Skip to main content
يدعم ClickHouse Cloud تسجيل الدخول الأحادي (SSO) عبر لغة توصيف تأكيد الأمان (SAML). يتيح لك ذلك تسجيل الدخول بأمان إلى المؤسسة الخاصة بك في ClickHouse Cloud من خلال المصادقة باستخدام موفّر الهوية (IdP) لديك. نحن ندعم SSO الذي يبدأه موفّر الخدمة، واستخدام مؤسسات متعددة لاتصالات منفصلة، والتوفير الفوري عند الحاجة. كما ندعم توفير SCIM في private preview، مع دعم Okta. ولا ندعم حتى الآن تعيين السمات. يمكن للعملاء الذين يفعّلون تكاملات SAML أيضًا تحديد الدور الافتراضي الذي سيُعيَّن للمستخدمين الجدد وضبط إعدادات مهلة الجلسة.

​
قبل أن تبدأ

ستحتاج إلى أذونات Admin في موفّر IdP لديك، وإلى القدرة على إضافة سجل TXT إلى إعدادات DNS الخاصة بنطاقك، وإلى دور Admin في مؤسستك على ClickHouse Cloud. نوصي أيضًا بإعداد رابط مباشر إلى مؤسستك بالإضافة إلى اتصال SAML الخاص بك لتبسيط عملية تسجيل الدخول. تختلف طريقة تنفيذ ذلك من موفّر IdP إلى آخر. تابع القراءة لمعرفة كيفية القيام بذلك لدى موفّر IdP لديك.

​
كيفية إعداد موفّر الهوية (IdP) لديك

​
الخطوات

1

​
الوصول إلى إعدادات المؤسسة

انقر على اسم مؤسستك في الزاوية السفلية اليسرى، ثم اختر «تفاصيل المؤسسة».
2

​
تمكين تسجيل الدخول الأحادي عبر SAML

انقر على زر التبديل بجوار Enable SAML single sign-on. اترك هذه الشاشة مفتوحة لأنك ستحتاج إلى الرجوع إليها عدة مرات أثناء عملية الإعداد.
3

​
أنشئ تطبيقًا في موفّر الهوية لديك

أنشئ تطبيقًا في موفّر الهوية لديك، ثم انسخ القيم الظاهرة في شاشة Enable SAML single sign-on إلى إعدادات موفّر الهوية. لمزيد من المعلومات حول هذه الخطوة، راجع موفّر الهوية المناسب أدناه.
لا يدعم ClickHouse تسجيل الدخول المُبادَر به من موفّر الهوية. ولتسهيل وصول المستخدمين إلى ClickHouse Cloud، أنشئ لهم إشارة مرجعية باستخدام صيغة URL لتسجيل الدخول التالية: https://console.clickhouse.cloud/?connection={orgId} حيث إن {orgID} هو معرّف المؤسسة الخاص بك في صفحة تفاصيل المؤسسة.
4

​
أضِف Metadata URL إلى إعدادات SAML لديك

احصل على Metadata URL من موفّر SAML لديك. ثم عُد إلى ClickHouse Cloud، وانقر على Next: Provide metadata URL والصق عنوان URL في مربع النص.
5

​
الحصول على رمز التحقق من النطاق

انقر على Next: Verify your domains. أدخل نطاقك في مربع النص، ثم انقر على Check domain. سينشئ النظام رمز تحقق عشوائيًا لتضيفه إلى سجل TXT لدى مزود DNS الخاص بك.
6

​
تحقّق من نطاقك

أنشئ سجل TXT لدى موفّر DNS الخاص بك. انسخ TXT record name إلى حقل اسم سجل TXT لدى موفّر DNS الخاص بك. انسخ Value إلى حقل المحتوى لدى موفّر DNS الخاص بك. انقر على Verify and Finish لإتمام العملية.
قد يستغرق تحديث سجل DNS والتحقّق منه عدة دقائق. يمكنك مغادرة صفحة الإعداد والعودة لاحقًا لإتمام العملية دون الحاجة إلى البدء من جديد.
7

​
تحديث الدور الافتراضي ومهلة انتهاء الجلسة

بعد اكتمال إعداد SAML، يمكنك تعيين الدور الافتراضي (أو الأدوار الافتراضية) الذي سيُسنَد إلى جميع المستخدمين عند تسجيل الدخول، كما يمكنك ضبط إعدادات مهلة انتهاء الجلسة. للاطلاع على قائمة بأدوار النظام المتاحة التي يمكن إسنادها، يُرجى مراجعة أدوار Console والأذونات.
8

​
إعداد مستخدم Admin الخاص بك

سيُحتفَظ بالمستخدمين الذين جرى إعدادهم باستخدام طريقة مصادقة مختلفة إلى أن يزيلهم مسؤول في مؤسستك.
لتعيين أول مستخدم Admin عبر SAML:
  1. سجّل الخروج من ClickHouse Cloud.
  2. في موفّر الهوية لديك، أسنِد مستخدم Admin إلى تطبيقات ClickHouse.
  3. اطلب من المستخدم تسجيل الدخول عبر https://console.clickhouse.cloud/?connection={orgId} (عنوان URL مختصر). ويمكن أن يتم ذلك عبر إشارة مرجعية أنشأتها في الخطوات السابقة. لن يظهر المستخدم في ClickHouse Cloud إلى أن يسجّل دخوله لأول مرة.
  4. إذا كان دور SAML الافتراضي أي شيء غير Admin، فقد يحتاج المستخدم إلى تسجيل الخروج ثم تسجيل الدخول مرة أخرى باستخدام طريقة المصادقة الأصلية لديه لتحديث دور مستخدم SAML الجديد.
    • بالنسبة إلى حسابات البريد الإلكتروني + كلمة المرور، يُرجى استخدام https://console.clickhouse.cloud/?with=email.
    • بالنسبة إلى عمليات تسجيل الدخول الاجتماعي، يُرجى النقر على الزر المناسب (Continue with Google أو Continue with Microsoft)
إن email في ?with=email أعلاه هي القيمة الحرفية للمعلَمة، وليست عنصرًا نائبًا
  1. سجّل الخروج مرة أخرى ثم سجّل الدخول مجددًا عبر عنوان URL المختصر لإكمال الخطوة الأخيرة أدناه.
لتقليل عدد الخطوات، يمكنك تعيين دور SAML الافتراضي إلى Admin في البداية. وعندما يُسنَد المسؤول في موفّر الهوية لديك ويسجّل دخوله لأول مرة، يمكنه تغيير الدور الافتراضي إلى قيمة مختلفة.
9

​
إزالة طرق المصادقة الأخرى

أزل أي مستخدمين يستخدمون طريقة غير SAML لإكمال التكامل، وقيّد الوصول ليقتصر فقط على المستخدمين القادمين عبر اتصال موفّر الهوية لديك.

​
تكوين SAML في Okta

ستقوم بتكوين عمليَّتي تكامل للتطبيقات في Okta لكل مؤسسة في ClickHouse: تطبيق SAML واحد وتطبيق إشارة مرجعية واحد لاحتواء الرابط المباشر الخاص بك.
  1. سجّل الدخول إلى مثيل Okta الخاص بك بصفتك Administrator.
  2. حدّد Groups من الجانب الأيسر.
  3. انقر على Add group.
  4. أدخل اسمًا ووصفًا للمجموعة. ستُستخدم هذه المجموعة للحفاظ على اتساق المستخدمين بين تطبيق SAML وتطبيق الإشارة المرجعية المرتبط به.
  5. انقر على Save.
  6. انقر على اسم المجموعة التي أنشأتها.
  7. انقر على Assign people لتعيين المستخدمين الذين تريد أن يكون لديهم حق الوصول إلى مؤسسة هذه في ClickHouse.
  1. حدّد Applications من الجانب الأيسر، ثم حدّد العنوان الفرعي Applications.
  2. انقر على Browse App Catalog.
  3. ابحث عن Bookmark App وحدّده.
  4. انقر على Add integration.
  5. حدّد تسمية للتطبيق.
  6. أدخل عنوان URL بالشكل التالي: https://console.clickhouse.cloud/?connection={organizationid}
  7. انتقل إلى علامة التبويب Assignments وأضف المجموعة التي أنشأتها أعلاه.
  1. حدّد Applications من الجانب الأيسر، ثم حدّد العنوان الفرعي Applications.
  2. انقر على Create App Integration.
  3. حدّد SAML 2.0 ثم انقر على Next.
  4. أدخل اسمًا لتطبيقك وحدّد مربع الاختيار بجوار Don’t display application icon to users ثم انقر على Next.
  5. استخدم القيم التالية لملء شاشة إعدادات SAML.
  6. أدخل Attribute Statement التالية.
  7. انقر على Next.
  8. أدخل المعلومات المطلوبة في شاشة Feedback ثم انقر على Finish.
  9. انتقل إلى علامة التبويب Assignments وأضف المجموعة التي أنشأتها أعلاه.
  10. من علامة التبويب Sign On لتطبيقك الجديد، انقر على زر Copy metadata URL.
  11. ارجع إلى إضافة metadata URL إلى تكوين SAML الخاص بك لمتابعة العملية.

​
إعداد Google SAML

ستُعدّ تطبيق SAML واحدًا في Google لكل مؤسسة، ويجب تزويد المستخدمين بالرابط المباشر (https://console.clickhouse.cloud/?connection={organizationId}) لإضافته إلى الإشارات المرجعية إذا كنت تستخدم SSO متعدد المؤسسات.
  1. انتقل إلى وحدة تحكم المشرف في Google (admin.google.com).
  1. انقر على Apps، ثم Web and mobile apps في الجهة اليسرى.
  2. انقر على Add app من القائمة العلوية، ثم اختر Add custom SAML app.
  3. أدخل اسمًا للتطبيق ثم انقر على Continue.
  4. انسخ metadata URL واحفظه في مكان ما.
  5. أدخل ACS URL وEntity ID أدناه.
  6. حدِّد مربع Signed response.
  7. اختر EMAIL في Name ID Format واترك Name ID على Basic Information > Primary email.
  8. انقر على Continue.
  9. أدخل تعيين السمات التالي:
  1. انقر على Finish.
  2. لتمكين التطبيق، انقر على OFF للجميع ثم غيّر الإعداد إلى ON للجميع. ويمكن أيضًا تقييد الوصول على مجموعات أو وحدات تنظيمية عبر تحديد الخيارات من الجانب الأيسر للشاشة.
  3. ارجع إلى إضافة metadata URL إلى تكوين SAML لمتابعة العملية.

​
تكوين Azure (Microsoft) SAML

قد يُشار أيضًا إلى Azure (Microsoft) SAML باسم Azure Active Directory (AD) أو Microsoft Entra.
ستقوم بإعداد تكامل لتطبيق واحد مع عنوان URL منفصل لتسجيل الدخول لكل مؤسسة.
  1. سجّل الدخول إلى مركز إدارة Microsoft Entra.
  2. انتقل إلى Applications > Enterprise applications في الجهة اليسرى.
  3. انقر على New application في القائمة العلوية.
  4. انقر على Create your own application في القائمة العلوية.
  5. أدخل اسمًا وحدد Integrate any other application you don’t find in the gallery (Non-gallery)، ثم انقر على Create.
  6. انقر على Users and groups في الجهة اليسرى وعيّن المستخدمين.
  7. انقر على Single sign-on في الجهة اليسرى.
  8. انقر على SAML.
  9. استخدم الإعدادات التالية لملء شاشة Basic SAML Configuration.
  10. أضف (A) أو حدّث (U) ما يلي ضمن Attributes & Claims:
  11. انسخ metadata URL ثم ارجع إلى إضافة metadata URL إلى تكوين SAML الخاص بك لمتابعة العملية.

​
تكوين Duo SAML

  1. اتبع التعليمات الخاصة بـ Duo Single Sign-On for Generic SAML Service Providers.
  2. استخدم تعيين Bridge Attribute التالي:
  3. استخدم القيم التالية لتحديث Cloud Application في Duo:
  4. انسخ metadata URL ثم ارجع إلى إضافة metadata URL إلى تكوين SAML الخاص بك لمتابعة العملية.

​
آلية العمل

​
إدارة المستخدمين باستخدام SAML SSO

لمزيد من المعلومات حول إدارة أذونات المستخدمين وقصر الوصول على اتصالات SAML فقط، راجع Manage cloud users.

​
تسجيل الدخول الأحادي الذي يبدأ من موفر الخدمة

نحن لا نستخدم إلا تسجيل الدخول الأحادي الذي يبدأ من موفر الخدمة. وهذا يعني أن المستخدمين ينتقلون إلى https://console.clickhouse.cloud ويُدخلون عنوان بريدهم الإلكتروني ليُعاد توجيههم إلى IdP لإتمام المصادقة. ويمكن للمستخدمين الذين سبق أن تمت مصادقتهم عبر IdP الخاص بك استخدام الرابط المباشر لتسجيل الدخول تلقائيًا إلى مؤسستك من دون إدخال عنوان بريدهم الإلكتروني في صفحة تسجيل الدخول.

​
SSO متعدد المؤسسات

يدعم ClickHouse Cloud ميزة SSO متعدد المؤسسات من خلال توفير اتصال منفصل لكل مؤسسة. استخدم الرابط المباشر (https://console.clickhouse.cloud/?connection={organizationid}) لتسجيل الدخول إلى كل مؤسسة على حدة. احرص على تسجيل الخروج من إحدى المؤسسات قبل تسجيل الدخول إلى أخرى.
إذا كنت لا تريد توجيه المستخدمين الذين يحملون نطاق شركتك إلى مؤسسة معيّنة عند إدخال عنوان بريد إلكتروني على https://console.clickhouse.cloud، فأرسل تذكرة دعم لتحديث إعدادات SSO يدويًا وإيقاف هذا السلوك.

​
معلومات إضافية

يُعدّ الأمان أولويتنا القصوى عندما يتعلق الأمر بالمصادقة. ولهذا، اتخذنا بعض القرارات عند تطبيق SSO ونودّ أن تكون على دراية بها.
  • نحن لا ندعم إلا تدفقات المصادقة التي تبدأ من موفر الخدمة. يجب على المستخدمين الانتقال إلى https://console.clickhouse.cloud وإدخال عنوان بريد إلكتروني لكي تتم إعادة توجيههم إلى موفر الهوية الخاص بك. كما نوفّر إرشادات لإضافة تطبيق إلى الإشارات المرجعية أو إنشاء اختصار، لراحتك وحتى لا يضطر المستخدمون لديك إلى تذكّر عنوان URL.
  • نحن لا نربط تلقائيًا بين حسابات SSO والحسابات غير المرتبطة بـ SSO. قد ترى عدة حسابات للمستخدمين لديك في قائمة مستخدمي ClickHouse حتى إذا كانوا يستخدمون عنوان البريد الإلكتروني نفسه.

​
استكشاف المشكلات الشائعة وإصلاحها

آخر تعديل في ٣ يوليو ٢٠٢٦