Utilizatori si SSO in Zoho Directory, pe scurt
Configurarea pentru utilizatori si SSO in Zoho Directory are trei pasi. Adaugati mai intai utilizatorii si grupurile. Alegeti apoi de unde se autentifica oamenii. La final conectati aplicatiile.
Zoho Directory este furnizorul de identitate al Zoho. Este serviciul care gestioneaza si securizeaza identitatea digitala a angajatilor prin SSO si autentificare multifactor (MFA).
SSO (single sign-on, autentificare unica) este mecanismul prin care un utilizator se autentifica o singura data si acceseaza apoi mai multe aplicatii. MFA este verificarea suplimentara a identitatii, de exemplu printr-o aplicatie de pe telefon. Pentru companiile care implementeaza Zoho One, Zoho Directory devine locul din care controlati cine intra si in ce aplicatii.
Conform descrierii oficiale a Zoho Directory pe Google Play, serviciul ofera urmatoarele functii:
- SSO bazat pe SAML catre aplicatii SaaS si autentificare fara parola;
- MFA prin aplicatia Zoho OneAuth, cu politici de parola si MFA personalizabile;
- restrictionarea autentificarii dupa adresa IP si gestionarea sesiunilor web;
- provizionarea aplicatiilor prin SAML-JIT;
- sincronizare unidirectionala dinspre servere AD sau LDAP;
- rapoarte despre autentificarile angajatilor si folosirea aplicatiilor.
Daca abia incepeti cu suita, ghidul Zoho One explicat: ce include, cost si configurare va da contextul general inainte de pasii de mai jos.
Rolurile de administrator necesare in Zoho Directory
Configurarea SSO si a dispozitivelor in Zoho Directory cere roluri precise de administrator. Stabiliti cine detine aceste roluri inainte sa incepeti. Altfel, persoana care face configurarea se opreste la primul ecran care cere drepturi pe care nu le are.
Documentatia Zoho indica rolurile necesare pentru fiecare actiune importanta:
- Autentificare personalizata (SSO cu un IdP extern): Organization Owner sau Organization Admin.
- Inrolarea, dezactivarea si stergerea dispozitivelor, plus alocarea utilizatorilor pe ele: Organization Owner sau Organization Admin.
- Instalarea automata a agentului Zoho Directory pe dispozitive: Organization Owner, Organization Admin, Device Admin sau un Admin din contul Endpoint Central.
Regula practica este simpla. Rolul de Organization Owner ramane la o persoana din conducere, nu la un furnizor extern. Rolul de Organization Admin il primesc persoanele care chiar configureaza sistemul. Device Admin are sens doar daca o persoana separata gestioneaza calculatoarele.
Administratorii pot lucra si de pe telefon. Aplicatia mobila Zoho Directory este o versiune mobila a panoului de administrare. Include gestionarea utilizatorilor si a grupurilor, administrarea politicilor de securitate, gestionarea accesului la aplicatii si notificari pentru cererile de acces. Listarea aplicatiei pe Google Play a fost actualizata pe 29 mai 2026.
Adaugarea utilizatorilor si a grupurilor in Zoho Directory
Utilizatorii ajung in Zoho Directory pe trei cai: ii adaugati manual, ii sincronizati dintr-un server AD sau LDAP, ori sunt creati automat prin JIT la prima autentificare. Alegeti calea inainte de a activa SSO, pentru ca ea decide ce se intampla cand cineva incearca sa intre prima data.
JIT (Just-in-Time provisioning) este mecanismul prin care un utilizator este adaugat in organizatia Zoho la prima autentificare prin SAML. Adaugarea are loc dupa ce raspunsul SAML si domeniul utilizatorului sunt validate. Daca JIT nu este activat, documentatia Zoho este clara: trebuie sa adaugati manual utilizatorii in organizatie inainte ca ei sa se poata autentifica prin SSO.
Sincronizarea cu AD sau LDAP este unidirectionala. Datele vin dinspre serverul dumneavoastra spre Zoho Directory, nu invers. Este potrivita cand conturile angajatilor exista deja intr-un director intern si nu vreti sa le intretineti in doua locuri.
De ce conteaza grupurile din prima zi
Grupurile din Zoho Directory nu sunt doar o forma de ordonare. Autentificarea personalizata poate fi activata pentru un anumit grup de utilizatori sau pentru toata organizatia. Puteti, de asemenea, configura mai multi IdP pentru anumiti utilizatori si exclude altii. Un grup bine definit va permite deci sa testati SSO pe cativa oameni, fara sa riscati accesul intregii companii.
Mai exista o regula pentru dispozitive. Doar utilizatorii confirmati pot fi alocati pe dispozitive inrolate. Un utilizator confirmat poate fi alocat pe mai multe dispozitive.
Metoda de autentificare: parola Zoho, IdP extern sau sincronizare AD/LDAP
Metoda de autentificare in Zoho Directory depinde de ce sistem de conturi aveti deja. O companie fara alt director poate folosi parola Zoho cu MFA. O companie care foloseste deja Okta, OneLogin, Google sau Microsoft Entra ID conecteaza acel sistem ca IdP. IdP (identity provider, furnizor de identitate) este sistemul care verifica identitatea utilizatorului si confirma rezultatul catre aplicatie.
| Metoda | Potrivita cand | Ce configurati in Zoho Directory |
|---|---|---|
| Parola Zoho Directory cu MFA prin OneAuth | Nu aveti alt sistem central de conturi | Politici de parola si MFA, restrictii pe IP, gestionarea sesiunilor |
| Autentificare personalizata cu IdP extern (SAML sau JWT) | Angajatii au deja conturi intr-un IdP precum Okta, OneLogin sau Microsoft Entra ID | IdP-ul adaugat, ACS URL copiat la IdP, certificatul X.509, grupul vizat |
| Sincronizare unidirectionala AD/LDAP | Conturile exista pe un server AD sau LDAP intern | Sincronizarea dinspre server spre Zoho Directory |
Metodele nu se exclud reciproc. Zoho Directory permite mai multi IdP, fiecare configurat pentru anumiti utilizatori, cu altii exclusi. Autentificarea personalizata functioneaza cu orice IdP care suporta SAML sau JWT. Zoho publica articole de configurare SAML pentru Microsoft Entra ID, Auth0, Google, OneLogin, ADFS si Okta.
Odata activata autentificarea personalizata, utilizatorii nu mai folosesc parola Zoho Directory. Ei isi introduc doar adresa de e-mail pe pagina de autentificare si sunt redirectionati automat catre IdP. Alternativ, se autentifica intai in IdP si deschid Zoho Directory de acolo.
Configurarea SSO cu un IdP extern prin autentificare personalizata
Autentificarea personalizata este functia Zoho Directory care activeaza SSO prin SAML sau JWT de la IdP-ul ales de dumneavoastra. SAML este protocolul care permite configurarea autentificarii unice pentru Zoho cu un IdP. Configurarea cere rolul de Organization Owner sau Organization Admin.
Pasii de baza, conform ghidului Zoho pentru autentificarea personalizata, sunt urmatorii:
- Adaugati IdP-ul in Zoho Directory.
- Deschideti IdP-ul din lista si mergeti in fila SSO Configurations.
- Copiati ACS URL, pe care il introduceti apoi in configurarea aplicatiei din IdP.
- Preluati din IdP datele cerute de Zoho: URL-ul de autentificare, URL-ul de deconectare (optional), identificatorul de nume si certificatul X.509.
- Alegeti daca autentificarea se aplica unui grup sau tuturor utilizatorilor.
Certificatul X.509 trebuie sa fie un fisier codificat base-64, cu extensia .cer, .crt, .cert sau .pem. Identificatorul de nume (Name Identifier) este implicit adresa de e-mail. IdP-ul trebuie deci sa trimita aceeasi adresa pe care utilizatorul o are in Zoho.
Ce contine fisierul de metadate Zoho
Articolul Zoho despre configurarea SAML in Zoho Accounts descrie fisierul de metadate. Butonul Download Metadata descarca un fisier numit zohometadata.xml. Fisierul contine Entity ID, ACS URL, URL-ul de deconectare, NameIDFormat si ZOID. ZOID este ultima parte a ACS URL. Multi IdP accepta direct acest fisier, ceea ce reduce greselile de copiere manuala.
Exemplu: SSO cu Microsoft Entra ID pentru un grup pilot
Exemplul urmator arata configurarea SSO in Zoho Directory pentru o firma de distributie care tine deja conturile angajatilor in Microsoft Entra ID. Firma trece pe Zoho One si vrea ca oamenii sa intre in aplicatiile Zoho cu acelasi cont. Microsoft Entra ID se afla pe lista IdP pentru care Zoho publica un articol de configurare SAML.
- Grupul pilot. In Zoho Directory creati un grup numit "Pilot SSO", cu cativa oameni din vanzari si din financiar. Administratorii raman in afara grupului.
- IdP-ul in Zoho. Adaugati Microsoft Entra ID ca IdP. In fila SSO Configurations copiati ACS URL.
- Aplicatia in Entra. Introduceti ACS URL in campul de reply URL al aplicatiei SAML. Zoho numeste aceeasi valoare si "single sign-on URL". Entity ID devine identificatorul aplicatiei.
- Certificatul. Exportati certificatul de semnare ca fisier .cer codificat base-64 si incarcati-l in Zoho Directory.
- Identificatorul. Lasati Name Identifier pe adresa de e-mail. Verificati ca Entra trimite exact adresa folosita in Zoho.
- Activarea limitata. Activati autentificarea personalizata doar pentru grupul "Pilot SSO".
Testul este simplu. Un membru al grupului introduce adresa de e-mail pe pagina de autentificare Zoho Directory. Trebuie sa ajunga automat pe pagina Microsoft Entra ID si sa revina autentificat. Un administrator exclus trebuie sa poata intra in continuare cu parola Zoho.
Daca pilotul functioneaza cateva zile fara incidente, extindeti autentificarea la urmatorul grup. Activarea pentru toata organizatia vine ultima, dupa ce ati verificat fiecare departament.
JIT, maparea atributelor si deconectarea unica (SLO)
JIT, maparea atributelor si deconectarea unica sunt setarile care decid ce se intampla la prima autentificare si la iesirea din sistem. Merita configurate constient, nu lasate pe valorile implicite fara verificare.
Maparea atributelor la JIT
Cand activati JIT, puteti mapa campurile First Name, Last Name si Display Name din Zoho la campurile corespunzatoare din IdP. Fara aceasta mapare, conturile create automat pot aparea cu nume incomplete in aplicatii. Verificati campurile din IdP inainte de activare, mai ales daca acolo numele sunt introduse inconsecvent.
Deconectarea unica
SLO (single logout, deconectare unica) este mecanismul prin care iesirea dintr-un sistem va deconecteaza si din celalalt. Exista doua tipuri:
- SLO initiat de SP: cand iesiti din Zoho, sunteti deconectat automat si din IdP.
- SLO initiat de IdP: cand iesiti din IdP, sunteti deconectat automat si din Zoho.
SLO functioneaza doar daca IdP-ul il suporta. Unii IdP suporta un singur tip, altii pe amandoua, iar unii niciunul. URL-ul de deconectare al Zoho se afla in fisierul de metadate, sub eticheta <md:SingleLogoutService>.
Semnarea cererilor SAML
Optiunea Sign SAML requests semneaza cererile trimise de Zoho catre IdP. Cand o activati, Zoho genereaza automat o pereche de chei. Activati optiunea doar daca IdP-ul dumneavoastra o cere sau o accepta.
Autentificarea pe dispozitive: ce nu acopera SSO-ul pentru aplicatii
SSO-ul din Zoho Directory acopera aplicatiile cloud, nu si calculatoarele angajatilor. Documentatia Zoho o spune direct: fara alta configurare, angajatii se autentifica pe dispozitive cu un alt set de date de acces. Functia care inchide aceasta diferenta se numeste Device Authentication.
Device Authentication este functia Zoho Directory care permite inrolarea si gestionarea dispozitivelor din companie, de exemplu Mac. Agentul Zoho Directory conecteaza fiecare dispozitiv la directorul organizatiei. Pe Mac apare si notiunea de secure token, o parte a tehnologiei de criptare FileVault, protejata de parola utilizatorului.
Inainte de inrolare, retineti regulile din ghidul Zoho pentru autentificarea pe dispozitive:
- Doar utilizatorii confirmati pot fi alocati pe dispozitive inrolate.
- Un utilizator confirmat poate fi alocat pe mai multe dispozitive.
- Daca un dispozitiv este offline sau inaccesibil, actiunile trimise nu se finalizeaza. Zoho afiseaza un mesaj despre actiuni in asteptare, cu numele contului.
- Pentru a nu mai gestiona un dispozitiv, trebuie sa il stergeti. Ca sa fie autentificat din nou, il reinrolati.
- Lista dispozitivelor se poate exporta, inclusiv in format XLSX.
Pentru o firma cu laptopuri care circula intre angajati, exportul periodic al listei de dispozitive este un control simplu. Va arata ce aparate sunt inrolate si cui sunt alocate.
Greselile de configurare pe care le vedem cel mai des
Greselile de configurare in Zoho Directory apar rar in documentatie si des in practica. Cele mai multe nu tin de tehnologie, ci de ordinea pasilor. Lista de mai jos le adune pe cele care blocheaza accesul sau lasa goluri de securitate:
- Activarea pentru toata organizatia din prima. O eroare de certificat sau de identificator blocheaza atunci pe toata lumea, inclusiv pe administratori.
- Utilizatori neadaugati fara JIT. Daca JIT este dezactivat si conturile nu exista inca in Zoho, utilizatorii nu se pot autentifica prin SSO.
- Adrese de e-mail diferite intre IdP si Zoho. Name Identifier este implicit adresa de e-mail, deci valorile trebuie sa coincida exact.
- Certificat in format gresit sau expirat. Zoho accepta doar fisiere base-64 .cer, .crt, .cert sau .pem.
- Asteptari gresite despre SLO. Deconectarea unica nu functioneaza daca IdP-ul nu o suporta.
- Presupunerea ca SSO acopera si laptopurile. Pentru dispozitive aveti nevoie de Device Authentication.
La Svennis activam autentificarea personalizata intai pentru un grup pilot si lasam cel putin un administrator exclus din IdP, ca sa existe o cale de acces daca certificatul sau maparea esueaza.
Pentru aplicatiile proprii care folosesc Zoho Directory ca IdP, ghidul LoginRadius pentru SSO cu Zoho Directory listeaza trei probleme frecvente. O bucla de autentificare dupa redirectionare cere verificarea URL-urilor de callback si a domeniului cookie-urilor. O eroare 401 sau un token invalid cere verificarea client ID, issuer si audience. Erorile de certificat sau semnatura SAML se rezolva prin reincarcarea certificatului si reimportul metadatelor dupa rotire.
Ce inseamna configurarea Zoho Directory pentru o companie din Romania
Pentru o companie din Romania, configurarea Zoho Directory inseamna in primul rand control asupra intrarilor si iesirilor de personal. Multe firme lucreaza cu colaboratori externi, cu un contabil din afara sau cu oameni care schimba des departamentul. Fiecare dintre aceste situatii cere ca accesul sa fie dat si retras rapid, din acelasi loc.
Trei setari ajuta direct in aceste situatii:
- Grupurile separa angajatii de colaboratori si permit reguli diferite de autentificare.
- Restrictia pe adresa IP limiteaza de unde se poate face autentificarea.
- Rapoartele de autentificare si de folosire a aplicatiilor arata cine a intrat si in ce aplicatii, util la un control intern.
Aplicatia mobila de administrare merita o decizie separata. Conform sectiunii despre siguranta datelor completate de dezvoltator pe Google Play, aplicatia poate partaja date de localizare cu terti. Datele sunt criptate in tranzit, iar dezvoltatorul declara ca nu ofera o modalitate de a solicita stergerea datelor prin aplicatie. Includeti aceste informatii in registrul activitatilor de prelucrare (art. 30 GDPR) si decideti cine instaleaza aplicatia.
Daca inca evaluati daca aveti nevoie de toata suita sau doar de CRM, comparatia Zoho One vs Zoho CRM va ajuta sa decideti. Zoho Directory devine important mai ales cand aceiasi oameni folosesc multe aplicatii Zoho in paralel.
Pasii urmatori pentru configurarea utilizatorilor si SSO
Configurarea utilizatorilor si SSO in Zoho Directory merge cel mai sigur in ordinea de mai jos. Fiecare pas se poate verifica inainte de urmatorul:
- Stabiliti cine are rolurile de Organization Owner, Organization Admin si, daca e cazul, Device Admin.
- Decideti sursa conturilor: adaugare manuala, sincronizare AD/LDAP sau JIT.
- Creati grupurile, inclusiv un grup pilot fara administratori.
- Alegeti metoda de autentificare dupa tabelul din acest ghid.
- Configurati IdP-ul, testati pe grupul pilot si abia apoi extindeti.
- Verificati suportul pentru SLO si planificati rotirea certificatului.
- Decideti daca inrolati dispozitivele prin Device Authentication.
Dupa ce accesul functioneaza, urmeaza configurarea aplicatiilor propriu-zise. Pentru CRM, lista de configurare Zoho CRM inainte de lansare continua firesc acest ghid. Pentru imaginea de ansamblu a suitei si a modului de lucru, consultati pagina despre implementarea Zoho One in Romania.
