الملخص
يتيح تسجيل الدخول الموحّد لموظفيك الوصول إلى تطبيق Safety ببيانات الاعتماد المؤسسية التي يملكونها أصلاً، بينما يُبقي SCIM حساباتهم متوافقة مع دليل مؤسستك دون أن يتولى أحد صيانتها يدوياً. ويتولى تهيئة الاثنين مسؤول من فئة Super Admin في صفحة التكاملات: إذ تُنشئ الثقة مع مزوّد الهوية لديك، وتربط السمات التي تُعرّف كل شخص، ويمكنك اختيارياً إلزام الجميع بتسجيل الدخول بهذه الطريقة. تتناول هذه المقالة الإعداد الكامل والترتيب الذي ينبغي اتباعه.
المقدمة
مع نمو المؤسسة تظهر مشكلتان معاً. فالأفراد تتراكم لديهم كلمة مرور إضافية عليهم إدارتها، والمسؤولون تتراكم لديهم حسابات عليهم إنشاؤها وتحديثها وإيقافها يدوياً، ما يعني أن المغادرين يحتفظون بصلاحية الوصول مدة أطول مما ينبغي. ويحلّ ربط مزوّد الهوية المشكلتين: إذ يصبح دليلك المكان الوحيد الذي يُمنح فيه الوصول ويُسحب، ويتبعه تطبيق Safety.
هذه مهمة تخصّ Super Admin، وتُنجز عادةً مرة واحدة بمساعدة من يدير منصة الهوية لديكم. وهي تناسب المؤسسات التي تُشغّل أصلاً دليلاً مثل Okta أو Microsoft Entra ID أو Google Workspace أو OneLogin أو Ping Identity، بل إن أي مزوّد يدعم معيار SAML 2.0 سيعمل.
المفاهيم الأساسية
- مزوّد الهوية (Identity provider): النظام الخارجي الذي يتحقق من هوية موظفيك. يثق به تطبيق Safety لتأكيد هوية الشخص، ولا يطّلع مطلقاً على كلمة مروره.
- مزوّد الخدمة (Service provider): الدور الذي يؤديه تطبيق Safety في هذه الترتيبة. فهو يتلقى تأكيداً موقّعاً بالهوية من مزوّد الهوية لديك ويمنح الوصول بناءً عليه.
- تبادل الثقة: خطوة الإعداد التي يُمنح فيها كل طرف تفاصيل الطرف الآخر وشهادة توقيعه، حتى يتمكن كلٌ منهما من التعرّف على رسائل الآخر بوصفها أصلية.
- ربط السمات (Attribute mapping): التطابق بين الحقول التي يرسلها مزوّد الهوية لديك والحقول التي يتوقعها تطبيق Safety. وعنوان البريد الإلكتروني هو ما يجب أن يكون صحيحاً، لأنه ما يربط عملية تسجيل الدخول بالحساب.
- إلزام تسجيل الدخول الموحّد (SSO enforcement): إعداد على مستوى الحساب يُلزم الجميع بتسجيل الدخول عبر مزوّد الهوية لديك دون أي مسار آخر.
- تخصيص الحسابات عبر SCIM: إنشاء حسابات تطبيق Safety وتحديثها وإلغاء تنشيطها تلقائياً بدفع من دليلك، بحيث تتبع دورة حياة الحساب الملتحقين والمنتقلين والمغادرين دون عمل يدوي.
الخطوات التي يجب اتباعها
فتح إعدادات التكاملات
سجّل الدخول بصفتك Super Admin، ثم افتح الإعدادات (Settings)، ثم مجموعة التكاملات (Integrations)، ثم SSO & SCIM. كل ما ورد في هذه المقالة يُهيّأ هنا. ويعمل كل تكامل في هذه الصفحة على نحو مستقل، فيمكنك إعداد تسجيل الدخول الموحّد دون المساس بأي شيء آخر، وإيقاف اتصال واحد دون التأثير في البقية. ولاحظ أن اتصال منصة التعلّم KnowledgeCity LMS يُهيّأ في صفحته الخاصة ضمن الإعدادات، لا هنا.
تعليق: سجّل الدخول بصفتك Super Admin، ثم افتح الإعدادات (Settings)، ثم مجموعة التكاملات (Integrations)، ثم SSO & SCIM.
إنشاء سجل التكامل
اختر + Add Integration واملأ تفاصيل التكامل، وتشمل اسمه والمزوّد وطريقة المصادقة، ثم احفظ. يظهر التكامل الجديد في جدول التكاملات. وأسفل ذلك الجدول، في قسم SAML SSO Configuration، اختر تكاملك الجديد من القائمة المنسدلة لتبدأ تهيئته. وإنشاء السجل أولاً ثم تهيئته ثانياً هو الترتيب الذي تتوقعه الصفحة.
تبادل التفاصيل مع مزوّد الهوية لديك
في وحدة تحكم مزوّد الهوية لديك، أنشئ تطبيق SAML جديداً، وامنحه قيم مزوّد الخدمة التي يعرضها تطبيق Safety: SP Entity ID الذي يُعرّف تطبيق Safety، وACS URL وهو الموضع الذي يرسل إليه مزوّدك الشخص بعد التحقق من هويته.
ثم انقل ثلاث قيم في الاتجاه المعاكس وأدخلها في تطبيق Safety: IdP SSO URL وهو الموضع الذي يُرسَل إليه الأفراد لإثبات هويتهم، وIdP Entity ID الذي يُعرّف مزوّدك، وX.509 Certificate وهي الشهادة العامة التي يستخدمها مزوّدك لتوقيع ما يرسله. وبوجود الجانبين معاً، يستطيع كل طرف التعرّف على الآخر.
ربط السمات التي تُعرّف كل شخص
في مزوّد الهوية لديك، هيّئ السمات المُرسَلة مع كل عملية تسجيل دخول. عنوان البريد الإلكتروني للمستخدم مطلوب ويجب أن يطابق البريد الإلكتروني المسجّل في حسابه بتطبيق Safety: فإن لم يتطابق، يُثبت الشخص هويته بنجاح لدى مزوّدك ومع ذلك يعجز عن الدخول، وهذا أشيع أسباب فشل الإطلاق.
ويمكنك أيضاً إرسال الاسم الأول واسم العائلة حتى تحمل الحسابات الأسماء الصحيحة، وسمة الدور إذا أردت أن يقود دليلك إسناد الأدوار، وسمة القسم التي تُستخدم لإسناد قسم الشخص تلقائياً في أول مرة يسجّل فيها الدخول.
الاختبار قبل الإعلان عن أي شيء
احفظ التهيئة واختبر مسار تسجيل الدخول قبل إخبار أي أحد بقرب التغيير. واختبر بحساب حقيقي لا بحسابك أنت إن أمكن، لأن جلسة المسؤول قد تكون قائمة بالفعل فتُخفي مشكلة سيصطدم بها زميل على الفور.
تفعيل إلزام تسجيل الدخول الموحّد
يُلزم قسم SSO Enforcement الجميع بتسجيل الدخول عبر مزوّد الهوية لديك. وهو معطّل افتراضياً وينبغي أن يبقى كذلك إلى أن يكون لديك تكامل فعّال ونشط.
فعّل الإلزام فقط بعد أن تتأكد من أن مسار تسجيل الدخول يعمل، لأن تفعيله دون تكامل SSO نشط سيترك مستخدميك عاجزين عن الدخول إطلاقاً. أما حسابات مسؤولي KnowledgeCity الرئيسية فتحتفظ بصلاحية وصولها بصرف النظر عن هذا الإعداد، وهو ما يجعل الاسترداد ممكناً إن جرى تفعيل الإلزام يوماً في مواجهة تهيئة معطّلة.
إعداد تخصيص الحسابات عبر SCIM
في قسم SCIM User Provisioning، اختر Generate Token. يُنتج ذلك رمزاً يستخدمه مزوّد الهوية لديك لإثبات هوية طلبات التخصيص التي يرسلها. انسخه مع SCIM Base URL المعروض في الصفحة، وتعامل مع الرمز بوصفه سراً.
في Okta، أنشئ تطبيق SCIM، واضبط عنوان القاعدة للموصّل على قيمة SCIM Base URL، واضبط طريقة المصادقة على HTTP Header والصق الرمز، ثم فعّل ميزات التخصيص التي تريدها: إنشاء المستخدمين، وتحديث سمات المستخدم، وإلغاء تنشيط المستخدمين.
وفي Microsoft Entra ID، افتح تطبيقك ضمن Enterprise Applications، وانتقل إلى Provisioning، واضبط الوضع على Automatic، وأدخل SCIM Base URL بوصفه عنوان المستأجر والرمز بوصفه الرمز السري، ثم استخدم Test Connection للتأكد من الاتصال قبل الحفظ وبدء التخصيص.
تعليق: في قسم SCIM User Provisioning، اختر Generate Token.
الخاتمة
نفّذ هذا الإعداد بالترتيب، فتؤكد كل خطوة ما قبلها: أنشئ سجل التكامل، وبادل التفاصيل مع مزوّد الهوية لديك، واربط السمات مع اعتبار عنوان البريد الإلكتروني السمة التي يجب أن تتطابق، واختبر تسجيل الدخول، وعندها فقط فكّر في الإلزام. وأضف SCIM بعد أن يعمل تسجيل الدخول، فتتبع دورة حياة الحسابات دليلك من تلك اللحظة، بحيث يفقد من يُزال هناك صلاحية وصوله هنا دون أن يضطر أحد إلى تذكّر ذلك.