Security Assertion Markup Language (SAML) zapewnia Twojemu zespołowi bezpieczny dostęp do monday.com (SP) za pośrednictwem wybranego dostawcy tożsamości (IdP). Działa to tak, że tożsamość członka zespołu jest przekazywana z jednego miejsca - dostawcy tożsamości - do drugiego, czyli monday.com. Możesz włączyć SAML w monday.com w kilku krokach.

Uwaga: Logowanie jednokrotne SAML (SAML SSO) jest dostępne tylko w planie Enterprise. Logowanie jednokrotne Google jest dostępne w planach Pro i Enterprise. Więcej informacji o logowaniu jednokrotnym Google znajdziesz tutaj.

Skonfiguruj dostawcę tożsamości

Zanim skonfigurujesz logowanie jednokrotne SAML w monday.com, najpierw skonfiguruj połączenie SSO z monday.com u swojego dostawcy tożsamości. Takie połączenie nazywa się też łącznikiem. monday.com obsługuje obecnie trzech głównych dostawców: Okta, Entra ID (wcześniej Azure AD) i OneLogin. Możesz też użyć niestandardowego dostawcy.

• Aby włączyć SAML z Okta, zobacz odpowiedni artykuł.
• Aby włączyć SAML z OneLogin, zobacz odpowiedni artykuł.
• Aby włączyć SAML z Entra ID (wcześniej Azure AD), zobacz odpowiedni artykuł.
• Aby włączyć niestandardowy SAML 2.0, zobacz odpowiedni artykuł.

Uwaga: Domyślnie możesz połączyć jedno konto monday.com z jednym dostawcą tożsamości. Jeśli Twoje konto ma dodatek Enterprise Guardian, możesz skonfigurować wielu dostawców SSO na tym samym koncie. Możesz też połączyć wiele kont monday.com z jednym dostawcą tożsamości.

Po wykonaniu tego kroku zaloguj się na konto monday.com, aby kontynuować konfigurację logowania jednokrotnego SAML. Wykonaj poniższe kroki.

Skonfiguruj logowanie jednokrotne SAML w monday.com

Po skonfigurowaniu dostawcy tożsamości włącz SAML w monday.com. Kliknij swoje zdjęcie profilowe w prawym górnym rogu ekranu, a następnie wybierz Administracja (Administration).

W sekcji administratora wybierz po lewej stronie Zabezpieczenia (Security). Kliknij Logowanie jednokrotne (Single Sign-On) w zakładce Zasady uwierzytelniania (Authentication policies). Następnie kliknij Dodaj zasadę SSO (Add SSO policy). W tym przykładzie użyjemy Okta, ale możesz wybrać inną opcję.

Wybierz dostawcę tożsamości z listy:

Uwaga: Format adresu URL SAML SSO i pola wystawcy dostawcy tożsamości różni się nieco w zależności od dostawcy tożsamości. Po wybraniu dostawcy z listy zobaczysz oczekiwany format wartości tych pól. Jeśli Twojego dostawcy tożsamości nie ma na liście, wybierz Niestandardowy SAML 2.0 (Custom SAML 2.0) i skopiuj z jego ustawień wartości adresu URL SAML SSO i wystawcy dostawcy tożsamości.

Wypełnij poniższe pola danymi od dostawcy tożsamości:

• Adres URL SAML SSO (SAML SSO URL)
• Wystawca dostawcy tożsamości (Identity provider issuer)
• Certyfikat publiczny (Public certificate)

Uwaga: Jeśli Twoja organizacja chce wysyłać zaszyfrowane odpowiedzi SAML, wybierz Włącz certyfikat Monday (Enable Monday Certificate). Otrzymasz wtedy publiczny certyfikat szyfrujący, który należy wprowadzić w ustawieniach dostawcy tożsamości. Dzięki temu monday.com będzie mogło odszyfrować odpowiedź SAML.

Przetestuj połączenie SSO

Po wypełnieniu wszystkich wymaganych informacji o dostawcy SSO przetestuj połączenie. Ten krok jest obowiązkowy przed włączeniem SAML na koncie lub wprowadzeniem innych zmian. Kliknij Przetestuj połączenie SSO (Test SSO connection).

Aktywuj dostawcę SSO

Po wykonaniu powyższych kroków aktywuj dostawcę SSO. Kliknij Dodaj dostawcę SSO (Add SSO provider). Wszyscy członkowie zespołu w monday.com otrzymają wtedy e-mail z informacją, jak zalogować się za pomocą wybranego dostawcy SSO.

Dostosuj zasady dotyczące adresu e-mail i hasła

Administratorzy mają większą swobodę w zarządzaniu zasadami logowania, między innymi mogą dostosowywać zasady dotyczące adresu e-mail i hasła. To ustawienie pozwala łatwo wyłączyć wybranych członków zespołu z wymogu korzystania z SSO, dzięki czemu można dostosować sposób logowania do potrzeb zespołu.

Kliknij trzy kropki obok sekcji Adres e-mail i hasło (Email and password) i wybierz Edytuj (Edit). Administrator może określić, kogo dotyczą te zasady - wszystkich czy tylko niektóre osoby (np. gości albo jednego użytkownika).

Przed aktywacją SSO nie można edytować zasad dotyczących adresu e-mail i hasła. Domyślnie po aktywacji SSO zasady zmieniają się z Wszyscy (Everyone) na Goście (Guests).

W sekcji zasad dotyczących adresu e-mail i hasła są dostępne dwie opcje:

Opcja 1: Wszyscy użytkownicy, w tym goście, mogą logować się do monday.com przy użyciu adresu e-mail i hasła.

Opcja 2: Tylko niektóre osoby - goście, jeden użytkownik albo obie te grupy - mogą logować się do monday.com przy użyciu adresu e-mail i hasła.

Wybranie opcji Goście w sekcji Tylko niektóre osoby (Only some people) pozwala gościom logować się za pomocą adresu e-mail i hasła, a nie tylko przez SSO. To najczęściej używana opcja, ponieważ goście często są użytkownikami zewnętrznymi, którymi nie zarządza wewnętrzny dział IT organizacji.

Wybranie opcji Jeden użytkownik (A single user) w sekcji Tylko niektóre osoby oznacza, że tylko wybrany członek zespołu może logować się za pomocą adresu e-mail i hasła, a nie tylko przez SSO.

Uwaga: Ten awaryjny dostęp można wykorzystać na przykład wtedy, gdy wystąpi problem z dostawcą SSO i trzeba uzyskać dostęp do platformy, aby zmienić ustawienia.

Uwaga: Uwierzytelnianie dwuskładnikowe monday.com (2FA) dotyczy tylko członków zespołu, którzy logują się za pomocą adresu e-mail i hasła. Członkowie zespołu logujący się przez SSO nie są proszeni o użycie 2FA monday.com - uwierzytelnia ich dostawca tożsamości.

Jeśli jest to zgodne z zasadami bezpieczeństwa Twojej firmy, zalecamy wybranie opcji Goście lub Goście i jeden użytkownik (Guests and a single user) w ustawieniu Tylko niektóre osoby. W takim przypadku wszyscy użytkownicy konta, poza gośćmi i wskazanym użytkownikiem, muszą logować się przez SSO. Gości można zaprosić do tablic, które można udostępniać. Mogą logować się tak jak zwykle za pomocą adresu e-mail i hasła. Ich adresy e-mail nie muszą być aktywne na koncie dostawcy tożsamości, aby mogli się zalogować. Opcja jednego użytkownika zapewnia dodatkową elastyczność: w razie potrzeby jeden członek zespołu może zalogować się adresem e-mail i hasłem, aby uzyskać awaryjny dostęp.

Provisioning

Domyślnie monday.com korzysta z provisioningu Just In Time. Oznacza to, że użytkownik jest tworzony w monday.com przy pierwszym logowaniu, jeśli wcześniej nie istniał.

Jeśli chcesz włączyć provisioning SCIM, wygeneruj token i postępuj zgodnie z instrukcjami dostawcy tożsamości, aby go skonfigurować. monday.com obsługuje przepływy inicjowane przez dostawcę tożsamości (IDP-initiated) i przez dostawcę usług (SP-initiated). W katalogu aplikacji Okta znajduje się oficjalna aplikacja monday.com. Aby ją włączyć, zobacz odpowiedni artykuł.

W katalogu aplikacji OneLogin znajduje się również oficjalna aplikacja monday.com. Aby ją włączyć, zobacz odpowiedni artykuł.

Oficjalna aplikacja monday.com jest też dostępna w katalogu aplikacji Entra ID. Aby ją włączyć, zobacz odpowiedni artykuł.

Uwaga: Provisioning SCIM jest dostępny tylko w planach Enterprise.

Co się stanie po włączeniu SSO?

Po włączeniu SSO na koncie każdy administrator otrzyma e-mail z informacją o aktywacji SSO.
Poniżej znajduje się przykładowa wiadomość:

Częste błędy po zalogowaniu się do dostawcy SSO

Niektórzy członkowie zespołu mogą mieć problemy z korzystaniem z SSO. Na przykład po wpisaniu danych logowania na stronie dostawcy SSO zamiast przekierowania z powrotem do monday.com mogą zobaczyć komunikat o błędzie informujący, że zalogowany użytkownik „username@email.com” nie ma przypisanej roli do aplikacji. Treść komunikatu może się nieco różnić w zależności od dostawcy SSO. Oznacza to, że administratorzy konta powinni zalogować się u dostawcy SSO używanego przez zespół i dodać tego użytkownika do konta monday.com.

Inny częsty problem występuje, gdy użytkownik zmieni adres e-mail. Może wtedy pojawić się błąd podczas próby logowania. Omówimy to w następnej sekcji.

Co się dzieje, gdy użytkownik zmieni adres e-mail?

Gdy użytkownik loguje się do monday.com przez SSO, między dostawcą tożsamości (IDP) a identyfikatorem użytkownika w monday.com nawiązywane jest połączenie w tle. To połączenie, nazywane UID (identyfikatorem użytkownika), łączy tożsamość danej osoby w IDP (jej imię i nazwisko oraz adres e-mail) z adresem e-mail przypisanym do jej konta monday.com.

Dlatego jeśli użytkownik zmieni adres e-mail, nie będzie mógł zalogować się do monday.com, dopóki jego UID (identyfikator użytkownika) nie zostanie zresetowany. UID jest powiązany z poprzednim adresem e-mail użytkownika. Po zmianie adresu nie zostanie automatycznie powiązany z istniejącym UID. Zresetowanie UID zerwie poprzednie połączenie i utworzy nowe między UID a zmienionym adresem e-mail.

Co zrobić, gdy użytkownik zmieni adres e-mail

Jeśli użytkownik zmieni adres e-mail, wykonaj poniższe dwa kroki. Użytkownik powinien wtedy móc ponownie zalogować się na konto.

1. Zmień adres e-mail użytkownika u dostawcy tożsamości i w monday.com

Adres e-mail użytkownika trzeba zmienić zarówno u dostawcy tożsamości, jak i w monday.com. Aby zmienić adres e-mail w monday.com, użytkownik może wykonać kroki opisane w tym artykule.

Uwaga: Jeśli administrator zmieni adres e-mail użytkownika, użytkownik będzie musiał potwierdzić nowy adres.

2 Zresetuj UID użytkownika

Po zmianie adresu e-mail użytkownika w IDP i monday.com zresetuj jego UID. Otwórz zakładkę Zarządzanie użytkownikami w sekcji administratora konta. Znajdź użytkownika, który zmienił adres e-mail, kliknij menu z trzema kropkami po lewej stronie jego imienia i nazwiska, a następnie wybierz Zresetuj UID SSO (Reset SSO UID):

Po wykonaniu tej czynności użytkownik powinien móc zalogować się na konto monday.com przy użyciu nowego adresu e-mail.

Zmień domeny e-mail wielu użytkowników jednocześnie

Jako administrator możesz zbiorczo zmienić domenę e-mail wielu użytkowników i natychmiast zresetować ich identyfikatory UID SSO.

Aby to zrobić, otwórz sekcję Zarządzanie użytkownikami na swoim koncie. Zaznacz odpowiednich użytkowników, klikając pola po lewej stronie ich ikon, a następnie kliknij Zmień domenę e-mail (Change email domain) na dolnym pasku. Wpisz nową domenę e-mail i kliknij Zmień domenę e-mail. Wraz ze zmianą domeny e-mail zostaną zresetowane identyfikatory UID SSO tych użytkowników.

Gdy wybrani użytkownicy potwierdzą zmianę adresu e-mail, wszystko będzie gotowe.

Uwaga: Ta czynność nie zmienia prefiksu adresu e-mail, czyli części przed znakiem @.