PDF Redaction
Anonimizuj PDFDocsAPICennik
Kontakt
Logowanie
Konto i płatności

Logowanie jednokrotne (SSO)

Połącz Okta, Microsoft Entra ID, Google Workspace lub dowolnego dostawcę tożsamości SAML 2.0 / OpenID Connect z przestrzenią roboczą PDF Redaction, zweryfikuj domenę i wymagaj SSO od zespołu.

Dzięki logowaniu jednokrotnemu (SSO) Twój zespół loguje się do PDF Redaction przez firmowego dostawcę tożsamości (IdP), a nie osobnymi hasłami czy prywatnymi kontami Google i Microsoft. Gdy ktoś odchodzi z firmy i wyłączysz go u dostawcy tożsamości, nie może się już zalogować.

PDF Redaction obsługuje SAML 2.0 i OpenID Connect (OIDC). Obejmuje to Okta, Microsoft Entra ID (Azure AD), Google Workspace, OneLogin, JumpCloud, Auth0, Keycloak i większość innych dostawców.

Wymagania

  • Przestrzeń robocza korzysta z planu Pro Plus. Zobacz Plany i płatności.
  • Jesteś Właścicielem lub Administratorem przestrzeni roboczej.
  • Możesz dodać rekord DNS TXT dla firmowej domeny e-mail.
  • Możesz utworzyć aplikację u dostawcy tożsamości albo masz kogoś, kto może to zrobić.

Jak to działa

  1. Łączysz dostawcę tożsamości i weryfikujesz domenę e-mail, np. example.com.
  2. Na stronie logowania użytkownicy wybierają Kontynuuj przez SSO i wpisują służbowy adres e-mail. Adresy w zweryfikowanej domenie trafiają do Twojego dostawcy tożsamości.
  3. Po zalogowaniu się tam wracają do PDF Redaction już zalogowani. Za pierwszym razem tworzone jest konto, a użytkownik dołącza do Twojej przestrzeni roboczej.

SSO konfiguruje się osobno dla każdej przestrzeni roboczej. Każda domena e-mail może należeć tylko do jednej przestrzeni roboczej.

Konfiguracja SSO

Otwórz Zarządzaj przestrzeniami roboczymi, wybierz przestrzeń roboczą i kartę SSO. Lista kontrolna u góry pokazuje postęp.

Wybierz protokół i skopiuj wartości dostawcy usługi

Wybierz OpenID Connect lub SAML 2.0. Użyj protokołu preferowanego przez administratora dostawcy tożsamości; dla zespołu oba działają tak samo.

Strona pokazuje wartości do wpisania u dostawcy tożsamości:

ProtokółWartośćGdzie wpisać ją u IdP
OIDCRedirect URI (adres przekierowania po logowaniu)Sign-in redirect URI, Reply URL lub Callback URL
SAMLAdres ACS (adres logowania jednokrotnego)Single sign-on URL, Reply URL lub Assertion Consumer Service URL
SAMLEntity ID SP (audience)Audience URI, Identifier lub SP Entity ID
SAMLAdres metadanych SPTylko jeśli IdP potrafi importować metadane dostawcy usługi

Utwórz aplikację u dostawcy tożsamości

Wykonaj kroki dla swojego dostawcy opisane poniżej w sekcji Przewodniki dla dostawców tożsamości. Na koniec będziesz mieć:

  • dla OIDC: adres wystawcy (issuer), Client ID i Client secret;
  • dla SAML: Entity ID IdP (wystawcę), adres logowania jednokrotnego IdP i certyfikat podpisu IdP.

Wpisz je na karcie SSO i kliknij Zapisz. Client secret jest przechowywany w postaci zaszyfrowanej i nigdy nie jest ponownie wyświetlany. Aby go zachować, zostaw to pole puste, gdy zapisujesz inne zmiany.

Zweryfikuj domenę

W sekcji Domeny wpisz domenę e-mail, np. example.com, i kliknij Dodaj. Dodaj każdą domenę, której używa Twój zespół, np. example.de lub example.co.uk.

Dla każdej domeny strona pokazuje rekord TXT. Dodaj go u swojego dostawcy DNS:

TypHost / nazwaWartość
TXTexample.com (często zapisywany jako @)pdf-redaction-verification=…

Następnie kliknij Zweryfikuj. Zmiany w DNS zwykle trwają kilka minut, czasem do godziny. Po zweryfikowaniu domeny możesz usunąć rekord TXT, ale pozostawienie go nie szkodzi.

Nie można użyć publicznych domen e-mail, takich jak gmail.com czy outlook.com.

Wykonaj logowanie testowe

Kliknij Logowanie testowe. Zostaniesz przekierowany do dostawcy tożsamości. Zaloguj się kontem w zweryfikowanej domenie. Po powrocie strona pokazuje komunikat Test zakończony powodzeniem i adres e-mail przesłany przez dostawcę tożsamości.

Test nie loguje Cię jako ten użytkownik i nic nie zmienia dla Twojego zespołu.

Włącz SSO

W sekcji Opcje logowania zaznacz przełącznik Włącz SSO. Od tej chwili osoby z adresem w zweryfikowanych domenach mogą korzystać z Kontynuuj przez SSO. Pozostałe metody logowania działają dalej, dopóki nie zaczniesz wymagać SSO.

Opcje logowania

OpcjaCo robi
Włącz SSOWłącza lub wyłącza SSO dla zweryfikowanych domen.
Twórz konta automatycznieDomyślnie włączona. Osoby z Twoich domen otrzymują konto i dołączają do tej przestrzeni roboczej przy pierwszym logowaniu przez SSO. Wyłącz ją, aby przez SSO mogły się logować tylko osoby, które są już członkami. Pozostałe osoby dodasz przyciskiem Zaproś na karcie Członkowie.
Rola nowych członkówRola nadawana osobom dołączającym przez SSO: Członek lub Administrator. Role możesz później zmienić na karcie Członkowie.
Wymagaj SSOOsoby ze zweryfikowanych domen mogą logować się wyłącznie przez SSO. Zobacz niżej.

Wymaganie SSO

Gdy opcja Wymagaj SSO jest włączona, osoby z adresem w zweryfikowanych domenach nie mogą już używać kodów e-mail, linków do logowania, haseł ani logowania przez Google, Microsoft czy LinkedIn. Jeśli spróbują, zostaną przekierowane do Twojego dostawcy tożsamości.

  • Opcję można włączyć dopiero wtedy, gdy SSO jest włączone, co najmniej jedna domena jest zweryfikowana, a logowanie testowe zakończyło się powodzeniem.
  • Właściciel przestrzeni roboczej zawsze może korzystać z innych metod logowania. Jeśli dostawca tożsamości nie działa lub jest źle skonfigurowany, właściciel nadal może się zalogować i poprawić ustawienia.
  • Już otwarte sesje pozostają zalogowane do czasu ich wygaśnięcia.
  • Usunięcie ostatniej zweryfikowanej domeny wyłącza opcję Wymagaj SSO.

Gdzie działa SSO

ProduktSSO
Edytor online i strony konta na pdf-redaction.comTak
Redaction Studio w przeglądarceTak
Studio DesktopJeszcze nie. Jeśli wymagasz SSO, członkowie z Twoich domen nie mogą zalogować się do Studio Desktop.
APIKlucze API działają dalej. Nie korzystają z SSO.

Logowanie zawsze zaczyna się w PDF Redaction. Otwieranie PDF Redaction z kafelka w panelu dostawcy tożsamości (logowanie inicjowane przez IdP) nie jest jeszcze obsługiwane.

Gdy zmienia się plan

SSO jest częścią planu Pro Plus. Jeśli przestrzeń robocza przejdzie na inny plan, SSO i Wymagaj SSO natychmiast przestają działać, a wszyscy znów logują się innymi metodami. Ustawienia SSO i zweryfikowane domeny zostają zachowane. Zaczną działać ponownie, gdy tylko przestrzeń robocza wróci do planu Pro Plus.

Przewodniki dla dostawców tożsamości

Nazwy menu podane poniżej mogą się nieco różnić w zależności od wersji konsoli administracyjnej danego dostawcy.

Okta

OIDC

  1. W Okta Admin Console przejdź do Applications → Applications → Create App Integration.
  2. Wybierz OIDC - OpenID Connect i Web Application.
  3. W polu Sign-in redirect URIs wklej Redirect URI (adres przekierowania po logowaniu) z karty SSO. Usuń domyślny adres wylogowania (sign-out URI).
  4. W sekcji Assignments wybierz, kto może korzystać z aplikacji, i zapisz.
  5. Skopiuj Client ID i Client secret. Adres wystawcy to Twoja domena Okta, np. https://example.okta.com.

SAML

  1. Przejdź do Applications → Applications → Create App Integration i wybierz SAML 2.0.
  2. Single sign-on URL: Adres ACS (adres logowania jednokrotnego). Audience URI (SP Entity ID): Entity ID SP (audience).
  3. Name ID format: EmailAddress. Application username: Email.
  4. Opcjonalne atrybuty (attribute statements): firstName → user.firstName, lastName → user.lastName.
  5. Zakończ, przypisz użytkowników, a następnie otwórz kartę Sign On i View SAML setup instructions. Skopiuj Identity Provider Single Sign-On URL, Identity Provider Issuer i X.509 Certificate.

Microsoft Entra ID (Azure AD)

OIDC

  1. W centrum administracyjnym Entra przejdź do App registrations → New registration.
  2. Wybierz, kto może się logować (zwykle Accounts in this organizational directory only). W sekcji Redirect URI wybierz Web i wklej Redirect URI (adres przekierowania po logowaniu).
  3. Skopiuj Application (client) ID i Directory (tenant) ID.
  4. W sekcji Certificates & secrets utwórz New client secret i skopiuj jego Value (wartość).
  5. Adres wystawcy to https://login.microsoftonline.com/<tenant-id>/v2.0, z Twoim identyfikatorem katalogu (tenant ID).

SAML

  1. Przejdź do Enterprise applications → New application → Create your own application i wybierz Integrate any other application you don't find in the gallery.
  2. Otwórz Single sign-on i wybierz SAML.
  3. W sekcji Basic SAML Configuration ustaw Identifier (Entity ID) na Entity ID SP (audience), a Reply URL na Adres ACS (adres logowania jednokrotnego).
  4. W sekcji SAML Certificates pobierz Certificate (Base64) i wklej jego zawartość.
  5. W sekcji Set up skopiuj Login URL (adres logowania jednokrotnego IdP) i Microsoft Entra Identifier (Entity ID IdP).
  6. W sekcji Users and groups przypisz osoby, które mogą korzystać z PDF Redaction.

Domyślne oświadczenia (claims) zawierają już adres e-mail, imię i nazwisko.

Google Workspace

SAML (zalecane)

  1. W konsoli administracyjnej Google (Google Admin console) przejdź do Apps → Web and mobile apps → Add app → Add custom SAML app.
  2. Na ekranie Google Identity Provider details skopiuj SSO URL, Entity ID i Certificate.
  3. Na ekranie Service provider details wklej Adres ACS (adres logowania jednokrotnego) i Entity ID SP (audience). Ustaw Name ID format na EMAIL, a Name ID na Basic Information → Primary email.
  4. Opcjonalne mapowanie atrybutów: First name → firstName, Last name → lastName.
  5. Włącz aplikację (ON) dla jednostek organizacyjnych lub grup, które mają z niej korzystać.

OIDC

  1. W konsoli Google Cloud otwórz APIs & Services → Credentials → Create credentials → OAuth client ID i wybierz Web application.
  2. W sekcji Authorized redirect URIs wklej Redirect URI (adres przekierowania po logowaniu).
  3. Skopiuj Client ID i Client secret. Adres wystawcy to https://accounts.google.com.

Inni dostawcy

Działa każdy dostawca obsługujący SAML 2.0 lub OpenID Connect.

  • OIDC: utwórz aplikację webową korzystającą z przepływu authorization code, dodaj Redirect URI (adres przekierowania po logowaniu) i zezwól na zakresy (scopes) openid email profile. Adres wystawcy to adres, pod którym dostawca publikuje /.well-known/openid-configuration.
  • SAML: ustaw adres ACS i Entity ID SP, użyj HTTP-POST dla odpowiedzi i podpisuj odpowiedź (response) lub asercję (assertion). Przesyłaj adres e-mail jako Name ID lub jako atrybut email. Imię i nazwisko są opcjonalne (firstName/lastName, givenName/surname lub standardowe URI oświadczeń).

Rozwiązywanie problemów

KomunikatCo sprawdzić
Logowanie jednokrotne (SSO) nie jest skonfigurowane dla tej domeny e-mailDomena nie jest zweryfikowana, SSO jest wyłączone lub przestrzeń robocza nie korzysta z planu Pro Plus.
Dostawca tożsamości zwrócił adres e-mail spoza zweryfikowanych domen Twojej organizacjiIdP przesłał inny adres niż wpisany, np. alias w innej domenie. Zweryfikuj również tę domenę lub popraw atrybut e-mail u dostawcy tożsamości.
Twoje konto nie jest jeszcze członkiem tej przestrzeni roboczejOpcja Twórz konta automatycznie jest wyłączona. Zaproś tę osobę na karcie Członkowie.
Nie udało się zweryfikować odpowiedzi dostawcy tożsamościOIDC: sprawdź adres wystawcy, Client ID i Client secret. Adres wystawcy musi zgadzać się dokładnie, łącznie z /v2.0 w przypadku Entra ID.
Nie udało się zweryfikować odpowiedzi SAML dostawcy tożsamościSAML: sprawdź certyfikat (zmienia się, gdy IdP go odnawia), adres ACS i Entity ID SP.
Dostawca tożsamości nie przesłał adresu e-mailZmapuj adres e-mail na Name ID lub atrybut email. W Entra ID z OIDC dodaj opcjonalne oświadczenie (optional claim) email.
Sesja logowania wygasłaU dostawcy tożsamości minęło ponad 10 minut lub logowanie rozpoczęto z panelu IdP. Zacznij od nowa na stronie logowania PDF Redaction.

Nadal masz problem? Skontaktuj się z pomocą techniczną i podaj nazwę przestrzeni roboczej oraz godzinę próby logowania.

Następne kroki

Konto i przestrzenie robocze

Członkowie, role i projekty.

Plany i płatności

Przejście na plan Pro Plus.

Wykorzystanie i limity

Jak edytor online wlicza strony do miesięcznego limitu, kiedy okres się odnawia, gdzie sprawdzić wykorzystanie oraz limity rozmiaru i stron na dokument.

Obsługa języków OCR

Języki obsługiwane przez OCR działające w przeglądarce w Web, Studio, Studio Desktop i widżecie do osadzania

On this page

WymaganiaJak to działaKonfiguracja SSOWybierz protokół i skopiuj wartości dostawcy usługiUtwórz aplikację u dostawcy tożsamościZweryfikuj domenęWykonaj logowanie testoweWłącz SSOOpcje logowaniaWymaganie SSOGdzie działa SSOGdy zmienia się planPrzewodniki dla dostawców tożsamościOktaMicrosoft Entra ID (Azure AD)Google WorkspaceInni dostawcyRozwiązywanie problemówNastępne kroki