Zendesk는 SAML(Secure Assertion Markup Language) 및 JSON 웹 토큰(JWT)을 통해 Zendesk 계정에 대한 통합 인증(SSO) 액세스를 제공합니다. SSO를 통해 사용자는 회사 로그인 양식을 사용하여 한 번만 로그인하면 Zendesk 제품을 포함한 여러 시스템과 서비스 제공업체에 액세스할 수 있습니다.
Zendesk 관리자의 역할은 SSO 옵션을 사용 설정하는 일을 포함합니다. 이 문서에서는 팀원(라이트 상담사와 기여자를 포함한 관리자 및 상담사), 최종 사용자 또는 둘 다를 인증하는 데 사용될 수 있는 최대 2개의 SAML 통합 인증 구성을 사용 설정하는 방법에 대해 설명합니다.
이 문서에서는 다음과 같은 주제를 다룹니다.
- Zendesk용 SAML SSO 작동 방식
- SAML SSO를 사용 설정하기 위한 요구 사항
- SAML SSO 사용 설정하기
- 사용자에게 SAML SSO 배정하기
- SAML SSO를 사용 설정한 후 Zendesk에서 사용자 관리하기
- 인증 방법 전환하기
회사의 IT팀이 보통 회사의 SAML 인증 시스템을 설정하고 관리하는 일을 담당합니다. 이들의 역할은 시스템에서 Zendesk용 SSO를 구현하는 것입니다. 팀에게 이 문서의 다음 주제를 소개하세요.
관련 문서:
Zendesk용 SAML SSO 작동 방식
Zendesk용 SAML은 SAML이 다른 모든 서비스 제공업체에 대해 작동하는 방식으로 작동합니다. 일반적인 사용 사례는 Active Directory 또는 LDAP(일반적으로 ID 제공업체 즉 IdP라고 칭함) 같은 기업 인증 시스템에서 모든 사용자 인증을 관리하는 회사입니다. Zendesk는 ID 제공업체와 신뢰 관계를 형성하여 ID 제공업체가 사용자를 인증하여 Zendesk 계정에 로그인시킬 수 있도록 합니다.
일반적인 사용자 사례는 근무일을 시작하면서 회사 시스템에 로그인하는 사용자입니다. 일단 로그인하고 나면 이메일이나 Zendesk Support 등 회사의 다른 애플리케이션 및 서비스에 별도로 로그인하지 않고서도 액세스할 수 있습니다.
사용자가 Zendesk 계정에 직접 로그인하려고 시도하면 SAML 서버 또는 인증을 위한 서비스에 리디렉션됩니다. 인증된 후에는 Zendesk 계정에 다시 리디렉션되어 자동으로 로그인됩니다.
다른 지원되는 워크플로우는 회사 웹사이트에 로그인한 후 사용자에게 Zendesk에 액세스할 수 있는 권한을 부여하는 것입니다. 사용자가 웹사이트 자격 증명을 사용하여 웹사이트에 로그인하면 웹사이트에서 ID 제공업체에 사용자를 확인하는 요청을 보냅니다. 그런 다음 웹사이트가 제공업체의 응답을 SAML 서버에 보내고, 여기서 다시 응답을 Zendesk 계정으로 전달하여 사용자에게 세션을 부여합니다.
SAML SSO를 사용 설정하기 위한 요구 사항
회사에서 SAML 인증 시스템을 담당하는 팀(보통 IT팀)과 만나 회사가 다음 요구 사항을 충족하는지 확인하세요.
-
회사에는 프로비저닝된 사용자가 있거나 Microsoft Active Directory 또는 LDAP 등의 ID 저장소에 연결된 SAML 서버가 있습니다. 옵션에는 OpenAM과 같은 사내 SAML 서버를 사용하거나, Okta, OneLogin, PingIdentity 등의 SAML 서비스를 사용하는 것이 포함됩니다.
-
ADFS(Active Directory Federation Services) 서버를 사용하는 경우에는 양식 기반 인증을 사용 설정해야 합니다. Zendesk는 WIA(Windows Integrated Authentication)를 지원하지 않습니다. 자세한 내용은 ADFS 및 SAML로 Active Directory를 사용하여 통합 인증 설정하기를 참조하세요.
- Zendesk로 향하는 트래픽이 HTTP가 아니라 HTTPS를 통해야 합니다.
- SAML 서버의 원격 로그인 URL(종종 SAML 통합 인증 URL이라고도 함)
- (선택 사항) 사용자가 Zendesk에서 로그아웃 후 리디렉션될 수 있는 원격 로그아웃 URL
- (선택 사항) 사용자를 적절한 로그인 옵션에 리디렉션할 IP 범위 목록. 지정된 IP 범위에서 요청을 하는 사용자는 원격 SAML 인증 로그인 양식으로 라우팅됩니다. 범위 밖의 IP 주소에서 요청을 하는 사용자는 일반 Zendesk 로그인 양식으로 라우팅됩니다. 범위를 지정하지 않으면 모든 사용자가 원격 인증 로그인 양식으로 리디렉션됩니다.
- SAML 서버에서 온 SAML 인증서의 SHA2 지문. X.509 인증서가 지원되며 PEM 또는 DER 형식이어야 하지만 여전히 X.509 인증서의 SHA2 지문을 제공해야 합니다. SHA 지문의 크기에 대한 상한값은 없습니다.
IT 팀에서 SAML 구현을 구성하기 위해 Zendesk로부터 추가 정보를 필요로 할 수도 있습니다. 팀에게 이 문서의 기술 구현 워크시트를 추천하세요.
요구 사항을 만족하는지 확인하고 모든 필요한 정보를 갖춘 후 SAML SSO를 사용 설정하면 됩니다.
SAML SSO 사용 설정하기
관리자는 최종 사용자에 대해서만, 팀원(라이트 상담사와 기여자 포함)에 대해서만 또는 두 그룹 모두에 대해 SAML 통합 인증을 사용 설정할 수 있습니다. 최대 2개의 SAML SSO 구성을 만들 수 있습니다. 시작하기 전에 회사 IT팀으로부터 필요한 정보를 확보하세요. SAML SSO를 사용 설정하기 위한 요구 사항을 참조하세요.
Zendesk에서 SAML 통합 인증을 사용 설정하려면 다음과 같이 하세요.
- 관리 센터의 사이드바에서
계정을 클릭한 다음 보안 > 통합 인증을 선택합니다. - SSO 구성 만들기를 클릭한 다음 SAML을 선택합니다.
- 고유한 구성 이름을 입력합니다.
- SAML SSO URL에 대해 SAML 서버의 원격 로그인 URL을 입력합니다.
- SHA-256 인증서 지문을 입력합니다. 이는 Zendesk가 SAML 서버와 통신하는 데 필요합니다.
- (선택 사항) 원격 로그아웃 URL에 사용자가 Zendesk에서 로그아웃 후 리디렉션되어야 하는 로그아웃 URL을 입력합니다.
- (선택 사항) IP 범위에 사용자를 적절한 로그인 옵션에 리디렉션할 IP 범위 목록을 입력합니다.
지정된 IP 범위에서 요청을 하는 사용자는 원격 SAML 인증 로그인 양식으로 라우팅됩니다. 범위 밖의 IP 주소에서 요청을 하는 사용자는 일반 Zendesk 로그인 양식으로 라우팅됩니다. 모든 사용자가 원격 인증 로그인 양식으로 리디렉션되도록 하려면 범위를 지정하지 마세요.
- 저장을 클릭합니다.
기본적으로 엔터프라이즈 SSO 구성은 비활성 상태입니다. 활성화하려면 SSO 구성을 사용자에게 배정해야 합니다.
사용자에게 SAML SSO 배정하기
SAML SSO 구성을 만든 후에는 최종 사용자, 팀원 또는 둘 다에게 배정하여 활성화해야 합니다.
팀원 또는 최종 사용자에게 SSO 구성을 배정하려면 다음과 같이 하세요.
- 팀원 또는 최종 사용자에 대한 보안 설정을 엽니다.
- 팀원에게 SSO 구성을 배정하는 경우에는 외부 인증을 선택하여 인증 옵션을 표시합니다.
이러한 옵션은 이미 최종 사용자에게 표시됩니다.
- 외부 인증 섹션에서 통합 인증(SSO) 옵션을 클릭한 다음 사용하려는 SSO 구성의 이름을 선택합니다.
통합 인증이 모든 사용 사례에 적용되지 않을 수도 있으므로 Zendesk 인증이 기본적으로 활성화 상태로 유지됩니다. 사용자들이 기본 SSO 방법을 사용하여 로그인하도록 요구하려면 SSO 인증을 사용한 로그온만 허용하려면 부분을 참조하세요.
- 저장을 클릭합니다.
SSO 인증을 사용한 로그온만 허용하려면 다음과 같이 하세요.
- 팀원 또는 최종 사용자에 대한 보안 설정을 엽니다.
- 최종 사용자/팀원의 로그인 방법에 SSO로 리디렉션을 선택한 다음 저장을 클릭합니다.
- 관리 센터의 사이드바에서 계정을 클릭한 다음 보안 > 고급을 선택합니다.
- 인증 탭을 클릭한 다음 SSO 우회 옵션을 선택합니다.
외부 로그인 제공업체 시스템이 작동 정지되는 경우 계정 소유자에게만 계정 액세스 권한이 부여될 수 있는지 또는 모든 관리자(계정 소유자를 포함)에게 계정 액세스 권한이 부여될 수 있는지 선택할 수 있습니다.
액세스 권한을 얻기 위해 계정 소유자나 관리자는 일회성 액세스 링크가 포함된 이메일 수신을 요청합니다. 링크를 클릭하면 계정에 액세스할 수 있는 권한이 부여됩니다. 비밀번호는 필요하지 않습니다. 비밀번호가 사용 중지된 경우 계정에 액세스하기를 참조하세요.
- 저장을 클릭합니다.
SAML SSO를 사용 설정한 후 Zendesk에서 사용자 관리하기
Zendesk에서 SAML 통합 인증을 사용 설정한 후에는 Zendesk 외부 사용자에게 수행된 변경 내용이 Zendesk 계정에 동기화됩니다. 예를 들어 내부 Active Directory 또는 LDAP 시스템에 사용자가 추가되면 해당 사용자가 자동으로 Zendesk 계정에 추가됩니다. 내부 시스템에서 사용자가 삭제되면 해당 사용자는 더 이상 Zendesk에 로그인할 수 없게 되지만, 계정은 Zendesk에 그대로 유지됩니다.
기본적으로 통합 인증이 사용 설정되면 사용자 데이터 중 사용자의 이름, 성, 이메일 주소만 유일하게 Zendesk에 저장됩니다. Zendesk는 비밀번호를 저장하지 않습니다. 따라서 Zendesk에서 비밀번호에 관해 보내는 모든 자동화된 이메일 알림을 사용 중지해야 합니다. Zendesk에서 비밀번호 알림 이메일 사용 중지하기를 참조하세요.
더 나은 고객 경험을 제공하기 위해 Zendeskt에 사용자의 이름과 이메일 주소뿐만 아니라 더 많은 것을 저장하고자 할 수도 있습니다. 추가 사용자 데이터 확보하기를 참조하세요.
Zendesk에서 비밀번호 알림 이메일 사용 중지하기
사용자가 Zendesk 계정에 추가될 때 사용자에게 자동 이메일 알림을 보내 이메일 주소를 확인하고 사용자 이름과 비밀번호를 만들도록 요청할 수 있습니다.
SAML 또는 JWT를 통해 Zendesk 계정에 액세스하는 모든 새 사용자에 대해 Zendesk 사용자 프로필을 만듭니다. Zendesk가 아닌 다른 비밀번호로 인증되므로 비밀번호 없이 프로필이 만들어지는데 이는 Zendesk에 로그인하는 데 비밀번호가 필요없기 때문입니다. 하지만 기본적으로 모든 새 사용자는 이메일 주소를 확인하고 사용자 이름과 비밀번호를 만들도록 알리는 이메일을 받습니다.
- 관리 센터의 사이드바에서
사람을 클릭한 다음 구성 > 최종 사용자를 선택합니다. - 계정 관련 이메일 섹션에서 또한 상담사가나 관리자가 새 사용자를 만들 때 환영 이메일이 발송됩니다.를 선택 취소합니다.
- 사용자가 자신의 비밀번호 변경 가능에서 이 옵션을 선택 취소합니다.
인증 방법 전환하기
타사 SSO 방법을 사용하여 Zendesk에서 사용자를 만들고 인증한 다음 Zendesk 인증으로 전환하면 해당 사용자들에게는 로그인에 사용할 수 있는 비밀번호가 없습니다. 이러한 사용자들이 액세스 권한을 얻으려면 Zendesk 로그인 페이지에서 비밀번호를 재설정해야 합니다.
기술 구현 워크시트
이 섹션은 회사의 SAML 인증 시스템을 담당하는 팀을 위한 것으로 Zendesk SAML SSO 구현에 관한 자세한 내용을 다룹니다.
이 문서에서 다루는 주제는 다음과 같습니다.
인증 중인 사용자를 식별하기 위한 필수 사용자 데이터
Zendesk 계정에 SAML SSO 액세스를 구현할 때 인증 중인 사용자를 식별하기 위한 특정 사용자 데이터를 지정합니다.
다음 주제에서 제공해야 하는 데이터에 대해 설명합니다.
SAML 제목의 NameID에 사용자의 이메일 주소 지정하기
Zendesk는 이메일 주소를 사용하여 사용자를 고유하게 식별합니다. SAML 제목의 이름 ID에 사용자의 이메일 주소를 지정해야 합니다.
예:
<saml:Subject>
<saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">stevejobs@yourdomain.com</saml:NameID>
<saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
<saml:SubjectConfirmationData NotOnOrAfter="2014-04-23T21:42:47.412Z"/>
</saml:SubjectConfirmation>
</saml:Subject> givenname 및 surname 속성이 제공되지 않은 경우에는 Zendesk가
이메일의 사용자 이름 안에 마침표 문자가 있으면 그 마침표를 사용하여 이름과 성을 구분합니다. 마침표 문자가 없는 경우에는 전체 사용자 이름이 Zendesk에서 사용자의 이름이 됩니다. 예를 들어 이메일 주소가
SAML 어설션에서 두 개의 필수 사용자 속성 지정하기
givenname 및 surname 속성을 지정하는 경우에는 친근한 이름보다는 전체 네임스페이스를 사용하야 합니다. 예: 친근한 이름은 ‘surname’이지만 속성에 지정해야 하는 실제 값은 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname입니다.
| 개념 | 속성 | 설명 | 예제 값 |
|---|---|---|---|
| 이름 | givenname | 이 사용자의 이름입니다. 이 속성에 전체 네임스페이스를 지정해야 합니다. |
|
| 성 | surname | 이 사용자의 성입니다. 이 사용자의 givenname 및 surname에 따라 Zendesk에서 사용자가 만들어지거나 업데이트됩니다. 아래 예를 살펴보세요. 이 속성에 전체 네임스페이스를 지정해야 합니다. |
|
givenname 및 surname 예:
<saml:Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname">
<saml:AttributeValue xsi:type="xs:anyType">James</saml:AttributeValue>
</saml:Attribute>
<saml:Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">
<saml:AttributeValue xsi:type="xs:anyType">Dietrich</saml:AttributeValue>
</saml:Attribute>Zendesk는 추가 사용자 속성을 지원합니다. Zendesk Support 관리자와 Support에서의 데이터 요구 사항에 관해 이야기하세요.
추가 사용자 데이터 확보하기
인증 시스템에서 Zendesk가 필요로 하는 유일한 사용자 데이터는 사용자의 이름, 성, 이메일 주소입니다. 사용자의 이름에 대한 정보를 캡처할 때 사용해야 하는 유일한 속성 이름은 이름과 성입니다. 하지만 사용자가 로그인할 때 ID 제공업체가 Zendesk에 보내는 SAML 어설션에 사용자 속성을 추가하도록 IT팀에 요청함으로써 더 많은 데이터를 얻을 수 있습니다.
SAML 어설션은 사용자에 대한 하나 이상의 명령문을 포함합니다. 한 명령문은 사용자가 액세스 권한을 부여 받았는지 여부와 관계없이 권한 부여 결정 자체입니다. 또 다른 명령문은 로그인한 사용자를 설명하는 속성들로 구성되어 있습니다.
| 속성 | 설명 |
|---|---|
| organization | 사용자를 추가할 조직의 이름이나 ID. 조직의 external_id 속성은 지원되지 않습니다. 조직이 Zendesk에 존재하지 않으면 만들어지지 않습니다. 사용자가 만들어지지만 조직에 추가되지 않습니다. |
| organizations | org1, org2, org3 과 같이 쉼표로 구분된 값
|
| organization_id | 예: 134211213
|
| organization_ids | 23423433, 234324324,
23432 등과 같이 쉼표로 구분된 값
|
| ou | 조직 단위의 이름. organization 속성으로 지정하세요. |
| phone | 문자열로서 지정되는 전화번호 |
| tags | 사용자에게 설정하는 태그. 이 태그는 사용자 프로필에 있을 수 있는 다른 모든 태그를 대체합니다. |
| remote_photo_url | 사용자 프로필에 설정할 사진의 URL |
| locale(상담사용) locale_id(최종 사용자용) |
번호로서 지정되는 Zendesk에서의 로캘. 올바른 번호 목록을 보려면 API 문서에 있는 로캘을 참조하세요. |
| role | 사용자의 역할. 최종 사용자, 상담사 또는 관리자로 설정될 수 있습니다. 기본은 최종 사용자입니다. |
| custom_role_id | 위의 role 속성 값이 상담사인 경우에만 해당됩니다. 사용자 지정 역할 API로 사용자 지정 역할의 ID를 가져올 수 있습니다. |
| external_id | 사용자가 이메일 주소 외의 다른 것으로 식별되거나, 이메일 주소가 변경될 수 있는 경우 시스템의 사용자 ID로 문자열로서 지정됩니다. |
| user_field_<key> | Zendesk Support에서 사용자 지정 사용자 필드의 값. 사용자에게 사용자 지정 필드 추가하기를 참조하세요. <key>는 Zendesk Support에서 사용자 지정 사용자 필드에 배정된 필드 키입니다. 예: user_field_employee_number, 여기서 employee_number는 Zendesk의 필드 키입니다. 속성 값에 null 값이나 빈 문자열을 보내면 Zendesk Support에서 설정된 모든 사용자 지정 필드 값이 제거됩니다.
|
| 식별 이름 | SAML2 정식 이름 |
|---|---|
| ou(조직 단위) | urn:oid:2.5.4.11 |
| displayName | urn:oid:2.16.840.1.113730.3.1.241 |
Zendesk용 ID 제공업체 구성하기
| 속성 | 값 |
|---|---|
| entityID | https://yoursubdomain.zendesk.com |
| AudienceRestriction | yoursubdomain.zendesk.com |
두 값에 대해 your_subdomain을 Zendesk Support 하위 도메인으로 바꿉니다. 하위 도메인이 무엇인지 잘 모르겠으면 Zendesk 관리자에게 물어보세요.
Zendesk는 AudienceRestriction 속성을 강제 적용합니다.
Zendesk용 SAML 서버 구성하기
일부 SAML 서버는 Zendesk와의 연동을 구성할 때 다음 정보를 필요로 할 수도 있습니다.
-
ACS(Access Consumer Service) URL: https://yoursubdomain.zendesk.com/access/saml(대소문자 구분)을 지정하세요. 여기서 ‘accountname’은 회사의 Support 하위 도메인입니다.
-
SAML 통합 인증 URL로 리디렉션: HTTP POST를 사용하세요.
-
해시 알고리즘(ADFS): Zendesk는 ADFS(Active Directory Federation Services) 사용 시 SHA-2 알고리즘을 지원합니다.
원격 로그인 및 로그아웃 URL에 리턴되는 매개변수
사용자를 인증 시스템으로 리디렉션할 때 Zendesk는 원격 로그인 및 원격 로그아웃 URL에 다음 매개변수를 추가합니다.
| 속성 | 설명 |
|---|---|
| brand_id | 사용자가 로그인 시도 시 있었던 헬프 센터의 브랜드. 자세한 내용은 브랜드 중 하나에 대한 헬프 센터 만들기를 참조하세요. |
| 속성 | 설명 |
|---|---|
| 로그아웃하는 사용자의 이메일 | |
| external_id | Zendesk 사용자 프로필에 저장되는 시스템의 고유한 식별자 |
| brand_id | 사용자가 로그아웃할 때 있었던 헬프 센터의 브랜드. 자세한 내용은 브랜드 중 하나에 대한 헬프 센터 만들기를 참조하세요. |
로그아웃 URL에서 email 및 external id 정보를 받지 않으려면 Zendesk 관리자에게 관리자 인터페이스에서 원격 로그아웃 URL 필드에 공백 매개변수를 지정하도록 요구하세요. SAML SSO 사용 설정하기를 참조하세요. 예: https://www.yourdomain.com/user/signout/?email=&external_id=.
Zendesk용 SAML 구성 문제 해결하기
다음은 Zendesk의 SAML 2.0 메타데이터입니다.
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<EntityDescriptor entityID="https://yoursubdomain.zendesk.com" xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
<SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
<NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</NameIDFormat>
<AssertionConsumerService index="1" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://yoursubdomain.zendesk.com/access/saml"/> <!-- Note: replace 'accountname' with your Zendesk subdomain -->
</SPSSODescriptor>
</EntityDescriptor>Zendesk 다음과 같은 SAML 어설션을 기대합니다.
<samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ID="s2202bbbb
afa9d270d1c15990b738f4ab36139d463" InResponseTo="_e4a78780-35da-012e-8ea7-005056
9200d8" Version="2.0" IssueInstant="2011-03-21T11:22:02Z" Destination="https://yoursubdomain.zendesk.com/access/saml">
<saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">myidp.entity.id
</saml:Issuer>
<samlp:Status xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol">
<samlp:StatusCode xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
Value="urn:oasis:names:tc:SAML:2.0:status:Success">참고: Destination 속성에서 ‘accountname’을 Zendesk 하위 도메인으로 대체하세요.
Zendesk는 다음 예에서와 같이 어설션의 명령문(
<saml:AttributeStatement>
<saml:Attribute Name="organization">
<saml:AttributeValue xsi:type="xs:string">Acme Rockets</saml:AttributeValue>
</saml:Attribute>
<saml:Attribute Name="tags">
<saml:AttributeValue xsi:type="xs:string">tag1 tag2</saml:AttributeValue>
</saml:Attribute>
<saml:Attribute Name="phone">
<saml:AttributeValue xsi:type="xs:string">555-555-1234</saml:AttributeValue>
</saml:Attribute>
<saml:Attribute Name="role">
<saml:AttributeValue xsi:type="xs:string">agent</saml:AttributeValue>
</saml:Attribute>
<saml:Attribute Name="custom_role_id">
<saml:AttributeValue xsi:type="xs:string">12345</saml:AttributeValue>
</saml:Attribute>
</saml:AttributeStatement>Zendesk에서 지원되는 사용자 속성의 이름과 설명은 위의 추가 사용자 데이터 확보하기를 참조하세요. 선택적 사용자 속성에는 전체 네임스페이스가 지원되지 않습니다.
0 댓글
댓글을 남기려면 로그인하세요.