單一登入

單一登入（SSO）把 Alforse 的登入交給貴公司的 SAML 2.0 （IdP），例如 Okta、Entra ID 或 Google Workspace。管理員只需設定一次；此後，電子郵件位於已驗證網域的 ERP 與 MES 使用者會自動被導向 IdP。

​

開始之前

• 可用性。只有當你的帳號啟用了 SSO 時，單一登入區段才會出現在設定 → 安全性。
• 權限。儲存 SSO 設定需要 settings update。
• IdP 存取權。你需要有權在身分提供者中建立 SAML 應用程式。
• DNS 存取權。你需要為每個電子郵件網域發布一筆 TXT 記錄。

在你開啟要求 SAML SSO之前，包括在內的其他登入方式都會繼續運作。因此你可以完成所有設定並測試，而不會把任何人鎖在外面。

​

連線你的身分提供者

整個設定都在設定 → 安全性的「單一登入」區段中進行。

1. 複製 Alforse 的詳細資料。「服務供應商詳情」（Service Provider Details）卡片列出「ACS URL」與「SP 中繼資料 URL」（SP Metadata URL），各附複製按鈕。
2. 使用這兩個 URL 在你的 IdP 中建立 SAML 應用程式。請確保斷言（assertion）包含電子郵件屬性：Alforse 以電子郵件將每次登入對應到人員與公司。
3. 把 IdP 中繼資料交給 Alforse。在「身分提供者」（Identity Provider）卡片中，輸入「IdP 中繼資料網址」（IdP Metadata URL）或原始的「IdP 中繼資料 XML」（IdP Metadata XML），兩者擇一、不可同時填寫，然後選取「連線」（Connect）。日後修改時，按鈕會顯示「儲存變更」（Save changes）。
4. 確認連線已啟用。Alforse 會回報 “SAML SSO connection saved”（SAML SSO 連線已儲存），卡片現在會顯示「要求 SAML SSO」（Require SAML SSO）開關與「停用」（Deactivate）按鈕。
5. 在「電子郵件網域」卡片中新增並驗證你的電子郵件網域，該卡片在連線建立後出現。請加入你的成員用來登入的每個網域，發布各網域所顯示的 DNS 記錄，然後選取「驗證」（Verify）。只有已驗證的網域才會導向 SSO 登入。

​

服務供應商 URL

你的身分提供者需要這兩個值。它們與「服務供應商詳情」卡片上的相同。 如果你的 IdP 可以匯入服務供應商中繼資料，請把 SP 中繼資料 URL 給它；否則就手動輸入這兩個值。

​

驗證網域

新網域一開始是待處理（Pending），並取得專屬的 TXT 挑戰，顯示在卡片上： 你新增網域時，Alforse 會確認：“Domain added. Publish the TXT record shown below, then click Verify.”（網域已新增。請發布下方顯示的 TXT 記錄，然後按一下「驗證」。）用你的 DNS 供應商發布該記錄之後，選取「驗證」。

• 驗證只需一次。之後你可以刪除該 TXT 記錄。
• 待處理的網域不起作用。在驗證之前，新增網域絕不會改變任何人的登入方式，所以新增是安全的。

​

使用者的體驗

​

登入

登入頁面先詢問電子郵件。當使用者選取「繼續」（Continue）時：

• 若網域有啟用中的 IdP，他們會被重新導向到該 IdP；
• 否則，他們繼續使用標準的魔術連結登入。

在 Alforse 建立工作階段之前，IdP 斷言中的電子郵件網域必須與連線上已驗證的網域相符。

​

誰能進入：先邀請再佈建

SSO 不會讓人自行註冊。 要讓某人進入，請在員工目錄中建立他們的邀請，並請他們再試一次。

​

雙重驗證

SSO 工作階段會略過 Alforse 自己的雙重驗證挑戰，在受控部署中亦然，因為 IdP 會套用自己的 MFA 政策。以魔術連結登入仍會經過 Alforse 的挑戰。

​

要求 SSO

開啟「要求 SAML SSO」，讓 IdP 成為已驗證網域上使用者唯一被接受的登入方式。Alforse 會以 “SAML SSO is now required for covered domains”（涵蓋的網域現在必須使用 SAML SSO）確認，此後這些使用者的魔術連結、Google 與通行金鑰都會被拒絕。 該開關只有在連線啟用後才會出現，所以你可以在強制執行之前先確認 SSO 登入運作正常。

​

相關內容