Cách Thiết Lập Đăng Nhập Một Lần (SSO) với Microsoft Entra ID

Tổng Quan

Hướng dẫn này sẽ giúp quản trị viên CNTT của bạn thiết lập Đăng Nhập Một Lần (SSO) giữa Microsoft Entra ID (trước đây là Azure AD) và ELSA School. Khi SSO được bật, học sinh và giáo viên của bạn có thể đăng nhập vào ELSA School bằng thông tin đăng nhập Microsoft hiện có của trường, loại bỏ nhu cầu sử dụng các mật khẩu riêng biệt.

Trước Khi Bắt Đầu

Những Gì Bạn Sẽ Cung Cấp

Miền email mà bạn sẽ sử dụng cho SSO (ví dụ: xyz@schooldomain.com)

Những Gì Bạn Sẽ Cần

Quyền truy cập quản trị viên vào cổng Microsoft Entra ID (Azure AD) của tổ chức bạn
Thông tin xác thực SSO (ELSA sẽ cung cấp), bao gồm:
- SP Entity ID (Service Provider Entity ID)
- ACS URL (Assertion Consumer Service URL)

Bước 1: Tạo Ứng Dụng ELSA trong Microsoft Entra ID

Đăng nhập vào Microsoft Azure Portal
Điều hướng đến Enterprise Applications:
- Nhấp vào "Microsoft Entra ID" (hoặc "Azure Active Directory")
- Chọn "Enterprise applications" từ menu bên trái
- Nhấp "+ New application"
Tạo ứng dụng của riêng bạn:
- Nhấp "Create your own application"
- Nhập tên cho ứng dụng (ví dụ: "ELSA School SSO")
- Chọn "Integrate any other application you don't find in the gallery (Non-gallery)"
- Nhấp "Create"

Bước 2: Cấu Hình Đăng Nhập Một Lần Dựa Trên SAML

Truy cập cài đặt SSO:
- Trong ứng dụng ELSA mới tạo của bạn, nhấp "Single sign-on" từ menu bên trái
- Chọn "SAML" làm phương pháp đăng nhập một lần
Cấu Hình Cài Đặt SAML Cơ Bản:
- Nhấp "Edit" trong phần "Basic SAML Configuration"
- Nhập các giá trị sau được cung cấp bởi ELSA:
  - Identifier (Entity ID): Nhập SP Entity ID từ ELSA
  - Reply URL (Assertion Consumer Service URL): Nhập ACS URL từ ELSA
- Nhấp "Save"

Bước 3: Cấu Hình Thuộc Tính Người Dùng và Yêu Cầu

Chỉnh Sửa Thuộc Tính & Yêu Cầu:
- Nhấp "Edit" trong phần "Attributes & Claims"
Xác Minh Các Ánh Xạ Sau Đây Được Đặt:

Quan Trọng: Các ánh xạ này đảm bảo ELSA nhận được thông tin người dùng chính xác. Nếu bạn cần thay đổi các ánh xạ này vì bất kỳ lý do gì, vui lòng liên hệ với bộ phận hỗ trợ ELSA trước, vì các thay đổi có thể ảnh hưởng đến xác thực người dùng.

Bước 4: Cung Cấp Siêu Dữ Liệu SAML cho ELSA

Sau khi cấu hình SAML, sao chép Chứng Chỉ SAML (URL Siêu Dữ Liệu Liên Hợp Ứng Dụng) từ cấu hình SAML (xem hình ảnh) và gửi lại cho nhóm CNTT ELSA.

Bước 5: Gán Người Dùng và Nhóm (Sau Khi ELSA Xác Nhận Thiết Lập)

Sau khi ELSA xác nhận rằng SSO đã được cấu hình:

Điều hướng đến Người Dùng và Nhóm:
- Trong ứng dụng ELSA của bạn, nhấp "Users and groups" từ menu bên trái
- Nhấp "+ Add user/group"
Gán quyền truy cập:
- Nhấp "Users" (hoặc "Groups") dưới "None Selected"
- Chọn những người dùng hoặc nhóm nên có quyền truy cập vào ELSA
- Nhấp "Select" ở phía dưới
- Nhấp "Assign"
Điều này có nghĩa là:
- Chỉ những người dùng/nhóm được gán mới có thể đăng nhập vào ELSA bằng SSO
- Những người dùng chưa được gán sẽ không thấy ELSA trong các ứng dụng Microsoft của họ
- Bạn có thể thêm hoặc xóa người dùng bất kỳ lúc nào

Kiểm Tra Kết Nối SSO Của Bạn

Gán chính bạn làm người dùng kiểm tra trước
Đăng xuất từ ELSA School nếu hiện đang đăng nhập
Điều hướng đến trang đăng nhập ELSA School của bạn
Nhấp "Sign in with SSO"
Nhập địa chỉ email trường của bạn
Xác minh bạn được chuyển hướng đến đăng nhập Microsoft
Xác nhận bạn có thể đăng nhập thành công vào ELSA

Khắc Phục Sự Cố Thường Gặp

Lỗi không thể đăng nhập

Các nguyên nhân có thể:

ELSA chưa hoàn thành cấu hình SSO từ phía chúng tôi
URL siêu dữ liệu chưa được gửi cho ELSA
SP Entity ID hoặc ACS URL được nhập không chính xác

Giải pháp: Xác minh với ELSA rằng thiết lập đã hoàn tất và kiểm tra lại các giá trị được nhập trong Bước 2.

Người dùng được gán nhưng không thể đăng nhập

Các nguyên nhân có thể:

Email của người dùng trong Azure AD không khớp với email của họ trong ELSA
Các thuộc tính người dùng không được cấu hình chính xác
Tài khoản người dùng không hoạt động trong ELSA

Giải pháp:

Xác minh email của người dùng khớp trong cả hai hệ thống
Kiểm tra xem ánh xạ thuộc tính trong Bước 3 có chính xác không
Liên hệ với bộ phận hỗ trợ ELSA để xác minh trạng thái tài khoản của người dùng

Phần "Attributes & Claims" hiển thị các ánh xạ khác nhau

Nguyên nhân có thể:

Azure AD của bạn có thể có cấu hình yêu cầu tùy chỉnh

Giải pháp:

Liên hệ với bộ phận hỗ trợ ELSA trước khi sửa đổi những phần này
Chúng tôi có thể làm việc với cài đặt thuộc tính hiện tại của bạn nếu cần

Câu Hỏi Thường Gặp

Q: Chúng ta có thể sử dụng SSO và đăng nhập email/mật khẩu thông thường cùng một lúc không?
A: Có! SSO là một tùy chọn đăng nhập bổ sung. Người dùng vẫn có thể sử dụng email/mật khẩu nếu cần.

Q: Thiết lập SSO mất bao lâu?
A: Cấu hình Azure mất 20-30 phút. Cấu hình ELSA mất 1-2 ngày làm việc sau khi nhận được siêu dữ liệu của bạn.

Q: Chúng ta có cần tạo tài khoản ELSA cho người dùng trước không?
A: Có, người dùng phải tồn tại trong ELSA School trước khi họ có thể đăng nhập qua SSO. Liên hệ với CSM của bạn về tải lên người dùng hàng loạt nếu cần.

Q: Chúng ta có thể sử dụng SSO cho cả học sinh và giáo viên không?
A: Có, bất kỳ loại người dùng nào cũng có thể sử dụng SSO miễn là họ có tài khoản Microsoft trong thư mục của bạn.

Q: Điều gì xảy ra nếu email của người dùng thay đổi?
A: Liên hệ với bộ phận hỗ trợ ELSA để cập nhật email trong ELSA School để phù hợp với email Azure AD mới.