วิธีตั้งค่า Single Sign-On (SSO) กับ Microsoft Entra ID

ภาพรวม

คู่มือนี้จะช่วยให้ผู้ดูแลระบบ IT ของคุณตั้งค่า Single Sign-On (SSO) ระหว่าง Microsoft Entra ID (ชื่อเดิม Azure AD) และ ELSA Business เมื่อเปิดใช้งาน SSO แล้ว นักเรียนและครูของคุณสามารถเข้าสู่ระบบ ELSA Business โดยใช้ข้อมูลรับรอง Microsoft ขององค์กรที่มีอยู่ โดยไม่ต้องใช้รหัสผ่านแยกต่างหาก

ก่อนเริ่มต้น

สิ่งที่คุณต้องเตรียม

1. โดเมนอีเมล ที่คุณจะใช้สำหรับ SSO (ตัวอย่างเช่น: xyz@enterprisedomain.com)

สิ่งที่คุณต้องมี

1. สิทธิ์ผู้ดูแลระบบ ในพอร์ทัล Microsoft Entra ID (Azure AD) ขององค์กรคุณ
2. ข้อมูลรับรอง SSO (ซึ่ง ELSA จะจัดเตรียมให้) ประกอบด้วย:
   • SP Entity ID (Service Provider Entity ID)
   • ACS URL (Assertion Consumer Service URL)

ขั้นตอนที่ 1: สร้างแอปพลิเคชัน ELSA ใน Microsoft Entra ID

1. เข้าสู่ระบบ Microsoft Azure Portal

2. ไปที่ Enterprise Applications:

   • คลิกที่ "Microsoft Entra ID" (หรือ "Azure Active Directory")
   • เลือก "Enterprise applications" จากเมนูด้านซ้าย
   • คลิก "+ New application"
     

3. สร้างแอปพลิเคชันของคุณเอง:

   • คลิก "Create your own application"
   • ใส่ชื่อแอปพลิเคชัน (เช่น "ELSA Business SSO")
   • เลือก "Integrate any other application you don't find in the gallery (Non-gallery)"
   • คลิก "Create"
     

ขั้นตอนที่ 2: ตั้งค่า SAML-Based Single Sign-On

1. เข้าสู่การตั้งค่า SSO:

   • ในแอปพลิเคชัน ELSA ที่สร้างขึ้นใหม่ของคุณ คลิก "Single sign-on" จากเมนูด้านซ้าย
   • เลือก "SAML" เป็นวิธีการ Single sign-on
     

2. ตั้งค่า Basic SAML Settings:

   • คลิก "Edit" ในส่วน "Basic SAML Configuration"
   • กรอกค่าต่อไปนี้ที่ได้รับจาก ELSA:
     • Identifier (Entity ID): กรอก SP Entity ID จาก ELSA
     • Reply URL (Assertion Consumer Service URL): กรอก ACS URL จาก ELSA
       
   • คลิก "Save"

ขั้นตอนที่ 3: ตั้งค่า User Attributes และ Claims

1. แก้ไข Attributes & Claims:

   • คลิก "Edit" ในส่วน "Attributes & Claims"
     

2. ตรวจสอบให้แน่ใจว่าการแมปต่อไปนี้ถูกตั้งค่า:

   Claim Name	Source Attribute
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	user.mail
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname	user.givenname
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name	user.userprincipalname
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname	user.surname

   สำคัญ: การแมปเหล่านี้จะช่วยให้ ELSA ได้รับข้อมูลผู้ใช้ที่ถูกต้อง หากคุณต้องการเปลี่ยนแปลงการแมปเหล่านี้ด้วยเหตุผลใด ๆ กรุณาติดต่อฝ่ายสนับสนุน ELSA ก่อน เนื่องจากการเปลี่ยนอาจส่งผลต่อการยืนยันตัวตนของผู้ใช้
   

ขั้นตอนที่ 4: ส่ง SAML Metadata ให้กับ ELSA

หลังจากตั้งค่า SAML แล้ว ให้คัดลอก SAML Certificate (App Federation Metadata URL) จากการตั้งค่า SAML (ดูภาพ) และส่งกลับไปยังทีม IT ของ ELSA

ขั้นตอนที่ 5: กำหนดผู้ใช้และกลุ่ม (หลังจาก ELSA ยืนยันการตั้งค่า)

เมื่อ ELSA ยืนยันว่าได้ตั้งค่า SSO แล้ว:

1. ไปที่ Users and Groups:

   • ในแอปพลิเคชัน ELSA ของคุณ คลิก "Users and groups" จากเมนูด้านซ้าย
     
   • คลิก "+ Add user/group"
     
     

2. กำหนดสิทธิ์การเข้าถึง:

   • คลิก "Users" (หรือ "Groups") ใต้ "None Selected"
   • เลือกผู้ใช้หรือกลุ่มที่ควรมีสิทธิ์เข้าถึง ELSA
   • คลิก "Select" ที่ด้านล่าง
   • คลิก "Assign"
     

3. ความหมายของขั้นตอนนี้:

   • เฉพาะผู้ใช้/กลุ่มที่ได้รับมอบหมายเท่านั้นที่จะสามารถเข้าสู่ระบบ ELSA ด้วย SSO ได้
   • ผู้ใช้ที่ไม่ได้รับมอบหมายจะไม่เห็น ELSA ในแอป Microsoft ของตน
   • คุณสามารถเพิ่มหรือลบผู้ใช้ได้ตลอดเวลา

ทดสอบการเชื่อมต่อ SSO ของคุณ

1. กำหนดตัวคุณเอง เป็นผู้ใช้ทดสอบก่อน
2. ออกจากระบบ ELSA Business หากคุณเข้าสู่ระบบอยู่
3. ไปที่ หน้าเข้าสู่ระบบ ELSA Business ของคุณ
4. คลิก "Sign in with SSO"
5. กรอก อีเมลองค์กรของคุณ
6. ตรวจสอบ ว่าคุณถูกเปลี่ยนเส้นทางไปยังหน้าเข้าสู่ระบบ Microsoft
7. ยืนยัน ว่าคุณสามารถเข้าสู่ระบบ ELSA ได้สำเร็จ

การแก้ไขปัญหาทั่วไป

เกิดข้อผิดพลาด ไม่สามารถเข้าสู่ระบบได้

สาเหตุที่เป็นไปได้:

• ELSA ยังไม่ได้ตั้งค่า SSO ฝั่งเราเสร็จสมบูรณ์
• ยังไม่ได้ส่ง metadata URL ให้ ELSA
• กรอก SP Entity ID หรือ ACS URL ไม่ถูกต้อง

วิธีแก้ไข: ตรวจสอบกับ ELSA ว่าการตั้งค่าเสร็จสมบูรณ์แล้ว และตรวจสอบค่าที่กรอกในขั้นตอนที่ 2 อีกครั้ง

ผู้ใช้ได้รับมอบหมายแล้วแต่เข้าสู่ระบบไม่ได้

สาเหตุที่เป็นไปได้:

• อีเมลของผู้ใช้ใน Azure AD ไม่ตรงกับอีเมลใน ELSA
• ไม่ได้ตั้งค่า user attributes อย่างถูกต้อง
• บัญชีผู้ใช้ยังไม่เปิดใช้งานใน ELSA

วิธีแก้ไข:

• ตรวจสอบให้อีเมลของผู้ใช้ตรงกันทั้งสองระบบ
• ตรวจสอบว่า attribute mapping ในขั้นตอนที่ 3 ถูกต้อง
• ติดต่อฝ่ายสนับสนุน ELSA เพื่อตรวจสอบสถานะบัญชีผู้ใช้

ส่วน "Attributes & Claims" แสดงการแมปที่แตกต่างกัน

สาเหตุที่เป็นไปได้:

• Azure AD ของคุณอาจมีการตั้งค่า claim แบบกำหนดเอง

วิธีแก้ไข:

• ติดต่อฝ่ายสนับสนุน ELSA ก่อนแก้ไขการตั้งค่าเหล่านี้
• เราสามารถทำงานร่วมกับการตั้งค่า attribute ที่คุณมีอยู่ได้หากจำเป็น

คำถามที่พบบ่อย

ถาม: สามารถใช้ SSO และเข้าสู่ระบบด้วยอีเมล/รหัสผ่านปกติพร้อมกันได้หรือไม่?
ตอบ: ได้! SSO เป็นตัวเลือกเข้าสู่ระบบเพิ่มเติม ผู้ใช้ยังคงใช้วิธีอีเมล/รหัสผ่านได้หากต้องการ

ถาม: ใช้เวลาตั้งค่า SSO นานเท่าไร?
ตอบ: การตั้งค่าใน Azure ใช้เวลา 20-30 นาที ส่วนการตั้งค่า ELSA ใช้เวลา 1-2 วันทำการหลังจากได้รับ metadata ของคุณ

ถาม: ต้องสร้างบัญชี ELSA ให้ผู้ใช้ก่อนหรือไม่?
ตอบ: ใช่ ผู้ใช้ต้องมีอยู่ใน ELSA Business ก่อนจึงจะเข้าสู่ระบบผ่าน SSO ได้ หากต้องการอัปโหลดผู้ใช้จำนวนมาก กรุณาติดต่อ CSM ของคุณ

ถาม: สามารถใช้ SSO กับทั้งนักเรียนและครูได้หรือไม่?
ตอบ: ได้ ผู้ใช้ทุกประเภทสามารถใช้ SSO ได้ตราบใดที่มีบัญชี Microsoft ใน directory ของคุณ

ถาม: หากอีเมลของผู้ใช้เปลี่ยนจะเกิดอะไรขึ้น?
ตอบ: กรุณาติดต่อฝ่ายสนับสนุน ELSA เพื่ออัปเดตอีเมลใน ELSA Business ให้ตรงกับอีเมลใหม่ใน Azure AD