Cách thiết lập Đăng nhập một lần (SSO) với Microsoft Entra ID

Tổng quan

Hướng dẫn này sẽ giúp quản trị viên IT của bạn thiết lập Đăng nhập một lần (SSO) giữa Microsoft Entra ID (trước đây là Azure AD) và ELSA School. Khi SSO được kích hoạt, học sinh và giáo viên có thể đăng nhập vào ELSA School bằng thông tin đăng nhập Microsoft của trường hiện có, không cần tạo mật khẩu riêng.

Trước khi bắt đầu

Thông tin bạn cần cung cấp

Tên miền email mà bạn sẽ sử dụng cho SSO (ví dụ: xyz@schooldomain.com)

Những gì bạn cần có

Quyền quản trị vào cổng Microsoft Entra ID (Azure AD) của tổ chức bạn
Thông tin xác thực SSO (ELSA sẽ cung cấp), bao gồm:
- SP Entity ID (Service Provider Entity ID)
- ACS URL (Assertion Consumer Service URL)

Bước 1: Tạo ứng dụng ELSA trong Microsoft Entra ID

Đăng nhập vào Microsoft Azure Portal của bạn
Điều hướng đến Enterprise Applications:
- Nhấp vào "Microsoft Entra ID" (hoặc "Azure Active Directory")
- Chọn "Enterprise applications" từ menu bên trái
- Nhấp vào "+ New application"
Tạo ứng dụng của riêng bạn:
- Nhấp vào "Create your own application"
- Nhập tên cho ứng dụng (ví dụ: "ELSA School SSO")
- Chọn "Integrate any other application you don't find in the gallery (Non-gallery)"
- Nhấp vào "Create"

Bước 2: Cấu hình Đăng nhập một lần dựa trên SAML

Truy cập cài đặt SSO:
- Trong ứng dụng ELSA vừa tạo, nhấp vào "Single sign-on" từ menu bên trái
- Chọn "SAML" làm phương thức đăng nhập một lần
Cấu hình Basic SAML Settings:
- Nhấp vào "Edit" trong phần "Basic SAML Configuration"
- Nhập các giá trị sau do ELSA cung cấp:
  - Identifier (Entity ID): Nhập SP Entity ID từ ELSA
  - Reply URL (Assertion Consumer Service URL): Nhập ACS URL từ ELSA
- Nhấp vào "Save"

Bước 3: Cấu hình thuộc tính người dùng và Claims

Chỉnh sửa Attributes & Claims:
- Nhấp vào "Edit" trong phần "Attributes & Claims"
Kiểm tra các ánh xạ sau đã được thiết lập:

Quan trọng: Các ánh xạ này đảm bảo ELSA nhận được thông tin người dùng chính xác. Nếu bạn cần thay đổi các ánh xạ này vì bất kỳ lý do gì, vui lòng liên hệ bộ phận hỗ trợ ELSA trước, vì các thay đổi có thể ảnh hưởng đến xác thực người dùng.

Bước 4: Cung cấp siêu dữ liệu SAML cho ELSA

Sau khi cấu hình SAML, hãy sao chép SAML Certificate (App Federation Metadata URL) từ cấu hình SAML (xem hình) và gửi lại cho đội ngũ IT của ELSA.

Bước 5: Phân quyền người dùng và nhóm (Sau khi ELSA xác nhận thiết lập)

Sau khi ELSA xác nhận SSO đã được cấu hình:

Điều hướng đến Users and Groups:
- Trong ứng dụng ELSA của bạn, nhấp vào "Users and groups" từ menu bên trái
- Nhấp vào "+ Add user/group"
Phân quyền truy cập:
- Nhấp vào "Users" (hoặc "Groups") bên dưới "None Selected"
- Chọn người dùng hoặc nhóm cần được truy cập vào ELSA
- Nhấp vào "Select" ở phía dưới
- Nhấp vào "Assign"
Ý nghĩa của bước này:
- Chỉ người dùng/nhóm được phân quyền mới có thể đăng nhập vào ELSA bằng SSO
- Người dùng chưa được phân quyền sẽ không thấy ELSA trong các ứng dụng Microsoft của họ
- Bạn có thể thêm hoặc xóa người dùng bất cứ lúc nào

Kiểm tra kết nối SSO của bạn

Phân quyền cho chính bạn làm người dùng thử nghiệm trước
Đăng xuất khỏi ELSA School nếu đang đăng nhập
Điều hướng đến trang đăng nhập ELSA School của bạn
Nhấp vào "Sign in with SSO"
Nhập địa chỉ email trường của bạn
Xác nhận bạn được chuyển hướng đến trang đăng nhập Microsoft
Xác nhận bạn có thể đăng nhập thành công vào ELSA

Khắc phục sự cố thường gặp

Lỗi không thể đăng nhập

Nguyên nhân có thể:

ELSA chưa hoàn tất cấu hình SSO ở phía chúng tôi
URL siêu dữ liệu chưa được gửi cho ELSA
SP Entity ID hoặc ACS URL được nhập không chính xác

Giải pháp: Xác nhận với ELSA rằng việc thiết lập đã hoàn tất, và kiểm tra lại các giá trị đã nhập ở Bước 2.

Người dùng đã được phân quyền nhưng không thể đăng nhập

Nguyên nhân có thể:

Email của người dùng trong Azure AD không khớp với email của họ trong ELSA
Thuộc tính người dùng chưa được cấu hình đúng
Tài khoản của người dùng không còn hoạt động trong ELSA

Giải pháp:

Xác nhận email của người dùng khớp nhau ở cả hai hệ thống
Kiểm tra rằng các ánh xạ thuộc tính ở Bước 3 là chính xác
Liên hệ bộ phận hỗ trợ ELSA để xác nhận trạng thái tài khoản của người dùng

Phần "Attributes & Claims" hiển thị các ánh xạ khác

Nguyên nhân có thể:

Azure AD của bạn có thể có cấu hình claims tùy chỉnh

Giải pháp:

Liên hệ bộ phận hỗ trợ ELSA trước khi chỉnh sửa những mục này
Chúng tôi có thể làm việc với cấu hình thuộc tính hiện có của bạn nếu cần

Câu hỏi thường gặp

H: Chúng tôi có thể dùng SSO và đăng nhập bằng email/mật khẩu thông thường cùng lúc không?
Đ: Có! SSO là một tùy chọn đăng nhập bổ sung. Người dùng vẫn có thể sử dụng email/mật khẩu nếu cần.

H: Việc thiết lập SSO mất bao lâu?
Đ: Cấu hình Azure mất 20-30 phút. Cấu hình của ELSA mất 1-2 ngày làm việc sau khi nhận được siêu dữ liệu của bạn.

H: Chúng tôi có cần tạo tài khoản ELSA cho người dùng trước không?
Đ: Có, người dùng phải tồn tại trong ELSA School trước khi họ có thể đăng nhập qua SSO. Hãy liên hệ CSM của bạn về việc tải lên người dùng hàng loạt nếu cần.

H: Chúng tôi có thể dùng SSO cho cả học sinh và giáo viên không?
Đ: Có, mọi loại người dùng đều có thể sử dụng SSO miễn là họ có tài khoản Microsoft trong thư mục của bạn.

H: Điều gì xảy ra nếu email của người dùng thay đổi?
Đ: Hãy liên hệ bộ phận hỗ trợ ELSA để cập nhật email trong ELSA School cho khớp với email Azure AD mới.