Jedinstvena prijava (SSO)

Uz jedinstvenu prijavu (SSO) osobe s adresom e-pošte na domeni vaše organizacije prijavljuju se u SportyPlus računom koji već koriste na poslu ili u školi. Ne trebaju zasebnu lozinku za SportyPlus. Vaš pružatelj identiteta može odlučivati i o tome tko u klubu ima ulogu administratora, blagajnika ili zaposlenika.

SportyPlus radi sa svakim pružateljem identiteta koji podržava OpenID Connect, uključujući Microsoft Entra ID (bivši Azure AD), Google Workspace, Oktu, Keycloak i Authentik.

Postavljanje ima tri koraka:

1. Registrirajte SportyPlus kod svog pružatelja identiteta.
2. Dodajte pružatelja identiteta u SportyPlusu.
3. Potvrdite svoju domenu e-pošte, a zatim uključite vezu.

Morate biti administrator kluba, a trebat će vam i netko tko može mijenjati postavke pružatelja identiteta i DNS vaše domene. U većim organizacijama to su često različite osobe. Pošaljite im ovu stranicu.

Registrirajte SportyPlus kod pružatelja identiteta

Otvorite Club Admin → Postavke → Jedinstvena prijava (SSO). Na vrhu stranice prikazan je URI za preusmjeravanje. Isti je za svaki klub:

https://api.sporty.plus/oauth/sso/callback

Kod pružatelja identiteta stvorite web-aplikaciju (ponegdje se zove povjerljivi klijent) s tim URI-jem za preusmjeravanje. Zapišite tri stvari:

• URL izdavatelja (issuer),
• ID klijenta (client ID),
• tajnu klijenta (client secret).

Koraci za najčešće pružatelje navedeni su u nastavku.

Microsoft Entra ID

1. U Microsoft Entra admin centru otvorite Applications → App registrations → New registration.
2. Unesite naziv, na primjer SportyPlus. Pod Supported account types odaberite Accounts in this organizational directory only.
3. Pod Redirect URI odaberite Web i zalijepite URI za preusmjeravanje. Odaberite Register.
4. Na stranici pregleda kopirajte Application (client) ID i Directory (tenant) ID.
5. Otvorite Certificates & secrets → New client secret i kopirajte Value tajne. Prikazuje se samo jednom.
6. Pod Token configuration → Add optional claim → ID dodajte email.

URL izdavatelja je https://login.microsoftonline.com/<tenant-id>/v2.0, s vašim Directory (tenant) ID-jem u sredini.

Ako želite dodjeljivati uloge iz grupa, odaberite i Token configuration → Add groups claim te Security groups. Entra šalje object ID-jeve grupa, a ne nazive, pa u SportyPlusu povežite ID-jeve.

Google Workspace

1. U Google Cloud konzoli odaberite ili stvorite projekt za svoju organizaciju.
2. Otvorite Google Auth Platform → Audience (zaslon za OAuth privolu) i postavite vrstu korisnika na Internal, kako bi se mogli prijaviti samo računi vašeg Workspacea.
3. Otvorite Clients → Create client, odaberite Web application, dodajte URI za preusmjeravanje pod Authorised redirect URIs i odaberite Create.
4. Kopirajte Client ID i Client secret.

URL izdavatelja je https://accounts.google.com.

Google pri prijavi ne šalje članstvo u grupama, pa uloge iz grupa nisu dostupne uz Google Workspace. Uloge dodijelite ručno.

Okta

1. U Okta administratorskoj konzoli otvorite Applications → Create App Integration, odaberite OIDC – OpenID Connect i Web Application.
2. Dodajte URI za preusmjeravanje pod Sign-in redirect URIs i dodijelite osobe ili grupe koje se smiju prijaviti.
3. Kopirajte Client ID i Client secret.

URL izdavatelja je vaša Okta domena, na primjer https://vasklub.okta.com. Ako koristite vlastiti autorizacijski poslužitelj, to je izdavatelj tog poslužitelja, na primjer https://vasklub.okta.com/oauth2/default.

Ako želite dodjeljivati uloge iz grupa, otvorite karticu Sign On aplikacije, uredite OpenID Connect ID Token i postavite Groups claim na groups s filtrom koji obuhvaća grupe koje želite slati.

Keycloak

1. U svom realmu otvorite Clients → Create client i odaberite OpenID Connect.
2. Uključite Client authentication i ostavite uključen Standard flow.
3. Dodajte URI za preusmjeravanje pod Valid redirect URIs.
4. Kopirajte tajnu klijenta s kartice Credentials.

URL izdavatelja je https://<vas-keycloak>/realms/<realm>.

Ako želite dodjeljivati uloge iz grupa, pod Client scopes otvorite namjenski opseg klijenta, dodajte mapper Group Membership, postavite naziv claima u tokenu na groups i isključite Full group path ako želite obične nazive grupa.

Dodajte pružatelja identiteta u SportyPlusu

Na stranici Club Admin → Postavke → Jedinstvena prijava (SSO) odaberite Dodaj pružatelja identiteta i ispunite:

Odaberite Spremi. SportyPlus odmah provjerava može li pročitati konfiguraciju izdavatelja i javlja ako ne može. Najčešći je uzrok pogreška u URL-u izdavatelja.

Uloge iz grupa

Pod Uloge iz grupa odaberite Dodaj grupu za svaku grupu koja treba davati ulogu u vašem klubu i odaberite Administrator, Blagajnik ili Zaposlenik. Upišite naziv grupe ili, za Entra ID, object ID grupe.

Pri svakoj prijavi SportyPlus uspoređuje grupe osobe s ovim popisom. Dodjeljuje uloge koje osoba treba imati i oduzima uloge koje joj je ranije dao za grupu u kojoj više nije.

• Ulogu koju ste nekome dali ručno, pod Administratori i uloge, jedinstvena prijava nikad ne oduzima.
• Vlasnik kluba uvijek ostaje administrator.
• Promjene vrijede od sljedeće prijave te osobe. Tko je uklonjen iz grupe kod pružatelja identiteta, zadržava ulogu do tada. Ako pristup treba odmah ukinuti, uklonite ga i u SportyPlusu.

Višefaktorska prijava

Vjeruj višefaktorskoj prijavi pružatelja identiteta zadano je uključeno. Članovi koji su u SportyPlusu uključili dvofaktorsku prijavu tada ne moraju unositi SportyPlus kod kad vaš pružatelj identiteta javi da je već proveo višefaktorsku autentifikaciju. Ako pružatelj to ne javi ili ovu opciju isključite, kod se traži kao i inače.

Potvrdite svoju domenu e-pošte

Jedinstvena prijava radi samo za adrese e-pošte na domenama za koje ste dokazali da pripadaju vašoj organizaciji. To sprječava da se itko pomoću veze prijavi kao netko drugi.

1. Pod Domene e-pošte upišite svoju domenu, na primjer vasklub.hr, i odaberite Dodaj domenu.
2. SportyPlus prikazuje TXT zapis s poljima Ime i Vrijednost. Dodajte točno taj zapis ondje gdje se upravlja DNS-om vaše domene: kod registrara, pružatelja hostinga ili na Cloudflareu.
3. Odaberite Provjeri sada. Promjene DNS-a mogu se pojaviti za nekoliko minuta, a mogu potrajati i do 48 sati. SportyPlus i sam ponovno provjerava svaki sat.

Kad domena prikazuje Potvrđeno, uključite vezu prekidačem Uključeno. Oznaka se mijenja u Aktivan i gumb se pojavljuje na stranici za prijavu vašeg kluba.

Dodajte svaku domenu koju vaši ljudi koriste, na primjer i vasklub.hr i studenti.vasklub.hr. Za svaku je potreban zaseban zapis.

Kako se ljudi prijavljuju

Na stranici za prijavu vašeg kluba ljudi odabiru Prijava s … i natpis koji ste dali vezi. Svatko može odabrati i Koristi jedinstvenu prijavu, upisati poslovnu e-poštu i odabrati Nastavi. SportyPlus pronalazi pružatelja identiteta koji je potvrdio domenu te adrese.

Kad se netko prvi put prijavi na ovaj način:

• Ako već ima SportyPlus račun s tom adresom e-pošte, prijavljuje se u njega. Rezervacije, članarine i povijest su na mjestu.
• Ako ga nema, račun mu se stvara. Zatim ga se traži da dovrši profil datumom rođenja i ostalim podacima koje SportyPlus treba.

Nakon toga se i dalje može prijaviti lozinkom, Googleom ili Appleom ako ih je ranije postavio. Jedinstvena prijava dodatan je način ulaska, a ne jedini.

Kad nešto ne radi

Zadnje korišteno uz vezu pokazuje kad se netko posljednji put prijavio preko nje. Tako brzo provjerite radi li veza nakon što nešto promijenite.