Pregled enotne prijave (SSO)¶

Vsebina¶

1. Uvod in pregled
2. Vodniki za ponudnike
3. Koraki konfiguracije
4. Konfiguracija nadzorne plošče
5. Konfiguracija zaledja
6. Testiranje prijave
7. Odpravljanje težav
8. Podprti ponudniki

Uvod in pregled¶

Ta vodič vsebuje korak-po-korak navodila za integracijo enotne prijave (SSO) s platformo digna z uporabo OpenID Connect (OIDC).

Kaj je SSO?¶

Enotna prijava omogoča uporabnikom, da se v digna prijavijo varno z uporabo svojih podjetniških poverilnic prek zunanjih ponudnikov identitete. Uporabniki se lahko overijo s svojimi korporativnimi poverilnicami, namesto da upravljajo ločena digna gesla.

Kako deluje¶

SSO v digna je implementiran z uporabo protokola OIDC. Več ponudnikov identitete je mogoče konfigurirati vzporedno z urejanjem dveh ključnih konfiguracijskih datotek:

• dashboard_config.toml — Nadzoruje vmesnik za prijavo na sprednji strani
• config.toml — Konfigurira OIDC povezave na zaledju

Podprti ponudniki¶

Primeri v tem vodiču uporabljajo Microsoft in Google, vendar je mogoče integrirati kateregakoli ponudnika, ki podpira OIDC, z enako strukturo konfiguracije.

Vodniki za ponudnike¶

Vsak ponudnik zahteva iste štiri vrednosti — ID odjemalca, skrivnost odjemalca, preusmeritveni URI in URL za discovery — vendar jih vsak ponudnik postavi na drugo mesto v svojem skrbniškem konzolu, nekateri pa imajo tudi korak specifičen za ponudnika, ki ga drugi nimajo. Spodnji vodiči pokrivajo to polovico dela; ta stran pokriva digna polovico, ki je za vse enaka.

Kateri koli drug ponudnik, ki podpira OIDC, deluje enako — glejte Drugi ponudniki OIDC.

Koraki konfiguracije¶

Konfiguracija SSO zahteva posodobitve dveh datotek. Ta razdelek pojasnjuje, kako konfigurirati vsako izmed njiju.

Pregled konfiguracijskih datotek¶

Obe datoteki morata biti konfigurirani, da SSO deluje pravilno.

Konfiguracija nadzorne plošče¶

Lokacija datoteke¶

dashboard/dashboard_config.toml

1. korak: Dodajte OIDC ponudnike¶

Dodajte vnose pod poljem [[login.oidc]] za vsakega ponudnika identitete, ki ga želite podpreti.

Primer z Microsoft in Google:

[[login.oidc]]
key = "microsoft"
label = "Prijava z Microsoftom"

[[login.oidc]]
key = "google"
label = "Prijava z Google"

2. korak: Konfigurirajte možnosti prijave¶

Določite, ali naj bo dopuščena prijava z geslom:

[login]
usePassword = true

Parametri konfiguracije¶

[[login.oidc]] razdelek¶

[login] razdelek¶

Razumevanje usePassword¶

Če je usePassword = true: - Na zaslonu za prijavo se prikažejo gumbi za SSO (npr. "Prijava z Microsoftom") - Na zaslonu za prijavo so tudi polja za uporabniško ime in geslo - Uporabniki se lahko overijo z obema metodama - Omogoča hibridne nastavitve, kjer nekateri uporabniki uporabljajo SSO, drugi pa gesla

Če je usePassword = false (ali izpuščeno): - Na zaslonu za prijavo se prikazujejo le gumbi za SSO - Ni polj za uporabniško ime/geslo - Na voljo je samo OIDC avtentikacija

Popoln primer¶

[login]
usePassword = true

[[login.oidc]]
key = "microsoft"
label = "Prijava z Microsoftom"

[[login.oidc]]
key = "google"
label = "Prijava z Google"

[[login.oidc]]
key = "okta"
label = "Prijava z Okta"

Konfiguracija zaledja¶

Lokacija datoteke¶

/config.toml

(Rodovitna namestitvena mapa digna)

1. korak: Dodajte razdelke za ponudnike OIDC¶

Za vsakega ponudnika mora obstajati namenski razdelek [oidc.<key>]. Ključ se mora ujemati s key, določenim v dashboard_config.toml.

Konfiguracija za Microsoft¶

[oidc.microsoft]
DIGNA_OIDC_CLIENT_ID = "<client_id>"
DIGNA_OIDC_CLIENT_SECRET = "<client_secret>"
DIGNA_OIDC_REDIRECT_URI = "http://localhost:5173/oidc/callback"
DIGNA_OIDC_CONFIGURATION_URL = "https://login.microsoftonline.com/<tenant_id>/v2.0/.well-known/openid-configuration"

Konfiguracija za Google¶

[oidc.google]
DIGNA_OIDC_CLIENT_ID = "<client_id>"
DIGNA_OIDC_CLIENT_SECRET = "<client_secret>"
DIGNA_OIDC_REDIRECT_URI = "http://localhost:5173/oidc/callback"
DIGNA_OIDC_CONFIGURATION_URL = "https://accounts.google.com/.well-known/openid-configuration"

Parametri konfiguracije¶

Redirect URI¶

Preusmeritveni URI mora biti enak kot v konfiguraciji ponudnika identitete:

http://localhost:5173/oidc/callback

Če je digna gostovan na drugem domeni, ustrezno posodobite: - Lokalno: http://localhost:5173/oidc/callback - Produkcija: https://digna.yourdomain.com/oidc/callback

Popoln primer¶

[oidc.microsoft]
DIGNA_OIDC_CLIENT_ID = "a1b2c3d4-e5f6-7890-abcd-ef1234567890"
DIGNA_OIDC_CLIENT_SECRET = "abc123xyz789def456ghi"
DIGNA_OIDC_REDIRECT_URI = "https://digna.yourdomain.com/oidc/callback"
DIGNA_OIDC_CONFIGURATION_URL = "https://login.microsoftonline.com/12345678-1234-1234-1234-123456789012/v2.0/.well-known/openid-configuration"

[oidc.google]
DIGNA_OIDC_CLIENT_ID = "123456789-abcdefghijklmnopqrstuvwxyz.apps.googleusercontent.com"
DIGNA_OIDC_CLIENT_SECRET = "google_secret_xyz789"
DIGNA_OIDC_REDIRECT_URI = "https://digna.yourdomain.com/oidc/callback"
DIGNA_OIDC_CONFIGURATION_URL = "https://accounts.google.com/.well-known/openid-configuration"

Testiranje prijave¶

Po dokončani konfiguraciji preverite, ali SSO pravilno deluje.

Predtestni seznam¶

Pred testiranjem zagotovite:

• dashboard_config.toml je posodobljen z OIDC ponudniki
• config.toml je posodobljen z OIDC poverilnicami
• Obe datoteki sta shranjeni
• Poverilnice so pravilne (client ID, client secret)
• Redirect URI se ujema z vašo nameščeno lokacijo
• Aplikacija pri ponudniku identitete je konfigurirana s preusmeritvenim URI

Koraki testiranja¶

1. korak: Ponovni zagon storitev¶

Ponovno zaženite digna zaledje in spletni strežnik, da uveljavite spremembe.

Če tečete kot storitev na Windows:

cd C:\path\to\digna\bin
stop_service.bat
start_service.bat

Če tečete kot storitev na Linux ali macOS:

cd /opt/digna/bin
sudo ./stop_service.sh
sudo ./start_service.sh

Če tečete ročno:

digna serve --address localhost --port 8082

Ponovno zaženite tudi spletni strežnik — IIS ali Tomcat na Windows, nginx ali Apache na Linux in macOS.

2. korak: Odprite nadzorno ploščo¶

Odprite digna nadzorno ploščo v brskalniku:

http://localhost:5173

(ali vaš konfiguriran URL nadzorne plošče)

3. korak: Preverite gumbe za prijavo¶

Preverite, ali se prikažejo gumbi za prijavo za vsakega konfiguriranega ponudnika:

• Moral bi videti gumb "Prijava z Microsoftom"
• Moral bi videti gumb "Prijava z Google"
• (Če je usePassword = true) Moral bi videti polja za uporabniško ime/geslo

Če se gumbi ne prikažejo: - Preverite, da je dashboard_config.toml shranjen - Preverite, da je bila storitev nadzorne plošče ponovno zagnana - Preverite konzolo brskalnika (F12) za napake

4. korak: Preizkusite SSO prijavo¶

Kliknite enega izmed SSO gumbov (npr. "Prijava z Microsoftom"):

1. Preusmerjeni boste na stran za prijavo ponudnika identitete
2. Prijavite se s svojimi podjetniškimi poverilnicami
3. Preusmerjeni boste nazaj v digna
4. Vpis v digna bi bil uspešen

5. korak: Preverite ustvarjanje uporabnika¶

Po uspešni SSO prijavi:

• Uporabnik bi moral biti samodejno ustvarjen v digna
• Uporabnik bi moral biti vpisan
• Profil uporabnika bi moral prikazati poverilnice ponudnika identitete
• Videli bi nadzorno ploščo digna

6. korak: Preizkus prijave z geslom (če omogočeno)¶

Če je usePassword = true:

1. Odjavite se iz digna
2. Na strani za prijavo vnesite uporabniško ime in geslo
3. Morali bi se lahko prijaviti z geslom

Odpravljanje težav¶

Gumbi za prijavo se ne prikažejo¶

Simptomi: - Gumbi za OIDC prijavo niso vidni na strani za prijavo - Vidite le polja za geslo (če je usePassword = true)

Vzroki in rešitve: 1. Preverite, ali je dashboard_config.toml v mapi dashboard/ 2. Preverite, ali so prisotni razdelki [[login.oidc]] s pravilno sintakso 3. Ponovno zaženite storitev nadzorne plošče 4. Počistite predpomnilnik brskalnika (Ctrl+Shift+Delete ali Cmd+Shift+Delete) 5. Preverite konzolo brskalnika (F12 → Console) za napake

Napaka neujemanja Redirect URI¶

Simptomi: - Po kliku gumba SSO se pojavi napaka o "redirect_uri mismatch" - Napaka "The redirect URI is not registered"

Vzroki in rešitve: 1. Preverite, ali je DIGNA_OIDC_REDIRECT_URI v config.toml pravilen 2. Preverite, ali je redirect URI registriran v nastavitvah ponudnika identitete 3. Zagotovite, da obe strani uporabljata identične URL-je (vključno s protokolom, domeno, potjo) 4. Preverite morebitne tipkarske napake v redirect URI 5. Če uporabljate HTTPS, preverite, ali je potrdilo veljavno

Napaka neveljavnih poverilnic odjemalca¶

Simptomi: - Napaka "Invalid client ID or secret" - Avtentikacija neuspešna zaradi napake poverilnic

Vzroki in rešitve: 1. Preverite, ali sta DIGNA_OIDC_CLIENT_ID in DIGNA_OIDC_CLIENT_SECRET pravilna 2. Prepričajte se, da ni dodatnih presledkov ali posebnih znakov 3. Preverite, ali poverilnice niso potekle ali bile razveljavljene 4. Ponovno zaženite zaledno storitev po posodobitvi konfiguracije 5. Preverite konzolo ponudnika identitete, da potrdite, da so poverilnice aktivne

Prijava se zmrzne ali poteče čas¶

Simptomi: - Klik gumba SSO ne naredi nič - Potek časa po nekaj sekundah - Brskalnik prikaže "Failed to connect" ali podobno

Vzroki in rešitve: 1. Preverite, ali digna zaledje teče: digna repo check 2. Preverite omrežno povezljivost do ponudnika identitete 3. Preverite, ali je DIGNA_OIDC_CONFIGURATION_URL dostopen 4. Preverite pravilnike požarnega zidu, ki dovoljujejo odhodne HTTPS povezave 5. Preverite, ali zaledje in nadzorna plošča medsebojno dostopata

Uporabniki se ne ustvarijo samodejno¶

Simptomi: - SSO prijava uspe, vendar uporabnik ni ustvarjen v digna - Po SSO prijavi se pojavi napaka o dovoljenjih

Vzroki in rešitve: 1. Preverite, ali je OIDC konfiguracija pravilna 2. Preverite, ali so nastavljena dovoljenja uporabnikov 3. Preučite dnevnike digna za morebitna sporočila o napakah 4. Ponovno zaženite zaledno storitev 5. Če težava vztraja, kontaktirajte support@digna.ai

Podprti ponudniki¶

Testirano in podprto¶

Naslednji OIDC ponudniki so testirani in jih poznamo:

Drugi ponudniki OIDC¶

Kateri koli ponudnik, ki podpira OpenID Connect, je mogoče integrirati. Potrebne informacije:

• Client ID
• Client secret
• OpenID konfiguracijski URL (običajno na /.well-known/openid-configuration)
• Podprti obsegi (običajno openid profile email)

Kontaktirajte support@digna.ai, če potrebujete pomoč pri integraciji določenega ponudnika.

Priporočene prakse¶

NALOGE: - Uporabljajte HTTPS v produkciji (ne HTTP) - Shrani skrivnosti odjemalca varno (po možnosti uporabite okoljske spremenljivke) - Občasno obračajte (rotate) skrivnosti - Najprej testirajte v neprodukcijskem okolju - Dokumentirajte, kateri ponudniki so konfigurirani - Spremljajte dnevnike prijav zaradi sumljive aktivnosti - Sinhronizirajte nastavitve ponudnika identitete s konfiguracijo digna

NE DELAJTE: - Ne shranjujte skrivnosti odjemalca v upravljanju različic - Ne uporabljajte HTTP redirect URI v produkciji - Ne konfigurirajte več ponudnikov z istim ključem - Ne puščajte privzetih/testnih poverilnic v produkciji - Ne izpostavljajte konfiguracijskih datotek, ki vsebujejo skrivnosti - Ne mešajte razvojnih in produkcijskih poverilnic

Podpora¶

Potrebujete pomoč pri konfiguraciji SSO?

• Email: support@digna.ai
• Dokumentacija: https://docs.digna.ai
• Spletna stran: https://www.digna.ai

Zadnja posodobitev: August 30, 2026
Različica: 2026.04
© 2026 digna GmbH — www.digna.ai