ช่วยให้สามารถเข้าสู่ระบบโดยเชื่อมต่อกับระบบยืนยันตัวตนขององค์กรได้ Dive รองรับ 2 วิธี ได้แก่ Microsoft Entra ID (OIDC) และ SAML 2.0 ทั้งสองวิธีตั้งค่าได้จากหน้าจัดการ และไม่จำเป็นต้องตั้งค่าแยกต่างหากที่ฝั่ง Dive หากต้องการรวมศูนย์การจัดการผู้ใช้ด้วย SSO ให้เปิดใช้ "ห้ามเข้าสู่ระบบด้วยวิธีอื่นนอกจาก SSO" ไปพร้อมกันด้วย

แพ็กเกจที่ใช้ได้

ฟังก์ชันนี้ใช้ได้กับ แพ็กเกจ Enterprise และใช้ได้ในช่วงทดลองใช้แพ็กเกจ Enterprise ด้วย สามารถใช้ตรวจสอบก่อนนำไปใช้งานจริงได้

ผู้ที่สามารถตั้งค่าได้

ใช้ได้เฉพาะผู้ใช้ที่มีสิทธิ์เจ้าของเท่านั้น ดำเนินการผ่านเบราว์เซอร์บนพีซี

ความแตกต่างของทั้งสองวิธี

ขั้นตอนการตั้งค่าทั่วไป

1. เปิด [ฟังก์ชันสำหรับเจ้าของ] จากเมนูด้านข้าง
2. เลือกแท็บ [ความปลอดภัย] ด้านบน แล้วเปิดการ์ด [การตั้งค่า Single Sign-On (SSO)]
3. ทำเครื่องหมายที่ "เปิดใช้งาน"

จนกว่าคุณจะทำเครื่องหมาย "เปิดใช้งาน" และบันทึก การล็อกอินด้วย SSO จะยังไม่ทำงาน ไม่ว่าคุณจะตั้งค่าวิธีที่ 1 หรือวิธีที่ 2

วิธีที่ 1: การเชื่อมโยง Microsoft Entra ID (OIDC)

เชื่อมโยงต่อ tenant ของ Microsoft 365 / Azure AD

1. ขยาย [การเชื่อมโยง Microsoft Entra ID (OIDC)]
2. คลิก [+ ลงชื่อเข้าใช้บัญชี Microsoft และเชื่อมโยงกับ tenant ที่ผูกไว้]
3. ที่หน้าจอลงชื่อเข้าใช้ของ Microsoft ให้ลงชื่อเข้าใช้ด้วยบัญชีผู้ดูแลระบบของ tenant ที่ต้องการเชื่อมโยง
4. เมื่อกลับมาที่หน้าจอ ข้อมูล tenant (โดเมน, tenant ID) จะถูกเพิ่มลงใน รายการ tenant ที่เชื่อมโยง
5. คลิก [บันทึก]

※ อีเมลฟรี (gmail.com, outlook.com ฯลฯ) และโดเมนที่ใช้ร่วมกันไม่อยู่ในขอบเขตการเชื่อมโยง โปรดใช้งานด้วยโดเมนเฉพาะขององค์กรคุณ

วิธีที่ 2: การเชื่อมโยง SAML 2.0

สามารถเชื่อมโยงกับ SAML 2.0 IdP เช่น Okta / Microsoft Entra ID / OneLogin / HENNGE One ฯลฯ ได้ เมื่อขยาย [การเชื่อมโยง SAML 2.0] จะแสดงขั้นตอนที่ 1 ถึง 4 ตามลำดับ

ขั้นตอนที่ 1: ลงทะเบียน Dive ใน IdP ของคุณ

สร้างแอป SAML ใหม่ใน IdP ที่คุณใช้งาน แล้วตั้งค่าทั้ง 3 ค่าต่อไปนี้ที่แสดงบนหน้าจอ สามารถดึงค่าแต่ละค่าได้ด้วยปุ่มคัดลอก

• ID เอนทิตีของ SP (Audience)
• ACS URL (Reply URL)
• NameID รูปแบบ (emailAddress)

ต้องส่งที่อยู่อีเมลเป็น NameID เสมอ Dive ใช้ที่อยู่อีเมลในการระบุตัวผู้ใช้

ขั้นตอนที่ 2: ยืนยันความเป็นเจ้าของของโดเมนบริษัทของคุณ

ลงทะเบียนโดเมนอีเมลของพนักงานที่จะล็อกอินด้วย SSO เพื่อป้องกันการปลอมแปลง ความเป็นเจ้าของจะถูกยืนยันด้วยเรคคอร์ด TXT ของ DNS

1. กรอกโดเมน (เช่น example.co.jp) แล้วคลิก [เพิ่ม]
2. ลงทะเบียนเรคคอร์ด TXT ที่แสดงบนหน้าจอลงใน DNS ขององค์กร
   • ชื่อ: _dive-verify.(โดเมน)
   • ค่า: สตริงโทเคนที่แสดงบนหน้าจอ
3. เมื่อการเปลี่ยนแปลงมีผลใน DNS แล้ว ให้คลิก [ยืนยัน]
4. เมื่อแท็กเปลี่ยนเป็น [ยืนยันแล้ว] ก็เสร็จสมบูรณ์

สามารถยืนยันด้วยเรคคอร์ด TXT ที่วางไว้ที่โดเมนระดับบนสุด (apex) ได้เช่นกัน การเปลี่ยนแปลงของ DNS อาจใช้เวลาตั้งแต่ไม่กี่นาทีถึงไม่กี่ชั่วโมงจึงจะมีผล การกดก่อนที่การเปลี่ยนแปลงจะมีผลจะทำให้ล้มเหลว จึงโปรดรอสักครู่แล้วลองใหม่อีกครั้ง

ไม่สามารถลงทะเบียนโดเมนอีเมลฟรี โดเมนของ ISP และผู้ให้บริการมือถือ รวมถึง .ac.jp / .ed.jp / .go.jp / .lg.jp ได้ หากเข้าข่ายดังกล่าว โปรดติดต่อฝ่ายสนับสนุน

ขั้นตอนที่ 3: ลงทะเบียนข้อมูลเมตาของ IdP

1. [URL ข้อมูลเมตา] หรือ [วางXML]: เลือกอย่างใดอย่างหนึ่งแล้วกรอกข้อมูลเมตาของ IdP
2. คลิก [ตรวจสอบเนื้อหา] แล้วตรวจสอบ ID เอนทิตีของ IdP, SSO URL และวันหมดอายุของใบรับรองการลงนามที่อ่านได้
3. คลิก [บันทึกและเชื่อมต่อ]

แนะนำให้ลงทะเบียนด้วย URL ข้อมูลเมตา เมื่อลงทะเบียนด้วย URL Dive จะตามการเปลี่ยนใบรับรองการลงนามที่ฝั่ง IdP ให้โดยอัตโนมัติทุกวัน หากวาง XML จะไม่อัปเดตอัตโนมัติ จึงต้องวางใหม่ทุกครั้งที่มีการต่ออายุใบรับรอง

หลังลงทะเบียน คุณสามารถตรวจสอบสถานะการเชื่อมโยงและวันหมดอายุของใบรับรองการลงนามได้จากหน้าจอนี้ เมื่อใกล้ถึงวันหมดอายุของใบรับรอง เราจะแจ้งเตือนทางอีเมลล่วงหน้า 30 วัน 14 วัน 7 วัน และ 1 วัน เมื่อคุณเปลี่ยนใบรับรองที่ฝั่ง IdP ให้คลิก [ดึงข้อมูลเมตาดาต้าใหม่]

หากต้องการหยุด SSO ชั่วคราว ให้ใช้ [หยุดชั่วคราว] และหากต้องการยกเลิกการเชื่อมโยง ให้ใช้ [ยกเลิกการเชื่อมโยง]

ขั้นตอนที่ 4: การลงทะเบียนผู้ใช้ SSO โดยอัตโนมัติ (ทางเลือก)

เมื่อเปิดใช้งาน ผู้ที่ยืนยันตัวตนผ่าน IdP สำเร็จจะถูกเพิ่มเข้าทีมโดยอัตโนมัติในการล็อกอินครั้งแรก วิธีนี้ช่วยประหยัดเวลาในการเชิญ แต่แต่ละคนที่ถูกเพิ่มจะใช้บัญชี (ที่นั่ง) ไป 1 ที่ จึงกำหนดให้ ค่าเริ่มต้นเป็นปิด

• สิทธิ์ของผู้ใช้ที่สร้างอัตโนมัติ เลือกได้จาก "ผู้ใช้แบบดูอย่างเดียว" หรือ "ผู้สร้าง"
• หากถึงขีดจำกัดจำนวนบัญชีตามสัญญาแล้ว การลงทะเบียนอัตโนมัติจะไม่ดำเนินการ (จะไม่มีการเรียกเก็บเงินเพิ่มสำหรับส่วนที่เกินขีดจำกัด)
• หากคงปิดไว้ ให้ผู้ดูแลระบบเชิญผู้ใช้ตามวิธีเดิม

ระหว่างที่ใช้การซิงก์รายชื่อฝ่ายบุคคล (SCIM) การลงทะเบียนอัตโนมัติจะไม่ดำเนินการ ผู้ที่ได้รับเชิญและซิงก์มาจากระบบฝ่ายบุคคลหรือ IdP จะถูกเชื่อมโยงโดยอัตโนมัติเมื่อล็อกอินด้วย SAML SSO เป็นครั้งแรก (ซิงก์รายชื่อจากระบบฝ่ายบุคคลอัตโนมัติ (SCIM))

ตรวจสอบการทำงาน

เปิดหน้าล็อกอินในหน้าต่างส่วนตัว แล้วคลิก [ล็อกอินด้วย SSO] จากนั้นกรอกอีเมลขององค์กร ระบบจะพาไปยังหน้าล็อกอินของ IdP หลังล็อกอินแล้วหากหน้าจอของ Dive เปิดขึ้น ก็ถือว่าการตั้งค่าเสร็จสมบูรณ์

ห้ามเข้าสู่ระบบด้วยวิธีอื่นนอกจาก SSO

หากต้องการรวมศูนย์การจัดการผู้ใช้ด้วย SSO ให้ทำเครื่องหมายที่ "ห้ามเข้าสู่ระบบด้วยวิธีอื่นนอกจาก SSO" แล้วบันทึก

เมื่อเปิดใช้งาน หน้าล็อกอินของ Dive จะแสดงเฉพาะปุ่ม SSO และจะไม่รับการล็อกอินด้วย ID/รหัสผ่านอีกต่อไป

โปรดทราบว่าเมื่อการตั้งค่านี้เปิดอยู่ คุณจะไม่สามารถยกเลิกหรือหยุดการเชื่อมโยง SAML ชั่วคราว และไม่สามารถลบโดเมนที่ยืนยันแล้วรายการสุดท้ายได้ (เพราะจะไม่เหลือช่องทางให้ล็อกอิน) หากต้องการยกเลิก ให้เอาเครื่องหมายออกจาก "ห้ามเข้าสู่ระบบด้วยวิธีอื่นนอกจาก SSO" ก่อน

ผู้ใช้ที่ไม่อยู่ในขอบเขต

• บัญชีที่ไม่ต้องใช้อีเมล (ID สำหรับล็อกอินที่ผู้ดูแลระบบออกให้) ไม่สามารถใช้ SSO ได้ จึงไม่อยู่ในขอบเขตของข้อจำกัดนี้

การแก้ไขปัญหา

เคล็ดลับการใช้งาน

• ทดสอบให้เสร็จก่อนเปิดการบังคับใช้ SSO เสมอ: ใช้ผู้ใช้ทดสอบ ตรวจสอบลำดับ "ปุ่ม SSO → ล็อกอินสำเร็จ → หน้าจอ Dive เปิดขึ้น" ก่อนเปิดใช้งาน
• ลงทะเบียนข้อมูลเมตาด้วย URL: Dive จะตามการเปลี่ยนใบรับรองให้โดยอัตโนมัติ ช่วยลดภาระการดูแลระบบ และป้องกันไม่ให้ทุกคนล็อกอินไม่ได้เพราะใบรับรองหมดอายุ
• จัดระเบียบ tenant: หากใช้ tenant ของ Microsoft หลายรายการ การกำหนดให้ชัดเจนล่วงหน้าว่าจะเชื่อมโยง tenant ใดบ้างจะช่วยลดปัญหาได้
• MFA ของผู้ใช้ SSO: ผู้ใช้ SSO ควรจัดการ MFA ที่ฝั่ง IdP ผู้ใช้เหล่านี้ไม่อยู่ในขอบเขตของการตั้งค่าบังคับใช้ MFAของ Dive

ที่เกี่ยวข้อง

• ภาพรวมการตั้งค่าความปลอดภัย (ฟังก์ชันสำหรับเจ้าของ)
• บังคับใช้การยืนยันตัวตนสองขั้นตอน (MFA) กับสมาชิกทุกคนในทีม
• ห้ามใช้บัญชีที่ไม่ต้องใช้อีเมล
• ซิงก์รายชื่อจากระบบฝ่ายบุคคลอัตโนมัติ (SCIM)