---
title: "Корпоративний SSO"
description: "Дозвольте своїй команді входити в ThunderPhone через постачальника ідентифікаційних даних вашої компанії, із JIT-підготовкою облікових записів і загальноорганізаційною політикою безпеки під вашим контролем."
---

Корпоративний SSO доступний у розділі **Налаштування → Організація** (вкладка «Загальні»), у картці **Корпоративний SSO**. Увімкніть перемикач **Єдиний вхід**, щоб відкрити конфігурацію. Переглядати або змінювати ці налаштування можуть лише **адміністратори** та **власники** організації.

## Політика безпеки

Три перемикачі для всієї організації, що зберігаються разом за допомогою **Зберегти політику**:

- **Вимагати SSO для входу** — учасники мають автентифікуватися через вашого постачальника ідентифікації.
- **Дозволити аварійний вхід за паролем для адміністраторів** — екстрений спосіб входу за паролем для адміністраторів, коли SSO примусово ввімкнено (можна налаштувати лише за ввімкненого примусового застосування).
- **Вимагати ключі доступу для доступу до організації** — кожен учасник має зареєструвати [ключ доступу](/uk/guides/account-and-security) і пройти перевірку ключем доступу після входу. Учасники без ключа доступу отримують **3-денний пільговий період**, щоб налаштувати його; на панелі політики показано, скільком учасникам він ще потрібен.

<Note>
  **[Ключі API](/uk/guides/api-keys) організації не підпадають під цю вимогу.**
  Ключі доступу — це перевірка 2FA для людини, прив’язана до сеансу входу; серверні ключі API (`sk_live_...`) — це машинні облікові дані без сеансу, до якого можна прив’язати перевірку ключем доступу, тому вони продовжують автентифікуватися навіть за ввімкненої політики — це передбачено навмисно, а не є пропуском. Коли вимогу ввімкнено й у вашій організації є активні ключі API, на панелі політики показано, скільки з них звільнено від вимоги, а також надано посилання на **Організація → Ключі**, щоб адміністратори могли перевірити або відкликати ті, які не мають залишатися активними.
</Note>

## SSO-підключення

SSO ThunderPhone працює на основі Stytch. **Додати підключення** створює підключення з такими параметрами:

| Поле | Призначення |
| --- | --- |
| **Назва підключення** | Мітка, наприклад «Acme Workspace SSO». |
| **Стандартна роль для нових користувачів** | Учасник, Адміністратор або Власник для облікових записів, створених через SSO. |
| **Слаг / ID організації Stytch** | Ідентифікує вашу організацію Stytch, що підтримує це підключення. |
| **Дозволені домени електронної пошти** | Домени, розділені комами, яким дозволено входити через це підключення. |
| **Зіставлення груп із ролями** | Масив JSON, що зіставляє групи IdP із ролями, наприклад `[{"group":"it-admins","role":"admin"}]`. |
| **Увімкнути JIT-підготовку** | Автоматично створювати облікові записи ThunderPhone під час першого входу через SSO. |
| **Підключення активне** | Деактивувати без видалення. |

Видалення підключення видаляє його назавжди — користувачі, які входили через нього, більше не зможуть ним користуватися.

<Note>
  Налаштування на стороні постачальника ідентифікації потребує організації Stytch; якщо у вас немає цих ідентифікаторів, зверніться до
  [підтримки](mailto:support@thunderphone.com), щоб підготувати вашу організацію.
</Note>

## Наступні кроки

<CardGroup cols={2}>
  <Card title="Запросіть свою команду" icon="user-plus" href="/uk/guides/invite-your-team">
    Ролі та запрошення для учасників, які приєднуються поза SSO.
  </Card>
  <Card title="Обліковий запис і безпека" icon="shield" href="/uk/guides/account-and-security">
    Як вимога щодо ключів доступу виглядає для кожного учасника.
  </Card>
</CardGroup>