메인 콘텐츠로 건너뛰기
Single Sign-On(SSO)은 Alforse 로그인을 Okta, Entra ID, Google Workspace 같은 회사의 SAML 2.0 (IdP)에 위임합니다. 관리자가 한 번 설정하면 이후 이메일이 검증된 도메인에 속한 ERP 및 MES 사용자는 자동으로 IdP로 이동합니다.

​
시작하기 전에

  • 사용 가능 여부. Single Sign-On 섹션은 계정에서 SSO가 활성화된 경우에만 설정 → 보안에 나타납니다.
  • 권한. SSO 설정을 저장하려면 settings 업데이트 권한이 필요합니다.
  • IdP 액세스. 자격 증명 공급자에서 SAML 애플리케이션을 생성할 권한이 필요합니다.
  • DNS 액세스. 각 이메일 도메인에 TXT 레코드를 게시하게 됩니다.
를 포함한 다른 로그인 방법은 SAML SSO 필수를 켜기 전까지 계속 작동합니다. 따라서 아무도 잠그지 않고 모든 것을 설정하고 테스트할 수 있습니다.
Feishu / Lark, DingTalk 또는 OpenID Connect로 로그인하려면 Feishu/Lark, DingTalk, OIDC를 통한 Single Sign-On을 참조하십시오. 회사에는 연결이 하나만 있으므로, 해당 공급자 중 하나를 저장하면 SAML 연결이 대체됩니다.

​
자격 증명 공급자 연결

전체 설정은 설정 → 보안의 “Single Sign-On” 섹션에서 이루어집니다.
  1. Alforse의 세부 정보를 복사합니다. “서비스 공급자 세부 정보” 카드에는 “ACS URL”과 “SP 메타데이터 URL”이 각각 복사 버튼과 함께 나열됩니다.
  2. 이 두 URL을 사용하여 IdP에서 SAML 애플리케이션을 생성합니다. 어설션에 이메일 속성이 포함되어야 합니다. Alforse는 이메일로 각 로그인을 사람과 회사에 대응시킵니다.
  3. Alforse에 IdP 메타데이터를 제공합니다. “자격 증명 공급자” 카드에서 “IdP 메타데이터 URL” 또는 원본 “IdP 메타데이터 XML” 중 하나만 입력하고(둘 다는 안 됨) “연결”을 선택합니다. 이후 변경 시에는 버튼이 “변경 사항 저장”으로 표시됩니다.
  4. 연결이 활성인지 확인합니다. Alforse가 “SAML SSO connection saved”(SAML SSO 연결이 저장되었습니다)라고 알리고 카드에 “SAML SSO 필수” 스위치와 “비활성화” 버튼이 표시됩니다.
  5. 연결이 생기면 나타나는 “이메일 도메인” 카드에서 이메일 도메인을 추가하고 검증합니다. 사용자가 로그인에 사용하는 모든 도메인을 추가하고, 각각 표시되는 DNS 레코드를 게시한 다음 “검증”을 선택합니다. SSO 로그인은 검증된 도메인에 대해서만 라우팅됩니다.

​
서비스 공급자 URL

자격 증명 공급자에는 이 두 값이 필요합니다. “서비스 공급자 세부 정보” 카드의 값과 동일합니다. IdP가 서비스 공급자 메타데이터를 가져올 수 있다면 SP 메타데이터 URL을 제공하고, 그렇지 않으면 두 값을 직접 입력합니다.

​
도메인 검증

새 도메인은 대기 중으로 시작하며 카드에 표시되는 고유한 TXT 챌린지를 받습니다. 도메인을 추가하면 Alforse가 “Domain added. Publish the TXT record shown below, then click Verify.”(도메인이 추가되었습니다. 아래 TXT 레코드를 게시한 다음 검증을 클릭하세요.)라고 알립니다. DNS 공급자에서 레코드를 게시한 후 “검증”을 선택합니다.
  • 검증은 한 번만 합니다. 이후에 TXT 레코드를 삭제해도 됩니다.
  • 대기 중인 도메인은 아무 영향이 없습니다. 도메인을 추가해도 검증되기 전에는 누구의 로그인 방식도 바뀌지 않으므로 안전하게 추가할 수 있습니다.

​
사용자 경험

​
로그인

로그인 페이지는 먼저 이메일을 묻습니다. 사용자가 “계속”을 선택하면:
  • 활성 IdP가 있는 도메인이면 해당 IdP로 리디렉션됩니다.
  • 그렇지 않으면 표준 매직 링크 로그인을 계속합니다.
Alforse가 세션을 만들기 전에, IdP 어설션의 이메일 도메인이 연결의 검증된 도메인과 일치해야 합니다.

​
누가 들어올 수 있는가: 초대 우선 프로비저닝

SSO로는 스스로 가입할 수 없습니다. 누군가를 들어오게 하려면 직원 디렉터리에서 초대를 만들고 다시 시도하도록 안내하십시오.

​
2단계 인증

IdP가 자체 MFA 정책을 적용하므로 SSO 세션은 통제된 배포 환경에서도 Alforse 자체의 2단계 인증 확인을 건너뜁니다. 매직 링크 로그인은 계속 Alforse의 확인을 거칩니다.

​
SSO 필수화

“SAML SSO 필수”를 켜면 검증된 도메인의 사용자에게는 IdP가 유일하게 허용되는 로그인 방법이 됩니다. Alforse가 “SAML SSO is now required for covered domains”(이제 대상 도메인에 SAML SSO가 필수입니다)로 알리며, 이후 이 사용자들에게 매직 링크, Google, 패스키는 거부됩니다. 이 스위치는 연결이 활성인 뒤에만 나타나므로, 강제하기 전에 SSO 로그인이 작동하는지 확인할 수 있습니다.

​
관련 문서