save”:

ฟิลด์ ค่าที่กรอก

Name email

Namespace เว้นว่าง

Source Attribute

Source attribute user.mail

ชื่อ Claim	ค่า
`http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress`	`user.mail`

ฟิลด์	ค่าที่กรอก
Name	`email`
Namespace	เว้นว่าง
Source	Attribute
Source attribute	`user.mail`

คำแนะนำ: ตั้งค่า “Unique User Identifier (Name ID)” เป็น user.mail ด้วย โดยใช้รูปแบบ “Email address” เพื่อให้ง่ายต่อการแก้ไขปัญหา

ขั้นตอนที่ 6: กรอกข้อมูลของ Azure ลงใน EngageLab

ในส่วน “SAML Certificates” ของหน้าการกำหนดค่า SAML ให้ดาวน์โหลด “Certificate (Base64)”
เปิดไฟล์ใบรับรองด้วยโปรแกรมแก้ไขข้อความ คัดลอกเนื้อหาทั้งหมด แล้ววางลงใน “ใบรับรอง x509” ในขั้นตอนที่ 2 ของวิซาร์ดการกำหนดค่า EngageLab
ในส่วน “Set up (ชื่อแอปพลิเคชัน)” ของหน้าการกำหนดค่า SAML ให้คัดลอก “Login URL” และ “Logout URL” แล้วกรอกลงใน “URL การเข้าสู่ระบบ IdP” และ “URL การออกจากระบบ IdP” ของ EngageLab ตามลำดับ
กรอก “ชื่อบริการ SSO” ใน EngageLab คลิก “ดำเนินการต่อ” จากนั้นดำเนินการอนุญาตองค์กรและการตรวจสอบให้เสร็จตาม การกำหนดค่า SSO

ขั้นตอนที่ 7: ทดสอบใน Azure

หลังจากกำหนดค่าเสร็จสิ้น คุณสามารถคลิก “Test” ในหน้าการกำหนดค่า SAML ของ Azure เพื่อทดสอบการเข้าสู่ระบบครั้งเดียวด้วยผู้ใช้ปัจจุบัน บัญชีทดสอบต้องได้รับการกำหนดให้กับแอปพลิเคชันนี้ และเข้าร่วมองค์กรใน EngageLab ที่ได้รับอนุญาตบริการ SSO นี้แล้ว

ทดสอบการเข้าสู่ระบบครั้งเดียว

คำถามที่พบบ่อย

อาการ	วิธีแก้ไข
ยืนยันตัวตนใน Azure สำเร็จ แต่เข้าสู่ระบบ EngageLab ไม่ได้	ตรวจสอบว่าใน “Attributes & Claims” มี Claim อีเมลที่มีค่าเป็น `user.mail` (ชื่อแอตทริบิวต์อีเมลมาตรฐานหรือ `email`) หรือไม่ และ `mail` ของผู้ใช้นั้นว่างเปล่าหรือไม่
แจ้งว่าอีเมลไม่ตรงกัน	ตรวจสอบว่าอีเมลในโปรไฟล์ Azure ของผู้ใช้ (`mail`) ตรงกับอีเมลของบัญชี EngageLab หรือไม่ หาก `mail` ว่างเปล่า Claim จะไม่ส่งอีเมลกลับ
Azure แจ้งว่าผู้ใช้ไม่ได้รับการกำหนดให้กับแอปพลิเคชัน	เพิ่มผู้ใช้นั้นใน “Assign users and groups”
หลังจากผ่านไประยะหนึ่ง สมาชิกไม่สามารถเข้าสู่ระบบได้	ใบรับรองของ Azure หมดอายุหรือถูกเปลี่ยน โปรดดาวน์โหลดใบรับรองใหม่และอัปเดตในรายละเอียดบริการ SSO ของ EngageLab