Konfigurasi SSO dengan SAML atau OIDC - Qoder - - Alibaba Cloud Documentation Center

Konfigurasikan Single Sign-On (SSO) untuk organisasi Anda di QoderWork CN dan Qoder CN CLI Enterprise Standard. Baik SAML 2.0 maupun OIDC didukung.

Penting

Situs dokumentasi Qoder CN yang baru kini tersedia. Konten di situs ini mungkin tidak mencerminkan fitur dan perubahan Produk terbaru. Kunjungi docs.qoder.cn untuk dokumentasi Produk terbaru.

Ikhtisar

Single Sign-On (SSO) memungkinkan anggota organisasi Anda melakukan autentikasi melalui penyedia identitas (IdP) perusahaan tanpa memerlukan kredensial Qoder terpisah.

SAML 2.0: Standar berbasis XML yang matang untuk autentikasi enterprise, banyak digunakan oleh IdP seperti Okta, Microsoft Entra ID (sebelumnya Azure AD), OneLogin, dan Alibaba Cloud IDaaS.
OIDC (OpenID Connect): Protokol identitas modern yang dibangun di atas OAuth 2.0 dengan penemuan titik akhir otomatis melalui URL discovery. Penyedia umum mencakup Okta, Microsoft Entra ID, Google Workspace, Auth0, Authing, dan Alibaba Cloud RAM.

Manfaat SSO

Keamanan yang ditingkatkan: Sentralisasi autentikasi melalui penyedia identitas perusahaan Anda.
Pengalaman pengguna yang lebih baik: Akses semua aplikasi enterprise dengan satu set kredensial.
Manajemen pengguna yang disederhanakan: Buat akun secara otomatis dan tambahkan pengguna ke organisasi Anda saat pertama kali masuk dari domain yang telah diverifikasi.

Memilih protokol

Protokol	Kasus penggunaan
SAML	IdP Anda hanya mendukung SAML; Anda memerlukan SSO yang diinisiasi oleh IdP; atau Anda memiliki sistem autentikasi berbasis SAML yang sudah ada.
OIDC	IdP Anda mendukung OIDC atau OAuth 2.0; Anda menginginkan auto-discovery melalui URL discovery; atau Anda lebih memilih integrasi berbasis JSON yang ringan.

Hanya satu protokol SSO yang dapat diaktifkan dalam satu waktu. Nonaktifkan konfigurasi saat ini sebelum membuat yang baru.

Prasyarat

Pastikan hal-hal berikut:

Izin administrator: Akses administrator tingkat organisasi.
Izin penyedia identitas: Kemampuan untuk membuat dan mengonfigurasi aplikasi di IdP Anda.
Akses DNS: Kemampuan untuk menambahkan Rekaman TXT ke domain email Anda guna verifikasi.

Proses konfigurasi

Langkah-langkah konfigurasi SSO untuk SAML dan OIDC:

Langkah 1: Verifikasi domain email Anda

Verifikasi kepemilikan domain email perusahaan Anda agar hanya pengguna dari domain yang telah diverifikasi yang dapat masuk melalui SSO. Verifikasi domain.

Langkah 2: Buat konfigurasi SSO

Sebagai administrator, buka Organization Settings > Security & Identity.
Pilih SAML Settings atau OIDC Settings, tergantung pada IdP Anda.

SAML

Inisialisasi konfigurasi SAML. Qoder secara otomatis menghasilkan sertifikat SP dan kunci privat serta menyediakan nilai-nilai berikut untuk penyiapan IdP Anda:

SP Entity ID
SP Metadata URL
SP ACS (Assertion Consumer Service) URL
SP Certificate and Private Key

Contoh informasi SP:

Bidang	Nilai contoh
SP Entity ID	`https://qoder.com/saml/metadata/{org_id}`
SP Metadata URL	`https://qoder.com/saml/metadata/{org_id}`
SP ACS URL	`https://qoder.com/sso/callback/saml/{org_id}`

OIDC

Inisialisasi konfigurasi OIDC. Qoder menghasilkan Redirect URI dan Login URL untuk mendaftarkan aplikasi di IdP Anda. Contoh informasi SP:

Bidang	Nilai contoh
Redirect URI	`https://qoder.com.cn/sso/callback/oidc/{org_id}`
Login URL	`https://qoder.com.cn/sso/login/oidc/{org_id}`

Di Konsol IdP Anda, buat aplikasi OAuth 2.0/OIDC dan tambahkan Redirect URI ke daftar URI redirect yang diizinkan. IdP Anda akan mengeluarkan client ID dan client secret untuk digunakan pada Langkah 3.

Langkah 3: Konfigurasi IdP

SAML

Konfigurasikan IdP SAML Anda menggunakan salah satu metode berikut:

Metode A: Konfigurasi otomatis (disarankan)

Gunakan metode ini jika IdP Anda menyediakan URL metadata:

Di halaman SAML Settings, temukan bagian Identity Provider Metadata Configuration.
Pilih mode konfigurasi Import from URL.
Masukkan URL metadata IdP Anda (misalnya, https://your-idp.example.com/app/metadata).
Klik Save.

Sistem akan mengambil dan mengurai:

IDP Entity ID
SSO URL
Sertifikat penandatanganan

Metode B: Konfigurasi manual

Gunakan metode ini jika IdP Anda tidak menyediakan URL metadata:

Di halaman SAML Settings, pilih mode Manual Configuration.
Isi bidang-bidang berikut:
- IdP Entity ID: Identifier entitas penyedia identitas Anda.
- IdP SSO URL: URL titik akhir masuk SSO.
- IdP Public Certificate: Sertifikat penandatanganan dalam format PEM (opsional, tetapi disarankan).
Klik Save.

OIDC

Konfigurasikan IdP OIDC Anda menggunakan salah satu metode berikut:

Metode A: Auto-discovery (disarankan)

Jika IdP Anda menyediakan titik akhir /.well-known/openid-configuration, gunakan metode ini:

Di halaman OIDC Settings, pilih mode konfigurasi Issuer URL Auto-Discovery.
Isi bidang-bidang berikut:
- Issuer URL: Alamat issuer IdP Anda (misalnya, https://login.company.com, https://oauth.aliyun.com, atau https://your-tenant.authing.cn/oidc).
- Client ID: Client ID yang dikeluarkan IdP untuk aplikasi Qoder.
- Client Secret: Client secret yang dikeluarkan IdP untuk aplikasi Qoder.
- Scopes: (Opsional) Cakupan izin yang diminta. Nilai default adalah openid. Disarankan: openid email profile.
Klik Save.

Sistem akan mengambil dan mengurai dari {issuer URL}/.well-known/openid-configuration:

Authorization Endpoint
Token Endpoint
UserInfo Endpoint
JWKS URL (untuk memvalidasi tanda tangan Token ID)
Algoritma penandatanganan yang didukung

Metode B: Konfigurasi manual

Jika IdP Anda tidak mendukung discovery, berikan detail-detail berikut secara manual:

Issuer URL, Client ID, Client Secret, Scopes
JWKS URL: URL JSON Web Key Set, digunakan untuk memvalidasi tanda tangan Token ID.
End Session URL: (Opsional) Titik akhir akhir sesi IdP untuk dialihkan saat logout.

Cakupan openid wajib digunakan. Jika dihilangkan, sistem akan menambahkannya secara otomatis.

Langkah 4: Pemetaan atribut

SAML

Petakan atribut SAML ke bidang sistem:

Pemetaan atribut

Gunakan metode ini jika IdP Anda menyediakan URL metadata.

Di halaman SAML Settings, gulir ke bagian Attribute Mapping.
Konfigurasikan pemetaan antara atribut SAML dari IdP Anda dan bidang pengguna Qoder.
Masukkan URL metadata IDP Anda (misalnya, https://your-idp.example.com/app/metadata).
Klik Save.

Metode B: Konfigurasi Manual

OIDC

Di halaman OIDC Settings, gulir ke bagian Attribute Mapping.
Petakan klaim UserInfo OIDC ke bidang sistem:
- Email Claim: Nama klaim untuk email pengguna, biasanya email. (Wajib)
- Name Claim: Nama klaim untuk nama tampilan pengguna, biasanya name atau nickname.
- OpenID Claim: Klaim identifier unik untuk pengguna, biasanya sub. email juga dapat digunakan.
Klik Save.

Email wajib disediakan: Tanggapan UserInfo IdP harus menyertakan alamat email yang valid, atau autentikasi akan gagal. Berikan cakupan email ke aplikasi Qoder di IdP Anda.

Langkah 5: Uji konfigurasi

Uji konfigurasi sebelum mengaktifkan SSO:

Di halaman konfigurasi SSO, klik Test SSO.
Sistem memvalidasi sertifikat/tanda tangan, titik akhir metadata, dokumen discovery, dan pemetaan atribut.
Tinjau hasil pengujian.

Langkah 6: Aktifkan SSO

Setelah semua pengujian berhasil, aktifkan SSO:

Di halaman konfigurasi SSO, pastikan semua pemeriksaan validasi telah lulus.
Nyalakan toggle Enable SSO.
Di dialog konfirmasi, tinjau informasi tersebut dan aktifkan.

Setelah diaktifkan:

Status SSO berubah menjadi Active.
Anggota kini dapat masuk menggunakan SSO SAML atau OIDC.
Pengguna dari domain yang telah diverifikasi akan secara otomatis dialihkan ke SSO setelah memasukkan email mereka.

Setelah mengaktifkan SSO, administrator yang melakukan konfigurasi sebaiknya tidak keluar. Uji alur masuk dengan akun berbeda dari domain yang telah diverifikasi untuk memastikan akses admin tetap tersedia untuk troubleshooting.