# Tek oturum açma (SSO)

> Ekibinizin kimlik sağlayıcınızla giriş yapmasını sağlayın; Okta, Microsoft Entra ID, Google Workspace, Keycloak ya da herhangi bir OpenID Connect sağlayıcısı.

**Agency** planında organizasyonunuz kişilerini kendi kimlik sağlayıcısıyla giriş yaptırabilir. Tek oturum açma, tüm büyük sağlayıcıların desteklediği **OpenID Connect** kullanır.

## 1. Zefily'yi sağlayıcınıza kaydedin

Sağlayıcınızda bir uygulama ("web" ya da "confidential" OIDC istemcisi) oluşturun ve **Ayarlar → Tek oturum açma** altında gösterilen **yönlendirme adresini (redirect URI)** kaydedin. **Issuer adresini**, **client ID**'yi ve **client secret**'ı not edin.

| Sağlayıcı | Issuer adresi |
| --- | --- |
| Microsoft Entra ID | `https://login.microsoftonline.com/<tenant id>/v2.0` |
| Google Workspace | `https://accounts.google.com` |
| Okta | `https://<alan-adiniz>.okta.com` |
| Keycloak | `https://<sunucu>/realms/<realm>` |

## 2. Bağlayın

Sahipler ve yöneticiler issuer adresini, client ID'yi ve client secret'ı girip **Kaydet**'e tıklar. Zefily kontrol için sağlayıcının `/.well-known/openid-configuration` belgesini okur. Secret şifreli saklanır.

**SSO ile katılanların rolü**, ilk kez giriş yapan birinin rolünü belirler (İzleyici, Geliştirici ya da Yönetici); sonradan **Ekip** altında değiştirebilirsiniz.

## 3. E-posta alan adlarınızı kanıtlayın

Bir sağlayıcı yalnızca size ait bir alan adında e-postası olan kişileri giriş yaptırabilir. **E-posta alan adları** altında alan adını (ör. `ornek.com`) ekleyin, gösterilen TXT kaydını DNS sağlayıcınızda `_zefily-sso.<alan adı>` adresine ekleyin, ardından **DNS'i kontrol et**'e tıklayın. gmail.com gibi genel e-posta alan adları asla kullanılamaz ve bir alan adı tek bir organizasyona aittir.

## Giriş yapmak

Kişiler giriş sayfasında **SSO ile giriş yap**'ı seçip iş e-postalarını girer. Zefily onları sağlayıcınıza gönderir (çok faktörlü doğrulama orada yapılır) ve geri alır. Kimlik belgesinin (ID token) imzası, issuer'ı, audience'ı, nonce'u ve süresi kontrol edilir; e-posta sağlayıcı tarafından onaylanmış ve doğrulanmış alan adlarınızdan birinde olmalıdır. Yeni bir kişiye hesap açılır ve organizasyonunuza katılır; mevcut bir hesap giriş yapar.

## SSO'yu zorunlu kılmak

**SSO zorunlu** açıkken doğrulanmış alan adlarınızdaki kişiler artık şifreyle giriş yapamaz. Sağlayıcı çökerse dışarıda kalmamanız için sahipler şifreyle giriş yapabilir. Birini sağlayıcınızdan kaldırmak bir sonraki girişini durdurur; organizasyona erişimini bitirmek için onu **Ekip** altından da çıkarın.

---
Kaynak: https://zefily.com/tr/docs/tek-oturum-acma