# Jednokrotne logowanie dla Twojego zespołu

> Zaloguj się do konsoli za pośrednictwem dostawcy SAML 2.0 lub OpenID Connect Twojej firmy (Okta, Entra ID, Google Workspace, Keycloak), opcjonalnie wymagane dla każdego członka Twojej organizacji.

Source: https://developers.anpheros.com/pl/guides/team-sso

W planie Scale Twój zespół loguje się do konsoli za pośrednictwem dostawcy tożsamości Twojej firmy (Okta, Microsoft Entra ID, Google Workspace, Keycloak lub dowolnego dostawcy SAML 2.0 lub OpenID Connect). Gdy wymagane jest jednokrotne logowanie, osoby opuszczające Twoją firmę tracą dostęp do Twojej organizacji natychmiast po ich wyłączeniu w Twoim dostawcy tożsamości; hasło lub konto Google nie wystarczą już.

## Jak to działa

1. Przesyłasz nam szczegóły swojego dostawcy tożsamości (poniżej) oraz domeny poczty e-mail używane przez Twój zespół.
2. Łączymy dostawcę z Twoją organizacją. Konfiguracja jest ręczna podczas wersji beta i zazwyczaj zajmuje jeden dzień roboczy.
3. Twój zespół wybiera **Zaloguj się przez SSO** na stronie logowania konsoli i wprowadza swój służbowy adres e-mail. Konsola odnajduje Twojego dostawcę na podstawie domeny i otwiera stronę logowania Twojej firmy.
4. Opcjonalnie logowanie jednokrotne staje się **wymagane**: członkowie mogą otwierać projekty, klucze, aplikacje i logi Twojej organizacji dopiero po zalogowaniu się przez Twojego dostawcę. Włączamy tę opcję na Twoją prośbę, po tym jak sprawdzisz, czy wszyscy mogą się zalogować.

Ludzie nadal muszą być członkami organizacji; logowanie jednokrotne decyduje o tym, jak udowadniają swoją tożsamość, a nie o tym, kto do niej należy. Domena może należeć tylko do jednej organizacji, a publiczne domeny poczty e-mail (gmail.com, outlook.com…) nie mogą być używane.

## Co nam wysłać

**SAML 2.0:** identyfikator jednostki IdP, adres URL pojedynczego logowania (single sign-on) oraz certyfikat podpisu (lub metadane XML).
Skonfiguruj swoje IdP z następującymi ustawieniami:

| Ustawienie | Wartość |
|---|---|
| Assertion Consumer Service (ACS) URL | `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler` |
| Service provider entity ID | wartość, którą Ci wyślemy na początku konfiguracji |
| Name ID | adres e-mail użytkownika |

**OpenID Connect:** adres URL wystawcy (issuer URL), identyfikator klienta (client ID) oraz, dla przepływu kodu (code flow), sekret klienta (client secret). Zarejestruj ten URI przekierowania (redirect URI) u swojego dostawcy: `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler`.

Napisz na adres platform@anpheros.com z tematem "SSO setup".

## Limity

- Jednokrotne logowanie (SSO) dotyczy konsoli i API administracyjnego (people). Klucze API i tokeny dostępu OAuth używane przez Twoje oprogramowanie nie są objęte tym ograniczeniem.
- Zarządzanie członkostwem nadal odbywa się w konsoli; użytkownicy nie są tworzeni automatycznie z Twojego katalogu.
- Strona zgody dla pacjenta nie jest objęta tym ograniczeniem: pacjenci logują się przy użyciu własnych kont.