วิธีตั้งค่า Single Sign-On (SSO) ด้วย Microsoft Entra ID

ภาพรวม

คู่มือนี้จะช่วยให้ผู้ดูแลระบบไอทีของคุณตั้งค่า Single Sign-On (SSO) ระหว่าง Microsoft Entra ID (เดิมชื่อ Azure AD) กับ ELSA School เมื่อเปิดใช้งาน SSO แล้ว นักเรียนและครูของคุณสามารถเข้าสู่ระบบ ELSA School โดยใช้ข้อมูลประจำตัว Microsoft ของโรงเรียนที่มีอยู่แล้ว โดยไม่จำเป็นต้องใช้รหัสผ่านแยกต่างหาก

ก่อนเริ่มต้น

สิ่งที่คุณต้องเตรียม

โดเมนอีเมล ที่จะใช้สำหรับ SSO (ตัวอย่างเช่น: xyz@schooldomain.com)

สิ่งที่คุณต้องมี

สิทธิ์ผู้ดูแลระบบ ในพอร์ทัล Microsoft Entra ID (Azure AD) ขององค์กรของคุณ
ข้อมูลประจำตัว SSO (ELSA จะจัดเตรียมให้) ซึ่งประกอบด้วย:
- SP Entity ID (Service Provider Entity ID)
- ACS URL (Assertion Consumer Service URL)

ขั้นตอนที่ 1: สร้างแอปพลิเคชัน ELSA ใน Microsoft Entra ID

เข้าสู่ระบบ ที่ Microsoft Azure Portal
ไปที่ Enterprise Applications:
- คลิก "Microsoft Entra ID" (หรือ "Azure Active Directory")
- เลือก "Enterprise applications" จากเมนูด้านซ้าย
- คลิก "+ New application"
สร้างแอปพลิเคชันของคุณเอง:
- คลิก "Create your own application"
- ป้อนชื่อแอปพลิเคชัน (เช่น "ELSA School SSO")
- เลือก "Integrate any other application you don't find in the gallery (Non-gallery)"
- คลิก "Create"

ขั้นตอนที่ 2: กำหนดค่า SAML-Based Single Sign-On

เข้าถึงการตั้งค่า SSO:
- ในแอปพลิเคชัน ELSA ที่เพิ่งสร้าง คลิก "Single sign-on" จากเมนูด้านซ้าย
- เลือก "SAML" เป็นวิธี single sign-on
กำหนดค่า Basic SAML Settings:
- คลิก "Edit" ในส่วน "Basic SAML Configuration"
- ป้อนค่าต่อไปนี้ที่ได้รับจาก ELSA:
  - Identifier (Entity ID): ป้อน SP Entity ID จาก ELSA
  - Reply URL (Assertion Consumer Service URL): ป้อน ACS URL จาก ELSA
- คลิก "Save"

ขั้นตอนที่ 3: กำหนดค่า User Attributes และ Claims

แก้ไข Attributes & Claims:
- คลิก "Edit" ในส่วน "Attributes & Claims"
ตรวจสอบว่ามีการตั้งค่า mapping ต่อไปนี้:

สำคัญ: การ mapping เหล่านี้ช่วยให้ ELSA ได้รับข้อมูลผู้ใช้ที่ถูกต้อง หากคุณต้องการเปลี่ยนแปลง mapping เหล่านี้ไม่ว่าด้วยเหตุผลใด กรุณาติดต่อฝ่ายสนับสนุน ELSA ก่อน เนื่องจากการเปลี่ยนแปลงอาจส่งผลต่อการยืนยันตัวตนของผู้ใช้

ขั้นตอนที่ 4: ส่ง SAML Metadata ให้ ELSA

หลังจากกำหนดค่า SAML แล้ว ให้คัดลอก SAML Certificate (App Federation Metadata URL) จากการกำหนดค่า SAML (ดูภาพ) และส่งกลับมาให้ทีมไอทีของ ELSA

ขั้นตอนที่ 5: กำหนดผู้ใช้และกลุ่ม (หลังจาก ELSA ยืนยันการตั้งค่า)

เมื่อ ELSA ยืนยันว่า SSO ได้รับการกำหนดค่าแล้ว:

ไปที่ Users and Groups:
- ในแอปพลิเคชัน ELSA ของคุณ คลิก "Users and groups" จากเมนูด้านซ้าย
- คลิก "+ Add user/group"
กำหนดสิทธิ์การเข้าถึง:
- คลิก "Users" (หรือ "Groups") ใต้ "None Selected"
- เลือกผู้ใช้หรือกลุ่มที่ควรมีสิทธิ์เข้าถึง ELSA
- คลิก "Select" ที่ด้านล่าง
- คลิก "Assign"
ความหมายของการตั้งค่านี้:
- เฉพาะผู้ใช้/กลุ่มที่ได้รับการกำหนดสิทธิ์เท่านั้นที่จะสามารถเข้าสู่ระบบ ELSA ด้วย SSO ได้
- ผู้ใช้ที่ไม่ได้รับการกำหนดสิทธิ์จะไม่เห็น ELSA ในแอป Microsoft ของตน
- คุณสามารถเพิ่มหรือลบผู้ใช้ได้ตลอดเวลา

การทดสอบการเชื่อมต่อ SSO

กำหนดตัวเอง เป็นผู้ใช้ทดสอบก่อน
ออกจากระบบ ELSA School หากกำลังเข้าสู่ระบบอยู่
ไปที่ หน้าเข้าสู่ระบบ ELSA School ของคุณ
คลิก "Sign in with SSO"
ป้อน อีเมลของโรงเรียนคุณ
ตรวจสอบ ว่าคุณถูกนำไปยังหน้าเข้าสู่ระบบ Microsoft
ยืนยัน ว่าคุณสามารถเข้าสู่ระบบ ELSA ได้สำเร็จ

การแก้ไขปัญหาที่พบบ่อย

ข้อผิดพลาด: ไม่สามารถเข้าสู่ระบบได้

สาเหตุที่เป็นไปได้:

ELSA ยังไม่ได้กำหนดค่า SSO ในส่วนของเราเสร็จสิ้น
ยังไม่ได้ส่ง metadata URL ให้ ELSA
ป้อน SP Entity ID หรือ ACS URL ไม่ถูกต้อง

วิธีแก้ไข: ตรวจสอบกับ ELSA ว่าการตั้งค่าเสร็จสมบูรณ์แล้ว และตรวจสอบค่าที่ป้อนในขั้นตอนที่ 2 อีกครั้ง

ผู้ใช้ได้รับการกำหนดสิทธิ์แล้วแต่ยังเข้าสู่ระบบไม่ได้

สาเหตุที่เป็นไปได้:

อีเมลของผู้ใช้ใน Azure AD ไม่ตรงกับอีเมลใน ELSA
User attributes ไม่ได้รับการกำหนดค่าอย่างถูกต้อง
บัญชีของผู้ใช้ไม่ได้ใช้งานอยู่ใน ELSA

วิธีแก้ไข:

ตรวจสอบว่าอีเมลของผู้ใช้ตรงกันในทั้งสองระบบ
ตรวจสอบว่าการ mapping ของ attribute ในขั้นตอนที่ 3 ถูกต้อง
ติดต่อฝ่ายสนับสนุน ELSA เพื่อตรวจสอบสถานะบัญชีของผู้ใช้

ส่วน "Attributes & Claims" แสดง mapping ที่แตกต่างออกไป

สาเหตุที่เป็นไปได้:

Azure AD ของคุณอาจมีการกำหนดค่า claim แบบกำหนดเอง

วิธีแก้ไข:

ติดต่อฝ่ายสนับสนุน ELSA ก่อนทำการแก้ไข
เราสามารถทำงานร่วมกับการตั้งค่า attribute ที่มีอยู่ของคุณได้หากจำเป็น

คำถามที่พบบ่อย

ถาม: เราสามารถใช้ SSO และการเข้าสู่ระบบด้วยอีเมล/รหัสผ่านปกติพร้อมกันได้หรือไม่?
ตอบ: ได้! SSO เป็นตัวเลือกการเข้าสู่ระบบเพิ่มเติม ผู้ใช้ยังคงสามารถใช้อีเมล/รหัสผ่านได้หากต้องการ

ถาม: การตั้งค่า SSO ใช้เวลานานแค่ไหน?
ตอบ: การกำหนดค่า Azure ใช้เวลา 20-30 นาที การกำหนดค่าของ ELSA ใช้เวลา 1-2 วันทำการหลังจากได้รับ metadata ของคุณ

ถาม: เราจำเป็นต้องสร้างบัญชี ELSA สำหรับผู้ใช้ก่อนหรือไม่?
ตอบ: ใช่ ผู้ใช้ต้องมีอยู่ใน ELSA School ก่อนจึงจะสามารถเข้าสู่ระบบผ่าน SSO ได้ ติดต่อ CSM ของคุณเกี่ยวกับการอัปโหลดผู้ใช้จำนวนมากหากจำเป็น

ถาม: เราสามารถใช้ SSO สำหรับทั้งนักเรียนและครูได้หรือไม่?
ตอบ: ได้ ผู้ใช้ทุกประเภทสามารถใช้ SSO ได้ตราบใดที่มีบัญชี Microsoft ในไดเรกทอรีของคุณ

ถาม: จะเกิดอะไรขึ้นหากอีเมลของผู้ใช้เปลี่ยนแปลง?
ตอบ: ติดต่อฝ่ายสนับสนุน ELSA เพื่ออัปเดตอีเมลใน ELSA School ให้ตรงกับอีเมล Azure AD ใหม่