Logowanie jednokrotne (SSO)

Podłącz swojego dostawcę tożsamości SAML 2.0 lub OpenID Connect (Okta, Microsoft Entra ID, Google Workspace, OneLogin, Ping…), aby Twój zespół logował się firmowymi poświadczeniami. Dostępne w planie Enterprise. Konta użytkowników mogą być tworzone automatycznie przy pierwszym logowaniu (provisioning just-in-time).

Konfiguracja SSO

1. Otwórz Ustawienia firmy → Logowanie jednokrotne
2. Wybierz protokół (SAML 2.0 lub OpenID Connect)
3. Przekaż dostawcy tożsamości wartości widoczne w sekcji „Wartości dla Twojego dostawcy tożsamości”: dla SAML Entity ID i ACS URL (albo po prostu URL metadanych), dla OIDC Redirect URI
4. Dla SAML: wklej URL metadanych dostawcy tożsamości (IdP) lub plik XML z metadanymi. Dla OIDC: wpisz URL wykrywania (discovery), identyfikator klienta i sekret klienta
5. W sekcji Domeny e-mail dodaj każdą domenę, z której logują się Twoi użytkownicy (np. acme-corp.com)
6. Opublikuj wyświetlony rekord DNS TXT dla tej domeny, a następnie kliknij „Zweryfikuj”
7. Włącz przełącznik „Włącz logowanie SSO” i kliknij „Zapisz konfigurację”

Po co weryfikacja domeny?

Domena jest kierowana do Twojego dostawcy tożsamości dopiero po udowodnieniu, że jesteś jej właścicielem, za pomocą rekordu DNS TXT. Zapobiega to przejęciu Twojej domeny przez kogoś innego i jest warunkiem działania wykrywania SSO dla Twoich użytkowników.

Opcje polityki logowania

Provisioning just-in-time automatycznie tworzy użytkownika (z wybraną przez Ciebie rolą domyślną) przy jego pierwszym udanym logowaniu przez SSO. Opcja „Wymagaj SSO” blokuje logowanie hasłem użytkownikom ze zweryfikowanej domeny SSO — zalecana, gdy SSO już działa, aby tożsamość firmowa była jedynym źródłem prawdy (NIST 800-63).

Jak logują się użytkownicy

Na stronie logowania użytkownicy podają swój służbowy adres e-mail i klikają „Zaloguj się przez SSO”. Zostają przekierowani do Twojego dostawcy tożsamości, a po uwierzytelnieniu z powrotem do FreeMaint — bez potrzeby posiadania hasła do FreeMaint.

FreeMaint nigdy nie przechowuje sekretów Twojego IdP: są one trzymane przez dedykowanego, samodzielnie hostowanego brokera tożsamości. Tam też odbywa się cała walidacja asercji SAML oraz ochrona przed atakami typu signature wrapping.