+33 670 330 003 [email protected]
Skontaktuj się z nami Zamów demonstrację

OIDC / SSO — logowanie przez dostawcę tożsamości

Premium

Logowanie SSO (OIDC / OAuth2): użytkownicy logują się do Omniscol kontem firmowym, a nie osobnym hasłem — jeden identyfikator do zapamiętania, centralne włączanie i wyłączanie dostępu wraz z przyjściami i odejściami oraz polityka bezpieczeństwa (MFA, wygaśnięcie…) narzucana przez system informacyjny szkoły. Omniscol obsługuje Google Workspace, Microsoft Entra ID, Keycloak oraz dowolnego dostawcę zgodnego z OIDC.

OpenID Connect (OIDC), zbudowany na OAuth2, pozwala użytkownikom logować się do Omniscol kontem firmowym, a nie osobnym hasłem Omniscol. Trzy korzyści: jedno hasło do zapamiętania, centralne wyłączenie dostępu przy przyjściu i odejściu pracownika, automatyczne stosowanie polityki bezpieczeństwa (MFA, długość hasła, wygaśnięcie…) zarządzanej po stronie systemu informacyjnego.

Ta strona opisuje SSO użytkowników: logowanie osób do Omniscol przez dostawcę tożsamości szkoły. Przypadek odwrotny — Omniscol jako serwer OAuth2 / OIDC, z którym łączą się usługi zewnętrzne, wraz z jego ekranem zarządzania klientami — jest omówiony na OAuth2 / OIDC (dostawca).

Obsługiwani dostawcy

Omniscol obsługuje:

  • Google Workspace,
  • Microsoft Entra ID (dawniej Azure AD),
  • Keycloak,
  • generycznego dostawcę OIDC przez jego adres issuer / discovery (dowolnego dostawcę zgodnego z OIDC).

Konfiguracja po stronie Omniscol

W module Administracja → Ustawienia, w sekcji Bezpieczeństwo, przycisk Konfiguruj otwiera ekran konfiguracji OIDC, na którym deklaruje się dostawcę:

  • Nazwa wyświetlana — etykieta, która pojawi się na przycisku logowania (na przykład Zaloguj się przez Google).
  • Typ dostawcy — Google, Microsoft Entra ID (Azure AD), Keycloak albo generyczny OIDC.
  • Tenant / issuer — tenant Microsoft dla Entra ID albo adres URL issuer dla Keycloaka i generycznych dostawców OIDC. Metadane OIDC są następnie wykrywane przez aplikację.
  • Client ID oraz Client secret — uzyskane przez utworzenie aplikacji po stronie dostawcy (zob. dokumentację dostawcy).
  • Zakresy — domyślnie openid profile email. W razie potrzeby proszę dodać zakresy właściwe danemu dostawcy.
  • Dozwolone domeny — opcjonalna lista domen pocztowych akceptowanych przy logowaniu SSO; jeśli pozostanie pusta, żadne filtrowanie po domenie nie jest stosowane.
  • Adres URL przekierowania — Omniscol podaje dokładną wartość do skopiowania w konfiguracji po stronie dostawcy (a także adres URL przekierowania po wylogowaniu, jeśli dostawca go wymaga).
  • Logowanie wyłącznie przez SSO — gdy SSO zostanie zatwierdzone, ta opcja odrzuca logowanie hasłem Omniscol, z wyjątkiem kont awaryjnych opisanych poniżej.

Bieżąca konfiguracja SSO jest określona na poziomie konta szkoły.

Dostęp awaryjny (break-glass)

W trybie Logowanie wyłącznie przez SSO logowanie hasłem Omniscol jest odrzucane: wszyscy przechodzą przez dostawcę tożsamości. Jeśli ten dostawca stanie się nieosiągalny — awaria, wygasły sekret, błąd konfiguracji — dostęp do Omniscol byłby zablokowany dla wszystkich.

Konto awaryjne („break-glass”) jest zabezpieczeniem przed tą blokadą: konto administratora uprawnione do logowania hasłem Omniscol nawet wtedy, gdy tryb wyłącznego SSO jest aktywny.

  • W karcie konta administratora, gdy opcja Logowanie wyłącznie przez SSO jest aktywna, pojawia się pole wyboru Dostęp awaryjny (tylko SSO). Jego zaznaczenie pozwala temu kontu zalogować się hasłem, jeśli dostawca tożsamości jest nieosiągalny. Uprawnienie to mogą otrzymać wyłącznie konta administratorów.
  • Wsparcie Omniscol zachowuje ponadto niezależny dostęp awaryjny.

Proszę wyznaczyć co najmniej jedno konto awaryjne przed włączeniem trybu wyłącznego SSO i przechowywać jego hasło w bezpiecznym miejscu: to zabezpieczenie na wypadek awarii dostawcy tożsamości.

Konfiguracja po stronie dostawcy (przykłady)

Google Workspace

  1. Konsola Google Cloud > APIs & Services > Credentials.
  2. Proszę utworzyć identyfikator OAuth 2.0, typ Aplikacja internetowa.
  3. Proszę wkleić adres URL przekierowania podany przez Omniscol w Authorized redirect URIs.
  4. Proszę odczytać Client ID oraz Client secret, aby wkleić je w Omniscol.

Microsoft Entra ID

  1. Portal Azure > Entra ID > App registrations.
  2. New registration, typ Web, adres URL przekierowania z Omniscol.
  3. Certificates & secrets > proszę utworzyć client secret.
  4. API permissions > proszę dodać openid, profile, email.
  5. Proszę odczytać Application (client) ID oraz sekret.

Keycloak

  1. Realm > Clients > Create client, typ OpenID Connect.
  2. Valid redirect URIs: adres URL podany przez Omniscol.
  3. Credentials > proszę odczytać client secret.

Powiązanie z kontami Omniscol

Gdy użytkownik kliknie przycisk SSO, Omniscol:

  1. przekierowuje go do dostawcy,
  2. po uwierzytelnieniu odczytuje jego adres e-mail,
  3. szuka konta Omniscol o tym samym adresie e-mail.

Jeśli konto istnieje i jest aktywne, użytkownik zostaje zalogowany. W przeciwnym razie dostęp jest odrzucany. Konsekwencja: aby SSO działało, użytkownicy muszą istnieć w Omniscol z poprawnym adresem e-mail — tworzenie kont nie jest domyślnie automatyczne po stronie Omniscol.

Automatyczne zakładanie kont

Automatyczne tworzenie kont przy pierwszym logowaniu SSO (just-in-time provisioning) nie jest domyślnym zachowaniem ekranu konfiguracji. Jeśli ten tryb jest potrzebny, należy go ustalić z Omniscol.

Instrukcja

Konfiguracja dostawcy OIDC / SSO

  1. OIDC / SSO pozwala użytkownikom logować się ich kontem firmowym (Google Workspace, Microsoft Entra ID, Keycloak, Okta…). Część po stronie dostawcy zależy od dostawcy.

  2. Po stronie dostawcy proszę najpierw utworzyć aplikację OIDC typu Aplikacja internetowa: proszę odczytać Client ID oraz Client secret i skopiować adres URL przekierowania podany przez Omniscol do Authorized redirect URIs u dostawcy.

  3. Po stronie Omniscol proszę otworzyć ustawienia, a potem konfigurację OIDC. Proszę wypełnić nazwę wyświetlaną (etykietę przycisku logowania), typ dostawcy, issuer albo tenant w zależności od przypadku, Client ID, Client secret oraz zakresy (domyślnie: openid profile email).

  4. Proszę kliknąć Testuj. Proszę sprawdzić, czy konfiguracja działa. Omniscol wykonuje pełną wymianę OIDC; w razie błędu discovery, sekretu albo przekierowania komunikat o błędzie jest jednoznaczny.

  5. Proszę zapisać. Przycisk logowania SSO pojawia się na stronie logowania, gdy konfiguracja jest aktywna.

  6. Ważne: konta muszą istnieć w Omniscol z poprawnym adresem e-mail. Logowanie SSO dopasowuje konta po adresie e-mail; domyślnie brak automatycznego zakładania kont.

Zobacz także

Zobacz także