Thiết lập SAML Single Sign-On (SSO) cho ELSA School

Hướng dẫn này mô tả cách cấu hình Identity Provider của bạn (ví dụ: Microsoft Entra ID, Google Workspace) để kích hoạt Single Sign-On (SSO) cho người dùng của bạn trong ELSA. Có 5 bước chính để hoàn thành thiết lập.

Trước Khi Bắt Đầu

Vui lòng cung cấp cho đại diện ELSA của bạn các thông tin sau trước khi bắt đầu thiết lập:

Dữ liệu	Bắt buộc?
Địa chỉ email của học viên & quản trị viên	✅ Bắt buộc — được sử dụng làm ID duy nhất trong ELSA
Tên đệm	✅ Bắt buộc
Họ	✅ Bắt buộc
Miền email của tổ chức (ví dụ: `@companyname.com`)	✅ Bắt buộc

Bước 1: Chi Tiết Nhà Cung Cấp Dịch Vụ (Những Gì Chúng Tôi Cung Cấp)

Liên hệ với đại diện ELSA của bạn để nhận thông tin xác thực SSO của bạn. Sau đó, tạo một ứng dụng SAML mới trong Identity Provider của bạn bằng cách sử dụng các thông tin xác thực này.

Trường	Giá trị
ACS URL	`https://auth.workos.com/sso/saml/acs/{SP_ENTITY_ID}`
SP Entity ID	`{SP_ENTITY_ID}`
Start URL (Google Workspace) / Relay State (Microsoft Entra ID)	Được cung cấp bởi đại diện ELSA của bạn — cần thiết để đảm bảo người dùng chuyển hướng đến sản phẩm chính xác sau khi đăng nhập

Bước 2: Cấu Hình & Ánh Xạ (Những Gì Bạn Thực Hiện)

Cấu hình ánh xạ thuộc tính trong ứng dụng SAML IdP của bạn. Ba thuộc tính phải được ánh xạ chính xác. Nếu bất kỳ thuộc tính nào bị thiếu hoặc không chính xác, người dùng sẽ không thể đăng nhập.

Dữ Liệu Bắt Buộc	Tên Thuộc Tính Gửi
Địa Chỉ Email	`email` HOẶC `http://.../emailaddress`
Tên Đệm	`firstName` HOẶC `http://.../givenname`
Họ	`lastName` HOẶC `http://.../surname`

Bước 3: Trao Đổi Cuối Cùng (Những Gì Bạn Gửi Lại)

Xuất tệp Metadata XML từ IdP của bạn (tìm thấy trong "Sign On" (Đăng nhập), "App Federation Metadata" (Siêu dữ liệu Liên Kết Ứng Dụng), hoặc "IDP Metadata" (Siêu Dữ Liệu IDP)) và gửi nó cho đại diện ELSA của bạn.

Bước 4: Kiểm Tra

Khi ELSA kích hoạt SSO, hãy kiểm tra với một vài tài khoản quản trị viên và học viên:

Xác minh đăng nhập hoạt động
Xác minh tên và email xuất hiện chính xác trong bảng điều khiển

Bước 5: Đưa Vào Hoạt Động

Tất cả học viên và quản trị viên hiện có thể đăng nhập qua SSO.

Thêm Học Viên Mới Sau Khi Thiết Lập

Cấp cho học viên mới một email tổ chức trong IdP của bạn (Google Workspace / Entra ID)
Thông báo cho đại diện ELSA của bạn về email của học viên mới
ELSA sẽ gửi lời mời — học viên sau đó đăng nhập qua SSO và tài khoản của họ được tạo tự động

⚠️ Lời mời từ ELSA phải được gửi trước khi học viên cố gắng đăng nhập. Nếu không có nó, đăng nhập sẽ bị từ chối.

Offboarding

Để thu hồi quyền truy cập của một học viên, hãy xóa họ khỏi ứng dụng SAML ELSA trong IdP của bạn (Google Workspace / Entra ID).

⚠️ Thu hồi quyền truy cập sẽ ngăn chặn các lần đăng nhập trong tương lai nhưng không tự động xóa dữ liệu khỏi ELSA. Liên hệ với đại diện ELSA của bạn để yêu cầu xóa dữ liệu.

Câu Hỏi Thường Gặp

Câu Hỏi	Câu Trả Lời
Dữ liệu học tập sẽ được chuyển sang khi chúng tôi chuyển sang SSO không?	✅ Có — miễn là học viên sử dụng cùng một email, tài khoản, lịch sử và tiến độ của họ đều được bảo tồn.
Điều gì sẽ xảy ra nếu email trong danh sách của chúng tôi không khớp với email IdP của chúng tôi?	❌ Một tài khoản trùng lặp sẽ được tạo và dữ liệu học tập trước đó sẽ không thể truy cập được. Vui lòng đảm bảo email danh sách chính xác khớp với email Google Workspace / Entra ID của bạn (email được lưu trữ bằng chữ thường).
Google Workspace và Microsoft Entra ID đều được hỗ trợ không?	✅ Có. Quá trình thiết lập giống hệt nhau cho cả hai.
Học viên có cần làm gì khác sau khi SSO được kích hoạt không?	Không. Họ nhấp vào "Sign in with SSO" (Đăng nhập bằng SSO) thay vì nhập email/mật khẩu. Tất cả lịch sử và tiến độ hiện tại vẫn còn.
Điều gì sẽ xảy ra nếu một học viên không thể đăng nhập?	Kiểm tra: (1) ELSA đã gửi lời mời tới email đó chưa? (2) Email IdP có khớp chính xác với email được đăng ký trong ELSA không? (3) Ánh xạ thuộc tính SAML có chính xác không (email, firstName, lastName)? Nếu vẫn chưa giải quyết được, hãy liên hệ với đại diện ELSA của bạn.
SSO có giống như "Sign in with Google" (Đăng nhập bằng Google) không?	Không. SSO (SAML) an toàn hơn — nhóm CNTT của bạn kiểm soát chính xác ai có thể truy cập ELSA, có thể thu hồi quyền truy cập bất kỳ lúc nào và thực thi các chính sách bảo mật của riêng bạn (ví dụ: MFA).
Quản trị viên có thể sử dụng SSO không, hay chỉ học viên?	✅ Cả hai. SSO áp dụng cho toàn bộ tổ chức.
Điều gì sẽ xảy ra nếu chúng tôi không có Google Workspace hoặc Microsoft Entra ID?	SSO yêu cầu IdP tương thích với SAML. Vui lòng liên hệ với đại diện ELSA của bạn để thảo luận về các lựa chọn thay thế.