راه‌اندازی
در کنسول ← هویت ← SSO ویزارد راه‌اندازی را باز کنید: نام نمایشی، نشانی ورود (slug) و روش‌های ورود را انتخاب کنید. Issuer شما به شکل https://whycloud.ir/sso/<slug> ساخته می‌شود و صفحهٔ «نمای کلی» همهٔ Endpointها (Discovery، Authorize، Token، UserInfo و JWKS) را با دکمهٔ کپی نشان می‌دهد.
افزودن اپ
در «اپ‌ها» دکمهٔ «اپ جدید» را بزنید. نوع اپ را انتخاب کنید: وب (با Client Secret)، SPA یا موبایل (PKCE بدون Secret) یا ماشین (Client Credentials). آدرس‌های Redirect دقیق و در صورت نیاز گروه‌های مجاز را وارد کنید. Client Secret فقط یک‌بار نمایش داده می‌شود؛ آن را در Secret اپ نگه دارید و در صورت نشت از صفحهٔ اپ بچرخانید.
کاربران و گروه‌ها
در «دایرکتوری» کاربر بسازید یا دعوت کنید، گروه بدهید و در صورت نیاز غیرفعال کنید. گروه‌ها در Claim به نام groups داخل ID Token قرار می‌گیرند تا اپ‌ها (مثلاً Grafana) نقش را از آن بخوانند. اعضای کنسول WhyCloud بدون ساخت کاربر جدا هم می‌توانند وارد شوند.
ورود با Google، Microsoft یا هر OIDC
در «دایرکتوری ← ارائه‌دهندگان هویت» یک IdP اضافه کنید: Issuer، Client ID و Client Secret همان ارائه‌دهنده و در صورت نیاز محدودیت دامنهٔ ایمیل. آدرس Callback نمایش‌داده‌شده را در کنسول ارائه‌دهنده ثبت کنید. کاربر با ایمیل تأییدشده به حساب موجود وصل می‌شود و اگر «ساخت خودکار» روشن باشد، حساب جدید برایش ساخته می‌شود.
همگام‌سازی با Active Directory، LDAP و Keycloak
در «کاربران SSO ← همگام‌سازی دایرکتوری» دکمهٔ «اتصال دایرکتوری» را بزنید و نوع را انتخاب کنید. برای AD و LDAP آدرس سرور (ترجیحاً ldaps://dc1.acme.local:636)، یک حساب سرویس فقط‌خواندنی و Base DN را بدهید؛ فیلتر کاربران و نگاشت ویژگی‌ها پیش‌فرض مناسب دارد (AD: sAMAccountName، mail، displayName، memberOf). برای Keycloak یک Client محرمانه با Service account و نقش view-users بسازید. در قدم «آزمایش» دایرکتوری بدون هیچ تغییری خوانده می‌شود و نمونهٔ کاربران را می‌بینید. سپس زمان‌بندی (۱۵ دقیقه تا روزانه)، رفتار با کاربرانی که در منبع نیستند (غیرفعال یا حذف) و «بررسی رمز در منبع» را تعیین کنید. با بررسی رمز در منبع، کاربران با همان رمز سازمانی وارد می‌شوند و رمزی در WhyCloud ذخیره نمی‌شود. اگر منبع ناگهان هیچ کاربری برنگرداند، همگام‌سازی انجام نمی‌شود تا کاربران به‌اشتباه غیرفعال نشوند.
افزودن و حذف کاربران
در «کاربران SSO» با «کاربر» یک کاربر بسازید (رمز موقت یک‌بار نمایش داده می‌شود و در اولین ورود تغییر می‌کند) یا با «ورود CSV» تا ۲۰۰۰ کاربر را یک‌جا وارد کنید (ستون‌ها: username, email, name, groups). با کلیک روی هر کاربر می‌توانید گروه، موبایل و وضعیت را تغییر دهید، رمز موقت جدید بدهید، او را از همهٔ نشست‌ها خارج کنید، غیرفعال یا حذف کنید. کاربران همگام‌شده را در خود دایرکتوری تغییر دهید. اعضای کنسول WhyCloud (کسانی که کنسول را می‌بینند) در «اعضا و دسترسی (IAM)» دعوت یا حذف می‌شوند.
ورود دومرحله‌ای برای همهٔ کاربران
در تنظیمات SSO سیاست را «اختیاری» یا «الزامی برای همه» کنید؛ این سیاست برای کاربران دستی، همگام‌شده از AD/LDAP/Keycloak و کسانی که با Google یا Microsoft وارد می‌شوند اعمال می‌شود. در اولین ورود، کاربر یک کد QR را با Google Authenticator، Microsoft Authenticator یا هر برنامهٔ TOTP اسکن می‌کند. اگر «کد پیامکی» را روشن کنید، کاربرانی که شمارهٔ موبایل دارند می‌توانند به‌جای برنامه، کد ۵ رقمی پیامکی بگیرند. برای یک کاربر خاص هم می‌توانید ورود دومرحله‌ای را جداگانه الزامی کنید و در صورت گم‌شدن گوشی، آن را بازنشانی کنید.
سرور SSO اختصاصی (On-Premise)
در «سرورهای SSO» ویزارد را دنبال کنید: سرور متصل، دامنه و نسخه را انتخاب کنید. SSO با پایگاه دادهٔ PostgreSQL خودش روی سرور شما با Docker اجرا می‌شود و ورود کاربران کاملاً همان‌جا انجام می‌شود. با سوییچ بالای صفحهٔ SSO بین «ابری» و هر سرور جابه‌جا شوید؛ اپ‌ها، کاربران و IdPها در هر استقرار جدا هستند.
پشتیبان، ارتقا و هزینه
سرور SSO پشتیبان زمان‌بندی‌شده و بازیابی دارد و ارتقای نسخه پس از Snapshot انجام می‌شود؛ اگر سرویس سالم بالا نیاید، خودکار به نسخهٔ قبل برمی‌گردد. هزینهٔ SSO ابری برای کاربرانی است که در ۳۰ روز گذشته وارد شده‌اند (ساعتی) و سرور اختصاصی ساعتی جدا حساب می‌شود.