د پیرودونکو پیغامونو پلاتفورم لپاره یوځلي ننوتل (SSO): د ملاتړ ټیمونو لپاره د OpenID Connect لارښود

د پیرودونکو پیغامونو پلاتفورم لپاره یوځلي ننوتل (SSO) پدې معنا دی چې ستاسو اپراتوران د شرکت په هغه حساب ننوځي چې ستاسو د هویت چمتو کوونکي کې دی، لکه Microsoft Entra ID، Okta، Keycloak، AD FS یا Google Workspace، نه په یو جلا پټنوم. د دې شاته معیار OpenID Connect (OIDC) دی. د MonoChat په on-premise نصب کې تاسو دا یو ځل د ټول نصب لپاره تنظیموئ، د خپل شرکت د برېښنالیک ډومینونو ته یې محدودوئ، او کولی شئ د ننوتلو یوازینۍ لار یې کړئ.

د ملاتړ ټیمونه د دې لپاره ځانګړی دلیل لري. د یو اپراتور حساب هره هغه WhatsApp، Instagram او Messenger خبره اتره پرانیزي چې هغه یې لیدلی شي: نومونه، د تلیفون شمېرې، د فرمایش جزئیات، کله ناکله روغتیایي یا د تادیې پوښتنې. دا حساب باید د شرکت د نورو حسابونو د قواعدو تابع وي، او په هغه ورځ باید کار ودروي چې کس له کاره ځي.

ولې ننوتل د ملاتړ ټیم لپاره مهم دي

غلا شوې یا ناوړه کارول شوې اعتبارنامې لا هم شرکت ته د ننوتلو تر ټولو عامه لار ده. د Verizon د 2025 کال Data Breach Investigations Report، چې 12,195 تایید شوې ماتې یې شنلې، وموندل چې د اعتبارنامو ناوړه کارونه (22%) او د کمزوریو ګټه اخیستنه (20%) د برید د پیل مخکښې لارې وې.

یو د پیغامونو پلاتفورم چې خپل پټنومونه لري، هر اپراتور ته یوه بله اعتبارنامه ورزیاتوي: یو بل پټنوم چې بیا کارول کېږي، یو بل حساب چې کله یو څوک ځي هېرېږي، یو بل ننوتل چې ستاسو د څو مرحلو تایید (MFA) او د مشروط لاسرسي قواعد یې نه پوښي. د SSO سره پلاتفورم هېڅکله پټنوم نه ویني. ستاسو د هویت چمتو کوونکی یې چکوي، ستاسو MFA او د لاسرسي پالیسۍ پلي کوي، او پلاتفورم ته وايي چې څوک ننوتی.

د OpenID Connect ننوتل څنګه کار کوي

OpenID Connect د OAuth 2.0 پر سر د هویت یوه طبقه ده. هغه بهیر چې MonoChat یې کاروي authorization code flow دی:

1. اپراتور د ننوتلو په پاڼه کې د SSO تڼۍ کېکاږي. MonoChat ستاسو د هویت چمتو کوونکي د ننوتلو پاڼه په یوه پاپ اپ کړکۍ کې پرانیزي.
2. اپراتور هلته ننوځي، ستاسو د MFA او پالیسیو سره.
3. د هویت چمتو کوونکی براوزر د یو یوځلي کوډ سره MonoChat ته بېرته لېږي.
4. د MonoChat سرور دا کوډ د یو ID token سره بدلوي، سرور له سرور سره. ټوکنونه هېڅکله له براوزر نه تېرېږي.
5. MonoChat ID token چکوي او اپراتور دننه کوي.

ID token، د OpenID Connect د مشخصاتو په خبره، “a security token that contains Claims about the Authentication of an End-User” دی، یعنې یو امنیتي ټوکن چې د کاروونکي د تایید په اړه ادعاوې لري. MonoChat یې یوازې هغه وخت مني چې:

• ستاسو د هویت چمتو کوونکي په یوې کیلي لاسلیک شوی وي، چې په هر ننوتلو کې د هغه له discovery document (<issuer>/.well-known/openid-configuration) څخه لوستل کېږي؛
• د هغه issuer (iss) ستاسو issuer وي، audience (aud) یې د MonoChat client ID وي او د پای نېټه (exp) یې نه وي تېره شوې؛
• هغه nonce ولري چې MonoChat د غوښتنې سره لېږلی، چې ټوکن له همدې ننوتلو سره تړي او د بیا کارونې مخه نیسي؛
• د کس برېښنالیک پته ولري، او چمتو کوونکی ونه وايي چې دا پته نه ده تایید شوې.

غوښتنه PKCE (S256) او یو state ارزښت هم کاروي، او د ننوتلو هره غوښتنه 10 دقیقې اعتبار لري او یوازې یو ځل کارېدلی شي.

له فعالولو مخکې په دې پنځو خبرو پرېکړه وکړئ

پرېکړه	انتخابونه	د ملاتړ ټیم لپاره زموږ وړاندیز
څوک ننوتلی شي	هر ډومین، یا یوازې ستاسو د شرکت د برېښنالیک ډومینونه	خپلو ډومینونو ته یې محدود کړئ
په لومړي ننوتلو کې څه کېږي	حساب جوړېږي، یا یوازې بلل شوي کسان منل کېږي	که ستاسو د هویت چمتو کوونکی دمخه ټاکي چې څوک ستاسو سره کار کوي، حسابونه جوړ کړئ
موجود حسابونه	SSO په لومړي ننوتلو کې تړل کېږي کله چې برېښنالیک تایید شوی وي، یا د یو ځل پټنوم ننوتلو وروسته	پدې پورې اړه لري چې ستاسو چمتو کوونکی email_verified لېږي که نه
د ننوتلو نورې لارې	پټنوم او ټولنیز ننوتل ساتل، یا یوازې SSO	یوازې SSO، کله چې ټولو SSO وتاړه
څوک نوې کاري فضا پرانیستلی شي	هر څوک چې حساب لري، یا یوازې هغه کسان چې سم رول لري	د شرکت په نصب کې د کاري فضا آزاد جوړول بند کړئ

له دې مخکې چې کوم تنظیم بدل کړئ، دا ځوابونه ولیکئ. دا هغه پوښتنې دي چې ستاسو امنیتي ټیم به یې وکړي، او ځوابونه ټاکي چې کومو تنظیماتو ته اړتیا لرئ.

د MonoChat په on-premise نصب کې SSO تنظیم کړئ

SSO د ټول نصب لپاره د سرور په تنظیماتو کې ټاکل کېږي، نه د هرې کاري فضا لپاره جلا. بشپړ لارښود په مرستندویه مرکز کې د SSO پاڼه ده؛ دلته یې لنډیز دی.

1. MonoChat په خپل د هویت چمتو کوونکي کې ثبت کړئ

یو ویب اپلیکیشن د client secret سره جوړ کړئ، او دا ورکړئ:

• redirect URI https://<your MonoChat domain>/api/oauth/oidc/redirect؛
• authorization code grant؛
• scopes openid email profile؛
• د client تایید، په داسې ډول چې secret د HTTP Basic په توګه لېږل کېږي (client_secret_basic).

ډاډ ترلاسه کړئ چې ID token کې email claim شامل وي، او client ID، client secret او issuer ولیکئ.

2. issuer دقیق کاپي کړئ

issuer ستاسو د چمتو کوونکي په discovery document کې د issuer ارزښت دی. عامې بڼې:

د هویت چمتو کوونکی	Issuer
Microsoft Entra ID	https://login.microsoftonline.com/<tenant id>/v2.0
Okta	https://<your Okta domain>/oauth2/default یا https://<your Okta domain>
Keycloak	https://<your Keycloak host>/realms/<realm>
AD FS 2016 یا وروسته	https://<your AD FS host>/adfs
Google Workspace	https://accounts.google.com

<issuer>/.well-known/openid-configuration په براوزر کې پرانیزئ او ارزښت توری په توری کاپي کړئ، که یې په پای کې / وي هغه هم. که دواړه سره توپیر ولري، MonoChat هر ننوتل ردوي، او دا د لومړۍ ازموینې د ناکامۍ تر ټولو عام لامل دی.

3. تنظیمات اضافه کړئ او سرور بیا پیل کړئ

عامه برخه (issuer، client ID، redirect path، scopes او د تڼۍ متن) د public.oauth.oidc لاندې ځي؛ client secret د oauth.oidc لاندې ځي او په سرور کې پاتې کېږي. هلته دوه انتخابونه د پورتني جدول پرېکړې پلي کوي:

• autoCreateAccounts: true د کس په لومړي SSO ننوتلو کې د MonoChat حساب جوړوي، حتی که نوم لیکنه یوازې په بلنه وي؛
• allowedEmailDomains: ["yourcompany.com"] د بل ډومین هره پته ردوي. د Google Workspace لپاره MonoChat د برېښنالیک پتې پر ځای د حساب د Workspace ډومین (hd claim) چکوي، ځکه چې یو شخصي Google حساب کولی شي د هر ډومین پته وکاروي.

تڼۍ د هر کس په خپله ژبه ښکاري، په پښتو کې «د SSO سره ننوتل»، یا هغه متن چې تاسو یې ټاکئ، لکه «د Northwind SSO سره ننوتل».

4. SSO په خوندي ډول یوازینۍ لار کړئ

کله چې ټولو SSO وتاړه، د ننوتلو اجازه لرونکې لارې (public.auth.methods) په ["oidc"] وټاکئ. بیا د ننوتلو پاڼه یوازې د SSO تڼۍ ښيي، او سرور د پټنوم او ټولنیزو حسابونو ننوتل ردوي. Root super users لا هم کولی شي په /auth/signin?fallback=1 کې په خپل پټنوم ننوځي، نو که د هویت چمتو کوونکی بند وي، نصب هېڅکله بند نه پاتې کېږي. د دې لپاره چې نوي SSO حسابونه خپلې کاري فضاوې پرانیستلی ونشي، public.disableTenantCreation په true وټاکئ.

5. څلور ډوله ننوتل وازمویئ

1. یو کس چې حساب لري: پاپ اپ تړل کېږي او هغه دننه دی.
2. یو کس چې حساب نه لري: حساب جوړېږي، یا ردېږي که تاسو د حساب جوړول نه وي فعال کړي.
3. د بل ډومین یو کس: ردېږي، که تاسو ډومینونه محدود کړي وي.
4. د یوازې SSO په حالت کې د پټنوم ننوتل: ردېږي، خو د root بدیله لار لا هم کار کوي.

موجود اپراتوران: حسابونه څنګه تړل کېږي

ډېری ټیمونه SSO هغه وخت فعالوي چې اپراتوران یې دمخه د MonoChat حسابونه لري. MonoChat SSO د ورته برېښنالیک پتې سره موجود حساب ته په یوه له دوو لارو تړي:

• په اتوماتیک ډول، په لومړي SSO ننوتلو کې، کله چې نصب د یوځای کولو اجازه ورکوي او ID token وايي چې پته تایید شوې ده (email_verified: true).
• د یو ځل پټنوم ننوتلو وروسته، په نورو ټولو حالتونو کې: MonoChat له کس غواړي چې یو ځل په خپل پټنوم ننوځي او بیا SSO تړي. د یوې کاري فضا بلنه منل هم دا تړل کوي.

Microsoft Entra ID او AD FS email_verified نه لېږي. د دوی سره، تر هغه چې ټولو SSO نه وي تړلی، د پټنوم ننوتل پرانیستی وساتئ، یا کسان بیا راوبلئ، او بیا یوازې SSO ته واوړئ.

SSO هویت دی؛ رولونه لاسرسی دي

ننوتل یو کس ته حساب ورکوي، نه ستاسو خبرو اترو ته لاسرسی. د MonoChat یو حساب کولی شي د څو کاري فضاوو غړی وي، او خلک له دې مخکې ننوځي چې یوه یې وټاکي. یو کس یوه کاري فضا یوازې هغه وخت ویني چې هغه یې راوبلي او رول ورکړي، او رول ټاکي چې کومو چینلونو، خبرو اترو او تنظیماتو ته رسېږي. د دې د تنظیم لپاره د ټیم ان باکس رولونه او اجازې وګورئ.

همدا جلاوالی دی چې یو پلټونکی (auditor) یې لیدل غواړي:

• نوی کارکوونکی: د هویت چمتو کوونکی کس جوړوي؛ د کاري فضا اډمین یې راوبلي او رول ورته ټاکي.
• د دندې بدلون: په MonoChat کې رول یا workgroup بدل کړئ؛ ننوتل نه بدلېږي.
• له کاره تلل: کس د هویت چمتو کوونکي کې غیرفعال کړئ، او په MonoChat کې یې له کاري فضا لرې کړئ.

هغه محدودیتونه چې باید پلان یې کړئ

• ګرځنده اپلیکیشن. د MonoChat Android او iOS اپلیکیشن لا SSO نه لري. که SSO د ننوتلو یوازینۍ لار وي، اپراتوران په خپلو تلیفونونو نشي ننوتلی، نو د ګرځنده کاروونکو لپاره بله لار وساتئ یا داسې شفټونه پلان کړئ چې یوازې په کمپیوټر وي.
• وتل. له MonoChat وتل کس د هویت له چمتو کوونکي نه باسي، او هلته وتل یې لا له MonoChat نه باسي. د هویت چمتو کوونکي کې د تلونکي کس غیرفعالول نوي ننوتل دروي؛ هغه له کاري فضا هم لرې کړئ.
• شبکه. د خلکو براوزرونه باید /api/oauth/oidc/authorize او redirect path ته ورسېږي، او د MonoChat سرور باید ستاسو د چمتو کوونکي discovery document، token endpoint او key set ته د HTTPS له لارې ورسېږي. که تاسو نصب د IP له مخې هم محدودوئ، دا لارې په پام کې ونیسئ.

SSO په MonoChat کې چېرې ځای لري

SSO د ټول نصب د سرور په تنظیماتو کې ټاکل کېږي، نو اوس مهال د on-premise MonoChat برخه ده: د Enterprise هغه انتخاب چې ټیمونه پکې پلاتفورم په خپلو سرورونو چلوي، د خپل LLM او vector database سره. د Enterprise پاڼه د on-premise انتخاب تشریح کوي، او د امنیت پاڼه د رول پر بنسټ لاسرسی، د کاري فضاوو جلاوالی او سندونه پوښي. د AI د پلي کولو د معلوماتو اړخ لپاره د AI چیټ بوټ د محرمیت چک لېست وګورئ.

که غواړئ لومړی پخپله محصول وازمویئ، په app.monochat.ai کې وړیا Basic پلان تاسو ته یو اپراتور او یو چینل درکوي.

سرچینې

• OpenID Connect Core 1.0, OpenID Foundation، د 2026 کال د نومبر په 4 پرانیستل شوې
• د Verizon 2025 Data Breach Investigations Report اعلان، د 2026 کال د نومبر په 4 پرانیستل شوې
• د MonoChat مرستندویه مرکز: Single Sign-On for an On-Premise Installation، د 2026 کال د نومبر په 4 پرانیستل شوې
• د MonoChat بدلون لېست 3.8.43، د 2026 کال د نومبر 2