為 ELSA School 設定 SAML 單一登入 (SSO)

本指南概述如何設定您的身分提供者（例如 Microsoft Entra ID、Google Workspace）以啟用 ELSA 中使用者的單一登入 (SSO)。設定完成需要 5 個關鍵步驟。

開始前

在設定開始前，請向您的 ELSA 代表提供以下資訊：

資料	必需？
學習者和管理員電子郵件地址	✅ 必需 — 在 ELSA 中用作唯一識別碼
名字	✅ 必需
姓氏	✅ 必需
組織電子郵件網域（例如 `@companyname.com`）	✅ 必需

步驟 1：服務提供者詳細資訊（我們提供的內容）

聯絡您的 ELSA 代表以取得您的 SSO 認證。然後使用這些認證在您的身分提供者中建立新的 SAML 應用程式。

欄位	值
ACS URL	`https://auth.workos.com/sso/saml/acs/{SP_ENTITY_ID}`
SP Entity ID	`{SP_ENTITY_ID}`
啟動 URL（Google Workspace）/ 中繼狀態（Microsoft Entra ID）	由您的 ELSA 代表提供 — 必需以確保使用者在登入後進入正確的產品

步驟 2：設定與對應（您需要執行的操作）

在您的 IdP SAML 應用程式中設定屬性對應。必須正確對應三個屬性。如果任何屬性遺失或不正確，使用者將無法登入。

必需資料	要傳送的屬性名稱
電子郵件地址	`email` OR `http://.../emailaddress``
名字	`firstName` OR `http://.../givenname``
姓氏	`lastName` OR `http://.../surname``

步驟 3：最終交換（您回傳的內容）

從您的 IdP 匯出中繼資料 XML 檔案（位於「登入」、「應用程式聯盟中繼資料」或「IDP 中繼資料」下）並將其傳送給您的 ELSA 代表。

步驟 4：測試

ELSA 啟用 SSO 後，使用幾個管理員和學習者帳戶進行測試：

驗證登入可正常運作
驗證名稱和電子郵件在儀表板中正確顯示

步驟 5：正式上線

所有學習者和管理員現在可以透過 SSO 登入。

在設定後新增學習者

在您的 IdP（Google Workspace / Entra ID）中為新學習者發行組織電子郵件
通知您的 ELSA 代表新學習者的電子郵件
ELSA 將發送邀請 — 學習者隨後透過 SSO 登入，其帳戶會自動建立

⚠️ ELSA 的邀請必須在學習者嘗試登入之前發送。沒有邀請，登入將被拒絕。

員工離職

若要撤銷學習者的存取權，請從您的 IdP（Google Workspace / Entra ID）中的 ELSA SAML 應用程式中移除他們。

⚠️ 撤銷存取權會防止未來的登入，但不會自動刪除 ELSA 中的資料。請聯絡您的 ELSA 代表以請求刪除資料。

常見問題

問題	答案
當我們切換到 SSO 時，學習資料會轉移嗎？	✅ 是的 — 只要學習者使用相同的電子郵件，其帳戶、歷史記錄和進度都會被保留。
如果我們的名單中的電子郵件與我們 IdP 中的電子郵件不符怎麼辦？	❌ 將建立重複帳戶，且先前的學習資料將無法存取。請確保名單電子郵件與您的 Google Workspace / Entra ID 電子郵件完全相符（電子郵件以小寫儲存）。
Google Workspace 和 Microsoft Entra ID 都支援嗎？	✅ 是的。兩者的設定流程相同。
啟用 SSO 後，學習者需要執行任何不同的操作嗎？	否。他們按下「使用 SSO 登入」而不是輸入電子郵件/密碼。所有現有的歷史記錄和進度仍然存在。
如果學習者無法登入怎麼辦？	檢查：(1) ELSA 是否已將邀請傳送至該電子郵件？(2) IdP 電子郵件是否與在 ELSA 中註冊的電子郵件完全相符？(3) SAML 屬性對應是否正確（電子郵件、firstName、lastName）？如果未解決，請聯絡您的 ELSA 代表。
SSO 與「使用 Google 登入」相同嗎？	否。SSO (SAML) 更安全 — 您的 IT 團隊可以完全控制誰可以存取 ELSA，可以隨時撤銷存取權，並強制執行您自己的安全政策（例如 MFA）。
管理員可以使用 SSO 嗎，還是僅限學習者？	✅ 兩者都可以。SSO 適用於整個組織。
如果我們沒有 Google Workspace 或 Microsoft Entra ID 怎麼辦？	SSO 需要與 SAML 相容的 IdP。請聯絡您的 ELSA 代表以討論替代方案。