Microsoft 365 orqali yagona kirishni (SSO) sozlash

Kimlar uchun: Business va Enterprise tariflaridagi yoki oʻz serveringizda (on-premise) istalgan litsenziyadagi ish maydoni administratorlari · Vaqt: taxminan 20 daqiqa, DNS yangilanishi uchun qoʻshimcha vaqt

Umumiy maʼlumot

Yagona kirish (SSO) jamoangizga Digital Workspace’ga alohida parol oʻrniga Microsoft 365 ish hisobi bilan kirish imkonini beradi. Xodim kompaniyadan ketib, IT boʻlimi uning Microsoft hisobini oʻchirsa, u Digital Workspace’ga ham kira olmay qoladi.

Sozlash toʻrt qismdan iborat. Ularni shu tartibda bajaring:

1. Digital Workspace’ni Microsoft Entrada (Microsoft 365 katalogingizda) ilova sifatida roʻyxatdan oʻtkazing.
2. Ilovani Ish maydoni sozlamalarida ulang va oʻz ish hisobingiz bilan sinab koʻring.
3. Kompaniya pochta domenini DNS yozuvi bilan tasdiqlang.
4. Qoidalarni tanlang: SSO hamma uchun majburiymi va yangi odamlar avtomatik qoʻshiladimi.

Kim nima qiladi

Boshlashdan oldin

• Siz Digital Workspace’da ish maydoni administratorisiz va Digital Workspace pochtangiz Microsoft 365 ish pochtangiz bilan bir xil (masalan you@yourcompany.com).
• Microsoft Entra admin centerga (entra.microsoft.com) Global Administrator, Application Administrator yoki Cloud Application Administrator sifatida kira olasiz. Aks holda bu maqolani IT boʻlimiga yuboring.
• Kompaniya domeni DNS’iga TXT yozuv qoʻsha olasiz yoki buni kim qila olishini bilasiz.
• Ish maydoningiz Business yoki Enterprise tarifida. Boshqa tariflarda «Yagona kirish (SSO)» kartasida tarifni oshirish taklifi koʻrsatiladi. Oʻz serveringizda (on-premise) SSO istalgan litsenziya bilan mavjud.

Oʻz serveringizda (on-premise)

SSO xuddi shunday ishlaydi, faqat toʻrtta qoʻshimcha jihat bor:

• Avval HTTPS ni yoqing, server nomi bilan (On-premise administrator qoʻllanmasidagi "HTTPS ni yoqish" maqolasiga qarang). Microsoft faqat https:// yoʻnaltirish manzillarini qabul qiladi.
• «Yagona kirish (SSO)» kartasidagi Yoʻnaltirish manzili Ish maydoni sozlamalari › Pochta serveri boʻlimidagi Veb-manzil asosida tuziladi. Uni Entra’ga nusxalashdan oldin bu HTTPS manzilingiz ekanini tekshiring.
• Server internet orqali login.microsoftonline.com ga ulana olishi kerak. Oflayn server Microsoft 365 orqali kirishdan foydalana olmaydi.
• 3-qism TXT yozuvni serveringiz foydalanadigan DNS serverlari orqali tekshiradi. Agar domeningiz uchun kompaniyaning ichki DNS’i javob bersa, yozuvni u yerga ham qoʻshing. Avtomatik qoʻshilgan odamlar litsenziyangizdagi oʻrinlar hisobiga kiradi.

1-qism. Ilovani Microsoft Entra’da roʻyxatdan oʻtkazish

1. Digital Workspace’da Ish maydoni sozlamalari → Xavfsizlikni oching va Yagona kirish (SSO) kartasini toping. Microsoft 365 ni ulang boʻlimida Yoʻnaltirish manzili (Entra’ga kiriting) yonidagi Nusxalashni bosing. Bu varaqni yopmang.
2. Yangi varaqda entra.microsoft.comga kiring.
3. App registrationsni oching (portal versiyasiga qarab chap menyuda Entra ID yoki Identity → Applications ostida, yoki yuqoridagi qidiruv orqali) va New registrationni bosing.
4. Formani toʻldiring:
   • Name: Digital Workspace. Jamoangiz bu nomni Microsoft kirish sahifasida koʻradi.
   • Supported account types: Accounts in this organizational directory only (Single tenant) — faqat shu katalog hisoblari.
   • Redirect URI: platforma sifatida Webni tanlang va nusxalangan manzilni kiriting. U aynan mos kelishi kerak.
5. Registerni bosing. Ilovaning Overview sahifasi ochiladi.
6. Overviewdan 2-qism uchun ikki qiymatni nusxalang:
   • Application (client) ID — ilova ID
   • Directory (tenant) ID — katalog ID
7. Certificates & secrets → Client secretsni oching va New client secretni bosing. Tavsif kiriting (masalan Digital Workspace SSO), amal qilish muddatini tanlang (odatda 12 yoki 24 oy) va Addni bosing.
8. Sirning Value (qiymat) ustunini darhol nusxalang va Expires sanasini yozib oling.

   Secret IDni emas, Value ustunini nusxalang. Microsoft qiymatni faqat bir marta koʻrsatadi. Nusxalamay sahifadan chiqib ketsangiz, sirni oʻchirib, yangisini yarating.

Tavsiya: kim kira olishini cheklang

Odatiy holatda Microsoft katalogingizdagi istalgan kishi ilovadan foydalana oladi. Faqat Digital Workspace kerak boʻlganlarga ruxsat berish uchun:

1. Entra’da Enterprise applicationsni oching (App registrations yonida) va Digital Workspaceni tanlang.
2. Properties boʻlimida Assignment required?ni Yes qiling va Saveni bosing.
3. Users and groups boʻlimida Add user/groupni bosing va kirish huquqi kerak boʻlgan odamlar yoki guruhlarni biriktiring.

2-qism. Digital Workspace’da ulash va sinash

1. Ish maydoni sozlamalari → Xavfsizlik → Yagona kirish (SSO)ga qayting va Microsoft 365 ni ulang boʻlimini toʻldiring:
   • Katalog (tenant) ID
   • Ilova (client) ID
   • Mijoz siri (client secret): sirning Value qiymatini kiriting
   • Sir amal qilish muddati: Entra’dagi Expires sanasi. Administratorlar 30 va 7 kun oldin ogohlantiriladi.
2. Saqlashni bosing. Saqlashdan oldin Digital Workspace sirni Microsoft’da tekshiradi. Qabul qilinsa, Saqlandi. Endi ulanishni sinab koʻring. xabari chiqadi. Sir shifrlangan holda saqlanadi va qayta koʻrsatilmaydi.
3. Ulanishni sinashni bosing. Siz Microsoft sahifasiga oʻtasiz. Oʻz ish hisobingiz bilan — Digital Workspace’dagi pochtangiz bilan kiring.
4. Sozlamalarga quyidagi xabarlardan biri bilan qaytasiz:
   • Ulanish ishlayapti — siz Microsoft orqali kirdingiz. 3-qismga oʻting.
   • Ulanish ishlayapti, lekin Microsoft’ga boshqa pochta bilan kirdingiz… Ulanish soz, lekin sinovni oʻz ish hisobingiz bilan takrorlang. Busiz SSO’ni majburiy qilib boʻlmaydi.

3-qism. Pochta domenini tasdiqlash

Digital Workspace odamlarni pochta domeniga qarab Microsoft’ga yoʻnaltiradi. Domen kompaniyangizga tegishli ekani DNS yozuvi bilan tasdiqlanadi.

1. Pochta domenlaringiz boʻlimida domenni kiriting (masalan yourcompany.com) va Domen qoʻshishni bosing.
2. Domen DNS kutilmoqda holatida, Nomi va Qiymati bilan paydo boʻladi. DNS provayderingizda TXT yozuv yarating:

   Turi	Nomi / Host	Qiymati
   TXT	_dw-verify (toʻliq: _dw-verify.yourcompany.com)	dw-verify= va kodingiz — aynan koʻrsatilgandek

3. Yozuvni saqlagach, Hozir tekshirishni bosing. Yozuv topilganda domen Tasdiqlangan boʻladi. Yozuv hali koʻrinmayapti xabari chiqsa, bir necha daqiqa kutib, qayta tekshiring. DNS oʻzgarishlari bir soatgacha vaqt olishi mumkin.
4. Jamoangiz ishlatadigan har bir pochta domeni uchun takrorlang.

TXT yozuvni oʻchirmang. Digital Workspace uni har kuni qayta tekshiradi. Yozuv ikki kun topilmasa, domen tasdiqlanmagan holatga oʻtadi va barcha administratorlarga xabar beriladi. gmail.com yoki mail.ru kabi ommaviy pochta domenlarini qoʻshib boʻlmaydi, bitta domenni esa faqat bitta ish maydoni tasdiqlay oladi. Hech qachon tasdiqlanmagan domen 14 kundan soʻng olib tashlanadi.

Endi kirish sahifasida tasdiqlangan domendagi pochtani kiritgan har bir kishi Microsoft 365 bilan davom etish tugmasini koʻradi.

4-qism. Qoidalar

1. SSO’ni majburiy qilish: bu ish maydoni uchun parollar ishlamay qoladi va parol bilan kirganlar (administratorlardan tashqari) tizimdan chiqariladi. Bu kalit faqat oʻz ish hisobingiz bilan Ulanishni sinash muvaffaqiyatli oʻtgach va kamida bitta domen tasdiqlangach mavjud boʻladi — shunda oʻzingiz kirishsiz qolmaysiz. Yoqish uchun soʻrovni tasdiqlang.
2. Yangi odamlarni avtomatik qoʻshish: tasdiqlangan domendan birinchi marta kirgan odam taklifsiz ish maydoniga qoʻshiladi. U faqat SSO orqali kira oladi va tarif foydalanuvchilar chegarasiga hisoblanadi.
3. Ularga rol berish: avtomatik qoʻshilganlarga beriladigan kirish roli. Administrator rolini standart qilib boʻlmaydi.
4. Qoidalarni saqlashni bosing.

SSO orqali kirganlardan har 12 soatda qayta kirish soʻraladi. Shuning uchun Microsoft’da oʻchirilgan xodim koʻpi bilan 12 soat ichida kirish huquqini yoʻqotadi.

Jamoangiz nimani koʻradi

1. Kirish sahifasida xodim ish pochtasini kiritadi va Davom etishni bosadi.
2. Microsoft 365 bilan davom etishni bosadi, Microsoft sahifasida kiradi va toʻgʻridan-toʻgʻri ish maydoniga qaytadi.
3. Mavjud aʼzolar: Microsoft orqali birinchi kirish ularning hisobini bogʻlaydi. Shundan soʻng ular Microsoft orqali kiradi. Avvalgi Digital Workspace paroli ishlamay qoladi, boshqa seanslari esa yakunlanadi.

Administratorlar uchun zaxira kirish

SSO majburiy boʻlib, Microsoft orqali kirish ishlamay qolsa ham, ish maydoni administratori kira oladi: kirish sahifasida Administratormisiz va Microsoft ishlamayaptimi? ostida Parol bilan kirishni tanlang. Har bir zaxira kirish qayd etiladi, boshqa administratorlar esa qoʻngʻiroqcha orqali bildirishnoma va xat oladi.

Kundalik boshqaruv

• Mijoz sirini almashtirish: sir muddati tugashidan oldin Entra’da yangisini yarating (1-qism, 7–8-qadamlar). Uni Mijoz siri maydoniga kiriting, Sir amal qilish muddatini yangilang va Saqlashni bosing. SSO ishlashda davom etadi, qayta sinash shart emas. Soʻng eski sirni Entra’da oʻchiring.
• Katalog yoki ilovani almashtirish: Katalog (tenant) ID yoki Ilova (client) ID oʻzgartirilsa, Ulanishni sinashni qayta bajaring. Ungacha SSO majburiy boʻlmaydi va joriy SSO seanslari yakunlanadi.
• Faoliyat: karta pastidagi Yagona kirish boʻyicha soʻnggi faoliyat ulanishlar, sinovlar, domen oʻzgarishlari, kirishlar va zaxira kirishlarni koʻrsatadi.
• SSO’ni oʻchirish: SSO’ni oʻchirishni bosing va tasdiqlang. Hamma yana parol bilan kiradi. Faqat SSO’dan foydalanganlar kirish sahifasidagi Parolni unutdingizmi? orqali parol oʻrnatadi.

Muammolarni hal qilish