Налаштування входу через Google (SSO) в Xcellerate OPS

З Google SSO співробітники й користувачі порталу входять у Xcellerate OPS через обліковий запис Google Workspace або Google, без окремого пароля. Ви підключаєте його через OAuth-клієнт із власного проєкту Google Cloud. Це зручно для MSP і сервісних компаній, які вже працюють у Google Workspace.

Коротко

• Додайте картку Google SSO в Налаштування → Integrations (Інтеграції) → Authentication (Автентифікація).
• У Google Cloud створіть OAuth-клієнт типу Web application з redirect URI з OPS і вставте client ID та секрет у картку.
• OPS зіставляє email з Google з наявним користувачем. Облікові записи автоматично не створюються.

Перш ніж почати

• Ви адміністратор робочого простору OPS. Лише адміністратори можуть змінювати ці налаштування.
• У вас є проєкт Google Cloud з екраном згоди OAuth, і ви можете створити OAuth client ID типу Web application.
• Люди, які входитимуть, уже є користувачами в OPS з тією самою адресою email, що й у Google.

Крок 1: додайте картку Google SSO

1. Відкрийте Налаштування → Data and security (Дані та безпека) → Integrations.
2. Перетягніть Google SSO з каталогу праворуч у категорію Authentication або клікніть на нього.
3. З’явиться картка Allow sign-in with Google (Дозволити вхід через Google).

Сторінка Інтеграції з порожніми категоріями (Mailbox, Authentication, Payments, Billing) і каталогом доступних інтеграцій праворуч.

Крок 2: скопіюйте redirect URI

Під картками є Register this redirect URI with each provider (Зареєструйте цей redirect URI у кожного провайдера). Скопіюйте показаний URI. Він має вигляд https://auth.<platform-domain>/sso/google/callback. Один URI діє для всіх просторів.

Крок 3: створіть OAuth-клієнт у Google Cloud

1. У проєкті Google Cloud створіть OAuth client ID типу Web application.
2. Додайте скопійований URI як дозволений redirect URI.
3. Запишіть client ID (у форматі xxxx.apps.googleusercontent.com) і секрет клієнта. Під час входу OPS запитує scopes openid email profile.

Крок 4: заповніть картку й увімкніть

1. Вставте Client ID і Client secret (секрет клієнта) у картку.
2. Увімкніть Enable on the login page (Увімкнути на сторінці входу).
3. Клікніть Save (Зберегти). Підтвердження покаже, що параметри входу збережено.

Крок 5: фото профілю й перевірка

• Необов’язково: увімкніть Profile pictures from the sign-in account (Фото профілю з облікового запису входу). Перемикач з’являється, щойно провайдер активний, і зберігається одразу.
• Перевірка: відкрийте сторінку входу простору й скористайтеся кнопкою Google з обліковим записом, email якого збігається з наявним користувачем OPS.

Що відбувається після підключення

• Сторінка входу показує кнопку Google. OPS зіставляє email з Google з наявним користувачем. Співробітники потрапляють у застосунок, користувачі клієнтського порталу — у портал.
• SSO вважається сильним фактором входу, тому простори з обов’язковими passkeys його приймають. Докладніше про безпеку та контроль доступу.
• Якщо фото ввімкнено, OPS зберігає фото з Google для людей без завантаженого фото й без Gravatar. Це відбувається у фоновому режимі, оновлюється щонайбільше раз на 30 днів і ніколи не перезаписує завантажене чи навмисно видалене фото.

Корисно знати

• Спершу запросіть користувачів. Вимкненим (звільненим) користувачам вхід заборонено навіть із дійсним входом Google.
• Google завжди показує вибір облікового запису.
• Поле секрету клієнта лише для запису. Залиште його порожнім, щоб зберегти поточний секрет.
• Картку можна прибрати лише після Disable (Вимкнути). Видалення також стирає збережені client ID і секрет.
• OPS ніколи не бачить паролів Google; вхід працює через OAuth 2.0 / OpenID Connect.

Усунення проблем

• У цьому просторі немає облікового запису для цієї особи. Немає активного користувача OPS з цим email Google.
• Постачальник ідентичності не повернув адресу email. Google не передав email.
• Не вдалося завершити вхід. Вхід тривав понад 10 хвилин або обмін кодом не вдався. Перевірте насамперед секрет клієнта.
• Вимкніть інтеграцію, перш ніж видаляти її. Спершу клікніть Disable.

Почніть

Хочете, щоб команда входила через Google? Почніть безкоштовно і підключіть Google SSO в налаштуваннях. Перегляньте також усі європейські інтеграції.