कस्टमर मैसेजिंग प्लेटफ़ॉर्म के लिए सिंगल साइन-ऑन (SSO): सपोर्ट टीम के लिए OpenID Connect गाइड

कस्टमर मैसेजिंग प्लेटफ़ॉर्म के लिए सिंगल साइन-ऑन (SSO) का मतलब है कि आपके एजेंट अलग पासवर्ड की जगह अपने पहचान प्रदाता के कंपनी खाते से साइन इन करते हैं, जैसे Microsoft Entra ID, Okta, Keycloak, AD FS या Google Workspace। इसके पीछे का मानक OpenID Connect (OIDC) है। on-premise MonoChat इंस्टॉलेशन में आप इसे पूरे इंस्टॉलेशन के लिए एक बार सेट करते हैं, इसे अपनी कंपनी के ई-मेल डोमेन तक सीमित करते हैं, और चाहें तो इसे साइन इन का एकमात्र तरीका बना सकते हैं।

सपोर्ट टीम के पास इसकी परवाह करने की खास वजह है। एजेंट का खाता हर उस WhatsApp, Instagram और Messenger बातचीत को खोलता है जो वह देख सकता है: नाम, फ़ोन नंबर, ऑर्डर की जानकारी, कभी-कभी स्वास्थ्य या पेमेंट से जुड़े सवाल। उस खाते पर कंपनी के बाकी खातों जैसे ही नियम लागू होने चाहिए, और व्यक्ति के कंपनी छोड़ने वाले दिन ही वह बंद हो जाना चाहिए।

सपोर्ट टीम के लिए साइन-इन क्यों मायने रखता है

चोरी या गलत इस्तेमाल हुए क्रेडेंशियल आज भी किसी कंपनी में घुसने का सबसे आम रास्ता हैं। Verizon की 2025 Data Breach Investigations Report ने 12,195 पुष्ट ब्रीच का विश्लेषण किया और पाया कि क्रेडेंशियल का दुरुपयोग (22%) और कमज़ोरियों का फ़ायदा उठाना (20%) शुरुआती हमले के सबसे आम रास्ते थे।

अपने पासवर्ड वाला मैसेजिंग प्लेटफ़ॉर्म हर एजेंट के लिए क्रेडेंशियल का एक और सेट जोड़ देता है: एक और पासवर्ड जो दोहराया जा सकता है, एक और खाता जिसे किसी के जाने पर बंद करना भूला जा सकता है, एक और लॉगिन जिस पर आपके मल्टी-फ़ैक्टर और कंडीशनल एक्सेस नियम लागू नहीं होते। SSO में प्लेटफ़ॉर्म पासवर्ड कभी नहीं देखता। आपका पहचान प्रदाता उसे जांचता है, आपकी MFA और एक्सेस नीतियां लागू करता है, और प्लेटफ़ॉर्म को बताता है कि किसने साइन इन किया।

OpenID Connect साइन-इन कैसे काम करता है

OpenID Connect, OAuth 2.0 के ऊपर बनी एक पहचान परत है। MonoChat जिस फ़्लो का इस्तेमाल करता है वह authorization code flow है:

1. एजेंट साइन-इन पेज पर SSO बटन क्लिक करता है। MonoChat एक पॉप-अप में आपके पहचान प्रदाता का साइन-इन पेज खोलता है।
2. एजेंट वहां आपकी MFA और नीतियों के साथ साइन इन करता है।
3. पहचान प्रदाता ब्राउज़र को एक बार इस्तेमाल होने वाले कोड के साथ वापस MonoChat पर भेजता है।
4. MonoChat सर्वर उस कोड को सर्वर-से-सर्वर ID टोकन से बदलता है। टोकन कभी ब्राउज़र से होकर नहीं गुज़रते।
5. MonoChat ID टोकन की जांच करता है और एजेंट को साइन इन कर देता है।

OpenID Connect स्पेसिफ़िकेशन के शब्दों में, ID टोकन “a security token that contains Claims about the Authentication of an End-User” है। MonoChat उसे तभी स्वीकार करता है जब:

• वह आपके पहचान प्रदाता की किसी कुंजी से साइन किया गया हो, जिसे हर साइन-इन पर उसके discovery document (<issuer>/.well-known/openid-configuration) से पढ़ा जाता है;
• उसका issuer (iss) आपका issuer हो, audience (aud) MonoChat की client ID हो और expiry (exp) बीती न हो;
• उसमें वही nonce हो जो MonoChat ने अनुरोध के साथ भेजा था, जो टोकन को इसी साइन-इन से जोड़ता है और रीप्ले रोकता है;
• उसमें व्यक्ति का ई-मेल पता हो, और प्रदाता यह न कहे कि वह पता सत्यापित नहीं है।

अनुरोध में PKCE (S256) और एक state मान भी इस्तेमाल होता है, और साइन-इन अनुरोध 10 मिनट तक वैध रहता है और एक ही बार इस्तेमाल हो सकता है।

SSO चालू करने से पहले ये पांच बातें तय करें

फ़ैसला	विकल्प	सपोर्ट टीम के लिए हमारा सुझाव
कौन साइन इन कर सकता है	हर डोमेन, या सिर्फ़ आपकी कंपनी के ई-मेल डोमेन	अपने डोमेन तक सीमित रखें
पहली बार साइन इन पर क्या हो	खाता बना दें, या सिर्फ़ इनवाइट किए गए लोगों को लें	अगर आपका पहचान प्रदाता पहले से तय करता है कि कंपनी में कौन काम करता है, तो खाते बनने दें
मौजूदा खाते	पहले साइन-इन पर SSO जोड़ें जब ई-मेल सत्यापित हो, या एक बार पासवर्ड से साइन इन के बाद	इस पर निर्भर है कि आपका प्रदाता email_verified भेजता है या नहीं
बाकी साइन-इन तरीके	पासवर्ड और सोशल साइन-इन रखें, या सिर्फ़ SSO	सिर्फ़ SSO, जब सबने SSO जोड़ लिया हो
नए वर्कस्पेस कौन खोल सकता है	खाते वाला कोई भी, या सिर्फ़ सही रोल वाले लोग	कंपनी इंस्टॉलेशन में खुला वर्कस्पेस बनाना बंद रखें

कोई भी सेटिंग बदलने से पहले इन्हें लिख लें। आपकी सिक्योरिटी टीम यही सवाल पूछेगी, और इनके जवाब तय करते हैं कि आपको कौन-सी सेटिंग चाहिए।

on-premise MonoChat इंस्टॉलेशन पर SSO सेट करें

SSO पूरे इंस्टॉलेशन के लिए सर्वर सेटिंग्स में सेट होता है, हर वर्कस्पेस के लिए अलग नहीं। पूरा संदर्भ हेल्प सेंटर का सिंगल साइन-ऑन पेज है; यहां छोटा रूप दिया है।

1. अपने पहचान प्रदाता पर MonoChat को रजिस्टर करें

क्लाइंट सीक्रेट वाला एक वेब एप्लिकेशन बनाएं, और उसे ये दें:

• redirect URI https://<your MonoChat domain>/api/oauth/oidc/redirect;
• authorization code grant;
• स्कोप openid email profile;
• क्लाइंट ऑथेंटिकेशन, जिसमें सीक्रेट HTTP Basic के रूप में भेजा जाए (client_secret_basic)।

पक्का करें कि ID टोकन में email claim शामिल है, और client ID, client secret और issuer नोट कर लें।

2. issuer हूबहू कॉपी करें

issuer आपके प्रदाता के discovery document में issuer का मान है। आम रूप:

पहचान प्रदाता	Issuer
Microsoft Entra ID	https://login.microsoftonline.com/<tenant id>/v2.0
Okta	https://<your Okta domain>/oauth2/default या https://<your Okta domain>
Keycloak	https://<your Keycloak host>/realms/<realm>
AD FS 2016 या उसके बाद	https://<your AD FS host>/adfs
Google Workspace	https://accounts.google.com

ब्राउज़र में <issuer>/.well-known/openid-configuration खोलें और मान अक्षर-दर-अक्षर कॉपी करें, अगर आख़िर में स्लैश है तो उसे भी। दोनों में फ़र्क होने पर MonoChat हर साइन-इन अस्वीकार कर देता है, और पहला टेस्ट फ़ेल होने की यही सबसे आम वजह है।

3. सेटिंग्स जोड़ें और रीस्टार्ट करें

सार्वजनिक हिस्सा (issuer, client ID, redirect path, स्कोप और बटन का टेक्स्ट) public.oauth.oidc में जाता है; क्लाइंट सीक्रेट oauth.oidc में जाता है और सर्वर पर ही रहता है। वहां दो विकल्प ऊपर की तालिका के आपके फ़ैसले आगे ले जाते हैं:

• autoCreateAccounts: true व्यक्ति के पहले SSO साइन-इन पर MonoChat खाता बना देता है, भले ही साइन-अप सिर्फ़ इनवाइट से हो;
• allowedEmailDomains: ["yourcompany.com"] किसी दूसरे डोमेन के हर पते को अस्वीकार कर देता है। Google Workspace के लिए MonoChat ई-मेल पते की जगह खाते का Workspace डोमेन (hd claim) जांचता है, क्योंकि निजी Google खाते का पता किसी भी डोमेन पर हो सकता है।

बटन हर व्यक्ति की भाषा में “SSO से साइन इन करें” दिखाता है (हिंदी में ऐप का यही लेबल है), या वह लेबल जो आपने सेट किया हो, जैसे “Northwind SSO से साइन इन करें”।

4. SSO को सुरक्षित तरीके से एकमात्र तरीका बनाएं

जब सबने SSO जोड़ लिया हो, तो अनुमत साइन-इन तरीके (public.auth.methods) को ["oidc"] पर सेट करें। तब साइन-इन पेज पर सिर्फ़ SSO बटन दिखता है, और सर्वर पासवर्ड व सोशल साइन-इन अस्वीकार कर देता है। रूट सुपर यूज़र अब भी /auth/signin?fallback=1 पर पासवर्ड से साइन इन कर सकते हैं, इसलिए पहचान प्रदाता बंद होने पर भी इंस्टॉलेशन लॉक नहीं होता। नए SSO खातों को अपने वर्कस्पेस खोलने से रोकने के लिए public.disableTenantCreation को true करें।

5. चार साइन-इन टेस्ट करें

1. खाते वाला व्यक्ति: पॉप-अप बंद होता है और वह अंदर आ जाता है।
2. बिना खाते वाला व्यक्ति: खाता बन जाता है, या अगर आपने खाता बनाना चालू नहीं किया तो अस्वीकार होता है।
3. दूसरे डोमेन वाला व्यक्ति: अस्वीकार, अगर आपने डोमेन सीमित किए हैं।
4. SSO-only चालू होने पर पासवर्ड से साइन इन: अस्वीकार, जबकि रूट फ़ॉलबैक अब भी चलता है।

मौजूदा एजेंट: खाते कैसे जुड़ते हैं

ज़्यादातर टीमें SSO तब चालू करती हैं जब एजेंटों के MonoChat खाते पहले से होते हैं। MonoChat SSO को उसी ई-मेल पते वाले मौजूदा खाते से दो तरीकों में से एक में जोड़ता है:

• अपने आप, पहले SSO साइन-इन पर, जब इंस्टॉलेशन मर्ज की अनुमति देता है और ID टोकन कहता है कि पता सत्यापित है (email_verified: true)।
• एक बार पासवर्ड से साइन इन के बाद, बाकी हर स्थिति में: MonoChat व्यक्ति से एक बार पासवर्ड से साइन इन करने को कहता है और तभी SSO जोड़ता है। वर्कस्पेस का इनवाइट स्वीकार करने पर भी वह जुड़ जाता है।

Microsoft Entra ID और AD FS email_verified नहीं भेजते। इनके साथ, SSO-only पर जाने से पहले पासवर्ड साइन-इन तब तक चालू रखें जब तक सब SSO न जोड़ लें, या लोगों को दोबारा इनवाइट करें।

SSO पहचान है; रोल एक्सेस हैं

साइन इन करने से व्यक्ति को खाता मिलता है, आपकी बातचीत की एक्सेस नहीं। एक MonoChat खाता कई वर्कस्पेस का हो सकता है, और लोग वर्कस्पेस चुनने से पहले साइन इन करते हैं। कोई व्यक्ति किसी वर्कस्पेस को तभी देखता है जब वह उसे इनवाइट करे और रोल दे, और रोल तय करता है कि वह कौन-से चैनल, बातचीत और सेटिंग्स तक पहुंचे। इन्हें कैसे सेट करें, इसके लिए टीम इनबॉक्स रोल और परमिशन देखें।

ऑडिटर यही बंटवारा देखना चाहेगा:

• नया सदस्य (Joiner): पहचान प्रदाता व्यक्ति को बनाता है; वर्कस्पेस एडमिन उसे इनवाइट करता है और रोल चुनता है।
• भूमिका बदलने वाला (Mover): MonoChat में रोल या वर्कग्रुप बदलें; साइन-इन नहीं बदलता।
• छोड़ने वाला (Leaver): पहचान प्रदाता पर व्यक्ति को बंद करें, और MonoChat में उसे वर्कस्पेस से हटाएं।

योजना में रखने लायक सीमाएं

• मोबाइल ऐप। MonoChat Android और iOS ऐप में अभी SSO नहीं है। अगर SSO ही एकमात्र साइन-इन तरीका है, तो एजेंट फ़ोन पर साइन इन नहीं कर पाएंगे, इसलिए मोबाइल यूज़र के लिए कोई दूसरा तरीका रखें या सिर्फ़ डेस्कटॉप पर शिफ़्ट की योजना बनाएं।
• साइन-आउट। MonoChat से साइन आउट करने पर व्यक्ति पहचान प्रदाता से साइन आउट नहीं होता, और वहां साइन आउट करने पर वह अभी MonoChat से साइन आउट नहीं होता। पहचान प्रदाता पर छोड़ने वाले को बंद करने से नए साइन-इन रुकते हैं; उसे वर्कस्पेस से भी हटाएं।
• नेटवर्क। लोगों के ब्राउज़र /api/oauth/oidc/authorize और redirect path तक पहुंच सकें, और MonoChat सर्वर HTTPS पर आपके प्रदाता के discovery document, token endpoint और key set तक पहुंच सके। अगर आप इंस्टॉलेशन को IP से भी सीमित करते हैं, तो इन रास्तों का ध्यान रखें।

MonoChat में SSO कहां आता है

SSO पूरे इंस्टॉलेशन की सर्वर सेटिंग्स में कॉन्फ़िगर होता है, इसलिए आज वह on-premise MonoChat का हिस्सा है: एंटरप्राइज़ विकल्प, उन टीमों के लिए जो प्लेटफ़ॉर्म अपने सर्वर पर, अपने LLM और वेक्टर डेटाबेस के साथ चलाती हैं। एंटरप्राइज़ पेज on-premise विकल्प समझाता है, और सुरक्षा पेज रोल-आधारित एक्सेस, वर्कस्पेस आइसोलेशन और सर्टिफ़िकेशन बताता है। AI रोलआउट के डेटा वाले पक्ष के लिए AI चैटबॉट प्राइवेसी चेकलिस्ट देखें।

पहले प्रोडक्ट को ही आज़माना चाहें, तो app.monochat.ai पर फ़्री Basic प्लान में एक एजेंट और एक चैनल मिलता है।

स्रोत

• OpenID Connect Core 1.0, OpenID Foundation, 4 Nov 2026 को खोला गया
• Verizon 2025 Data Breach Investigations Report announcement, 4 Nov 2026 को खोला गया
• MonoChat help center: Single Sign-On for an On-Premise Installation, 4 Nov 2026 को खोला गया
• MonoChat changelog 3.8.43, 2 Nov 2026