Single Sign-On (SSO) to rodzaj uwierzytelniania, który pozwala użytkownikom na dostęp do wielu aplikacji i usług przy użyciu jednego zestawu danych logowania.

Integracja Enterprise SSO w DataCamp umożliwia klientom zarządzanie członkami swojej organizacji poza istniejącymi procesami logowania i tworzenia kont w DataCamp.

Niektóre korzyści wynikające z SSO to:

Aby skonfigurować SSO, musisz posiadać plan DataCamp Enterprise oraz być administratorem swojej organizacji. Informacje o funkcjach i cenach dotyczące przejścia na plan Enterprise znajdziesz tutaj.

Obecnie DataCamp obsługuje tylko integrację SAML 2.0. Aby skonfigurować SSO, musisz mieć skonfigurowanego dostawcę tożsamości SAML (IdP). IdP to katalog lub baza danych zawierająca konta użytkowników i organizacji.

Zaloguj się do DataCamp i przejdź do swojej organizacji Enterprise, następnie wybierz Ustawienia > SSO > Zezwól na SAML 2.0.

Aby zakończyć integrację, musisz wprowadzić poniższe informacje, unikalne dla Twojej organizacji:

Poza tym ważne jest dopasowanie nazw atrybutów SAML dla kluczowych informacji o użytkowniku. DataCamp akceptuje następujące atrybuty: imię, nazwisko oraz email.

Spośród tych trzech, email jest obowiązkowy, aby integracja działała poprawnie. Imię i nazwisko są opcjonalne, ale zalecane, aby zapewnić najlepsze doświadczenie użytkownika.

Dla tych trzech pól akceptujemy listę nazw atrybutów:

Email

Imię:

Nazwisko:

Nieprzesłanie jednego z tych atrybutów spowoduje, że odpowiadająca mu wartość w DataCamp nie zostanie zaktualizowana. W praktyce oznacza to, że:

Podanie pustej wartości dla (jednego z) atrybutów spowoduje jednak aktualizację tych wartości w DataCamp. W efekcie użytkownicy, którzy mieli imię/nazwisko przed włączeniem SSO, po pierwszym pomyślnym logowaniu się przez SSO będą mieli puste imię/nazwisko.

Po wprowadzeniu poprawnych informacji zarówno w DataCamp, jak i w Twoim IdP, ostatnim krokiem jest zaznaczenie opcji Włącz SSO i gotowe! SSO zostało włączone dla Twojej organizacji.

DataCamp obsługuje dwie opcje konfiguracji formatu NameID:

Jeśli chcesz, aby DataCamp używał Twojego wewnętrznego identyfikatora pracownika jako unikalnego identyfikatora zamiast emaila, musisz skonfigurować IdP tak, aby przesyłał format nameID jako "urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" oraz wartość "unspecified" jako identyfikator pracownika. Następnie musisz wybrać "unspecified" w ustawieniach SSO DataCamp. Nadal musisz przesyłać "emailAddress" jako atrybut, ponieważ jest to wymagane przez naszą platformę. Choć opcjonalne, zdecydowanie zalecamy również przesyłanie FirstName i LastName jako atrybutów SAML, ponieważ to jedyny sposób, aby Twoi użytkownicy mieli wypełnione pełne imiona i nazwiska na DataCamp.

Po skonfigurowaniu IdP do przesyłania wartości "unspecified" oraz ustawieniu tego w konfiguracji SSO DataCamp, zaczniemy przechowywać identyfikator pracownika dla każdego użytkownika podczas logowania. Jeśli zaktualizujesz konfigurację mając już członków w organizacji, nie będziemy mieli ich identyfikatorów pracownika aż do następnego ich logowania.

Dla niektórych integracji LMS lub LXP identyfikator pracownika może być wymagany. W takim przypadku musisz skonfigurować ustawienia SSO, aby przesyłać i przechowywać identyfikator pracownika jako format NameID "unspecified". Jeśli z jakiegoś powodu (np. użytkownik nie zalogował się po aktualizacji konfiguracji) nie posiadamy identyfikatora pracownika, nie będziemy mogli przesłać informacji o ukończeniu treści dla tego użytkownika, dopóki się nie zaloguje i nie będziemy mieć jego identyfikatora pracownika.

Możesz zobaczyć najnowsze zsynchronizowane mapowania name ID w zakładce konfiguracji SSO. Gdy zaczniemy otrzymywać mapowania, najnowsze pojawią się w ten sposób:

Skonfigurowano odbiór mapowań NameID. Ostatnio otrzymane mapowania:

Wartość po lewej to identyfikator pracownika (np. 10101010), a po prawej jest email.

Jeśli mapowania są niepoprawne, skontaktuj się z naszym zespołem wsparcia, aby je zresetować.

Jeśli JIT Provisioning jest włączone, DataCamp automatycznie utworzy konto i przypisze licencję nowym członkom podczas logowania się przez SSO (poprzez ich IdP lub LMS). W przeciwnym razie nowi członkowie zostaną dodani do listy oczekujących i wymagają zatwierdzenia przez administratora przed przypisaniem licencji.

Opcja „Włącz JIT provisioning”

Jeśli zamierzasz udostępnić DataCamp tylko wybranej grupie w organizacji, zalecamy wyłączenie JIT provisioning i korzystanie z innych metod zapraszania użytkowników, takich jak linki zaproszeniowe. Pamiętaj, że JIT nie zadziała, dopóki nie udzielisz użytkownikom dostępu w IdP lub nie utworzysz i nie udostępnisz niestandardowego linku SSO (więcej informacji poniżej).

Jeśli SSO jest wymagane, wszyscy członkowie i administratorzy muszą logować się przez dostawcę tożsamości. Jeśli SSO jest opcjonalne, członkowie i administratorzy mogą logować się przez dostawcę tożsamości lub za pomocą adresu email i hasła powiązanego z ich kontem DataCamp.

Jeśli masz członków w organizacji w momencie uruchomienia integracji SSO z wymuszonym SSO lub gdy SSO zostanie zmienione na wymagane, zostaną oni natychmiast wylogowani z DataCamp i zmuszeni do ponownego uwierzytelnienia się przez SSO.

Gorąco zalecamy wymuszanie SSO z wielu powodów, a główną korzyścią jest to, że użytkownicy będą automatycznie kierowani do korzystania z SSO do uwierzytelniania, zamiast mieć możliwość wyboru innej metody uwierzytelniania.

Uwaga: Chociaż zdecydowanie sugerujemy wymuszanie SSO, ważne jest, aby upewnić się, że konfiguracja SSO działa prawidłowo przed jej wymuszeniem. Jako środek ostrożności zalecamy pozostawienie ustawienia jako opcjonalne, dopóki nie będziesz pewien, że działa, aby zapobiec możliwości zablokowania dostępu do konta. Obecnie nie ma alternatywnej metody logowania dla administratorów organizacji; wszyscy muszą przejść tę samą ścieżkę.

Po zakończeniu konfiguracji ustawień SSO, możesz włączyć SSO. Aby to zrobić, kliknij "Włącz SSO" na dole formularza.

Po włączeniu SSO użytkownicy otrzymają e-mail z informacją, że organizacja włączyła SSO i że będą musieli ponownie się zalogować za pomocą danych SSO.

W e-mailu znajduje się link, który przekieruje ich na stronę logowania DataCamp. Na tej stronie muszą wpisać swój adres e-mail i kliknąć Dalej. Jeśli e-mail jest powiązany z członkiem należącym do grupy z włączonym SSO, zostaną przekierowani na stronę logowania IdP, aby dokończyć proces logowania. Tam muszą zalogować się za pomocą danych SSO. Jeśli logowanie się powiedzie, zostaną przekierowani z powrotem do DataCamp z dostępem do platformy.

Użytkownicy otrzymują e-mail, gdy ich organizacja włącza lub wyłącza SSO

Podobnie, jeśli członek zostanie usunięty z organizacji lub jeśli SSO zostanie wyłączone w organizacji, otrzyma on e-mail z instrukcjami dotyczącymi resetowania hasła w DataCamp, co pozwoli mu zalogować się bez SSO.

Chcesz skonfigurować integrację z jednym z poniższych IdP? Sprawdź naszą dokumentację pomocy tutaj:

Jesteśmy również dostępni jako aplikacja w Microsoft Azure Gallery.

Jak wspomniano wcześniej, zdecydowanie zalecamy wymuszanie SSO z wielu powodów, a główną korzyścią jest to, że użytkownicy będą automatycznie kierowani do korzystania z SSO do uwierzytelniania, zamiast mieć możliwość wyboru innej metody uwierzytelniania. Jednak w naszej dokumentacji omówimy również możliwość korzystania z alternatywnych metod uwierzytelniania, na wypadek gdyby SSO nie było odpowiednie lub dostępne.

Uwaga: Ze względów bezpieczeństwa, jeśli użytkownik ma już konto na DataCamp przed zaproszeniem do Twojej organizacji, musisz użyć jednej z poniższych metod. Obie opcje zawierają dodatkowy krok weryfikacji, aby potwierdzić, że użytkownik na platformie jest tym samym użytkownikiem w Twoim IdP.

Możesz zaprosić konkretnego członka za pomocą jego adresu e-mail. Zaleta tej metody zaproszenia polega na tym, że możesz również dostosować jego uprawnienia (np. nadać mu uprawnienia administratora) podczas procesu zapraszania.

Uwaga: Jeśli osoba, którą próbujesz zaprosić, ma już konto na DataCamp, musisz zaprosić ją używając jej istniejącego adresu e-mail na platformie, aby postępy w nauce zostały przeniesione.

Możesz wygenerować standardowy link zaproszeniowy i dostosować go tak, aby automatycznie dodawał członków do określonych zespołów po dołączeniu przy użyciu tej metody.

Inne zalety tej metody zaproszenia:

SSO Deep Link to dowolny link do strony w DataCamp, który zawiera identyfikator SSO firmy. Po kliknięciu tego linku użytkownik zostanie automatycznie przekierowany do IdP, aby zalogować się przez SSO (jeśli jeszcze tego nie zrobił), a następnie przekierowany z powrotem do strony, którą pierwotnie chciał odwiedzić. Jeśli Just-in-time provisioning jest włączone i użytkownik nie ma jeszcze konta DataCamp, automatycznie zostanie mu utworzone nowe konto.

Format dowolnego SSO Deep Link to: https://www.datacamp.com/groups/<IDENTYFIKATOR_GRUPY>/sso/saml/login?path=<ŚCIEŻKA>

Przykładem <ŚCIEŻKA> może być "/home", aby przekierować na naszą stronę główną. Możesz kierować SSO Deep Linki do konkretnych kursów i stron śledzenia.

Jeśli Just-in-time provisioning jest włączone, ta metoda zaproszenia może być użyta do tworzenia nowych kont na DataCamp. Ta metoda może być zawsze używana do logowania się na konta już dodane do Twojej organizacji. Jeśli użytkownik ma istniejące konto i nie jest jeszcze w organizacji, zostanie automatycznie dodany jako członek po zalogowaniu.

W zależności od konkretnej konfiguracji IdP, członkowie mogą również zapisać się bezpośrednio z poziomu IdP, wybierając aplikację DataCamp w katalogu.

Jeśli Just-in-time provisioning jest włączone, ta metoda zaproszenia może być użyta do tworzenia nowych kont na DataCamp. Ta metoda może być zawsze używana do logowania się na konta już dodane do Twojej organizacji. Jeśli użytkownik ma istniejące konto i nie jest jeszcze w organizacji, zostanie automatycznie dodany jako członek po zalogowaniu.

Uwaga: Niektórzy dostawcy tożsamości, tacy jak Degreed, nie obsługują logowania inicjowanego przez IdP.

Jeśli korzystasz z jednej z naszych istniejących integracji LMS lub LXP, możliwe jest również połączenie SSO, aby użytkownicy mogli bezproblemowo uzyskać dostęp do DataCamp za pomocą SSO bezpośrednio z IdP. Więcej informacji znajdziesz w naszej dokumentacji LMS i LXP.

Ta metoda zaproszenia może być używana do tworzenia nowych kont na DataCamp (jeśli Just-in-time provisioning jest włączone) lub do logowania się na konta już dodane do Twojej organizacji. Jeśli użytkownik ma istniejące konto i nie jest jeszcze w organizacji, zostanie automatycznie dodany jako członek po zalogowaniu.

Istnieje wiele sposobów, w jakie administrator może zaprosić Cię do organizacji, gdy SSO jest włączone i wymagane.

Twój administrator może zaprosić Cię do dołączenia do organizacji DataCamp za pomocą e-maila.

Uwaga: Jeśli masz już konto DataCamp pod innym adresem e-mail i chcesz, aby Twój postęp w kursach był widoczny w grupie, możesz zaktualizować swój e-mail w profilu przed zaakceptowaniem zaproszenia, a następnie poprosić administratora o ponowne wysłanie zaproszenia (jego e-mail będzie dołączony do wiadomości zaproszeniowej). W przeciwnym razie utworzysz osobne konto.

Gdy będziesz gotowy, aby zaakceptować zaproszenie, po prostu kliknij Dołącz do grupy w e-mailu lub w powiadomieniach w aplikacji, jeśli masz już konto. Zostaniesz przekierowany do Dostawcy Tożsamości (IdP), aby zalogować się za pomocą danych SSO. Jeśli logowanie zakończy się sukcesem, zostaniesz przekierowany do DataCamp i uzyskasz dostęp do organizacji na platformie.

Uwaga: Jeśli SSO jest opcjonalne, zostaniesz przekierowany do formularza rejestracji. Ponieważ jest to opcjonalne, nie będziemy wymagać logowania przez IdP!

Jeśli SSO jest włączone i wymagane, członkowie klikający link zaproszeniowy zostaną automatycznie przekierowani do Dostawcy Tożsamości (IdP), aby zalogować się za pomocą danych SSO.

Po pomyślnym uwierzytelnieniu:

Członkowie mogą również dołączyć do organizacji, najpierw logując się do IdP, znajdując aplikację DataCamp i klikając ją. Podobnie, zwykle można dołączyć do organizacji przez system LMS lub LXP (jeśli administrator go skonfigurował) lub przez niestandardowy SSO Deep Link utworzony przez administratora. Jeśli organizacja ma włączone Just-in-time provisioning i nie masz konta DataCamp, użycie tej metody zaproszenia utworzy konto dla Ciebie.

Uwaga: Ze względów bezpieczeństwa, jeśli masz istniejące konto DataCamp i nie jesteś jeszcze w organizacji, Twój administrator będzie musiał zaprosić Cię za pomocą jednej z alternatywnych metod zaproszenia wymienionych powyżej.

Jeśli spróbujesz dołączyć przez link zaproszeniowy DataCamp, ale Twoja organizacja nie ma już dostępnych licencji, zostaniesz dodany do listy oczekujących. Twój administrator zostanie poinformowany o próbie dostępu do organizacji. Po zatwierdzeniu Twojej prośby z listy oczekujących zostaniesz dodany do organizacji i otrzymasz e-mail z potwierdzeniem.

Po utworzeniu konta DataCamp i zapisaniu się do organizacji możesz logować się do DataCamp przez SSO na kilka sposobów.

Możesz przejść na naszą standardową stronę logowania tutaj: https://www.datacamp.com/users/sign_in.

Wpisz swój e-mail (powinien być taki sam jak powiązany z danymi SSO). Jeśli jesteś członkiem organizacji, wykryjemy, że musisz się zalogować przez SSO i przekierujemy Cię do IdP, aby dokończyć proces logowania. Po zakończeniu zostaniesz przekierowany z powrotem do DataCamp, aby kontynuować naukę.

Jeśli SSO jest włączone dla Twojej organizacji, ale nie jest wymagane, będziesz mógł zalogować się przez SSO (klikając przycisk "Użyj SSO" pokazany poniżej) lub używając swojego e-maila i hasła DataCamp.

Przycisk „Użyj SSO” będzie widoczny, jeśli SSO jest opcjonalne dla Twojej organizacji

Członkowie mogą również logować się do DataCamp, najpierw logując się do IdP, znajdując aplikację DataCamp i klikając ją. Podobnie, zazwyczaj można logować się do DataCamp przez system LMS lub LXP (jeśli administrator go skonfigurował) lub przez niestandardowy SSO Deep Link utworzony przez administratora. Zakładając, że masz już konto DataCamp i jesteś członkiem grupy, wystarczy jedno kliknięcie, aby się zalogować.

Dla klientów mających integrację LMS z DataCamp oferujemy opcję identyfikacji użytkowników za pomocą identyfikatora LMS, który może różnić się od ich e-maila lub NameID. Jest to przydatne w sytuacjach, gdy Twoi członkowie mogą mieć różne identyfikatory dla wszystkich trzech (e-mail, NameID i identyfikator LMS), a chcesz użyć konkretnego identyfikatora dla integracji LMS.

Aby obsłużyć tę funkcję, akceptujemy identyfikator LMS jako atrybut SAML w odpowiedzi SAML o dowolnej z następujących nazw:

Po przesłaniu tego atrybutu rejestrujemy go i możemy go używać w integracjach LMS z DataCamp, np. jako identyfikator użytkownika w zdarzeniach ukończenia.

Obsługujemy automatyczne dodawanie użytkowników do zespołów w Twojej grupie DataCamp za pomocą atrybutu SAML dc_groups. Aby skorzystać z tej funkcji, skonfiguruj atrybut dc_groups w swoim IdP, aby zawierał jedną lub więcej nazw zespołów jako wartości, gdzie każda nazwa zespołu jest wartością tekstową.

Dla wielu zespołów podaj atrybut wielowartościowy, na przykład:

Dla pojedynczego zespołu podaj atrybut jednowartościowy, na przykład:

Aby dodać użytkownika do istniejącego zespołu, ważne jest, aby podana nazwa zespołu dokładnie odpowiadała nazwie zespołu skonfigurowanej w DataCamp (bez uwzględniania wielkości liter). Jeśli wskazany zespół nie istnieje, automatycznie utworzymy nowy zespół i dodamy do niego użytkownika.

Ważna uwaga (#1): Ta funkcja jest obecnie wyłącznie dodająca. Oznacza to, że nigdy nie usuniemy użytkowników z zespołu. Jeśli użytkownik należy do jednego lub więcej zespołów, wysłanie pustej wartości dc_groups lub jej całkowite pominięcie nie spowoduje usunięcia użytkownika z żadnego zespołu.

Ważna uwaga (#2): Obecnie użytkownik nie zostanie dodany do zespołu(ów), jeśli podczas procesu SSO trafi na listę oczekujących lub będzie musiał potwierdzić własność konta. Wynika to z ograniczenia po naszej stronie.

Biała lista domen e-mail pozwala Twojej organizacji zastrzec jedną lub więcej domen e-mail (np. twojafirma.com) i automatycznie kierować użytkowników z pasującymi adresami e-mail do dostawcy tożsamości Single Sign-On (IdP) podczas zarówno procesu logowania, jak i rejestracji.

Po dodaniu domeny do białej listy:

Aby rozpocząć proces dodawania domen do białej listy, skontaktuj się ze swoim Menedżerem Sukcesu Klienta lub pomocą techniczną DataCamp. W ramach tego procesu zweryfikujemy, że Twoja organizacja kontroluje domenę/domeny, które chcesz zastrzec.

Po włączeniu SSO Twoi obecni członkowie otrzymają e-mail z prośbą o logowanie się za pomocą danych IdP. Po pomyślnym zalogowaniu, członkowie będą musieli zawsze logować się za pomocą danych IdP, dopóki będą członkami organizacji z włączonym SSO.

Członek zostanie dodany do listy oczekujących, a wszyscy administratorzy otrzymają o tym e-mail. Po zatwierdzeniu przez jednego z administratorów, licencja zostanie dodana, a użytkownik będzie mógł korzystać z DataCamp.

DataCamp obsługuje zarówno logowanie inicjowane przez IdP, jak i przez SP (Service Provider).

Tak, SSO jest obsługiwane w aplikacji mobilnej.

Nie ma ustawienia w DataCamp, które blokowałoby dostęp do aplikacji mobilnej przy użyciu SSO. Jednakże klienci w przeszłości byli w stanie zablokować dostęp na urządzeniach mobilnych po swojej stronie, konfigurując to w IdP.

Jeśli członek Twojej organizacji zostanie usunięty jako członek w DataCamp, otrzyma e-mail z prośbą o utworzenie nowych danych logowania. Zostanie także poproszony o potwierdzenie adresu e-mail i utworzenie nowego hasła. Nie będzie już miał dostępu do Twojej organizacji ani do treści premium w ramach subskrypcji.

Jeśli usuniesz członka z IdP i dezaktywujesz jego dane logowania IdP, nie będzie on mógł logować się do DataCamp. Należy pamiętać, że członek nie zostanie automatycznie usunięty z listy Członków organizacji w DataCamp; trzeba to zrobić ręcznie na stronie Członkowie. Skontaktuj się z naszym zespołem wsparcia, jeśli potrzebujesz pomocy w usunięciu członka z organizacji.

W dużej mierze polegamy na formacie NameID, aby jednoznacznie identyfikować użytkowników na podstawie informacji logowania dostarczonych przez ich organizację.

Jeśli format NameID jest ustawiony na email, zmiana adresu e-mail zasadniczo tworzy nową tożsamość użytkownika, co powoduje utratę dostępu do oryginalnego konta.

Jeśli format NameID jest ustawiony na unspecified, zmiana e-maila jest całkowicie dopuszczalna — automatycznie zaktualizujemy go w naszym systemie, o ile uda nam się dopasować użytkownika na podstawie jego NameID. Jednak nie zadziała to, jeśli nowy e-mail jest już powiązany z innym kontem.

Wszystkie certyfikaty są domyślnie samopodpisane. Skontaktuj się z naszym zespołem wsparcia, jeśli potrzebujesz certyfikatów podpisanych przez CA.

Jeśli otrzymasz błąd mówiący, że link do DataCamp nie działa, jak na poniższym zrzucie ekranu:

Lub może bardziej opisowy, taki jak ten z Azure AD:

Te błędy występują po stronie IdP, więc musisz skontaktować się z administratorem i poprosić o dostęp do aplikacji DataCamp. Niestety nie jest to coś, co DataCamp może naprawić.

Wymagamy dwóch adresów URL ACS, aby w pełni obsłużyć zarówno logowanie inicjowane przez SP, jak i logowanie inicjowane przez IdP. Oba adresy muszą być skonfigurowane, aby uwierzytelnianie działało poprawnie, niezależnie od tego, czy użytkownicy rozpoczynają logowanie ze strony DataCamp, czy bezpośrednio od dostawcy tożsamości (IdP).

Podczas aktualizacji certyfikatu SSO (np. z powodu wygaśnięcia) ważne jest, aby aktualizacja była skoordynowana zarówno z DataCamp, jak i Twoim dostawcą tożsamości (IdP), aby uniknąć przerw w logowaniu.

Masz dwie opcje:

Gdy użytkownik próbuje zalogować się przez SSO grupy DataCamp i zauważymy, że istnieje już konto DataCamp z tym samym adresem e-mail, nie możemy dodać użytkownika do grupy, dopóki nie udowodni, że jest właścicielem istniejącego konta DataCamp. Ten proces nazywamy potwierdzeniem własności konta.

W tym procesie przekierowujemy użytkownika do standardowego formularza logowania, gdzie musi udowodnić własność, logując się za pomocą hasła (lub dostawcy logowania społecznościowego, takiego jak Google). Nie może udowodnić własności, logując się przez grupowe SSO. Musi zalogować się jedną z metod uwierzytelniania istniejących na koncie DataCamp.

Po potwierdzeniu własności przez logowanie, dodajemy go do grupy i od tego momentu może używać grupowego SSO do uwierzytelniania.