کسٹمر میسجنگ پلیٹ فارم پر سنگل سائن آن: سپورٹ ٹیموں کے لیے OpenID Connect گائیڈ

کسٹمر میسجنگ پلیٹ فارم کے لیے سنگل سائن آن (SSO) کا مطلب ہے کہ آپ کے ایجنٹس الگ پاس ورڈ کے بجائے اپنے کمپنی اکاؤنٹ سے سائن اِن کریں، جو آپ کے آئیڈینٹٹی پرووائیڈر میں ہوتا ہے، جیسے Microsoft Entra ID، Okta، Keycloak، AD FS یا Google Workspace۔ اس کے پیچھے جو معیار (standard) ہے وہ OpenID Connect (OIDC) ہے۔ آن پریمائز MonoChat انسٹالیشن پر آپ اسے پوری انسٹالیشن کے لیے ایک بار سیٹ اپ کرتے ہیں، اسے اپنی کمپنی کے ای میل ڈومینز تک محدود کرتے ہیں، اور چاہیں تو اسے سائن اِن کا واحد طریقہ بنا سکتے ہیں۔

سپورٹ ٹیموں کے لیے اس کی ایک خاص وجہ ہے۔ ایجنٹ کا اکاؤنٹ وہ ہر WhatsApp، Instagram اور Messenger گفتگو کھولتا ہے جو اسے نظر آتی ہے: نام، فون نمبرز، آرڈر کی تفصیلات، اور کبھی کبھار صحت یا ادائیگی سے متعلق سوالات۔ اس اکاؤنٹ پر بھی وہی اصول لاگو ہونے چاہییں جو کمپنی کے باقی اکاؤنٹس پر ہیں، اور جس دن وہ شخص کمپنی چھوڑے، یہ اکاؤنٹ بھی اسی دن کام کرنا بند کر دے۔

سپورٹ ٹیم کے لیے سائن اِن کیوں اہم ہے

چوری شدہ یا غلط استعمال ہونے والی اسناد (credentials) اب بھی کسی کمپنی میں گھسنے کا سب سے عام راستہ ہیں۔ Verizon کی 2025 Data Breach Investigations Report نے 12,195 تصدیق شدہ ڈیٹا بریچز کا تجزیہ کیا، اور اس کے مطابق حملے کے آغاز کے سب سے بڑے راستے اسناد کا غلط استعمال (22%) اور سافٹ ویئر کی کمزوریوں کا فائدہ اٹھانا (20%) تھے۔

جس میسجنگ پلیٹ فارم کے اپنے پاس ورڈز ہوں، وہ ہر ایجنٹ کے لیے اسناد کا ایک اور سیٹ بڑھا دیتا ہے: ایک اور پاس ورڈ جو دوبارہ استعمال ہو سکتا ہے، ایک اور اکاؤنٹ جو کسی کے جانے پر بند کرنا بھول سکتے ہیں، اور ایک اور لاگ اِن جس پر آپ کے ملٹی فیکٹر (MFA) اور conditional access کے اصول لاگو نہیں ہوتے۔ SSO کے ساتھ پلیٹ فارم پاس ورڈ کبھی دیکھتا ہی نہیں۔ آپ کا آئیڈینٹٹی پرووائیڈر اسے چیک کرتا ہے، آپ کی MFA اور رسائی کی پالیسیاں لاگو کرتا ہے، اور پلیٹ فارم کو بتاتا ہے کہ کس نے سائن اِن کیا۔

OpenID Connect سے سائن اِن کیسے ہوتا ہے

OpenID Connect، OAuth 2.0 کے اوپر شناخت کی ایک تہہ ہے۔ MonoChat جو طریقہ استعمال کرتا ہے وہ authorization code flow ہے:

1. ایجنٹ سائن اِن پیج پر SSO بٹن پر کلک کرتا ہے۔ MonoChat ایک پاپ اپ میں آپ کے آئیڈینٹٹی پرووائیڈر کا سائن اِن پیج کھولتا ہے۔
2. ایجنٹ وہاں آپ کی MFA اور پالیسیوں کے ساتھ سائن اِن کرتا ہے۔
3. آئیڈینٹٹی پرووائیڈر براؤزر کو ایک وقتی کوڈ (one-time code) کے ساتھ واپس MonoChat پر بھیجتا ہے۔
4. MonoChat سرور یہ کوڈ براہِ راست، سرور سے سرور، ایک ID token سے بدلتا ہے۔ ٹوکنز کبھی براؤزر سے نہیں گزرتے۔
5. MonoChat ID token کی جانچ کرتا ہے اور ایجنٹ کو سائن اِن کر دیتا ہے۔

OpenID Connect کی تفصیلات (specification) کے الفاظ میں ID token “a security token that contains Claims about the Authentication of an End-User” ہے، یعنی ایک سیکیورٹی ٹوکن جس میں صارف کی تصدیق کے بارے میں معلومات (claims) ہوتی ہیں۔ MonoChat اسے صرف تب قبول کرتا ہے جب:

• اس پر آپ کے آئیڈینٹٹی پرووائیڈر کی کسی کلید (key) سے دستخط ہوں، جو ہر سائن اِن پر اس کی discovery document (<issuer>/.well-known/openid-configuration) سے پڑھی جاتی ہے؛
• اس کا issuer (iss) آپ کا issuer ہو، اس کا audience (aud) MonoChat کا client ID ہو، اور اس کی میعاد (exp) ختم نہ ہوئی ہو؛
• اس میں وہ nonce موجود ہو جو MonoChat نے درخواست کے ساتھ بھیجا تھا، جو ٹوکن کو اسی سائن اِن سے جوڑتا ہے اور اسے دوبارہ استعمال (replay) ہونے سے روکتا ہے؛
• اس میں اس شخص کا ای میل ایڈریس ہو، اور پرووائیڈر یہ نہ کہے کہ یہ ایڈریس غیر تصدیق شدہ ہے۔

درخواست میں PKCE (S256) اور ایک state ویلیو بھی استعمال ہوتی ہے، اور سائن اِن کی ہر درخواست 10 منٹ کے لیے درست رہتی ہے اور صرف ایک بار استعمال ہو سکتی ہے۔

SSO آن کرنے سے پہلے یہ پانچ فیصلے کر لیں

فیصلہ	آپشنز	سپورٹ ٹیم کے لیے ہمارا مشورہ
کون سائن اِن کر سکتا ہے	ہر ڈومین، یا صرف آپ کی کمپنی کے ای میل ڈومینز	اسے اپنے ڈومینز تک محدود رکھیں
پہلی بار سائن اِن پر کیا ہو	اکاؤنٹ بن جائے، یا صرف مدعو کیے گئے لوگ قبول ہوں	اگر آپ کا آئیڈینٹٹی پرووائیڈر پہلے ہی طے کرتا ہے کہ کون آپ کے ہاں کام کرتا ہے تو اکاؤنٹس خود بننے دیں
موجودہ اکاؤنٹس	ای میل تصدیق شدہ ہو تو پہلے سائن اِن پر SSO جوڑ دیں، یا ایک بار پاس ورڈ سے سائن اِن کے بعد	اس پر منحصر ہے کہ آپ کا پرووائیڈر email_verified بھیجتا ہے یا نہیں
سائن اِن کے دوسرے طریقے	پاس ورڈ اور سوشل سائن اِن برقرار رکھیں، یا صرف SSO	جب سب SSO جوڑ لیں تو صرف SSO
نئے ورک اسپیس کون کھول سکتا ہے	اکاؤنٹ رکھنے والا ہر شخص، یا صرف مناسب رول والے لوگ	کمپنی کی انسٹالیشن میں کھلے عام ورک اسپیس بنانا بند کر دیں

کوئی بھی سیٹنگ بدلنے سے پہلے یہ فیصلے لکھ لیں۔ یہی سوال آپ کی سیکیورٹی ٹیم پوچھے گی، اور انہی کے جواب طے کرتے ہیں کہ آپ کو کون سی سیٹنگز چاہییں۔

آن پریمائز MonoChat انسٹالیشن پر SSO سیٹ اپ کریں

SSO ہر ورک اسپیس کے لیے الگ نہیں بلکہ پوری انسٹالیشن کے لیے سرور سیٹنگز میں سیٹ اپ ہوتا ہے۔ مکمل تفصیل ہیلپ سینٹر کے سنگل سائن آن پیج پر ہے؛ یہاں مختصر طریقہ ہے۔

1. اپنے آئیڈینٹٹی پرووائیڈر میں MonoChat رجسٹر کریں

client secret کے ساتھ ایک ویب ایپلیکیشن بنائیں، اور اسے یہ دیں:

• redirect URI https://<your MonoChat domain>/api/oauth/oidc/redirect؛
• authorization code grant؛
• scopes openid email profile؛
• client authentication، جس میں secret HTTP Basic کے طور پر بھیجا جائے (client_secret_basic)۔

یقینی بنائیں کہ ID token میں email claim شامل ہو، اور client ID، client secret اور issuer نوٹ کر لیں۔

2. issuer بالکل ہُوبہُو کاپی کریں

issuer آپ کے پرووائیڈر کی discovery document میں issuer کی ویلیو ہے۔ عام شکلیں یہ ہیں:

آئیڈینٹٹی پرووائیڈر	Issuer
Microsoft Entra ID	https://login.microsoftonline.com/<tenant id>/v2.0
Okta	https://<your Okta domain>/oauth2/default یا https://<your Okta domain>
Keycloak	https://<your Keycloak host>/realms/<realm>
AD FS 2016 یا نیا ورژن	https://<your AD FS host>/adfs
Google Workspace	https://accounts.google.com

براؤزر میں <issuer>/.well-known/openid-configuration کھولیں اور ویلیو حرف بہ حرف کاپی کریں، آخر میں سلیش (/) ہو تو وہ بھی۔ اگر دونوں میں ذرا بھی فرق ہو تو MonoChat ہر سائن اِن رد کر دیتا ہے، اور پہلا ٹیسٹ ناکام ہونے کی سب سے عام وجہ یہی ہے۔

3. سیٹنگز شامل کریں اور ری اسٹارٹ کریں

عوامی حصہ (issuer، client ID، redirect path، scopes اور بٹن کا متن) public.oauth.oidc کے تحت جاتا ہے؛ client secret oauth.oidc کے تحت جاتا ہے اور سرور پر ہی رہتا ہے۔ وہاں دو آپشنز اوپر والی ٹیبل کے آپ کے فیصلے نافذ کرتے ہیں:

• autoCreateAccounts: true کسی شخص کے پہلے SSO سائن اِن پر اس کا MonoChat اکاؤنٹ بنا دیتا ہے، چاہے سائن اپ صرف دعوت پر ہو؛
• allowedEmailDomains: ["yourcompany.com"] کسی دوسرے ڈومین کا ہر ایڈریس رد کر دیتا ہے۔ Google Workspace کے لیے MonoChat ای میل ایڈریس کے بجائے اکاؤنٹ کا Workspace ڈومین (hd claim) چیک کرتا ہے، کیونکہ ذاتی Google اکاؤنٹ کسی بھی ڈومین کا ایڈریس استعمال کر سکتا ہے۔

بٹن پر ہر شخص کی اپنی زبان میں “SSO کے ساتھ سائن اِن کریں” لکھا ہوتا ہے، یا وہ لیبل جو آپ خود سیٹ کریں، جیسے “Northwind SSO کے ساتھ سائن اِن کریں”۔

4. SSO کو محفوظ طریقے سے واحد طریقہ بنائیں

جب سب لوگ SSO جوڑ لیں تو سائن اِن کے اجازت یافتہ طریقے (public.auth.methods) کو ["oidc"] پر سیٹ کریں۔ اس کے بعد سائن اِن پیج پر صرف SSO بٹن نظر آتا ہے، اور سرور پاس ورڈ اور سوشل سائن اِن رد کر دیتا ہے۔ روٹ سپر یوزرز پھر بھی /auth/signin?fallback=1 پر اپنے پاس ورڈ سے سائن اِن کر سکتے ہیں، اس لیے آئیڈینٹٹی پرووائیڈر بند ہونے پر بھی انسٹالیشن کبھی لاک نہیں ہوتی۔ نئے SSO اکاؤنٹس کو اپنے الگ ورک اسپیس کھولنے سے روکنے کے لیے public.disableTenantCreation کو true پر سیٹ کریں۔

5. چار سائن اِن ٹیسٹ کریں

1. جس شخص کا اکاؤنٹ موجود ہے: پاپ اپ بند ہوتا ہے اور وہ اندر پہنچ جاتا ہے۔
2. جس شخص کا اکاؤنٹ نہیں: اکاؤنٹ بن جاتا ہے، یا اگر آپ نے اکاؤنٹ بنانا آن نہیں کیا تو رد ہو جاتا ہے۔
3. کسی دوسرے ڈومین والا شخص: اگر آپ نے ڈومینز محدود کیے ہیں تو رد ہو جاتا ہے۔
4. صرف SSO آن ہونے پر پاس ورڈ سے سائن اِن: رد ہو جاتا ہے، جبکہ روٹ کا متبادل راستہ کام کرتا رہتا ہے۔

موجودہ ایجنٹس: اکاؤنٹس کیسے جوڑے جاتے ہیں

زیادہ تر ٹیمیں SSO تب آن کرتی ہیں جب ان کے ایجنٹس کے MonoChat اکاؤنٹس پہلے سے موجود ہوتے ہیں۔ MonoChat اسی ای میل ایڈریس والے موجودہ اکاؤنٹ سے SSO کو دو میں سے کسی ایک طریقے سے جوڑتا ہے:

• خودکار طور پر، پہلے SSO سائن اِن پر، جب انسٹالیشن اکاؤنٹس ملانے (merge) کی اجازت دیتی ہو اور ID token کہے کہ ایڈریس تصدیق شدہ ہے (email_verified: true)۔
• ایک بار پاس ورڈ سے سائن اِن کے بعد، باقی ہر صورت میں: MonoChat اس شخص سے ایک بار اپنے پاس ورڈ سے سائن اِن کرنے کو کہتا ہے اور پھر SSO جوڑ دیتا ہے۔ کسی ورک اسپیس کی دعوت قبول کرنے سے بھی یہ جڑ جاتا ہے۔

Microsoft Entra ID اور AD FS email_verified نہیں بھیجتے۔ ان کے ساتھ، صرف SSO پر جانے سے پہلے یا تو اس وقت تک پاس ورڈ سائن اِن کھلا رکھیں جب تک سب SSO نہ جوڑ لیں، یا لوگوں کو دوبارہ مدعو کریں۔

SSO شناخت ہے؛ رولز رسائی ہیں

سائن اِن سے کسی شخص کو اکاؤنٹ ملتا ہے، آپ کی گفتگو تک رسائی نہیں۔ ایک MonoChat اکاؤنٹ کئی ورک اسپیسز کا حصہ ہو سکتا ہے، اور لوگ ورک اسپیس چننے سے پہلے سائن اِن کرتے ہیں۔ کوئی شخص ورک اسپیس تب ہی دیکھتا ہے جب وہ اسے مدعو کرے اور رول دے، اور رول طے کرتا ہے کہ وہ کن چینلز، گفتگو اور سیٹنگز تک پہنچ سکتا ہے۔ انہیں ترتیب دینے کا طریقہ ٹیم ان باکس کے رولز اور پرمیشنز میں دیکھیں۔

آڈیٹر یہی تقسیم دیکھنا چاہے گا:

• نیا ملازم (Joiner): آئیڈینٹٹی پرووائیڈر اس شخص کو بناتا ہے؛ ورک اسپیس ایڈمن اسے مدعو کرتا ہے اور رول چنتا ہے۔
• عہدہ یا ٹیم بدلنے والا (Mover): MonoChat میں رول یا ورک گروپ بدلیں؛ سائن اِن وہی رہتا ہے۔
• کمپنی چھوڑنے والا (Leaver): آئیڈینٹٹی پرووائیڈر میں اس شخص کو غیر فعال کریں، اور MonoChat میں اسے ورک اسپیس سے ہٹا دیں۔

وہ حدود جن کی منصوبہ بندی ضروری ہے

• موبائل ایپ۔ MonoChat کی Android اور iOS ایپ ابھی SSO پیش نہیں کرتی۔ اگر SSO ہی سائن اِن کا واحد طریقہ ہو تو ایجنٹس اپنے فون پر سائن اِن نہیں کر سکیں گے، اس لیے موبائل صارفین کے لیے کوئی دوسرا طریقہ رکھیں یا صرف ڈیسک ٹاپ والی شفٹس کی منصوبہ بندی کریں۔
• سائن آؤٹ۔ MonoChat سے سائن آؤٹ کرنے سے وہ شخص آئیڈینٹٹی پرووائیڈر سے سائن آؤٹ نہیں ہوتا، اور فی الحال وہاں سے سائن آؤٹ کرنے پر وہ MonoChat سے بھی سائن آؤٹ نہیں ہوتا۔ کمپنی چھوڑنے والے کو آئیڈینٹٹی پرووائیڈر میں غیر فعال کرنے سے نئے سائن اِن رک جاتے ہیں؛ اسے ورک اسپیس سے بھی ہٹائیں۔
• نیٹ ورک۔ لوگوں کے براؤزرز کو /api/oauth/oidc/authorize اور redirect path تک پہنچنا چاہیے، اور MonoChat سرور کو HTTPS پر آپ کے پرووائیڈر کی discovery document، token endpoint اور key set تک پہنچنا چاہیے۔ اگر آپ انسٹالیشن کو IP کے ذریعے محدود بھی کرتے ہیں تو ان راستوں کا خیال رکھیں۔

MonoChat میں SSO کہاں فٹ ہوتا ہے

SSO پوری انسٹالیشن کی سرور سیٹنگز میں ترتیب دیا جاتا ہے، اس لیے فی الحال یہ آن پریمائز MonoChat کا حصہ ہے: یہ ان ٹیموں کے لیے Enterprise آپشن ہے جو پلیٹ فارم اپنے سرورز پر، اپنے LLM اور vector database کے ساتھ چلاتی ہیں۔ Enterprise پیج آن پریمائز آپشن کی وضاحت کرتا ہے، اور سیکیورٹی پیج رول پر مبنی رسائی، ورک اسپیس کی علیحدگی اور سرٹیفیکیشنز کا احاطہ کرتا ہے۔ AI متعارف کرانے کے ڈیٹا والے پہلو کے لیے AI چیٹ بوٹ پرائیویسی چیک لسٹ دیکھیں۔

اگر آپ پہلے خود پروڈکٹ آزمانا چاہتے ہیں تو app.monochat.ai پر مفت Basic پلان آپ کو ایک ایجنٹ اور ایک چینل دیتا ہے۔

ذرائع

• OpenID Connect Core 1.0, OpenID Foundation، 4 نومبر 2026 کو دیکھا گیا
• Verizon 2025 Data Breach Investigations Report کا اعلان، 4 نومبر 2026 کو دیکھا گیا
• MonoChat ہیلپ سینٹر: Single Sign-On for an On-Premise Installation، 4 نومبر 2026 کو دیکھا گیا
• MonoChat چینج لاگ 3.8.43، 2 نومبر 2026