Strona Company Dashboard Authentication umożliwia administratorom konta firmowego skonfigurowanie i włączenie funkcji Single Sign-On (SSO) dla konta firmowego oraz obejmuje obsługę SCIM (System for Cross-domain Identity Management) w zakresie provisioning użytkowników i grup, co automatyzuje wymianę danych tożsamości między Twoją firmą a jej Identity Provider (IdP).
Ten system konfiguracji po stronie backendu pozwala administratorom konta firmowego ustanawiać, testować, włączać i wyłączać funkcję SSO dla użytkowników firmy. Opcja SSO jest dostępna podczas logowania do Altium Designer, Twojego Altium account oraz Altium Workspace. Po skonfigurowaniu dla użytkowników konta firmowego SSO zapewnia wygodę logowania do oprogramowania i usług Altium przy użyciu tego samego zestawu poświadczeń, który obowiązuje w systemach firmowych.
SSO SAML
Po skonfigurowaniu i włączeniu w Dashboard, system SSO ustanawia autoryzowane tożsamości z wybranego przez Twoją firmę dostawcy tożsamości (IdP), na przykład Okta, OneLogin itd., a komunikacja asercji identyfikatora opiera się na ustandaryzowanym Security Assertion Markup Language (SAML 2.0). Interfejs logowania SSO dla Twojej firmy, jeśli nie jest jeszcze wdrożony, zwykle bazuje na szablonie lub przykładzie dostarczonym przez IdP – inicjuje to wymianę asercji uwierzytelniania opartą o SAML i zapewnia dostęp do usług firmowych.
W stanie domyślnym strona Dashboard Authentication wyświetla wstępnie skonfigurowane adresy URL dla usługi AltiumLive SSO (1. Altium metadata configuration) oraz opcję przesłania lub ręcznego wprowadzenia danych połączenia autoryzacyjnego IdP (2. SAML Identity Provider Configuration).
Zwróć uwagę, że wpis Altium metadata configuration zawiera dostarczone informacje identyfikacyjne dla usługi Altium SSO Twojej organizacji:
-
Entity ID – używany jako docelowy adres URL odpowiedzi IdP. Może zawierać sufiks GUID identyfikujący konkretną organizację (np. region/dział) w ramach konta Altium Twojej firmy — zobacz Multiple Organizations with one SSO Provider poniżej.
-
Single Sign On URL – używany przez IdP do identyfikacji właściwego adresu URL Altium SSO. Podczas konfigurowania SAML SSO dla usługi logowania Altium GovCloud wybierz powiązany adres URL asercji SSO z menu rozwijanego wpisu.
Te adresy URL są kopiowane (
) do interfejsu dostawcy tożsamości, aby umożliwić wygenerowanie metadanych SAML dla firmowej usługi SSO. Ten kod konfiguracji (zwykle dostępny jako dane XML) jest następnie przesyłany lub kopiowany do wpisu SAML Identity Provider configuration. Więcej informacji znajduje się poniżej.
Przykłady integracji z dostawcą tożsamości
Rozwiń poniższą zwijaną sekcję, aby zobaczyć przykład krok po kroku procesu integracji dla typowego dostawcy tożsamości (OneLogin):
OneLogin Identity Provider integration example guide
Integracja z OneLogin jako dostawcą tożsamości
Dodawanie aplikacji SAML:
-
Zaloguj się do OneLogin jako administrator.
-
Wybierz Applications, a następnie Add Apps.
-
Wyszukaj „SAML” i wybierz opcję aplikacji IdP SAML Test Connector (Advanced).
-
Podaj nazwę aplikacji (Display Name). Służy ona wyłącznie do celów wyświetlania.
-
Kliknij przycisk Save.
-
Skopiuj () wpisy Entity ID oraz Single Sign On URL (Assertion Consumer Service) z sekcji Altium Sign-On Settings na stronie Authentication Company Dashboard. W konfiguracji aplikacji OneLogin:
-
Wklej Entity ID (nazwa dostawcy usługi) jako adres URL Audience (EntityID).
-
Wklej Single Sign On URL (Assertion Consumer Service) jako ACS (Consumer) URL Validator.
-
Wklej także Single Sign On URL (Assertion Consumer Service) jako ACS (Consumer) URL.
-
Pola RelayState, Recipient, Single Logout URL oraz Login URL można pozostawić puste.
-
Upewnij się, że opcja SAML nameID format jest ustawiona na Email, a SAML signature element jest ustawione na Both. Kliknij przycisk Save, aby potwierdzić ustawienia.
-
Kliknij przycisk More Actions, a następnie wybierz opcję menu SAML Metadata, aby pobrać metadane SAML dostawcy tożsamości jako plik XML.
-
Ten plik metadanych zostanie przesłany na stronie Authentication w Company Dashboard, aby skonfigurować usługę OneLogin SSO – zobacz poniżej.
-
Jeśli preferujesz ręczną konfigurację usługi OneLogin SSO w Company Dashboard, wymagane parametry można znaleźć, wybierając opcję menu SSO w interfejsie aplikacji OneLogin.
-
Kolejne kroki to dodanie użytkowników i przypisanie aplikacji do tych użytkowników.
Rozwiń poniższe zwijane sekcje, aby zobaczyć przykłady krok po kroku procesu integracji i provisioningu dla typowego dostawcy tożsamości (Okta):
Okta Identity Provider integration example guide
Integracja z Okta jako dostawcą tożsamości
Dodawanie aplikacji SAML:
-
Zaloguj się do Okta jako administrator.
-
Kliknij łącze/przycisk Admin, a następnie przycisk Add Application w obszarze firmy Applications.
-
Kliknij przycisk Create New App.
-
Wybierz SAML 2.0 jako Sign-on method.
-
Podaj App name. Służy to wyłącznie do celów wyświetlania.
-
Skopiuj () wpis Single Sign On URL (Assertion Consumer Service) z sekcji Altium Sign-On Settings na stronie Authentication Company Dashboard i wklej go do pola Single sign on URL w ustawieniach Okta SAML.
-
Skopiuj () wpis Entity ID z sekcji Altium Sign-On Settings na stronie Authentication Company Dashboard i wklej go do pola Audience URI w ustawieniach Okta SAML.
Wpis Default RelayState nie jest wymagany.
-
Ustaw pozostałe pola w następujący sposób:
-
Name ID format to EmailAddress.
-
Application username to (Okta) Email.
-
W sekcji ATTRIBUTE STATEMENTS ustaw pole Name na: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, a Value na: user.email
-
Kliknij przycisk Next i wybierz opcję ..Okta customer adding an internal app.
-
Kliknij przycisk Finish.
-
Kliknij łącze Identity Provider metadata i zapisz metadane XML na komputerze lub kliknij przycisk View Setup Instructions, aby skorzystać z opcji ręcznej konfiguracji.
-
W sekcji SAML Identity Provider configuration na stronie Authentication Company Dashboard prześlij zapisany plik metadanych XML lub użyj łącza enter manually, aby skonfigurować poszczególne sekcje – zobacz poniżej.
Okta SCIM Provisioning example guide
Integracja provisioningu SCIM z Okta jako IdP
Dodawanie integracji SCIM (System for Cross-domain Identity Management):
-
W Okta Admin Console wybierz kartę General i ustaw SCIM jako metodę provisioningu.
-
Wybierz kartę Provisioning i kliknij przycisk Edit.
-
W trybie edycji ustawień wybierz wszystkie akcje provisioningu (opcje Import.. i Push..) oraz ustaw HTTP Header jako tryb Authentication.
-
Skopiuj () wpis Base URL z sekcji Provisioning na stronie Authentication Company Dashboard i wklej go do pola Okta SCIM Connector base URL.
Skopiuj () wpis API Token z sekcji Provisioning na stronie Authentication Company Dashboard i wklej go do pola Okta Authorization (w obszarze HTTP HEADER).
-
Określ userName jako Okta Unique identifier field for users.
-
Kliknij przycisk Test Connector Configuration (patrz wyżej) i upewnij się, że połączenie działa. Jeśli test konfiguracji zakończy się powodzeniem, zamknij okno Test, a następnie zapisz konfigurację (
).
-
W drzewie nawigacji po lewej wybierz To App, a następnie opcję Edit.
Włącz opcje Create Users, Update User Attributes i Deactivate Users, a następnie kliknij Save.
Provisioning i deprovisioning użytkowników oraz grup:
-
Wybierz kartę Push Groups, a następnie kliknij przycisk Refresh App Groups.
-
Z menu głównego wybierz opcję strony Directory » Groups.
W obszarze Groups powinny być widoczne zarówno aplikacja Groups, jak i Workspaces jako wpisy grup.
-
Utwórz „natywne” grupy Okta o tej samej nazwie co grupy aplikacji/obszary robocze (workspace) – w tym przykładzie zaimportowane grupy Administrators i Workspace.
-
Wybierz utworzoną grupę Okta, a następnie kliknij przycisk Manage Apps. W oknie Assign Applications to <group name> przypisz aplikację SCIM do grupy i kliknij 
po zakończeniu.
-
Wróć do strony Groups i wybierz kartę Push Groups. Z menu przycisku Push Groups wybierz Find groups by name option.
-
Wprowadź nazwę grupy (tutaj Group Administrators), a następnie wybierz opcję Link Group, aby powiązać ją z grupą aplikacji. Zapisz konfigurację tego powiązania ().
Zarządzanie użytkownikami i grupami
Powinno być teraz możliwe dodawanie członków do istniejących grup aplikacji lub usuwanie z nich członków.
-
Utwórz nowego użytkownika Okta (Directory » People, a następnie wybierz Add Person). Upewnij się, że użytkownik ma unikalny adres e-mail, który nie istnieje w AltiumLive.
-
Dodaj nowego użytkownika do grupy Okta, która jest przypisana do aplikacji SCIM (Directory » Groups, wybierz grupę, a następnie użyj Assign People).
-
Sprawdź, czy użytkownik pojawia się w Company Dashboard.
Aby utworzyć nową grupę użytkowników przez aplikację SCIM, utwórz nową grupę Okta na stronie Groups (
), a następnie na karcie Push Groups znajdź nazwę nowej grupy i wybierz opcję Create Group (zamiast „Link Group”).
Skonfigurowana aplikacja SCIM powinna umożliwiać:
-
Zmianę imienia/nazwiska użytkownika oraz adresu e-mail.
-
Zmienianie członkostwa w grupie.
-
Zmienianie nazwy grupy.
-
Tworzenie grupy.
-
Usuwanie grupy – odłącz grupę w sekcji Push Groups, używając opcji usunięcia z aplikacji.
-
Aktywowanie lub dezaktywowanie użytkownika – aktywowany użytkownik otrzyma e-mail aktywacyjny.
Workspace’y wyglądają podobnie do grup użytkowników w Okta, ale obsługują wyłącznie zarządzanie członkostwem. Nie można utworzyć nowego workspace’a ani zmienić nazwy istniejącego.
Po dodaniu lub usunięciu użytkownika z grupy Workspace możesz sprawdzić rezultat w interfejsie Altium 365 Workspace.
-
Nowy użytkownik SCIM powinien móc zalogować się przy użyciu SSO
-
Nowy użytkownik SCIM powinien zostać automatycznie zaproszony do Workspace.
-
Zaproszenie e-mail nie zostanie wysłane do użytkownika.
Rozwiń poniższą zwijaną sekcję, aby zobaczyć przykład krok po kroku integracji i procesu provisioningu dla Microsoft Entra ID jako dostawcy tożsamości:
SAML login with Microsoft Entra ID
Integracja z Microsoft Entra ID
Aplikacja SAML:
-
Zaloguj się do Microsoft Entra admin center.
-
Wybierz Identity, a następnie opcję Enterprise applications.
-
Utwórz własną aplikację.
-
Wybierz Users and groups, a następnie Add user/group.
-
Wybierz Single sign-on, Step 1, a następnie Edit.
-
Skopiuj () wpisy Entity ID i Single Sign On URL z sekcji Altium Sign-On Settings na stronie Company Dashboard Authentication. Wklej skopiowane ciągi do pól Entity ID i Assertion Consumer Service URL w obszarze konfiguracji SAML aplikacji Microsoft Entra. Upewnij się, że pola wyboru Default są zaznaczone dla tych pól, a następnie zapisz konfigurację.
-
Pobierz utworzony plik Federation Metadata XML.
-
Prześlij plik Federation Metadata XML na stronę Company Dashboard Authentication (obszar 2. SAML Identity Provider configuration w sekcji Altium Sign-On Settings) i następnie przetestuj połączenie integracji SAML.
Provisioning:
-
Na ekranie zarządzania aplikacją Microsoft Entra wybierz Provisioning w lewym panelu, a następnie przycisk Get started.
-
Ustaw Provision MODE na Automatic.
-
Skopiuj () wpisy Base URL i API Token z sekcji Provisioning na stronie Company Dashboard Authentication i wklej je odpowiednio do pól Tenant URL i Secret Token.
-
Kliknij przycisk Microsoft Entra Provisioning Test Connection i jeśli poświadczenia zostaną pomyślnie autoryzowane, Save konfigurację.
-
W sekcji Mappings dostępne są dwa wybieralne zestawy mapowań atrybutów – jeden dla obiektów Group i jeden dla obiektów User.
-
Wybierz każde mapowanie, aby przejrzeć atrybuty synchronizowane z Microsoft Entra ID do Twojej aplikacji. Atrybuty wybrane jako Matching properties są używane do dopasowywania użytkowników i grup w Twojej aplikacji na potrzeby operacji aktualizacji. Wybierz Save, aby zatwierdzić wszelkie zmiany.
Opcjonalnie możesz wyłączyć synchronizację obiektów grup, wyłączając mapowanie Groups.
-
W sekcji Settings pole Scope określa, którzy użytkownicy i grupy są synchronizowani. Wybierz Sync only assigned users and groups (zalecane), aby synchronizować tylko użytkowników i grupy przypisane na stronie Users and groups.
-
Po zakończeniu konfiguracji ustaw Provisioning Status na On.
-
Wybierz Save, aby uruchomić usługę provisioningu Microsoft Entra.
Rozwiń poniższą zwijaną sekcję, aby zobaczyć przykład krok po kroku procesu integracji dla JumpCloud jako dostawcy tożsamości:
SAML SSO Configuration with JumpCloud
Integracja z JumpCloud jako dostawcą tożsamości
-
W interfejsie JumpCloud wybierz SSO z drzewa nawigacji, a następnie przycisk Add New Application na stronie SSO.
-
Wpisz „saml” w polu Search w oknie konfiguracji, aby zlokalizować, a następnie zainstalować Custom SAML App.
-
Nazwij swoją instancję Custom SAML App – w tym przykładzie etykieta to „Altium”.
-
Przejdź do karty SSO w interfejsie konfiguracji JumpCloud. Skopiuj () wpisy Entity ID i Single Sign On URL z sekcji Altium Sign-On Settings na stronie Company Dashboard Authentication i wklej je odpowiednio do pól SP Entity ID i Default URL .
-
Wprowadź endpoint JumpCloud IDP URL i włącz opcję Declare Redirect Endpoint.
-
Przejdź do karty Identity Management w interfejsie JumpCloud. Skopiuj () wpisy Base URL i API Token z sekcji Provisioning na stronie Company Dashboard Authentication i wklej je odpowiednio do pól Base URL i Token Key. Wprowadź także odpowiedni testowy adres e-mail.
-
Wykonaj Test Connection, co spowoduje wyświetlenie komunikatu potwierdzającego w prawym górnym rogu strony (jak pokazano poniżej).
-
Wyłącz (odznacz) opcję Group Management, a następnie Activate konfigurację.
Uwaga: jeśli u góry strony pojawi się błąd połączenia, taki jak „There was a problem activating Identity Management”, lub na dole strony „Test filter user: unable to get or create user from service”, spróbuj wprowadzić inny testowy adres e-mail, a następnie ponownie wybierz Activate.
-
Z powrotem w interfejsie JumpCloud, na karcie SSO, użyj opcji Export Metadata, aby pobrać wynikowy plik SAML metadata XML.
-
Na stronie Company Dashboard Authentication zaimportuj pobrany plik metadata XML, a następnie uruchom test integracji przyciskiem Test Sign On. Następnie powinien zostać wyświetlony wynik pomyślnego testu integracji. Po potwierdzeniu połączenia możesz włączyć opcję Altium Sign-On Settings, a następnie opcję SSO w sekcji Authentication methods.
Rozwiń poniższą zwijaną sekcję, aby zobaczyć przykład krok po kroku procesu integracji dla Microsoft AD FS jako dostawcy tożsamości:
SSO SAML Authentication with Microsoft AD FS
Uwierzytelnianie SSO SAML z Microsoft Administrative Domain Federated Services (AD FS)
Wykonaj poniższe kroki, aby skonfigurować logowanie do organizacji Altium 365 tak, aby używało Twojej instancji AD FS do uwierzytelniania SSO.
Wymagania wstępne
Konfigurowanie AD FS
-
Otwórz aplikację AD FS Management (zwykle Start → Windows Administrative Tools → AD FS Management).
-
Przejdź do Relying Party Trusts i kliknij opcję Add Relying Party Trust... (1).
-
W oknie podręcznym upewnij się, że wybrano Claims aware (2), i kliknij Start (3).
-
W kroku Select Data Source wybierz Enter data about the relying party manually (1) i kliknij Next (2).
-
Podaj nazwę wyświetlaną dla relacji zaufania. W tym przykładzie jako nazwę wyświetlaną użyto AltiumLive.
-
W zależności od konfiguracji zabezpieczeń możesz wskazać opcjonalny certyfikat szyfrowania tokenów. Na potrzeby tego przewodnika nie będziemy go używać.
-
W kroku Configure URL upewnij się, że wybrano opcję Enable support for the SAML 2.0 WebSSO protocol (1) i wprowadź https://identity.live.altium.com/AssertionConsumerService w polu Relying party SAML 2.0 SSO service URL: (2). Kliknij Next (3).
-
W kroku Configure Identifiers podaj identyfikator dla tej relacji zaufania w polu wejściowym (1). Identyfikator musi zostać pobrany z wpisu Entity ID znajdującego się w obszarze SAML Single Sign-On na stronie Dashboard Authentication. Upewnij się, że kliknięto przycisk Add (2).
Wynik powinien wyglądać jak poniżej. Kliknij Next.
-
W zależności od konfiguracji zabezpieczeń w następnym kroku możesz wybrać opcjonalne zasady kontroli dostępu. W tym przykładzie nie wybierzemy żadnych dodatkowych zasad i przejdziemy dalej, wybierając opcję Permit everyone.
-
Sprawdź konfigurację i wybierz Next.
-
Nie wszystkie ustawienia są dostępne podczas konfigurowania relacji zaufania. Aby umożliwić użycie SHA-1 jako bezpiecznego algorytmu skrótu, kliknij prawym przyciskiem myszy nazwę Relying Party Trust, którą właśnie dodano, i wybierz Properties.
-
W oknie właściwości wybierz kartę Advanced (1) i ustaw SHA-1 jako bezpieczny algorytm skrótu (2). Kliknij OK, aby zapisać zmiany.
-
Wróć do okna AD FS Management, wybierz dodaną relację zaufania Relaying Party Trust i wybierz opcję Edic Claim Issuance Policy...
-
W oknie Edit Claim Issuance Policy wybierz Add Rule...
-
W kroku Choose Rule Type kreatora upewnij się, że wybrano Send LDAP Attributes as Claims, a następnie kliknij Next.
-
Podaj Claim rule name (1), wybierz Active Directory jako Attribute store (2) oraz wybierz LDAP Attribute (3) z identyfikatora (ID), który zawiera nazwę użytkownika dla konta Altium Account. Ten atrybut musi zostać zmapowany do Name ID w Outgoing Claim Type (3). Kliknij Finish (4).
Important Note: W tym przykładzie zmapowaliśmy Surname lub Last name, aby zawierały wymaganą wartość. Twoja konfiguracja może się różnić.
-
Upewnij się, że zasada wydawania oświadczeń (claim issuance policy) została zapisana, klikając OK.
To kończy konfigurację AD FS.
Important Note: Pobierz plik FederationMetadata.xml z odpowiedniego serwera.
Konfigurowanie Altium 365
-
Przejdź do strony Authentication w Company Dashboard i prześlij plik FederationMetadata.xml, który został wcześniej pobrany (więcej informacji znajdziesz w sekcji Dashboard SSO Configuration poniżej). Konfiguracja powinna zostać zaimportowana, a wartości X509 Certificate, Identity Provider Issuer i IdP Single Sign-On URL powinny być widoczne. Kliknij przycisk Test Sign On , aby przetestować konfigurację.
-
Na ekranie logowania podaj dane uwierzytelniające użytkownika zgodnie z wymaganiami Twojej organizacji i kliknij Sign in.
-
Asercja zostanie odesłana do Altium 365. Jeśli na ekranie pojawi się komunikat Test SAML connection was successful!, oznacza to, że konfiguracja została ukończona poprawnie. Odpowiedź SAML możesz wyświetlić, klikając przycisk See Response . Kliknij Back to Settings , aby wrócić do strony Authentication.
-
Na stronie Authentication włącz opcje Altium Sign-On Settings oraz SSO .
To kończy konfigurację. Od tego momentu użytkownicy w Twojej organizacji powinni móc logować się do Altium 365, używając AD FS Twojej organizacji jako dostawcy tożsamości SSO (IdP).
Rozwiń poniższą zwijaną sekcję, aby zobaczyć przykład krok po kroku procesu integracji dla AWS IAM Identity Center jako dostawcy tożsamości:
SSO SAML Configuration with AWS IAM Identity Center
Konfiguracja SSO SAML z Amazon Web Services (AWS) Identity Access Management (IAM) Identity Center
-
Przejdź do IAM Identity Center i dodaj niestandardową aplikację SAML 2.0 (Add Application).
-
Skopiuj () wpisy Entity ID oraz Single Sign On URL z sekcji Altium Sign-On Settings na stronie Company Dashboard Authentication i wklej je do ustawień adresu URL metadanych AWS. Potwierdź ustawienia przyciskiem Submit.
-
Pobierz plik metadanych z obszaru IAM Identity Center metadata.
-
Przejdź do Edit attribute mappings.
-
Dodaj ${user:email} oraz Format jako unspecified.
-
Utwórz nowych użytkowników w AWS – nazwy użytkowników powinny mieć format user@domain.com.
Przypisz aplikację do utworzonych użytkowników lub do grupy.
-
Opcja Provisioning na stronie Company Dashboard Authentication powinna być wyłączona.
Obecnie AWS nie obsługuje automatycznego provisioningu wychodzącego przez SCIM.
-
Upewnij się, że ci sami użytkownicy istnieją zarówno po stronie Altium, jak i IAM. Użytkownicy powinni być nazywani zgodnie z formatem user@domain.com.
-
Na stronie Company Dashboard Authentication prześlij plik XML, który został wcześniej pobrany (więcej informacji znajdziesz w sekcji Dashboard SSO Configuration poniżej). Kliknij przycisk Test Sign On , aby przetestować konfigurację.
-
Następnie zostaniesz przekierowany na stronę logowania AWS. Wprowadź dane uwierzytelniające użytkownika AWS. Powinieneś zostać przekierowany z powrotem do Dashboard i zobaczyć komunikat Test SAML connection was successful! .
-
Po pomyślnym teście włącz opcje Altium Sign-On Settings oraz SSO .
Dashboard SSO Configuration
Aby skonfigurować system SSO w Dashboard (jeśli nie zostało to jeszcze wykonane), użyj przycisku 
na stronie Authentication, aby zlokalizować i przesłać plik XML konfiguracji SAML IdP wygenerowany przez IdP Twojej firmy – zobacz przykłady integracji IdP powyżej. Alternatywnie użyj łącza enter manually, aby dodać poszczególne elementy konfiguracji (certyfikat bezpieczeństwa i adresy URL).
Przesłany plik XML IdP jest analizowany przez system w celu wyodrębnienia głównych pól konfiguracji (X509 Certificate, adres URL Identity Provider Issuer oraz IdP Single Sign-On URL), które w razie potrzeby można edytować ręcznie (
).
SSO nie jest włączone, dopóki nie zostanie uruchomiony Integration Test, wywoływany przyciskiem 
. Weryfikuje to proces tożsamości SSO oraz logowanie SSO w Twojej firmie, a następnie wyświetla komunikat potwierdzający, który zawiera opcję sprawdzenia kodu wyniku autoryzacji SAML (
).
Po powrocie na stronę Authentication sprawdzenie poprawności konfiguracji jest raportowane jako zakończone sukcesem i można włączyć funkcję Single Sign-On dla konta firmowego (
). Jeśli SSO zostanie później wyłączone – ręcznie lub w odpowiedzi na zmianę konfiguracji – dostępny stanie się przycisk , aby można było powtórzyć proces testowy.
Zwróć uwagę, że sekcja użytkownika Provisioning jest wstępnie skonfigurowana ustawieniami SCIM firmy Altium, aby wspierać provisioning użytkowników/grup przez dostawcę tożsamości (IdP) Twojej firmy, takiego jak Okta, OneLogin itd.
Important: Wymagane atrybuty profilu użytkownika dla pomyślnego provisioningu to:
Wiele organizacji z jednym dostawcą SSO
Jeśli Twoja firma ma więcej niż jedną organizację Altium w ramach firmowego konta Altium Account – na przykład organizację dla każdego regionu świata – wówczas jeden dostawca tożsamości SSO może być użyty do zarządzania uwierzytelnianiem SSO dla całej firmy, z wykorzystaniem rozszerzonego formatu Entity ID w Dashboard.
Format Entity ID (domyślnie https://live.altium.com) jest rozszerzany o sufiks GUID wygenerowany dla bieżącej organizacji. Ten rozszerzony format URL może być następnie użyty dla konkretnej aplikacji dostawcy SSO powiązanej z tą organizacją Altium. Inne organizacje w ramach firmowego konta Altium Account, z innymi sufiksami GUID Entity ID, mogą być powiązane z innymi aplikacjami SSO w ramach tego samego dostawcy tożsamości SSO. W praktyce oznacza to, że uwierzytelnianie logowania SSO dla całej firmy może być zarządzane w ramach jednego dostawcy tożsamości SSO.
Rozszerzony Entity ID, powiązany z bieżącą organizacją w Dashboard, może zostać przypisany do konkretnej aplikacji dostawcy SSO.
Aby włączyć rozszerzony Entity ID dla aktywnej konfiguracji SAML SSO:
-
Wyłącz Altium Sign-On Settings.
-
Odśwież stronę, aby wywołać ponowne wygenerowanie adresu URL Entity ID do jego rozszerzonego formatu: https://live.altium.com/XXXXXXXXXX. Bieżąca organizacja może teraz zostać jednoznacznie zidentyfikowana poprzez swój rozszerzony Entity ID.
-
W interfejsie zarządzania aplikacjami dostawcy tożsamości zmień odwołanie Entity ID aplikacji – zwykle nazywane wariantem „Audience” lub „Entity” – na nową, rozszerzoną wersję skopiowaną z Altium Dashboard. Zapisz ustawienia.
-
Aktywuj Integration test w Dashboard i ponownie włącz Altium Sign-On Settings.
Ten proces można powtórzyć dla pozostałych organizacji Altium w Twojej firmie, które powinny być powiązane z własną, dedykowaną aplikacją w ramach dostawcy tożsamości SSO. Jako przykład odniesienia: w dołączonym tutaj przewodniku konfiguracji Microsoft Entra ID setup guide nazwana aplikacja jest tworzona w kroku 3, a Identifier (Entity ID) jest dodawane w kroku 6.
Metody uwierzytelniania
Oprócz udostępnienia interfejsu konfiguracji łączności Altium SSO, strona Authentication w Dashboard zapewnia także globalną i indywidualną kontrolę nad pełnym zakresem opcji logowania użytkowników – tj. tradycyjne logowanie e-mail/hasło, logowanie przez Google® i Facebook® oraz Single Sign On przez dostawcę tożsamości Twojej organizacji. Opcje włączone w sekcji Authentication methods tej strony określają metody logowania dostępne dla wszystkich użytkowników konta firmowego w Twojej organizacji.
Opcje logowania można skonfigurować dla użytkownika individual, edytując ustawienia w jego wpisie Dashboard Altium Account. Wybierz przycisk 
na stronie Dashboard Users page danego użytkownika, aby uzyskać dostęp do opcji nadpisania logowania. Te ustawienia, po edycji przy włączonej opcji Override Authentication methods, będą miały pierwszeństwo przed globalnymi ustawieniami logowania na stronie Authentication – ale tylko dla tego użytkownika.
Ustawienia Authentication Override mogą być używane w sytuacji, gdy SSO jest wymuszoną metodą logowania w organizacji (wszystkie pozostałe opcje są globalnie wyłączone), ale pojedynczy użytkownik wymaga określonego typu dostępu do logowania – na przykład wyłącznie e-mail/hasło.
Indywidualne metody logowania użytkownika, które zostały określone za pomocą ustawień Override Authentication methods (jak powyżej), można przywrócić do wartości domyślnych za pomocą opcji Reset users overrides w sekcji Authentication methods na stronie Authentication. Spowoduje to zresetowanie indywidualnych ustawień logowania dla wszystkich użytkowników do globalnych metod uwierzytelniania, które są aktualnie wybrane na stronie Authentication.
Konfiguracja weryfikacji dwuetapowej
Administratorzy grupy konta firmowego mogą skonfigurować weryfikację dwuetapową, aby zapewnić dodatkową warstwę bezpieczeństwa, dzięki której użytkownicy mogą potwierdzić swoją tożsamość podczas próby zalogowania się do swoich kont Altium przy użyciu danych e-mail/hasło. Dodatkową metodę weryfikacji można ustawić jako wysyłanie jednorazowego hasła (OTP) na e-mail lub generowanie OTP w aplikacji uwierzytelniającej, takiej jak Google Authenticator lub Okta Verify. Weryfikacja dwuetapowa może być wymuszona dla wszystkich użytkowników w koncie firmowym albo poszczególni użytkownicy mogą skonfigurować weryfikację dwuetapową dla swoich kont.
Konfiguracja weryfikacji dwuetapowej na poziomie konta firmowego jest wykonywana przez administratora grupy konta w obszarze 2-Step Verification na stronie Dashboard Authentication. Aby to zrobić, włącz opcję Enforce 2-Step Verification i wybierz wymagany Method, czyli OTP via Email lub OTP via Authenticator App. Jeśli wybrano opcję OTP via Authenticator App, wybierz wymagany App z listy rozwijanej (Other, Okta lub Google). Opcjonalnie ustaw link w polu Instructions Link (Optional) (ten link będzie wyświetlany na stronie 2-Step Authentication, gdy użytkownik spróbuje się zalogować).
Gdy weryfikacja dwuetapowa jest włączona i wybrano metodę OTP via Authenticator App , użytkownik będzie musiał dokończyć konfigurację podczas pierwszej próby logowania. Konieczne będzie dodanie kodu uwierzytelniającego do preferowanej aplikacji uwierzytelniającej poprzez zeskanowanie udostępnionego kodu QR w aplikacji lub poprzez wprowadzenie klucza tajnego. Następnie kod wygenerowany przez aplikację należy wpisać w polu Enter code. Po kliknięciu Continue zostanie udostępniona liczba kodów odzyskiwania, które można wykorzystać w przypadku utraty dostępu do kodu uwierzytelniającego w aplikacji. Kody te należy przechowywać w bezpiecznym miejscu. Kliknij Done , aby dokończyć logowanie do konta Altium.
Zwróć uwagę, że administratorzy grupy konta firmowego logują się bez dodatkowego kroku weryfikacji, tzn. administrator grupy do zalogowania potrzebuje tylko danych e-mail/hasło.
Alternatywnie, jeśli weryfikacja dwuetapowa nie jest włączona na poziomie konta firmowego (opcja Enforce 2-Step Verification jest wyłączona na stronie Dashboard Authentication), weryfikację dwuetapową można skonfigurować na poziomie konta Altium. Będąc zalogowanym do konta Altium, przejdź do swojego profilu (klikając awatar/obraz użytkownika w prawym górnym rogu okna przeglądarki i wybierając My Profile z menu rozwijanego) i otwórz stronę Authentication. W obszarze 2-Step Verification strony włącz opcję Enable 2-Step Verification i wybierz wymagany Method, czyli OTP via Email lub OTP via Authenticator App.
-
Jeśli wybrano metodę OTP via Email , e-maile weryfikacyjne z kodem będą wysyłane na adres e-mail przypisany do profilu.
-
Jeśli wybrano metodę OTP via Authenticator App , wybierz wymagany App z listy rozwijanej (Other, Okta lub Google). W wyświetlonym oknie dokończ konfigurację aplikacji, jak opisano powyżej.
Jeśli weryfikacja dwuetapowa jest włączona na poziomie konta firmowego, ustawienia profilu będą odzwierciedlać ustawienia konta firmowego w trybie tylko do odczytu.
Uwierzytelnianie oparte na urządzeniu
Użytkownicy mogą skonfigurować metodę uwierzytelniania opartą na urządzeniu, obsługiwaną przez ich urządzenie (taką jak Windows Hello lub Face ID), podczas logowania do konta Altium.
Aby skonfigurować uwierzytelnianie oparte na urządzeniu, kliknij przycisk odcisku palca na stronie Altium Sign In (https://auth.altium.com/).
W następnym kroku dokończ logowanie, używając hasła, i kliknij Continue.
W zależności od urządzenia zostaną wyświetlone kroki potrzebne do dokończenia konfiguracji odpowiedniej metody uwierzytelniania. Po zakończeniu wprowadź żądany Device Name i kliknij Done.
Następnym razem, gdy wybierzesz logowanie przy użyciu uwierzytelniania opartego na urządzeniu (klikając przycisk odcisku palca na stronie Altium Sign In), zostanie zaproponowane użycie skonfigurowanej metody do zalogowania.
Skonfigurowane metody uwierzytelniania opartego na urządzeniu można znaleźć w profilu. Przejdź do swojego profilu (klikając awatar/obraz użytkownika w prawym górnym rogu okna przeglądarki i wybierając My Profile z menu rozwijanego) i otwórz stronę Authentication. Skonfigurowane metody będą wymienione w obszarze Authentication methods strony. Aby usunąć skonfigurowaną metodę, użyj kontrolki Unlink account w jej wpisie.
Tłumaczenie SI