การกำหนดค่า SSO

การเข้าสู่ระบบครั้งเดียว (SSO, Single Sign-On) ช่วยให้สมาชิกขององค์กรเข้าสู่ระบบ EngageLab ด้วยผู้ให้บริการข้อมูลประจำตัว (IdP) ขององค์กรเอง โดยไม่ต้องจัดการรหัสผ่าน EngageLab แยกต่างหาก ผู้ดูแลระบบสามารถเปิดและปิดสิทธิ์การเข้าถึงของสมาชิกได้จากศูนย์กลางใน IdP

EngageLab รองรับผู้ให้บริการข้อมูลประจำตัวที่ใช้โปรโตคอล SAML 2.0 รวมถึงแต่ไม่จำกัดเพียง Microsoft Azure (Microsoft Entra ID), Google Workspace, Okta และ OneLogin

เอกสารนี้จัดทำสำหรับผู้สร้างองค์กรและผู้ดูแลระบบ IdP ขององค์กร โดยอธิบายขั้นตอนทั้งหมดตั้งแต่การกำหนดค่าจนถึงการเข้าสู่ระบบของสมาชิก

คำศัพท์ที่ใช้บ่อย

การเตรียมก่อนกำหนดค่า

• มีบัญชี EngageLab และเข้าสู่ระบบด้วยการเข้าสู่ระบบทั่วไป เมื่อเข้าสู่ระบบด้วย SSO จะไม่สามารถสร้างองค์กรได้
• องค์กรที่จะเปิดใช้งาน SSO ต้องสร้างโดยคุณ และเปิดใช้งานสิทธิประโยชน์ SSO แล้ว หากยังไม่ได้เปิดใช้งาน โปรดติดต่อฝ่ายขาย
• สามารถสร้างแอปพลิเคชัน SAML ใน IdP ขององค์กรได้ หรือมีผู้ดูแลระบบ IdP ช่วยดำเนินการ
• อีเมลของสมาชิกใน IdP ตรงกับอีเมลของบัญชี EngageLab ของสมาชิกนั้น

กฎการระบุผู้ใช้

EngageLab ระบุผู้ใช้ SSO ด้วยอีเมล โดยอ่านแอตทริบิวต์อีเมลของผู้ใช้จาก SAML Assertion ที่ IdP ส่งกลับ แล้วจับคู่กับอีเมลของบัญชี EngageLab ระบบรองรับชื่อแอตทริบิวต์ทั้งสองแบบต่อไปนี้:

หมายเหตุ: SAML Assertion ที่ IdP ส่งกลับต้องมีแอตทริบิวต์อีเมลอย่างใดอย่างหนึ่งข้างต้น โดยค่าต้องเป็นที่อยู่อีเมลของผู้ใช้และตรงกับอีเมลของบัญชี EngageLab ของผู้ใช้นั้น หาก IdP ที่คุณใช้ไม่ส่งแอตทริบิวต์อีเมลกลับโดยค่าเริ่มต้น โปรดเพิ่มแอตทริบิวต์ชื่อ email ใน Attribute Statement ของแอปพลิเคชัน IdP มิฉะนั้นผู้ใช้จะไม่สามารถเข้าสู่ระบบ SSO ได้

คำแนะนำ: ตั้งค่า Name ID เป็นที่อยู่อีเมลของผู้ใช้ด้วย โดยใช้รูปแบบ EmailAddress เพื่อให้ง่ายต่อการแก้ไขปัญหา

การกำหนดค่าแอตทริบิวต์อีเมลของแต่ละ IdP:

ขั้นตอนการกำหนดค่า

การกำหนดค่า SSO แบ่งเป็นสี่ขั้นตอน ซึ่งสอดคล้องกับวิซาร์ด “กำหนดค่า SSO” ในคอนโซล:

1. การกำหนดค่า IdP: กำหนดค่าข้อมูล SP ที่ EngageLab ให้ไว้ใน IdP และยืนยันว่า IdP ส่งแอตทริบิวต์อีเมลกลับ
2. การส่งคืนแหล่งข้อมูล: กรอกใบรับรอง รวมถึงที่อยู่เข้าสู่ระบบและออกจากระบบที่ IdP สร้างขึ้นลงใน EngageLab
3. อนุญาตองค์กร: อนุญาตบริการ SSO ให้กับองค์กรที่จะเปิดใช้งาน SSO
4. การตรวจสอบ: ทดสอบการเข้าสู่ระบบด้วยลิงก์เข้าสู่ระบบ SSO

ขั้นตอนที่ 1: กำหนดค่า EngageLab ใน IdP

1. เข้าสู่ระบบ EngageLab วางเมาส์เหนือรูปโปรไฟล์ที่มุมขวาบน แล้วคลิก “ศูนย์ส่วนตัว”

   

2. ใน “ศูนย์ส่วนตัว” คลิก “SSO” แล้วคลิก “กำหนดค่า SSO”

   

3. คัดลอกข้อมูล SP ในหน้านี้และส่งให้ผู้ดูแลระบบ IdP เพื่อสร้างแอปพลิเคชัน SAML ใน IdP คลิก “คัดลอก” เพื่อคัดลอกข้อมูลทั้งหมดในครั้งเดียว

   

   ข้อมูล SP	คำอธิบาย	ชื่อฟิลด์ที่พบบ่อยใน IdP
   Entity ID	ตัวระบุเฉพาะของ EngageLab ในฐานะ SP	Identifier (Entity ID), Audience URI, SP Entity ID
   ACS URL	ที่อยู่สำหรับรับ SAML Assertion ที่ IdP ส่งกลับ	Reply URL (Assertion Consumer Service URL), Single sign-on URL, ACS URL
   Login URL	ทางเข้าการเข้าสู่ระบบ SSO ของ EngageLab	Sign on URL, Start URL
   Logout URL	ที่อยู่ออกจากระบบของ EngageLab	Logout URL, Single Logout URL

4. ตรวจสอบตามกฎการระบุผู้ใช้ว่าแอปพลิเคชัน IdP จะส่งแอตทริบิวต์อีเมลกลับ หากไม่ส่งกลับโดยค่าเริ่มต้น ให้เพิ่มแอตทริบิวต์ชื่อ email และกำหนดสมาชิกที่ต้องเข้าสู่ระบบ EngageLab ให้กับแอปพลิเคชันนี้

5. ขอข้อมูลต่อไปนี้จากผู้ดูแลระบบ IdP เพื่อใช้กรอกในขั้นตอนถัดไป:

   ข้อมูล IdP	คำอธิบาย
   X.509 Certificate	ใบรับรองการลงนามของ IdP ในรูปแบบ Base64 ใบรับรองมีอายุการใช้งาน ต้องอัปเดตก่อนหมดอายุ
   URL การเข้าสู่ระบบ IdP	ที่อยู่การเข้าสู่ระบบครั้งเดียวของ IdP
   URL การออกจากระบบ IdP	ที่อยู่การออกจากระบบครั้งเดียวของ IdP

6. หลังจากกำหนดค่า IdP เสร็จสิ้น ให้ทำเครื่องหมายในช่องยืนยันที่ด้านล่างของหน้า (ยืนยันว่าข้อมูลแอปพลิเคชัน EngageLab ได้รับการอัปเดตใน IdP แล้ว) แล้วคลิก “ดำเนินการต่อ”

   

ขั้นตอนการกำหนดค่าโดยละเอียดสำหรับ IdP ที่ใช้บ่อย:

• Microsoft Azure
• ผู้ดูแลระบบ Google
• IdP อื่นๆ เช่น Okta, OneLogin: กรอกข้อมูล SP ลงในฟิลด์ที่เกี่ยวข้องตามตารางข้างต้น และเพิ่มแอตทริบิวต์ email ตามกฎการระบุผู้ใช้

ขั้นตอนที่ 2: ป้อนข้อมูลที่ IdP ส่งกลับ

1. กรอก “ชื่อบริการ SSO” เพื่อใช้แยกแยะบริการต่างๆ ในรายการบริการ SSO
2. กรอก “ใบรับรอง x509” “URL การเข้าสู่ระบบ IdP” และ “URL การออกจากระบบ IdP” ที่ IdP ให้มา สำหรับใบรับรอง โปรดวางเนื้อหา Base64 ทั้งหมด
3. คลิก “ดำเนินการต่อ”

ขั้นตอนที่ 3: อนุญาตองค์กร

1. เลือกองค์กรที่จะเปิดใช้งาน SSO แล้วคลิก “บันทึกและตรวจสอบ”

   • บริการ SSO หนึ่งรายการสามารถอนุญาตให้กับหลายองค์กรได้ และองค์กรหนึ่งก็สามารถได้รับอนุญาตบริการ SSO หลายรายการได้
   • เลือกได้เฉพาะองค์กรที่คุณสร้างและเปิดใช้งานสิทธิประโยชน์ SSO แล้วเท่านั้น องค์กรที่แสดง “ไม่มีสิทธิ์” หรือ “ถูกจำกัด” (เกินขีดจำกัดจำนวนโปรโตคอล SSO) จะไม่สามารถเลือกได้ โปรดติดต่อฝ่ายขาย

   

2. ยืนยันในหน้าต่างยืนยัน

   หมายเหตุ: หลังจากบันทึก สมาชิกทั้งหมดขององค์กรที่เลือกจะถูกออกจากระบบ และจะได้รับอีเมลที่กำหนดให้ใช้การเข้าสู่ระบบ SSO หลังจากนั้นสมาชิกต้องเข้าสู่ระบบด้วย SSO จึงจะเข้าถึงองค์กรนี้ได้

   

ขั้นตอนที่ 4: ตรวจสอบบริการ SSO

ใช้ “URL การเข้าสู่ระบบ SSO” ในหน้านี้เพื่อทดสอบการเข้าสู่ระบบ บัญชีทดสอบต้องมีคุณสมบัติดังนี้:

• เข้าร่วมองค์กรที่ได้รับอนุญาตบริการ SSO แล้ว
• ได้รับการกำหนดให้กับแอปพลิเคชัน SAML นี้ใน IdP แล้ว
• ค่าแอตทริบิวต์อีเมลที่ IdP ส่งกลับตรงกับอีเมล EngageLab ของบัญชีนี้

ข้อมูลเพิ่มเติม: บัญชีที่เข้าสู่ระบบผ่านลิงก์เข้าสู่ระบบ SSO และไม่มีบทบาทใดๆ ในองค์กร จะได้รับบทบาท Default โดยอัตโนมัติ หลังจากสมาชิกเข้าร่วมแล้ว คุณสามารถเปลี่ยนบทบาทได้ในการจัดการสมาชิกขององค์กร

กฎการเข้าถึงของผู้ใช้

หลังจากบัญชีเข้าสู่ระบบผ่านบริการ SSO ใดบริการหนึ่ง ระบบจะบันทึกความสัมพันธ์การเชื่อมโยงระหว่างบัญชีกับบริการ SSO นั้น วิธีต่อไปนี้จะสร้างการเชื่อมโยง:

• คลิกลิงก์เข้าสู่ระบบ SSO ในอีเมล “เชิญเข้าร่วมองค์กร”
• คลิกลิงก์เข้าสู่ระบบ SSO ในอีเมลแจ้งเตือน “องค์กรเปิดใช้งานบริการ SSO”
• ใช้ลิงก์เข้าสู่ระบบเฉพาะของบริการ SSO

จัดการบริการ SSO

ดูบริการ SSO ที่กำหนดค่าไว้ได้ใน “ศูนย์ส่วนตัว” > “SSO”

ดูและแก้ไข

คลิกแถวใดแถวหนึ่งหรือ “แก้ไข” เพื่อเปิด “รายละเอียดบริการ SSO” ซึ่งแสดงข้อมูลการกำหนดค่า SP และข้อมูลการกำหนดค่า IdP คลิกปุ่มทางด้านขวาของฟิลด์เพื่อคัดลอกเนื้อหา

• แก้ไขได้เฉพาะข้อมูลการกำหนดค่า IdP (ใบรับรอง x509, URL การเข้าสู่ระบบ IdP, URL การออกจากระบบ IdP) ฟิลด์อื่นๆ เป็นแบบอ่านอย่างเดียว
• รายละเอียดจะแสดงวันหมดอายุของใบรับรอง หลังจาก IdP เปลี่ยนใบรับรอง โปรดอัปเดตที่นี่โดยเร็ว มิฉะนั้นสมาชิกจะไม่สามารถเข้าสู่ระบบได้

แก้ไของค์กรที่ได้รับอนุญาต

คลิก “อนุญาต” เลือกองค์กรทางด้านซ้าย ดูองค์กรที่ได้รับอนุญาตทางด้านขวา แล้วคลิก “บันทึก”

• องค์กรที่เพิ่มการอนุญาต: สมาชิกทั้งหมดจะได้รับอีเมลแจ้งเตือนที่มีลิงก์เข้าสู่ระบบของบริการ SSO นี้ และกำหนดให้เข้าสู่ระบบด้วยบริการนี้
• องค์กรที่ยกเลิกการอนุญาต: สมาชิกทั้งหมดจะได้รับอีเมลแจ้งเตือนว่าไม่สามารถเข้าสู่ระบบด้วยบริการ SSO นี้ได้อีก พร้อมแจ้งวิธีการเข้าสู่ระบบอื่นที่องค์กรรองรับ

ลบ

คลิก “ลบ” แล้วยืนยัน

หมายเหตุ: หลังจากลบ องค์กรที่ได้รับอนุญาตจากบริการนี้จะไม่รองรับการเข้าสู่ระบบ SSO ผ่านบริการนี้อีก ลิงก์เข้าสู่ระบบจะใช้งานไม่ได้ และสมาชิกองค์กรจะได้รับอีเมลแจ้งให้หยุดใช้การเข้าสู่ระบบ SSO

การเข้าสู่ระบบของสมาชิก

เข้าสู่ระบบจากหน้าเข้าสู่ระบบ EngageLab

1. เปิดหน้าเข้าสู่ระบบ EngageLab แล้วคลิก “เข้าสู่ระบบ SSO”

   

2. ป้อนอีเมลของบัญชี EngageLab ระบบจะเลือกบริการ SSO ตามองค์กร SSO ที่บัญชีนี้เข้าถึงล่าสุด:

   • หากองค์กรนั้นมีบริการ SSO เพียงรายการเดียว ระบบจะเปลี่ยนเส้นทางไปยัง IdP โดยตรง
   • หากองค์กรนั้นมีบริการ SSO หลายรายการ และบัญชีเชื่อมโยงกับหลายบริการในนั้น โปรดเลือกบริการที่จะใช้

3. หลังจากยืนยันตัวตนในหน้า IdP เสร็จสิ้น ระบบจะกลับไปยัง EngageLab โดยอัตโนมัติและเข้าสู่ระบบให้เสร็จสมบูรณ์

   

ใช้ลิงก์เข้าสู่ระบบ SSO เฉพาะ

ผู้สร้างองค์กรสามารถคัดลอกลิงก์เข้าสู่ระบบของบริการ SSO ได้ใน “ศูนย์ส่วนตัว” > “SSO” แล้วส่งให้สมาชิกองค์กร

เมื่อสมาชิกคลิกลิงก์ ระบบจะเปลี่ยนเส้นทางไปยัง IdP เพื่อยืนยันตัวตน หลังจากยืนยันตัวตนสำเร็จ EngageLab จะจับคู่บัญชีตามอีเมลที่ IdP ส่งกลับ:

ข้อมูลเพิ่มเติม: หากต้องการเข้าถึงองค์กรผ่านลิงก์เข้าสู่ระบบ SSO โปรดติดต่อผู้ดูแลระบบองค์กรเพื่อเพิ่มอีเมลของคุณลงในองค์กร SSO นั้น

การแก้ไขปัญหาการเข้าสู่ระบบล้มเหลว

ออกจากระบบ

เมื่อคลิกออกจากระบบในสถานะเข้าสู่ระบบ SSO ระบบจะเรียกใช้ที่อยู่ออกจากระบบของ IdP และออกจากสถานะเข้าสู่ระบบของ IdP ไปพร้อมกัน เมื่อเข้าสู่ระบบอีกครั้งจะต้องยืนยันตัวตนใน IdP ใหม่

ข้อมูลเพิ่มเติม: IdP บางรายไม่รองรับการออกจากระบบครั้งเดียว (เช่น Google Workspace) ในกรณีนี้ต้องออกจากระบบด้วยตนเองในฝั่ง IdP ดูที่ ผู้ดูแลระบบ Google