SSO / SAML

MarkdownChatGPTClaude

Single Sign-On (SSO) आपके organization के लोगों को Unico के products में लॉग इन करने देता है वही corporate credentials उपयोग करके जो वे पहले से internally उपयोग करते हैं, एक अलग Unico username और password के बजाय।

यह server-to-server flow नहीं है

यह पृष्ठ आपकी कंपनी के identity provider के माध्यम से human login को कवर करता है। यदि आप API calls के लिए back-end, machine-to-machine authentication खोज रहे हैं, तो इसके बजाय Authentication देखें।

Authentication management आपकी कंपनी के नियंत्रण में रहता है, सीधे आपके अपने identity और access management system में — व्यक्तिगत user logins बनाने या अक्षम करने के लिए Unico के साथ support request खोलने की आवश्यकता नहीं है।

SSO SAML (Security Assertion Markup Language) के माध्यम से implement किया जाता है, एक Identity Provider और एक Service Provider के बीच authentication और authorization data को सुरक्षित रूप से exchange करने के लिए एक standard protocol।

SAML components

Component	भूमिका
Identity Provider (IdP)	वह service जो user को प्रमाणित करती है — आपकी corporate directory (जैसे Active Directory) या एक external identity service (जैसे Okta, Microsoft Entra ID)।
Service Provider (SP)	वह application जिसे user पहुंचने की कोशिश कर रहा है। इस मामले में, Unico का authentication platform, जो Unico के product portals में users को प्रमाणित और अधिकृत करता है।
Assertions	वे XML messages जो IdP और SP के बीच authentication और authorization data ले जाते हैं।
SAML Metadata	एक XML document जो बताता है कि IdP और SP को सुरक्षित रूप से कैसे communicate करना चाहिए (endpoints, certificates)।

जानकारी

SAML केवल authentication को संभालता है — यह पुष्टि करना कि user कौन है। यह नियंत्रित नहीं करता कि user को Unico के products के भीतर क्या access करने के लिए अधिकृत किया गया है — access अभी भी आपकी Unico project team द्वारा दिया जाना चाहिए।

एकीकरण चरण

1. अपने IdP में Service Provider (SP) को register करें

आपके IdP को Unico को एक Service Provider के रूप में register करने के लिए दो मान चाहिए: Entity ID (SP के लिए एक अद्वितीय पहचानकर्ता) और ACS URL (Assertion Consumer Service URL) — वह endpoint जो SAML assertions प्राप्त करता है।

वातावरण	Entity ID	ACS URL
Production	https://identity.acesso.io	https://identity.acesso.io/auth/saml/callback
UAT	https://identityhomolog.acesso.io	https://identityhomolog.acesso.io/auth/saml/callback

2. User attributes मैप करें

अपने IdP को SAML assertion में निम्नलिखित claims भेजने के लिए configure करें। ये आपके users के attributes (नाम, ईमेल, username) को आपके IdP और Unico के बीच मैप करते हैं।

Attribute	मान	आवश्यक
email	User का ईमेल पता	हाँ
user_name	Username	हाँ
given_name	पहला नाम	हाँ
family_name	अंतिम नाम	हाँ
phone_number	फ़ोन नंबर	नहीं

3. अपने IdP का metadata प्राप्त करें

आपका IdP आम तौर पर अपनी स्वयं की configuration के साथ एक XML फ़ाइल प्रदान करता है — इसका public certificate, authentication endpoint URLs, और related settings। Unico की तरफ से एकीकरण पूरा करने के लिए इस फ़ाइल को अपने Unico support संपर्क को भेजें।

SP के लिए उदाहरण SAML metadata

<EntityDescriptor entityID="https://your-sp.example.com/"
  xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
  <SPSSODescriptor
      AuthnRequestsSigned="true"
      protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <KeyDescriptor use="signing">
      <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
        <X509Data>
          <X509Certificate>YourSigningCertificate</X509Certificate>
        </X509Data>
      </KeyInfo>
    </KeyDescriptor>
    <AssertionConsumerService
        Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
        Location="https://your-sp.example.com/acs"
        index="1"/>
  </SPSSODescriptor>
</EntityDescriptor>

पहली बार access

एक बार जब SP आपके IdP में register और configure हो जाए, तो users सीधे यहाँ प्रमाणित हो सकते हैं:

वातावरण	Login URL
Production	https://identity.acesso.io
UAT	https://identityhomolog.acesso.io

लॉगिन स्क्रीन पर अपनी कंपनी और user जानकारी दर्ज करने के बाद, user को authentication के लिए आपके IdP पर redirect किया जाता है। सफलता पर, उन्हें configured callback URL पर वापस redirect किया जाता है और उनका account Unico के authentication platform में बनाया जाता है।

Identity provider द्वारा configuration

Microsoft Entra ID

एक Enterprise Application बनाएं

1. Microsoft Entra ID में, Enterprise Applications पर जाएं और New application चुनें।
2. Create your own application चुनें, फिर Integrate any other application you don't find in the gallery (Non-gallery)।
3. जिस Unico product को configure किया जा रहा है उसके नाम पर application का नाम रखें (जैसे "Unico IDCloud") और Create पर क्लिक करें।

Single Sign-On configure करें

1. application के Manage मेनू में, Single sign-on खोलें और SAML चुनें।
2. Basic SAML Configuration edit करें और उस वातावरण के लिए जिसे आप configure कर रहे हैं, step 1 से मानों के साथ Identifier (Entity ID) और Reply URL (Assertion Consumer Service URL) भरें।
3. attribute table से मेल खाने के लिए Attributes & Claims section edit करें step 2 से। आपके द्वारा edit की जाने वाली प्रत्येक claim के लिए, Namespace फ़ील्ड को clear करें — यह खाली होना चाहिए।

अंतिम claims इस तरह दिखनी चाहिए:

Claim name	Type	मान
Unique User Identifier (Name ID)	SAML	user.userprincipalname (nameid-format:emailAddress)
email	SAML	user.mail
family_name	SAML	user.surname
given_name	SAML	user.givenname
user_name	SAML	user.mail

आगे क्या है

• Authentication — server-to-server API calls के लिए उपयोग किया जाने वाला अलग OAuth2 flow
• Environments — sandbox बनाम production hosts