SSO (Enterprise)

Peringatan

Setup SSO hanya tersedia pada paket Enterprise. Jika Anda tidak melihat Konfigurasi SSO di bawah Pengaturan → Organisasi → Keamanan, pastikan organisasi Anda menggunakan paket Enterprise atau hubungi kontak akun Capgo Anda.

Apa itu SSO?

Single Sign-On (SSO) memungkinkan tim Anda login ke Capgo menggunakan identity provider (IdP) perusahaan Anda. Capgo menggunakan SAML 2.0 melalui Supabase Auth. Saat domain email pengguna cocok dengan penyedia SSO yang aktif, mereka dapat autentikasi ke IdP Anda dan otomatis terdaftar ke dalam organisasi saat SSO callback.

SSO tidak mengubah hak akses pengguna. Izin dikontrol oleh role organisasi. SSO hanya mengubah cara mereka melakukan autentikasi.

Prerequisites

Sebelum memulai:

• Langganan Enterprise aktif di organisasi Capgo.
• Identity provider yang mendukung SAML 2.0 dan menyediakan URL metadata IdP (HTTPS).
• Kemampuan untuk memublikasikan record DNS TXT untuk domain email (misalnya company.com untuk pengguna yang login sebagai user@company.com).
• Anggota organisasi Capgo dengan izin untuk memperbarui pengaturan organisasi.
• Sebuah Admin IdP hubungi tim IT/keamanan Anda.

Cara menemukan pengaturan SSO

1. Buka https://console.capgo.app/
2. Klik Pengaturan di sidebar kiri
3. Pilih Organisasi tab
4. Pilih Keamanan tab
5. Gulir ke konfigurasi SSO. Formulir hanya tersedia jika organisasi menggunakan paket Enterprise.

Langkah 1 - Konfigurasi IdP Anda

Di identity provider Anda, buat aplikasi SAML 2.0 baru. Anda akan membutuhkan Penyedia Layanan nilai yang ditampilkan di panel konfigurasi SSO Capgo:

Field	Cara penggunaan
URL ACS	Assertion Consumer Service URL di aplikasi SAML IdP Anda
ID Entitas	Identifier entitas Service Provider
URL metadata SP	Opsional: impor jika IdP Anda mendukung impor metadata SP via URL
Format NameID	Format yang diharapkan untuk SAML Name Identifier

IdP Anda harus menyertakan alamat email dalam assertion. Capgo menggunakan domain email untuk menentukan provider SSO aktif dan mencocokkan akun yang ada.

Langkah 2 - Tambahkan provider SSO di Capgo

1. Di panel konfigurasi SSO, klik untuk menambah provider baru
2. Masukkan domain email (contoh company.com). Harus sesuai dengan bagian domain email login user Anda
3. Masukkan IdP Anda URL metadata (HTTPS)
4. Kirim

Provider berhasil dibuat dengan status Menunggu verifikasi.

Langkah 3 - Verifikasi domain DNS

Capgo memverifikasi kontrol domain Anda sebelum SSO dapat diaktifkan.

Tambahkan TXT record di penyedia DNS Anda:

Field	Nilai
Tipe	TXT
Nama / host	_capgo-sso.<your-domain> (contoh _capgo-sso.company.com)
Nilai	Token verifikasi yang muncul di panel dashboard

Setelah record dipublikasikan (propagasi DNS TTL biasanya memakan waktu beberapa menit hingga satu jam), klik Verifikasi DNS di dashboard. Jika berhasil, provider akan berubah menjadi Verified.

Langkah 4 - Aktifkan provider

Setelah verifikasi DNS, klik Activate. Status provider menjadi Aktif. Hanya Aktif provider yang digunakan selama alur login SSO.

Anda dapat memilih Nonaktifkan di dashboard kapan saja. Ini akan memindahkan provider ke Disabled, yang menangguhkan SSO untuk domain tersebut tanpa menghapus konfigurasi.

Langkah 5 - Tes dan atur role

Saat pengguna pertama kali login via SSO dan belum memiliki keanggotaan di organisasi tersebut, Capgo akan memberikan read role.

Setelah user pilot login:

1. Buka Pengaturan → Organisasi → Anggota
2. Cari tiap user yang di-provision via SSO
3. Sesuaikan role mereka ke level yang sesuai (Upload, Write, Admin, dll.)

Lihat rincian lengkap permission mengenai apa saja yang bisa dilakukan setiap role.

Catatan

Jika Supabase membuat user SSO auth terpisah untuk email yang sudah ada di Capgo, Capgo akan menggabungkan identitas SSO ke akun yang sudah ada dan meminta user untuk login kembali.

Opsional - Paksa SSO

Pada Aktif provider, Anda dapat mengaktifkan Paksa SSO. Saat diaktifkan, Capgo menandai user auth yang sudah ada untuk domain email tersebut sebagai SSO-only, dan alur login akan memerlukan autentikasi IdP untuk domain tersebut. Mengatur provider ke Disabled (Nonaktifkan) atau mematikan enforcement akan menghapus flag SSO-only untuk domain tersebut.

Peringatan

Koordinasikan dengan admin IdP Anda dan beri tahu semua pengguna yang terdampak sebelum mengaktifkan enforcement. Pengguna yang tidak dapat menyelesaikan autentikasi IdP tidak akan bisa login menggunakan password untuk domain tersebut.

Referensi status provider

Status	Arti
Menunggu verifikasi	DNS TXT record belum diverifikasi
Terverifikasi	Kepemilikan domain terkonfirmasi; siap diaktifkan
Aktif	SSO aktif untuk domain ini
Nonaktif	Diatur oleh Nonaktifkan di dashboard; SSO tidak digunakan untuk domain tersebut; gunakan Aktifkan kembali untuk kembali ke Aktif

Checklist rollout

• Paket Enterprise dikonfirmasi
• Aplikasi SAML dibuat di IdP dengan ACS URL dan Entity ID dari Capgo
• IdP dikonfigurasi untuk merilis email claim yang stabil
• DNS TXT record telah dipublikasikan dan Verifikasi DNS berhasil
• Provider diaktifkan
• Pilot user berhasil login
• Role ditingkatkan dari default read sesuai kebutuhan
• Keputusan enforcement dibuat (dan dikomunikasikan jika diaktifkan)

Dokumentasi terkait

• Organisasi: peran dan izin
• Keamanan organisasi: 2FA, kata sandi, kunci API

Langkah selanjutnya setelah SSO (Enterprise)

Jika Anda menggunakan SSO (Enterprise) untuk merencanakan alur autentikasi dan akun, hubungkan dengan @capgo/capacitor-social-login untuk detail implementasi di @capgo/capacitor-social-login, @capgo/capacitor-passkey untuk detail implementasi di @capgo/capacitor-passkey, @capgo/capacitor-native-biometric untuk detail implementasi di @capgo/capacitor-native-biometric, Autentikasi dua faktor untuk detail implementasi pada Two-factor authentication, dan 5 Langkah Implementasi OAuth2 di Aplikasi Capacitor untuk konteks praktis dalam 5 Langkah Implementasi OAuth2 di Aplikasi Capacitor.