Single Sign-On (SSO) adalah jenis autentikasi yang memungkinkan pengguna mengakses beberapa aplikasi dan layanan menggunakan satu set kredensial login.

Integrasi Enterprise SSO DataCamp memungkinkan pelanggan mengelola anggota organisasi mereka di luar alur login dan pembuatan akun DataCamp yang sudah ada.

Beberapa manfaat SSO meliputi:

Untuk mengatur SSO, Anda harus memiliki paket DataCamp Enterprise dan menjadi admin organisasi Anda. Informasi fitur dan harga untuk meng-upgrade ke paket DataCamp Enterprise dapat ditemukan di sini.

Saat ini, DataCamp hanya mendukung integrasi SAML 2.0. Untuk mengatur SSO, Anda harus memiliki Penyedia Identitas (IdP) SAML yang dikonfigurasi. IdP adalah direktori atau basis data yang berisi akun pengguna dan organisasi.

Masuk ke DataCamp dan navigasikan ke organisasi Enterprise Anda, lalu pilih Settings > SSO > Allow SAML 2.0.

Untuk menyelesaikan integrasi, Anda harus memasukkan informasi berikut yang unik untuk organisasi Anda:

Selain itu, penting untuk menyelaraskan nama atribut SAML untuk informasi pengguna penting. DataCamp menerima klaim berikut: nama depan, nama belakang dan email.

Dari ketiga ini, email wajib agar integrasi berfungsi dengan baik. Nama depan dan nama belakang opsional tetapi disarankan untuk memberikan pengalaman pengguna terbaik.

Untuk ketiga bidang ini, kami menerima daftar nama atribut:

Email

Nama depan:

Nama belakang:

Tidak mengirim salah satu atribut ini akan mengakibatkan nilai terkait di DataCamp tidak diperbarui. Intinya, ini berarti:

Memberikan nilai kosong untuk (salah satu) atribut akan memperbarui nilai terkait di DataCamp. Dengan demikian, pengguna yang memiliki nama depan/belakang sebelum SSO diaktifkan akan mendapatkan nama depan/belakang kosong setelah pertama kali berhasil login melalui SSO.

Setelah Anda memasukkan informasi yang benar di DataCamp dan IdP Anda, langkah terakhir adalah memilih Aktifkan SSO, dan Anda siap! SSO telah diaktifkan untuk organisasi Anda.

DataCamp mendukung dua opsi untuk mengonfigurasi format NameID:

Jika Anda ingin DataCamp menggunakan ID karyawan internal Anda sebagai pengenal unik menggantikan email, Anda harus mengonfigurasi IdP Anda untuk mengirim format nameID sebagai "urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" dan nilai "unspecified" ke ID karyawan. Anda kemudian harus memilih "unspecified" di pengaturan SSO DataCamp Anda. Anda masih harus mengirim "emailAddress" sebagai atribut karena ini diperlukan oleh platform kami. Meskipun opsional, sangat disarankan untuk juga mengirim FirstName dan LastName sebagai atribut SAML, karena ini satu-satunya cara agar pelajar Anda di DataCamp memiliki nama lengkap yang terisi.

Setelah IdP dikonfigurasi untuk mengirim nilai "unspecified" dan pengaturan dibuat di pengaturan SSO DataCamp, kami akan mulai menyimpan ID karyawan untuk setiap pengguna saat mereka login. Jika Anda memperbarui konfigurasi saat sudah ada anggota di organisasi Anda, kami tidak akan memiliki nilai ID karyawan mereka sampai mereka login berikutnya.

Untuk beberapa integrasi LMS atau LXP, ID karyawan mungkin diperlukan. Dalam kasus ini, Anda harus mengonfigurasi pengaturan SSO Anda untuk mengirim dan menyimpan ID karyawan sebagai format NameID unspecified. Jika kami tidak memiliki ID karyawan karena alasan apa pun (misalnya pengguna belum login sejak Anda memperbarui konfigurasi), kami tidak dapat mengirim informasi penyelesaian konten untuk pengguna tersebut sampai mereka login dan kami memiliki ID karyawan mereka tersimpan.

Anda dapat melihat pemetaan nama ID terbaru yang disinkronkan dalam tab konfigurasi SSO. Setelah kami mulai menerima pemetaan, Anda akan melihat yang terbaru muncul seperti ini:

Dikonfigurasi untuk menerima pemetaan NameID. Pemetaan yang baru diterima:

Nilai kiri adalah ID karyawan (misalnya 10101010) dan nilai kanan adalah email.

Jika pemetaan salah, silakan hubungi tim dukungan kami untuk meresetnya.

Jika JIT Provisioning diaktifkan, DataCamp akan secara otomatis membuat akun dan memberikan lisensi kepada anggota baru saat mereka masuk melalui SSO (melalui IdP atau LMS mereka). Jika tidak, anggota baru akan ditambahkan ke daftar tunggu dan memerlukan persetujuan admin sebelum lisensi diberikan.

Opsi “Enable JIT provisioning”

Jika Anda hanya berniat membuat DataCamp tersedia untuk audiens tertentu dalam organisasi Anda, disarankan untuk menonaktifkan JIT provisioning, dan menggunakan mekanisme lain untuk mengundang pengguna seperti Tautan Undangan. Perlu dicatat bahwa JIT tidak akan berlaku sampai Anda secara eksplisit memberikan akses kepada pengguna di IdP atau membuat dan membagikan tautan SSO khusus (lihat di bawah untuk info lebih lanjut).

Jika SSO diwajibkan, semua anggota dan admin harus masuk melalui Penyedia Identitas. Jika SSO bersifat opsional, maka anggota dan admin dapat masuk melalui Penyedia Identitas atau menggunakan email dan kata sandi yang terkait dengan akun DataCamp mereka.

Jika Anda memiliki anggota dalam organisasi saat integrasi SSO dimulai dengan SSO diwajibkan, atau ketika SSO diubah menjadi diwajibkan, mereka akan langsung keluar dari DataCamp dan dipaksa untuk melakukan autentikasi ulang melalui SSO.

Kami sangat menyarankan penegakan SSO untuk berbagai alasan, dengan manfaat utama bahwa pengguna akan secara otomatis diarahkan menggunakan SSO untuk autentikasi, bukan memiliki opsi memilih metode autentikasi alternatif.

Catatan: Meskipun kami sangat menyarankan penegakan SSO, penting untuk memastikan konfigurasi SSO Anda berfungsi dengan baik sebelum menjadikannya wajib. Sebagai tindakan pencegahan, kami sarankan agar pengaturan tetap opsional sampai Anda yakin itu berfungsi, untuk mencegah kemungkinan terkunci dari akun. Saat ini, tidak ada metode alternatif bagi admin organisasi untuk masuk ke sistem; semua harus melalui alur yang sama.

Setelah Anda selesai mengonfigurasi pengaturan SSO, Anda siap mengaktifkan SSO. Untuk mengaktifkan SSO, klik "Enable SSO" di bagian bawah formulir.

Ketika SSO diaktifkan, pengguna akan menerima email yang menjelaskan bahwa organisasi telah mengaktifkan SSO dan mereka harus masuk kembali dengan kredensial SSO mereka.

Ada tautan dalam email yang akan mengarahkan mereka ke halaman masuk DataCamp. Di halaman ini, mereka harus memasukkan alamat email dan tekan Berikutnya. Jika email ini terkait dengan anggota yang termasuk dalam grup dengan SSO diaktifkan, mereka akan dialihkan ke halaman login IdP untuk menyelesaikan proses masuk. Di sini mereka harus masuk dengan kredensial SSO mereka. Jika berhasil, mereka akan dialihkan kembali ke DataCamp dengan akses ke platform.

Pengguna menerima email saat organisasi mereka mengaktifkan dan menonaktifkan SSO

Demikian juga, jika seorang anggota dihapus dari organisasi atau jika SSO dinonaktifkan dalam organisasi, mereka akan menerima instruksi email yang meminta mereka mengatur ulang kata sandi di DataCamp, memungkinkan mereka masuk tanpa SSO.

Ingin mengatur integrasi dengan salah satu IdP berikut? Lihat Dokumentasi Bantuan kami di sini:

Kami juga tersedia sebagai aplikasi di Microsoft Azure Gallery.

Seperti yang disebutkan sebelumnya, kami sangat menyarankan penegakan SSO untuk berbagai alasan, dengan manfaat utama bahwa pengguna secara otomatis diarahkan menggunakan SSO untuk autentikasi, bukan memiliki opsi memilih metode autentikasi alternatif. Namun, kami akan membahas opsi menggunakan metode autentikasi alternatif dalam dokumentasi kami, jika ada keadaan di mana SSO mungkin tidak cocok atau tidak tersedia.

Catatan: Untuk tujuan keamanan, jika pengguna sudah memiliki akun di DataCamp sebelum diundang ke organisasi Anda, Anda harus menggunakan salah satu metode yang dijelaskan di bawah ini. Kedua opsi tersebut memiliki langkah verifikasi tambahan untuk memastikan bahwa pengguna yang sudah ada di platform adalah sama dengan yang ada di IdP Anda.

Anda dapat mengundang anggota tertentu dengan alamat email mereka. Keuntungan metode undangan ini adalah Anda juga dapat menyesuaikan izin mereka (misalnya membuat mereka admin) selama proses undangan.

Catatan: Jika orang yang Anda coba undang sudah memiliki akun di DataCamp, Anda harus mengundang mereka dengan email yang sudah ada di platform agar kemajuan belajar mereka dapat ditransfer.

Anda dapat membuat tautan undangan standar dan menyesuaikan tautan tersebut untuk secara otomatis menambahkan anggota ke tim tertentu saat mereka bergabung menggunakan metode ini.

Beberapa keuntungan lain dari metode undangan ini:

SSO Deep Link adalah tautan ke halaman di DataCamp yang berisi pengenal SSO perusahaan. Ketika pengguna mengklik tautan ini, mereka secara otomatis akan dialihkan ke IdP untuk masuk dengan SSO (jika belum), dan kemudian dialihkan kembali ke halaman yang awalnya ingin mereka kunjungi. Jika Just-in-time provisioning diaktifkan dan mereka belum memiliki akun DataCamp, kami secara otomatis membuatkan akun baru untuk mereka.

Format dari SSO Deep Link adalah: https://www.datacamp.com/groups/<GROUP_IDENTIFIER>/sso/saml/login?path=<PATH>

Contoh <PATH> adalah "/home" untuk mengarahkan ke halaman utama kami. Anda dapat mengarahkan SSO Deep Link ke kursus dan halaman pelacakan tertentu.

Jika Just-in-time provisioning diaktifkan, metode undangan ini dapat digunakan untuk membuat akun baru di DataCamp. Metode ini juga dapat digunakan untuk masuk ke akun yang sudah ditambahkan ke organisasi Anda. Jika pengguna memiliki akun yang sudah ada dan belum berada dalam organisasi, mereka akan otomatis ditambahkan sebagai anggota saat login.

Tergantung pada konfigurasi IdP tertentu, anggota juga dapat mendaftar langsung dari dalam IdP dengan memilih aplikasi DataCamp di direktori.

Jika Just-in-time provisioning diaktifkan, metode undangan ini dapat digunakan untuk membuat akun baru di DataCamp. Metode ini juga dapat digunakan untuk masuk ke akun yang sudah ditambahkan ke organisasi Anda. Jika pengguna memiliki akun yang sudah ada dan belum berada dalam organisasi, mereka akan otomatis ditambahkan sebagai anggota saat login.

Catatan: Beberapa Penyedia Identitas, seperti Degreed, tidak mendukung login yang diinisiasi oleh IdP.

Jika Anda menggunakan salah satu integrasi LMS atau LXP kami yang sudah ada, juga memungkinkan menggabungkan SSO sehingga pengguna dapat mengakses DataCamp secara mulus melalui SSO langsung dari IdP. Untuk informasi lebih lanjut, silakan baca dokumentasi LMS dan LXP kami.

Metode undangan ini dapat digunakan untuk membuat akun baru di DataCamp (jika Just-in-time provisioning diaktifkan) atau untuk masuk ke akun yang sudah ditambahkan ke organisasi Anda. Jika pengguna memiliki akun yang sudah ada dan belum berada dalam organisasi, mereka akan otomatis ditambahkan sebagai anggota saat login.

Ada beberapa cara admin Anda dapat mengundang Anda ke organisasi ketika SSO diaktifkan dan diwajibkan.

Admin Anda mungkin mengundang Anda untuk bergabung dengan organisasi DataCamp mereka melalui email.

Catatan: Jika Anda sudah memiliki akun DataCamp dengan alamat email berbeda dan ingin kemajuan kursus Anda tercermin dalam grup, Anda dapat memperbarui email di profil Anda sebelum menerima undangan, lalu minta admin mengirim ulang undangan (email mereka akan disertakan dalam email undangan). Jika tidak, Anda akan membuat akun terpisah.

Saat Anda siap menerima, cukup pilih Bergabung dengan Grup di email Anda, atau di notifikasi dalam aplikasi jika Anda sudah memiliki akun. Anda akan dialihkan ke Penyedia Identitas (IdP) untuk masuk dengan kredensial SSO Anda. Jika login berhasil, Anda akan dialihkan ke DataCamp dan memiliki akses ke organisasi di DataCamp.

Catatan: Jika SSO opsional, Anda akan dialihkan untuk mendaftar melalui formulir pendaftaran. Karena opsional, kami tidak akan mengharuskan Anda melalui IdP!

Jika SSO diaktifkan dan diwajibkan, anggota yang mengklik tautan undangan akan secara otomatis dialihkan ke Penyedia Identitas (IdP) untuk masuk dengan kredensial SSO Anda.

Setelah autentikasi berhasil:

Anggota juga dapat menambahkan diri ke organisasi dengan terlebih dahulu masuk ke IdP Anda, menemukan aplikasi DataCamp dan mengklik aplikasi tersebut untuk bergabung. Demikian juga, biasanya memungkinkan untuk bergabung ke organisasi melalui sistem LMS atau LXP Anda (jika admin Anda telah mengonfigurasinya) atau melalui Custom SSO Deep Link yang dibuat oleh admin Anda. Jika organisasi mengaktifkan Just-in-time provisioning dan Anda belum memiliki akun DataCamp, menggunakan metode undangan ini akan membuat akun untuk Anda.

Catatan: Untuk tujuan keamanan, jika Anda memiliki akun DataCamp yang sudah ada dan belum berada dalam organisasi, admin Anda harus mengundang Anda dengan salah satu metode undangan alternatif yang tercantum di atas.

Jika Anda mencoba bergabung melalui tautan undangan DataCamp, tetapi organisasi Anda tidak memiliki lisensi yang tersedia, Anda akan ditambahkan ke daftar tunggu. Admin Anda akan diberitahu bahwa Anda mencoba mengakses organisasi. Jika mereka menyetujui permintaan daftar tunggu Anda, Anda akan ditambahkan ke organisasi dan menerima email konfirmasi.

Setelah Anda membuat akun DataCamp dan terdaftar dalam organisasi Anda, Anda dapat masuk ke DataCamp dengan SSO dalam beberapa cara.

Anda dapat pergi ke halaman masuk normal kami di sini: https://www.datacamp.com/users/sign_in.

Masukkan email Anda (ini harus sama dengan email yang terkait dengan kredensial SSO Anda). Selama Anda anggota organisasi, kami akan mendeteksi bahwa Anda perlu masuk dengan SSO dan mengarahkan Anda ke IdP Anda untuk menyelesaikan proses masuk. Setelah selesai, Anda akan dialihkan kembali ke DataCamp untuk melanjutkan belajar.

Jika SSO diaktifkan untuk organisasi Anda, tetapi tidak diwajibkan, Anda dapat masuk dengan SSO (dengan mengklik tombol "Use SSO" yang ditampilkan di bawah) atau menggunakan email dan kata sandi DataCamp Anda.

Tombol “Use SSO” akan ditampilkan jika SSO opsional untuk organisasi Anda

Anggota juga dapat masuk ke DataCamp dengan terlebih dahulu masuk ke IdP Anda, menemukan aplikasi DataCamp dan mengklik aplikasi tersebut. Demikian juga, Anda biasanya dapat masuk ke DataCamp melalui sistem LMS atau LXP Anda (jika admin Anda telah mengonfigurasinya) atau melalui Custom SSO Deep Link yang dibuat oleh admin Anda. Dengan asumsi Anda sudah memiliki akun DataCamp dan menjadi anggota grup, ini biasanya hanya memerlukan satu klik untuk masuk ke DataCamp.

Untuk pelanggan yang memiliki integrasi LMS dengan DataCamp, kami menyediakan opsi untuk mengidentifikasi pengguna dengan pengidentifikasi LMS, yang mungkin berbeda dari email atau NameID mereka. Ini berguna dalam kasus anggota Anda memiliki pengidentifikasi berbeda untuk ketiganya (email, NameID, dan ID LMS), dan Anda ingin menggunakan pengidentifikasi tertentu untuk integrasi LMS.

Untuk mendukung fitur ini, kami menerima pengidentifikasi LMS sebagai atribut SAML dalam respons SAML dengan salah satu dari nama berikut:

Ketika ini dikirim kepada kami, kami mencatatnya dan dapat menggunakannya dalam integrasi LMS Anda dengan DataCamp, misalnya menyertakannya sebagai pengenal pengguna dalam acara penyelesaian pengguna.

Kami mendukung penambahan otomatis pengguna ke tim grup DataCamp Anda melalui atribut SAML dengan menggunakan atribut SAML dc_groups. Untuk menggunakan fitur ini, konfigurasikan atribut dc_groups di Penyedia Identitas (IdP) Anda untuk menyertakan satu atau lebih nama tim sebagai nilainya, di mana setiap nama tim adalah nilai string/teks.

Untuk beberapa tim, berikan atribut multi-nilai, misalnya:

Untuk satu tim, Anda dapat memberikan atribut nilai tunggal, misalnya:

Untuk menambahkan pengguna ke tim yang sudah ada, sangat penting bahwa nama tim yang diberikan persis sama dengan nama tim yang dikonfigurasi di DataCamp (tidak sensitif huruf besar/kecil). Jika tim yang ditentukan tidak ada, kami akan otomatis membuat tim baru dan menambahkan pengguna ke dalamnya.

Catatan penting (#1): Fitur ini saat ini hanya bersifat penambahan. Ini berarti kami tidak akan pernah menghapus pengguna dari tim. Jika pengguna termasuk dalam satu atau lebih tim, mengirim nilai dc_groups kosong, atau menghilangkannya sama sekali, tidak akan menghapus pengguna dari tim mana pun.

Catatan penting (#2): Saat ini, pengguna tidak akan ditambahkan ke tim jika selama alur SSO mereka masuk ke daftar tunggu, atau harus mengonfirmasi kepemilikan akun selama alur tersebut. Ini karena keterbatasan di sisi kami.

Daftar Putih Domain Email memungkinkan organisasi Anda mengklaim satu atau lebih domain email (misalnya yourcompany.com) dan secara otomatis mengarahkan pengguna dengan alamat email yang cocok ke Penyedia Identitas Single Sign-On (IdP) Anda selama alur masuk dan pendaftaran.

Setelah domain Anda dimasukkan dalam daftar putih:

Untuk memulai proses Daftar Putih Domain Email, silakan hubungi Manajer Kesuksesan Pelanggan Anda atau Dukungan DataCamp. Sebagai bagian dari proses ini, kami akan memverifikasi bahwa organisasi Anda mengendalikan domain yang ingin Anda klaim.

Setelah SSO diaktifkan, anggota Anda yang sudah ada akan menerima email yang meminta mereka masuk dengan kredensial IdP mereka. Setelah selesai, anggota Anda harus selalu masuk dengan kredensial IdP selama mereka menjadi anggota organisasi dengan SSO diaktifkan.

Anggota akan ditambahkan ke daftar tunggu, dan email akan dikirim ke semua admin. Setelah disetujui oleh salah satu admin tersebut, lisensi akan ditambahkan dan pengguna dapat menggunakan DataCamp.

DataCamp mendukung Single Sign-On yang diinisiasi oleh IdP dan SP (Penyedia Layanan).

Ya, SSO didukung di aplikasi mobile.

Tidak ada pengaturan DataCamp untuk memblokir akses ke mobile dengan Single Sign-On. Namun, sebelumnya klien dapat memblokir akses di mobile melalui konfigurasi IdP mereka.

Jika anggota di organisasi Anda dihapus sebagai Anggota di DataCamp, mereka akan menerima email yang meminta mereka membuat informasi login baru. Mereka juga akan diminta mengonfirmasi alamat email dan membuat kata sandi baru. Mereka tidak lagi memiliki akses ke organisasi atau konten premium sebagai bagian dari langganan Anda.

Jika Anda menghapus anggota dari IdP dan menonaktifkan kredensial login IdP mereka, mereka tidak akan dapat masuk ke DataCamp. Harap dicatat, anggota tidak secara otomatis dihapus dari daftar Anggota organisasi DataCamp; ini harus dilakukan secara manual di halaman Anggota. Silakan hubungi tim dukungan kami jika Anda membutuhkan bantuan menghapus anggota dari organisasi Anda.

Kami sangat bergantung pada format NameID untuk mengidentifikasi pengguna secara unik berdasarkan informasi login yang diberikan oleh organisasi mereka.

Jika format NameID disetel ke email, maka mengubah email pada dasarnya membuat identitas pengguna baru, menyebabkan mereka kehilangan akses ke akun asli mereka.

Jika format NameID disetel ke unspecified, maka mengubah email tidak masalah—kami akan secara otomatis memperbaruinya di sistem kami selama kami dapat mencocokkan pengguna berdasarkan NameID mereka. Namun, ini tidak akan berhasil jika email baru sudah terkait dengan akun lain.

Semua sertifikat secara default adalah self-signed. Silakan hubungi tim dukungan kami jika Anda memerlukan sertifikat yang ditandatangani CA.

Jika Anda mendapat kesalahan yang menyatakan tautan DataCamp tidak berfungsi, seperti pada tangkapan layar di bawah:

Atau mungkin pesan yang lebih deskriptif, seperti ini di Azure AD:

Kesalahan ini terjadi di IdP, jadi Anda perlu menghubungi administrator Anda dan meminta akses ke aplikasi DataCamp. Sayangnya ini bukan sesuatu yang dapat diperbaiki oleh DataCamp.

Kami mengharuskan dua URL ACS untuk mendukung sepenuhnya alur login SP-initiated dan IdP-initiated. Kedua URL harus dikonfigurasi untuk memastikan autentikasi berjalan dengan benar, baik pengguna memulai proses login dari halaman masuk DataCamp atau langsung dari penyedia identitas (IdP) Anda.

Ketika memperbarui sertifikat SSO (misalnya karena kedaluwarsa), sangat penting agar pembaruan dilakukan secara koordinasi antara DataCamp dan Penyedia Identitas (IdP) Anda untuk menghindari gangguan login.

Ada dua opsi:

Ketika pengguna mencoba masuk melalui SSO grup DataCamp dan kami mendeteksi sudah ada akun DataCamp dengan email tersebut, kami tidak dapat menambahkan pengguna ke grup sampai mereka membuktikan bahwa mereka pemilik akun DataCamp yang sudah ada. Ini disebut alur Konfirmasi Kepemilikan Akun.

Dalam alur ini, kami mengarahkan pengguna ke formulir masuk standar di mana mereka harus membuktikan kepemilikan dengan masuk menggunakan kata sandi (atau penyedia login sosial seperti Google). Mereka tidak dapat membuktikan kepemilikan dengan masuk menggunakan SSO grup. Mereka harus masuk dengan salah satu metode autentikasi yang ada di akun DataCamp yang sudah ada tersebut.

Setelah mereka membuktikan kepemilikan dengan masuk, kami menambahkan mereka ke grup dan mereka dapat menggunakan SSO grup untuk autentikasi ke depannya.