← Trợ giúp Modak

Đăng nhập bằng tài khoản công ty,
và người dùng tự động vào được

Cho phép đăng nhập vào Modak bằng tài khoản IdP công ty đang dùng như Okta · Microsoft Entra ID · Google Workspace (SAML SSO), và người dùng, nhóm được tạo và xóa tự động qua đồng bộ thư mục (SCIM). Giống hệt cách đã dùng trên Slack. Quản trị viên workspace thiết lập.

1 Chuẩn bị 2 Xác minh tên miền 3 Đăng ký Modak với IdP 4 Nhập IdP vào Modak 5 Bật và thử 6 Bắt buộc SSO 7 Liên kết thư mục 8 Gặp sự cố?
1
Quản trị viên không gian làm việc thực hiệnMất khoảng 20 phút trở lên

Trước khi bắt đầu

Đăng nhập bằng tài khoản doanh nghiệp trên Modak được thiết lập riêng cho từng không gian làm việc. Vui lòng chuẩn bị bốn mục dưới đây.

Cần chuẩn bị

  • Gói Modak AI Plus — SSO doanh nghiệp (SSO) và tích hợp thư mục chỉ có từ gói Plus. Bạn có thể nâng cấp trong Cài đặt không gian làm việc › Bảo mật·Kiểm toán. (Gói Modak AI Agent cũng đã bao gồm tính năng này.)
  • Tài khoản quản trị viên không gian làm việc Modak: nhấn bánh răng ở góc trên bên trái để mở “Cài đặt không gian làm việc”.
  • Cần quyền quản trị viên IdP của công ty. Hoạt động với các dịch vụ hỗ trợ SAML 2.0 như Okta · Microsoft Entra ID · Google Workspace · OneLogin · ADFS.
  • Người có quyền chỉnh sửa DNS của tên miền công ty: thêm một dòng bản ghi TXT. (Đây là bước xác nhận tên miền thuộc về công ty.)
Thứ đã dùng trên SlackTrong Modak thìỞ đâu
SAML SSOĐăng nhập bằng tài khoản công ty (SAML)Cài đặt workspace › Đăng nhập·SSO › ②
Bắt buộc SSO (Require SSO)Bắt buộc SSO«Bắt buộc SSO» trên cùng màn hình
Đăng nhập trực tiếp từ IdPĐăng nhập trực tiếp từ ô ứng dụng IdP«Ô ứng dụng IdP» trên cùng màn hình
Đồng bộ thư mục (SCIM)Đồng bộ thư mục (SCIM)Cài đặt workspace › Đăng nhập·SSO › ③
Tab Đăng nhập·SSO trong cài đặt workspace — ba khu vực: xác minh tên miền, đăng nhập bằng tài khoản công ty, đồng bộ thư mục
Cài đặt workspace › tab Đăng nhập·SSO. Làm theo thứ tự từ trên xuống (① → ② → ③) · Nhấn để xem lớn hơn
2
Modak + DNSMất khoảng 5 phút trở lên

Xác minh tên miền công ty

Chỉ những người có email thuộc tên miền đã xác minh mới có thể vào bằng tài khoản công ty. Bước này nhằm ngăn người của công ty khác đăng nhập như người trong công ty, nên nhất định phải làm trước. Không thể xác minh email công cộng như gmail.com hay naver.com.

AThêm tên miền và lấy giá trị TXT

  1. Ở góc trên bên trái Modak, nhấn biểu tượng bánh răng bên cạnh tên workspace → mở tab Đăng nhập·SSO.
  2. ① Xác thực tên miền email công ty: nhập tên miền công ty vào ô nhập rồi nhấn 「Thêm tên miền」. (Ví dụ: example.co.kr — chỉ nhập tên miền, không có địa chỉ email hay http://)
  3. Dưới tên miền sẽ hiển thị host (tên) và giá trị TXT. Hãy nhấn «Sao chép» cho từng mục và lưu lại.
Màn hình hiển thị host và giá trị TXT sau khi thêm tên miền
Khi thêm tên miền, host và giá trị TXT cần đưa vào DNS sẽ hiển thị · Nhấn để xem lớn

BThêm bản ghi TXT vào DNS

  1. Mở màn hình quản lý DNS của tên miền công ty (Gabia, Route 53, Cloudflare, DNS nội bộ của công ty...).
  2. Thêm một bản ghi TXT. Ở host (tên) nhập _modak-challenge, còn ở giá trị nhập đúng modak-site-verification=… mà Modak cung cấp.
  3. Sau khi lưu, quay lại Modak và nhấn 「Xác minh」. Khi bên cạnh tên miền chuyển thành 「Đã xác minh」 là xong.
Một số DNS tự động thêm tên miền phía sau: nếu màn hình tự thêm tên miền, chỉ nhập _modak-challenge. Nếu cần nhập đầy đủ tên, hãy nhập nguyên _modak-challenge.tên-miền mà Modak cung cấp. DNS có thể mất vài phút đến vài giờ để cập nhật. Sau khi xác minh xong, bạn có thể xóa bản ghi TXT.

Nên biết

  • Mỗi tên miền chỉ có thể xác minh cho một không gian làm việc. Nếu tên miền đã được xác minh ở nơi khác, bạn sẽ thấy thông báo. Nếu đó đúng là tên miền công ty, hãy báo cho chúng tôi qua support@modak.im.
  • Bạn có thể thêm tối đa 10 tên miền. Nếu nhiều công ty liên kết cùng dùng một không gian làm việc, hãy xác minh tất cả các tên miền.
3
Màn hình quản trị IdPMất khoảng 10 phút trở lên

Đăng ký Modak trên IdP của công ty

Trên IdP (Okta·Entra ID·Google, v.v.), hãy tạo một ứng dụng SAML và nhập các giá trị mà Modak cung cấp. Các giá trị được hiển thị ở Đăng nhập·SSO › ② Đăng nhập tài khoản công ty (SAML) › Bước 1 trong Modak.

Bước 1 — ACS URL và Entity ID để đăng ký Modak với IdP của công ty
Giá trị cần nhập vào IdP. Nhấn «Sao chép» bên cạnh từng giá trị để dán · Nhấn để xem lớn
Giá trị Modak cung cấpTên gọi trên IdP
ACS URLSingle sign-on URL · Reply URL(Assertion Consumer Service URL) · ACS URL
Entity IDAudience URI · SP Entity ID · Identifier
Định dạng Name IDĐịa chỉ email (EmailAddress) — tên người dùng là email
Thuộc tính (tùy chọn)email · name: không có cũng được, miễn là Name ID là email.
Email chính là danh tính: Modak nhận biết người dùng qua email công ty mà IdP gửi. Nếu email không thuộc tên miền đã xác minh thì không thể đăng nhập. Nếu số nhân viên hoặc UPN khác với email, hãy chỉnh bên IdP để Name ID (hoặc thuộc tính email) là địa chỉ email.
Okta
  1. Vào Applications → Create App Integration → chọn SAML 2.0. Đặt tên ứng dụng là Modak.
  2. Nhập ACS URL của Modak vào Single sign-on URL và Entity ID vào Audience URI (SP Entity ID). Đặt Name ID format là EmailAddress và Application username là Email.
  3. (Tùy chọn) Thêm email = user.email và name = user.displayName vào Attribute Statements.
  4. Sau khi tạo ứng dụng, ở tab Sign On hãy sao chép Metadata URL (hoặc liên kết Identity Provider metadata) và lưu lại — sẽ dùng ở bước 4.
  5. Trong Assignments, chỉ định người hoặc nhóm sẽ dùng Modak.
Microsoft Entra ID (Azure AD)
  1. Vào Enterprise applications → New application → Create your own application, chọn Integrate any other application you don't find in the gallery (Non-gallery) và tạo với tên Modak.
  2. Trong Single sign-on → SAML, mục Basic SAML Configuration: nhập Entity ID của Modak vào Identifier (Entity ID) và ACS URL vào Reply URL (ACS).
  3. Trong Attributes & Claims, đặt Unique User Identifier(Name ID) thành user.mail và định dạng thành Email address. Nếu UPN khác với email, nhất định phải đổi thành mail.
  4. Sao chép App Federation Metadata Url trong SAML Certificates và lưu lại — bạn sẽ dùng ở bước 4.
  5. Trong Users and groups, chỉ định người sẽ dùng Modak.
Google Workspace
  1. Trong bảng quản trị, nhấn Ứng dụng → Ứng dụng web và di động → Thêm ứng dụng → Thêm ứng dụng SAML tùy chỉnh. Đặt tên ứng dụng là Modak.
  2. Chi tiết nhà cung cấp Google ID: nhấn Tải xuống siêu dữ liệu để lấy file XML và giữ lại. Bạn sẽ tải file này lên ở bước 4.
  3. Trong Chi tiết nhà cung cấp dịch vụ, nhập ACS URL của Modak vào ACS URL và nhập Entity ID vào ID đối tượng. Đặt Name ID format là EMAIL và Name ID là Thông tin cơ bản > Email chính.
  4. Trong cài đặt ứng dụng, chuyển Quyền truy cập người dùng sang Bật (có thể chỉ định theo từng đơn vị tổ chức).

Google Workspace không hỗ trợ tự động cấp phát người dùng (SCIM) cho ứng dụng SAML tự tạo — chỉ dùng đăng nhập (SSO), còn người dùng thì mời hoặc tự động vào khi đăng nhập lần đầu.

Các IdP khác (OneLogin · ADFS · Keycloak · Ping, v.v.)
  1. Tạo một ứng dụng SAML 2.0 mới và nhập ACS URL và Entity ID trong bảng trên.
  2. Đặt Name ID là địa chỉ email, và chữ ký là chữ ký Response hoặc Assertion (RSA-SHA256).
  3. Lấy URL metadata hoặc file XML metadata của IdP và lưu lại.
  4. Một số IdP có thể tự điền các giá trị trên chỉ bằng cách tải lên tệp XML 「Tải tệp metadata Modak (SP)」 mà Modak cung cấp.
4
ModakMất khoảng 3 phút

Nhập thông tin IdP vào Modak

ANhập siêu dữ liệu và xác nhận

  1. Trong Đăng nhập·SSO › ② › Bước 2 của Modak, dán URL metadata của IdP. Nếu là tệp XML, nhấn 「Tải tệp XML lên」 để chọn tệp, hoặc dán XML vào ô bên dưới cũng được.
  2. Nhấn 「Kiểm tra kết nối」. Nếu hiển thị Entity ID, địa chỉ đăng nhập của IdP cùng số lượng chứng chỉ chữ ký và ngày hết hạn thì nghĩa là đã đọc đúng.
  3. Nhấn 「Lưu」.
Nếu nhập bằng URL siêu dữ liệu, khi IdP tạo chứng chỉ mới, Modak sẽ tự tải lại mỗi ngày một lần (và cả khi đăng nhập bị chặn). Nếu nhập bằng file XML, mỗi lần chứng chỉ thay đổi bạn phải tải lên file mới.
Màn hình hiển thị Entity ID, địa chỉ đăng nhập và chứng chỉ chữ ký sau khi bạn nhập siêu dữ liệu IdP và nhấn kiểm tra kết nối
«Kiểm tra kết nối» — nếu IdP được đọc đúng, Entity ID, địa chỉ đăng nhập và chứng chỉ sẽ hiển thị · Nhấn để xem lớn

BKhi tên thuộc tính email·tên khác nhau (thường thì bỏ qua)

  1. Mở rộng mục 「Đổi tên thuộc tính」.
  2. Nếu IdP gửi email dưới tên khác mail hoặc emailaddress, hãy ghi tên thuộc tính đó. Nếu để trống, hệ thống sẽ tìm lần lượt email · mail · emailaddress · upn · Name ID (dạng email).
5
Modak + IdPMất khoảng 5 phút

Bật và đăng nhập thử

ABật

  1. Ở Bước 3 · Bật và thử nghiệm, bật 「Dùng đăng nhập tài khoản công ty (SSO)」. Nếu chưa có xác thực tên miền và siêu dữ liệu IdP thì không bật được.
  2. Chỉ bật thôi thì đăng nhập hiện tại (mã email·Google) không bị chặn. Cho đến khi hoàn tất đăng nhập thử, không ai bị đưa ra ngoài.

BĐăng nhập thử

  1. Nhấn 「Thử đăng nhập (tab mới)」. Màn hình đăng nhập IdP của công ty sẽ mở ra.
  2. Khi đăng nhập bằng tài khoản công ty thành công, Modak sẽ mở và màn hình cài đặt hiển thị thời điểm 「Thành công gần nhất」.
Đừng quên gán ứng dụng Modak trong IdP — cần gán ứng dụng cho từng người trong IdP thì mới đăng nhập được. Kể cả quản trị viên cũng vậy.
Màn hình bật đăng nhập bằng tài khoản công ty và nhấn nút đăng nhập thử
Bật «Sử dụng» và thử «Đăng nhập thử» · Nhấn để xem lớn

CNhân viên đăng nhập như sau

  1. Trên màn hình đăng nhập Modak, nhập email công ty.
  2. Nếu miền đó đã bật SSO, thay vì mã xác nhận qua email, bạn sẽ thấy «Tiếp tục bằng tài khoản công ty». Nhấn vào đó để đăng nhập qua IdP và vào thẳng không gian làm việc.
  3. Bạn cũng có thể nhấn vào Modak trong danh sách ứng dụng (ô) của IdP để vào trực tiếp. (Nếu muốn tắt, hãy tắt «Cho phép đăng nhập trực tiếp từ ô ứng dụng IdP».)
Ứng dụng máy tính và điện thoại cũng giống vậy — đăng nhập trong ứng dụng được thực hiện trên trình duyệt, nên bạn cũng đăng nhập bằng tài khoản công ty như trên.
Màn hình đăng nhập — khi nhập email, nút «Tiếp tục bằng tài khoản công ty» sẽ xuất hiện
Khi nhập email công ty sẽ hiện 「Tiếp tục với tài khoản công ty」 · Nhấn để xem lớn hơn

Còn người đăng nhập lần đầu thì sao?

  • Người chưa có trong workspace khi đăng nhập SSO lần đầu sẽ được tự động thêm làm thành viên. Chỉ thấy kênh mặc định, và vai trò là Thành viên.
  • Nếu không muốn tự động thêm, hãy tắt 「Tự động thêm người đăng nhập lần đầu làm thành viên」. Khi đó chỉ những người đã là thành viên hoặc được tạo qua đồng bộ thư mục ở bước 7 mới vào được.
6
Tùy chọnChỉ sau khi đăng nhập thử

Chuyển sang bắt buộc SSO

Khi bật «Bắt buộc SSO», email thuộc miền đã xác minh chỉ có thể đăng nhập bằng tài khoản công ty. Đăng nhập bằng mã email, Google và WorksAI đều sẽ bị chặn.

Bắt buộc SSO, ô ứng dụng IdP, tùy chọn tự động thêm
Sau khi đăng nhập thử thành công có thể bật「Bắt buộc SSO」 · Nhấn để xem lớn hơn
Có cơ chế chống khóa: để tránh trường hợp cấu hình sai khiến mọi người không thể vào, bạn chỉ có thể bật sau khi đăng nhập thử thành công một lần. Khi bật, những người đã đăng nhập trước đó cũng phải đăng nhập lại bằng tài khoản công ty. Quản trị viên không gian làm việc là ngoại lệ, nên dù IdP gặp sự cố, họ vẫn có thể đăng nhập bằng mã email và sửa cài đặt.

Nên biết

  • Email không thuộc tên miền công ty (ví dụ khách mời từ đối tác bên ngoài) không bị ảnh hưởng. Vẫn đăng nhập bằng liên kết mời và mã email như hiện nay.
  • Nếu tắt SSO hoặc xóa hết các miền đã xác minh, «Bắt buộc SSO» cũng sẽ được tắt.
7
Tùy chọnOkta · Entra ID v.v.

Tự động quản lý người dùng·nhóm bằng đồng bộ thư mục (SCIM)

Khi bật đồng bộ thư mục, người dùng thêm trên IdP sẽ tự động được tạo trong Modak, và khi vô hiệu hóa do nghỉ việc hoặc nghỉ phép, họ cũng sẽ bị gỡ khỏi Modak. Nhóm của IdP được liên kết với nhóm (nhóm người dùng) trong Modak, nên chỉ cần gõ @tênnhóm là có thể gọi toàn bộ thành viên.

ATạo token trong Modak

  1. Trong Đăng nhập·SSO › ③ Đồng bộ thư mục(SCIM), nhấn “Tạo token”. (Tên miền phải đã được xác minh.)
  2. URL cơ sở SCIM và Secret Token sẽ hiện ra. Nhấn “Sao chép” cho từng mục rồi dán vào IdP. Token chỉ hiển thị một lần.
Nếu bị mất token, nhấn “Tạo token mới”. Token cũ sẽ vô hiệu ngay, nên hãy nhập token mới vào IdP. Nhấn “Hủy token” sẽ tắt đồng bộ.
Khu vực đồng bộ thư mục — URL cơ sở SCIM và token vừa tạo
URL cơ sở SCIM và token cần dán vào IdP · Nhấn để xem lớn
Microsoft Entra ID
  1. Trong Provisioning → Get started của ứng dụng doanh nghiệp đã tạo ở bước 3, đặt Provisioning Mode thành Automatic.
  2. Nhập URL cơ sở SCIM của Modak vào Tenant URL và nhập token vào Secret Token. Nhấn Test Connection, nếu thành công thì lưu lại.
  3. Trong Mappings → Provision Microsoft Entra ID Users (tên cũ là Provision Azure Active Directory Users), đặt userName ánh xạ tới mail (email công ty). Nếu userPrincipalName mặc định khác với email, hệ thống sẽ không nhận ra cùng một người.
  4. Trong Users and groups, chỉ định người và nhóm cần đồng bộ, rồi đặt Provisioning status thành On.
Okta
  1. Trên Okta, hãy chuẩn bị một ứng dụng hỗ trợ SCIM provisioning. Bạn có thể dùng ứng dụng cho phép nhập trực tiếp URL cơ sở SCIM và token, chẳng hạn SCIM 2.0 Test App (Header Auth) trong danh mục. (Ứng dụng SAML tự tạo có thể không có tab Provisioning.)
  2. Trong Provisioning → Integration, nhập URL cơ sở SCIM của Modak vào SCIM connector base URL và nhập userName vào Unique identifier field for users. Chọn HTTP Header cho Authentication Mode, rồi nhập token vào ô Authorization.
  3. Nếu Test Connector Configuration thành công thì lưu lại, rồi trong To App bật Create Users · Update User Attributes · Deactivate Users. Gửi nhóm bằng Push Groups.
Việc cần làm trên IdPNhững việc xảy ra trong Modak
Thêm người dùng (Create)Nếu email thuộc tên miền đã xác minh, người đó sẽ được tạo làm thành viên
Đổi tên người dùng (Update)Tên hiển thị trong Modak sẽ thay đổi (không thể thay đổi email)
Vô hiệu hóa·xóa người dùng (Deactivate)Bị đưa ra khỏi workspace. Tin nhắn và tệp đã gửi vẫn được giữ lại, khi kích hoạt lại sẽ quay về
Tạo·thêm thành viên·xóa nhómNhóm (nhóm người dùng) của Modak sẽ được tạo và thành viên sẽ được khớp

Nên biết

  • Email thuộc tên miền chưa xác minh sẽ không được tạo. Ngay cả khi token bị lộ, cũng không ai có thể thêm người của công ty khác.
  • Quản trị viên cuối cùng sẽ không bị xóa. Vai trò (quản trị viên) không được thay đổi qua SCIM mà do bạn đặt trong Modak. Người được tạo qua đồng bộ sẽ bắt đầu với vai trò thành viên.
  • Người bị đưa ra ngoài qua đồng bộ cũng không thể vào lại bằng SSO. Nếu kích hoạt lại trong IdP thì họ sẽ quay lại.
8
Xử lý sự cố

Bị tắc rồi?

Các tình huống thường gặp

«Xác minh tên miền» liên tục thất bại
Hãy kiểm tra host của bản ghi TXT có phải là _modak-challenge (hoặc _modak-challenge.tênmiền) không, và giá trị có đầy đủ modak-site-verification=… không. Cũng hãy xem giá trị có dính dấu nháy hoặc khoảng trắng thừa ở đầu hoặc cuối không. Việc cập nhật DNS có thể mất một lúc.
Đã đăng nhập nhưng hiển thị «Miền email của tài khoản công ty chưa được xác minh cho không gian làm việc này»
Miền email IdP gửi không phải là miền đã xác minh ở Bước 2. Nếu là miền của công ty liên kết, hãy thêm và xác minh cả miền đó. Nếu IdP gửi UPN hoặc mã nhân viên thay vì email, hãy kiểm tra cài đặt Name ID/email ở Bước 3.
Hiển thị «Không thể vào vì tài khoản công ty không có email»
Phản hồi từ IdP không có email. Hãy đặt định dạng Name ID thành EmailAddress hoặc gửi thuộc tính email. Nếu tên thuộc tính khác, hãy ghi vào «Đổi tên thuộc tính» ở Bước 4 B.
Muốn bật «Bắt buộc SSO» nhưng không bật được
Phải đăng nhập thử thành công một lần mới bật được. Hãy thực hiện 「Đăng nhập thử (tab mới)」 ở mục 5B trước.
Đổi chứng chỉ IdP xong thì không đăng nhập được
Nếu bạn đã nhập metadata dưới dạng URL, khi thử đăng nhập Modak sẽ tự động lấy chứng chỉ mới. Nếu bạn nhập dưới dạng tệp XML, ở bước 4 hãy tải lên và lưu lại tệp XML mới.
Gặp lỗi thời gian đăng nhập
Nếu đồng hồ giữa IdP và Modak lệch nhau hơn 3 phút, yêu cầu sẽ bị từ chối. Hãy kiểm tra thời gian trên máy chủ IdP.
Người dùng không được tạo qua đồng bộ
Hãy kiểm tra lý do lỗi trong nhật ký phía IdP. Các lý do thường gặp là ① Miền email chưa được xác minh ② Đã có người dùng với cùng email (cài IdP để tìm người dùng hiện có trước bằng cách khớp userName) ③ Token đã bị thu hồi.